WordPress gehackt: Was tun? Schritt-für-Schritt-Plan

Wichtig auf einen Blick:

• Eine gehackte WordPress-Seite muss auf der gesamten Website bereinigt werden – einzelne Seiten zu reparieren reicht laut Google nicht aus und führt oft zu erneuter Infektion.
• Die Google Search Console mit dem Bericht „Sicherheitsprobleme“ ist die zentrale Anlaufstelle, um Beispiel-URLs und Art der Infektion einzusehen.
• Nach der Bereinigung muss zusätzlich die Sicherheitslücke geschlossen werden, die den Hack ermöglicht hat – nicht nur die sichtbaren Symptome.
• Erst wenn die Seite vollständig bereinigt und getestet ist, sollte in der Search Console eine Überprüfung angefordert werden.

Wenn eine WordPress-Website gehackt wurde, zählt jede Stunde: Besucher können auf Spam- oder Malware-Seiten weitergeleitet werden, Google kann Warnhinweise in den Suchergebnissen oder im Browser anzeigen, und unbehandelte Sicherheitslücken führen häufig zu einer erneuten Infektion. Dieser Artikel zeigt, welche konkreten Schritte nach einem WordPress-Hack notwendig sind und worauf es bei der Bereinigung ankommt.

Was tun, wenn die WordPress-Seite gehackt wurde?

Google empfiehlt einen klaren Ablauf für gehackte Websites: Zunächst wird die Website in der Google Search Console verifiziert, sofern das noch nicht geschehen ist. Anschließend wird der Bericht Sicherheitsprobleme geöffnet, der Beispiel-URLs der betroffenen Seiten sowie die Art des Problems anzeigt. Auf dieser Grundlage wird die Kompromittierung auf der gesamten Website behoben, die Korrekturen werden getestet, und erst danach wird über die Funktion „Überprüfung anfordern“ eine erneute Bewertung durch Google angestoßen.

Entscheidend ist dabei: Es genügt nicht, nur die Seiten zu bereinigen, die offensichtlich betroffen sind. Wird die eigentliche Sicherheitslücke nicht geschlossen, ist eine erneute Infektion wahrscheinlich. Ältere Google-Empfehlungen zu gehackten Websites weisen zudem darauf hin, dass eine Seite während der Bereinigung vorübergehend offline genommen werden kann, wenn Besucher sonst weiterhin einem Risiko ausgesetzt wären – etwa durch Weiterleitungen oder Malware.

Wie erkennt man einen WordPress-Hack?

Ein Hack macht sich nicht immer sofort auf der sichtbaren Website bemerkbar. Google weist darauf hin, dass kompromittierte Seiten in den Suchergebnissen oder im Browser mit Warnhinweisen versehen werden können, etwa mit einem Hinweis, dass die Seite möglicherweise gehackt wurde, oder mit einer Safe-Browsing-Warnung. Solche Warnungen sind häufig das erste sichtbare Zeichen für Websitebetreiber – und in der Search Console lässt sich der Sicherheitsstatus zusätzlich über den Bericht „Sicherheitsprobleme“ nachvollziehen.

Typische Anzeichen, die in den recherchierten Quellen genannt werden:

• Warnmeldungen in Google-Suchergebnissen oder im Browser
• Weiterleitungen von Besuchern auf Spam- oder Malware-Seiten
• Auftauchen von Sicherheitsproblemen in der Search Console mit den Kategorien Malware, Code-Injection oder Content-Injection
• Unbekannte, autogenerierte Seiten mit fremdsprachigen Keywords, die im Google-Index erscheinen, ohne dass auf der Website selbst etwas sichtbar verändert wurde

Der letzte Punkt ist besonders relevant für Fälle, in denen Spam-Seiten – wie beim Japanese Keyword Hack – nur im Google-Index sichtbar sind, aber nicht beim direkten Aufruf der Website. Das bedeutet: Ein Blick auf die Startseite allein reicht nicht aus, um einen Hack sicher auszuschließen. Eine Prüfung des Google-Index und der Search Console ist notwendig, um verdeckte Kompromittierungen zu erkennen.

Was tun bei einer Weiterleitung zu Spam-Seiten?

Weiterleitungen zu Spam- oder Malware-Seiten sind eines der Hauptrisiken, die Google im Zusammenhang mit gehackten Websites nennt. Betroffene Besucher werden dabei ohne ihr Wissen auf fremde Inhalte umgeleitet, was neben dem Vertrauensverlust auch zu Sicherheitswarnungen in Google-Suchergebnissen führen kann.

Der von Google beschriebene Umgang mit solchen Fällen folgt demselben Grundprinzip wie bei anderen Hacks: Die Ursache der Weiterleitung muss identifiziert und sitewide behoben werden – also nicht nur auf der einzelnen Seite, auf der die Weiterleitung beobachtet wurde. Wird nur das Symptom entfernt, aber die zugrunde liegende Sicherheitslücke nicht geschlossen, ist laut Google eine erneute Infektion wahrscheinlich. Erst nach vollständiger Bereinigung und einem Test der Korrekturen sollte in der Search Console eine Überprüfung angefordert werden, damit eventuelle Warnungen wieder entfernt werden können.

Wie prüft man WordPress auf Malware und versteckten Schadcode?

