WordPress gehackt? Was tun – die ersten Schritte

Deine WordPress-Website zeigt plötzlich fremde Inhalte, leitet auf Spam-Seiten um, oder Google warnt vor ihr. Gehackt. Was jetzt? Fang nicht an, Dateien zu löschen.

Halte zuerst fest, was du siehst. Danach lässt du die Website über deinen Hoster vom Netz nehmen und änderst alle Zugänge. Erst dann kommen Bereinigung, das Schließen der Sicherheitslücke und der Antrag auf Überprüfung bei Google. Die Reihenfolge gilt für WordPress genauso wie für jedes andere System.

Können personenbezogene Daten betroffen sein, etwa Einträge aus deinem Kontaktformular? Dann läuft außerdem eine Meldefrist nach der DSGVO. Die Frist beginnt in dem Moment, in dem du davon weißt.

Die ersten Schritte: sichern, abschalten, Zugänge ändern

Die Reihenfolge folgt im Kern Googles Leitfaden für gehackte Websites und der Checkliste des BSI für IT-Sicherheitsvorfälle in Unternehmen.

1. Halte den Zustand fest: Screenshots, die betroffenen Adressen und die Uhrzeit, zu der du den Hack bemerkt hast. Ab diesem Zeitpunkt kann die DSGVO-Frist laufen. Für eine spätere Anzeige rät das BSI außerdem, Beweise sorgfältig zu sichern.
2. Nimm die Website vom Netz. Laut Google soll der Statuscode 503 („vorübergehend nicht verfügbar“) dabei von außerhalb des kompromittierten Servers kommen. In der Praxis bittest du also deinen Hoster, die Seite abzuschalten. Ein Wartungsmodus-Plugin im gehackten WordPress läuft dagegen auf genau dem System, dem du gerade nicht trauen kannst. Eine Sperre per robots.txt, der Datei mit Anweisungen für Suchmaschinen, reicht laut Google nicht, weil Besucher den Schadinhalt weiter sehen.
3. Nutze das Gespräch mit dem Hoster gleich für mehr als das Abschalten. Laut Google kann er prüfen, ob andere Kunden betroffen sind, und dir möglicherweise bei der Wiederherstellung helfen. Frag ihn auch, ob er die Server-Logs für den fraglichen Zeitraum sichern kann.
4. Ändere alle Passwörter. Google nennt ausdrücklich FTP, also den Dateizugang zum Server, die Datenbank sowie alle Admin- und CMS-Konten. Nimm den Login ins Kundenkonto deines Hosters dazu. Nach der Bereinigung folgt eine zweite Runde.
5. Informiere die Geschäftsleitung und, falls es eine Person dafür gibt, deinen Datenschutzbeauftragten. Das BSI empfiehlt außerdem, früh festzulegen, wer im Vorfall entscheidet.

Dokumentieren vor dem Passwortwechsel fühlt sich an wie verlorene Zeit. Die paar Minuten für Screenshots verzögern aber nichts Wesentliches. Gelöschte Spuren kommen dagegen nicht zurück.

Selbst bereinigen oder abgeben?

Google rät, die eigenen Fähigkeiten ehrlich einzuschätzen. Dafür nennt Google drei Voraussetzungen: Du kannst Code lesen, mit der Kommandozeile arbeiten und die Konfiguration eines Servers nachvollziehen. Fehlt dir eine davon, gib die Bereinigung an Fachleute ab. Eine halbherzige Bereinigung übersieht schnell eine Hintertür. Dann stehst du nach dem Wiedereinschalten wieder am Anfang.

Auch wenn du abgibst, bleibt einiges bei dir. Du entscheidest, wann die Website wieder online geht, und du sprichst mit deinen Kunden. Du brauchst den Zugang zur Google Search Console. Und die Datenschutzprüfung weiter unten bleibt ebenfalls deine Verantwortung.

Warum ein Backup allein nicht reicht

Ein Backup hilft nur, wenn es aus der Zeit vor dem Hack stammt. Dein notierter Entdeckungszeitpunkt ist dafür ein Anhaltspunkt, mehr nicht. Der eigentliche Angriff kann deutlich früher passiert sein.

Dazu enthält ein Backup meist dieselbe Lücke, durch die der Angreifer reingekommen ist. Laut Google spielst du nach dem Wiederherstellen alle Updates und Patches ein. Außerdem empfiehlt Google eine saubere Neuinstallation der Software statt eines bloßen Upgrades, weil dabei alte Dateien zurückbleiben können.

Und wer bereinigt, muss die ausgenutzte Lücke finden und schließen. Sonst steht die Tür beim Wiedereinschalten offen. Zum Schluss änderst du alle Passwörter noch einmal, so sieht es auch Google vor. Die erste Runde lag vor der Bereinigung, als das System noch nicht vertrauenswürdig war.

So verschwindet die Google-Warnung

Warnt Google in der Suche oder im Browser vor deiner Website, findest du die Details in der Search Console. Dort verwaltest du als bestätigter Inhaber deine Website bei Google. Im Bericht „Sicherheitsprobleme“ unterscheidet Google gehackte Inhalte, Malware oder unerwünschte Software und Social Engineering, also Seiten, die Besucher täuschen sollen. Ein „Nicht sicher“ in der Adresszeile ist dagegen kein Hinweis auf einen Hack, sondern auf fehlendes HTTPS.

