- Zuerst eindämmen, dann suchen: Seite in den Wartungsmodus, alle Passwörter neu, sämtliche Sitzungen abmelden – erst danach nach dem Schadcode fahnden.
- Fremde Admins sind das lauteste Signal: Die aktuelle Angriffswelle legt automatisiert Konten wie
wp2shellan. Prüfen Sie die Benutzerliste als Erstes. - Sauber wird die Seite nur mit Ursache: Ohne die Eintrittsstelle zu schließen, sind Sie nach dem nächsten Automatik-Scan wieder infiziert.
Der Anruf kommt meistens morgens: „Meine Seite leitet auf eine russische Glücksspielseite weiter“ oder „Google zeigt bei uns eine rote Warnung“. Bei einem Berliner Handwerksbetrieb war es vor Kurzem ein Konto namens admin_x9, das um 3:14 Uhr nachts entstanden war – Stunden bevor irgendjemand aus dem Team am Rechner saß. Solche Momente fühlen sich nach Kontrollverlust an. Sind sie aber nicht, wenn Sie die richtigen Schritte in der richtigen Reihenfolge gehen.
Wichtig vorweg: Handeln Sie zügig, aber nicht panisch. Wer wild Dateien löscht, zerstört oft Spuren, die man zur Ursachensuche braucht – oder schießt die Seite endgültig ab. Die folgenden Schritte haben wir aus Dutzenden Bereinigungen destilliert. Sie funktionieren für die kleine Firmen-Website genauso wie für den WooCommerce-Shop.
Woran Sie einen echten Befall erkennen
Nicht jede Auffälligkeit ist ein Hack, aber die folgenden Zeichen sind eindeutig. Je mehr davon zusammenkommen, desto dringender wird es. Eine ausführliche Symptomliste finden Sie in unserem Beitrag Website gehackt erkennen.
Besucher landen auf Spam- oder Glücksspielseiten, oft nur vom Handy oder nur über Google-Klicks – am eigenen Rechner sieht alles normal aus.
In der Search Console taucht eine Sicherheitsmeldung auf, oder Chrome blendet vor der Seite den roten „Diese Website enthält Schadprogramme“-Schild ein.
In Benutzer → Alle Benutzer steht ein Administrator, den niemand kennt – häufig mit kryptischem Namen und einer Wegwerf-Mailadresse.
Plötzlich extrem langsame Ladezeiten, unbekannte Dateien im Media-Ordner oder E-Mails vom Hoster wegen Spam-Versand vom Server.
Sehen Sie eines dieser Zeichen, arbeiten Sie die zehn Schritte weiter unten der Reihe nach ab. Sind Sie unsicher, ob wirklich ein Befall vorliegt, hilft ein neutraler WordPress-Sicherheits-Check, bevor Sie größere Eingriffe machen.
Die aktuelle Angriffswelle mit automatischen Admin-Konten
Ein Muster begegnet uns seit Monaten fast täglich: Bots durchsuchen das Netz nach WordPress-Installationen mit einer bekannten Lücke, klinken sich ein und legen vollautomatisch ein zweites Administrator-Konto an. Die Namen wiederholen sich – Signaturen wie wp2shell, wpadmins oder eine zufällige Buchstaben-Zahlen-Kombination. Bei einem unserer Wartungskunden aus Berlin-Neukölln standen morgens gleich drei solcher Konten in der Liste, alle innerhalb von zwei Minuten in der Nacht erstellt.
Das Perfide daran: Selbst wenn Sie das Konto löschen, hinterlässt der Angriff fast immer eine Hintertür. Die Bots kommen über diese Backdoor wieder herein und legen das Konto neu an – oft schon am nächsten Tag. Deshalb reicht es nie, nur den fremden Admin zu entfernen. Wie Sie diese Konten sicher aufspüren und ausschalten, zeigt der eigene Ratgeber zu fremden Admin-Benutzern in WordPress.
Soforthilfe: Die ersten 10 Schritte nach dem Hack
Diese Reihenfolge ist bewusst gewählt. Erst eindämmen, dann Zugänge dichtmachen, dann suchen und bereinigen, zum Schluss die Ursache schließen. Wer Schritte überspringt, arbeitet doppelt.
Nehmen Sie die Website für Besucher vom Netz – per Wartungsmodus-Plugin oder, falls kein Zugang mehr besteht, über eine .maintenance-Datei beim Hoster. Das stoppt Spam-Versand, Weiterleitungen und schont Ihren Ruf, während Sie arbeiten.
Neue, lange Passwörter für jeden Admin, für die Datenbank, den FTP-/SFTP-Zugang und das Hosting-Panel. Verwenden Sie für jeden Dienst ein eigenes – ein einziges wiederverwendetes Passwort ist oft der ganze Grund des Befalls.
In WordPress unter Benutzer → Profil „An allen anderen Orten abmelden“ klicken. So fliegt ein Angreifer raus, der noch eine gültige Sitzung offen hat – sonst nützt das neue Passwort wenig.
Unter Benutzer → Profil → Anwendungspasswörter alle Einträge löschen. Diese Token umgehen die normale Anmeldung und werden bei Angriffen gern als stiller Zweitschlüssel liegengelassen.
In der wp-config.php die acht Security-Keys durch frische Werte vom offiziellen WordPress-Salt-Generator ersetzen. Damit werden alle bestehenden Login-Cookies ungültig – auch die des Angreifers.