Der zentrale Ausgangspunkt für die Prüfung auf Malware ist der Bericht Sicherheitsprobleme in der Google Search Console. Er zeigt an, ob Google die Website mit Spam, Phishing oder Malware in Verbindung bringt, und liefert Beispiel-URLs, mit denen sich die betroffenen Bereiche eingrenzen lassen. Diese Beispiel-URLs sind besonders hilfreich, wenn nur ein Teil der Website betroffen ist und der Schadcode nicht auf den ersten Blick erkennbar ist.

Wichtig ist dabei die Unterscheidung zwischen der Feststellung eines Problems und dessen Behebung: Die Search Console zeigt an, dass Google eine Kompromittierung erkannt hat und welche Art von Problem vorliegt (etwa Malware, Code-Injection oder Content-Injection). Die eigentliche technische Untersuchung – etwa welche Dateien, Datenbankeinträge oder Plugins betroffen sind – ist damit noch nicht abgeschlossen. Google betont in diesem Zusammenhang, dass nicht nur die sichtbaren Symptome, sondern die zugrunde liegende Sicherheitslücke behoben werden muss, da die Website sonst erneut kompromittiert werden kann.

Da eine tiefergehende technische Untersuchung von Dateisystem und Datenbank stark von der jeweiligen Hosting-Umgebung und WordPress-Konfiguration abhängt, sind hierzu in den vorliegenden Quellen keine universellen, CMS-unabhängigen Schritte belegt.

Wann sollte eine gehackte WordPress-Seite professionell bereinigt werden?

Die recherchierten Quellen enthalten keine feste Regel, ab welchem Schweregrad eine Bereinigung zwingend an Fachleute übergeben werden muss. Google macht lediglich deutlich, dass die Kompromittierung sitewide behoben und die zugrunde liegende Sicherheitslücke geschlossen werden muss – unabhängig davon, wer die Bereinigung durchführt. In einem anderen Zusammenhang rät Google jedoch dazu, bei kompromittierten Websites einen Webentwickler oder Sicherheitsspezialisten für eine gründliche Sicherheitsprüfung hinzuzuziehen.

In der Praxis ist das ein sinnvoller Anhaltspunkt: Wenn die Ursache der Kompromittierung nicht eindeutig identifiziert werden kann, wenn die Website nach einer eigenen Bereinigung erneut betroffen ist, oder wenn Sicherheitsprobleme in der Search Console trotz vermeintlicher Korrekturen bestehen bleiben, spricht das für eine professionelle Untersuchung.

Häufige Fragen zu WordPress-Hacks

Reicht es aus, nur die betroffenen Seiten zu löschen?

Nein. Google weist ausdrücklich darauf hin, dass die Kompromittierung auf der gesamten Website behoben werden muss und nicht nur auf den Seiten, die als betroffen erkannt wurden. Wird nur ein Teil des Problems entfernt, bleibt die Website anfällig für eine erneute Infektion.

Woran erkenne ich, dass Google meine Website als gehackt einstuft?

Ein Hinweis darauf sind Warnmeldungen in den Google-Suchergebnissen oder im Browser sowie Einträge im Bericht „Sicherheitsprobleme“ der Google Search Console, der auch Beispiel-URLs der betroffenen Seiten enthält. Diese Meldungen können auf Malware, Code-Injection oder Content-Injection hinweisen.

Was passiert, wenn ich nach der Bereinigung eine Überprüfung anfordere?

Die Überprüfung in der Search Console sollte erst angefordert werden, wenn die Website vollständig bereinigt, die Korrekturen getestet und die zugrunde liegende Sicherheitslücke geschlossen wurden. Google prüft die Website anschließend erneut, um Warnhinweise gegebenenfalls zu entfernen.

Kann eine gehackte Website auch ohne sichtbare Veränderungen betroffen sein?

Ja. Insbesondere bei automatisiert erzeugten Spam-Seiten können betroffene URLs im Google-Index erscheinen, ohne dass die Website beim direkten Aufruf verändert wirkt. Eine Prüfung des Google-Index und der Search Console ist deshalb auch dann sinnvoll, wenn keine offensichtlichen Auffälligkeiten vorliegen.

Fazit

Ein WordPress-Hack lässt sich nicht mit punktuellen Korrekturen lösen. Der von Google beschriebene Weg – Sicherheitsprobleme in der Search Console prüfen, die Kompromittierung sitewide beheben, die zugrunde liegende Sicherheitslücke schließen, die Korrekturen testen und erst danach eine Überprüfung anfordern – bildet den zuverlässigsten Rahmen für die Wiederherstellung. Bleiben nach eigenen Maßnahmen weiterhin Sicherheitsprobleme bestehen oder lässt sich die Ursache nicht eindeutig bestimmen, ist eine professionelle Untersuchung der richtige nächste Schritt.

Quellen

• Google Search Console – Security Issues Report
• Google Search – This site may be hacked
• Google Search Console Help – Security Issues Report
• web.dev – Use Search Console
• Google Search Central Blog – Easier recovery for hacked sites
• Google Search Central Blog – Helping webmasters with hacked sites
• Google Search Central Blog – My site’s been hacked, now what?
• Google Chrome Community – Japanese SEO Spam appearing only in Google Search results
• Search Engine Roundtable – Google on the Japanese Keyword Hack
• Google Ads Policy Help – Compromised sites
• SiteGuarding – WordPress Hacked Emergency Playbook
• WordPress.com Support – Website Hack
• IONOS Digital Guide – WordPress hacked