Die Überprüfung beantragst du erst, wenn vier Dinge erfüllt sind:

• Deine Inhaberschaft in der Search Console ist bestätigt.
• Die gehackten Inhalte sind entfernt.
• Die Sicherheitslücke ist geschlossen.
• Die bereinigte Website ist wieder online.

Google verlangt, das Problem auf der gesamten Website zu beheben, nicht nur bei den Beispieladressen im Bericht. Im Antrag beschreibst du kurz, wie bereinigt wurde. Reich ihn nur einmal ein und warte die Entscheidung ab. Laut Google können wiederholte Anträge ohne Behebung die Bearbeitung verlängern.

Für die Prüfung nennt Google je nach Problem unterschiedliche Dauern: bei Phishing etwa einen Tag, bei Malware einige Tage, bei gehackten Spam-Inhalten bis zu mehreren Wochen. Nach einer Freigabe verschwinden die Warnungen laut Google in der Regel innerhalb von 72 Stunden. Diese 72 Stunden haben nichts mit der Meldefrist der DSGVO zu tun. Die Angaben stammen aus Googles Hilfe, Stand September 2026.

Wenn du keinen Zugang zur Search Console hast, klär das jetzt mit deinem Dienstleister.

Sind Daten abgeflossen? Meldepflicht nach DSGVO prüfen

Die DSGVO wird relevant, sobald personenbezogene Daten betroffen sein könnten. Auf einer Firmenwebsite sind das etwa gespeicherte Anfragen aus dem Kontaktformular, Kundenkonten oder Newsletter-Listen. Geh dann diese Fragen der Reihe nach durch:

1. Können personenbezogene Daten betroffen sein? Wenn ja, dokumentierst du den Vorfall in jedem Fall mit Fakten, Auswirkungen und ergriffenen Maßnahmen. Das verlangt Art. 33 DSGVO auch dann, wenn du am Ende nicht meldest.
2. Besteht voraussichtlich ein Risiko für die betroffenen Personen? Dann meldest du die Verletzung unverzüglich und möglichst binnen 72 Stunden, nachdem sie dir bekannt wurde, an die zuständige Datenschutzaufsicht. Nur wenn voraussichtlich kein Risiko besteht, entfällt die Meldung.
3. Ist das Risiko voraussichtlich hoch? Dann benachrichtigst du nach Art. 34 DSGVO zusätzlich die Betroffenen, unverzüglich und in klarer und einfacher Sprache. Ausnahmen gibt es unter anderem, wenn die Daten verschlüsselt waren.

Verantwortlich im Sinne der DSGVO ist deine Firma als Betreiberin der Website. Hoster oder Dienstleister, die in deinem Auftrag Daten verarbeiten, heißen Auftragsverarbeiter. Stellen sie eine Datenpanne fest, müssen sie dir unverzüglich Bescheid geben. Die Meldung an die Aufsicht bleibt deine Aufgabe.

Ob ein Risiko besteht, ist eine Bewertung im Einzelfall. Wenn du dir unsicher bist, zieh vor Ablauf der Frist deinen Datenschutzbeauftragten oder eine Anwältin oder einen Anwalt für Datenschutzrecht hinzu.

Für eine Anzeige verweist das BSI Unternehmen auf die Zentralen Ansprechstellen Cybercrime (ZAC) der Polizei. Dafür brauchst du die Beweise aus dem ersten Schritt.

Zusätzlich kannst du den Vorfall freiwillig über das Meldeportal des BSI melden. Daraus erstellt das BSI ein Lagebild und spricht Warnungen aus. Diese freiwillige Meldung ersetzt nicht die Meldung an die Datenschutzaufsicht nach DSGVO.

Deine Notfallliste für das nächste Mal

Als Vorbeugung nennt Google regelmäßige automatisierte Backups und laufende Updates. Wie viel davon bei dir selbst liegt, hängt auch davon ab, wer bei deinem System für Updates und Sicherheit zuständig ist. Hauptsache, die Zuständigkeit steht schriftlich fest.

Im Ernstfall kostet die Suche nach Zugängen und Zuständigkeiten Zeit, die du nicht hast. Die Liste hier lehnt sich an die allgemeine BSI-Checkliste für IT-Sicherheitsvorfälle an und überträgt sie auf deine Website:

• Zugänge zu Hosting, Domainverwaltung, CMS und Google Search Console, jeweils mit dem Ort, an dem die Zugangsdaten sicher liegen.
• Ansprechpartner mit Telefonnummer: Hoster, technischer Dienstleister und, falls vorhanden, Datenschutzbeauftragter.
• Wer im Vorfall entscheidet und wer mit Kunden spricht.
• Wo die Backups liegen, wie oft sie entstehen und wie weit sie zurückreichen.
• Die zuständige Datenschutzaufsicht und ihr Meldeweg.
• Der Kontakt der Zentralen Ansprechstelle Cybercrime.

Wenn die Bereinigung zeigt, dass ein veraltetes und kaum noch wartbares System die Ursache war, steht eine größere Entscheidung an. Dann geht es darum, ob sich Reparatur oder Neuaufbau mehr lohnt.

Füll die Liste aus und leg sie dort ab, wo du sie auch ohne Website und E-Mail-Postfach erreichst, etwa ausgedruckt im Büro. Wenn du dabei merkst, dass niemand für Updates und Backups zuständig ist, sprich mich gern auf die laufende Betreuung deiner Website an.