Jedes Konto prüfen, das Sie nicht zuordnen können, und die Rolle aller echten Nutzer kontrollieren. Unbekannte Administratoren löschen und deren Beiträge einem sauberen Konto zuweisen.
Nach fremden PHP-Dateien fahnden – besonders in /wp-content/uploads/, in mu-plugins und bei Plugins mit Zeitstempel- oder Zufallsnamen. Dieser Schritt entscheidet, ob die Bereinigung hält.
Mit Wordfence, Sucuri oder dem Server-seitigen Scanner des Hosters die komplette Installation prüfen. Gemeldete Dateien nicht blind löschen, sondern erst prüfen, ob es Kern-Dateien sind.
Wenn ein Backup von vor dem Befall existiert, ist das oft der schnellste sichere Weg zurück. Wichtig: nur dann, wenn Sie den Infektionszeitpunkt kennen – sonst spielen Sie die Hintertür gleich mit ein.
WordPress-Kern, Themes und Plugins auf den neuesten Stand bringen, ungenutzte Erweiterungen löschen und die Eintrittsstelle finden. Erst danach die Seite wieder freigeben.
Fremde Admin-Benutzer finden und entfernen
Öffnen Sie Benutzer → Alle Benutzer und sortieren Sie nach Rolle. Jeder Administrator, den Sie keinem echten Menschen zuordnen können, ist verdächtig. Typische Merkmale sind eine E-Mail-Adresse bei einem Wegwerf-Dienst, ein Registrierungsdatum, das mit keiner echten Aktion zusammenpasst, und ein Anzeigename aus zufälligen Zeichen.
Fehlt das Konto plötzlich in der Liste, obwohl Sie es nachts noch gesehen haben, heißt das nicht Entwarnung: Manche Angriffe verstecken den Nutzer vor der WordPress-Oberfläche und lassen ihn nur in der Datenbank bestehen. Ein Blick in die Tabelle wp_users per phpMyAdmin bringt hier Klarheit. Loggen Sie vor dem Löschen kurz mit, welche Beiträge dem Konto gehören, und weisen Sie sie beim Entfernen einem sauberen Benutzer zu, damit keine Inhalte verlorengehen.
Backdoors aufspüren: Wo sich Schadcode versteckt
Die Hintertür ist der eigentliche Gegner. Sie sorgt dafür, dass der Angreifer immer wieder hereinkommt – selbst nach dem Passwortwechsel. In der Praxis stecken Backdoors fast immer an denselben Stellen:
/wp-content/uploads/ – dort gehört niemals ausführbarer Code hin, nur Bilder und Dokumente.wp-content/mu-plugins/ – „Must-Use“-Plugins laden ohne Aktivierung und tauchen in der Plugin-Liste nicht auf.wp-cache-x oder einem Zeitstempel, die es im offiziellen Verzeichnis gar nicht gibt.index.php oder wp-load.php mit einer verdächtigen Zeile ganz oben.Ein praktischer Trick: Sortieren Sie die Dateien im FTP-Programm nach Änderungsdatum. Alles, was am selben Tag und zur selben Uhrzeit wie das fremde Admin-Konto verändert wurde, verdient einen zweiten Blick. Code-Fragmente mit eval(, base64_decode( oder gzinflate( sind ein starkes Warnsignal, aber kein Beweis – im Zweifel lieber einen Fachmann drauf schauen lassen, statt eine echte Kern-Datei zu löschen.
Malware-Scan und sauberes Backup
Ein Scanner wie Wordfence oder Sucuri gleicht Ihre Dateien mit den Original-Prüfsummen von WordPress ab und meldet, was abweicht. Das nimmt Ihnen viel Handarbeit ab, ist aber kein Allheilmittel: Gut versteckte Backdoors rutschen manchmal durch, und harmlose Custom-Dateien werden gelegentlich fälschlich markiert. Nutzen Sie den Scan als Landkarte, nicht als Autopilot.
Existiert ein sauberes Backup aus der Zeit vor dem Befall, ist das oft der ehrlichste Neustart. Sie spielen einen bekannt guten Stand zurück und ersparen sich das mühsame Freiräumen einzelner Dateien. Die Bedingung: Sie müssen wissen, wann die Infektion begann – sonst enthält das Backup die Hintertür bereits. Fehlt ein sauberer Stand, führt am gründlichen manuellen Bereinigen kein Weg vorbei. Wie Sie künftig immer eine saubere Kopie parat haben, lesen Sie im Ratgeber zum WordPress-Backup.
Die Ursache finden: Zugangsdaten oder Plugin-Lücke?
Ohne die Eintrittsstelle bleibt jede Bereinigung Symptombehandlung. In der weit überwiegenden Zahl der Fälle läuft es auf eine von zwei Ursachen hinaus:
Ein Passwort wurde erraten, aus einem Datenleck wiederverwendet oder per Schadsoftware vom eigenen Rechner abgegriffen. Anzeichen: erfolgreiche Logins aus fremden Ländern in den Server-Logs, kein passendes Plugin-Update davor.
Eine bekannte Schwachstelle in einer veralteten Erweiterung wurde ausgenutzt. Anzeichen: der Angriff traf viele Seiten gleichzeitig, betroffen ist ein Plugin, das seit Monaten kein Update bekam.
Werfen Sie einen Blick in die Zugriffs-Logs Ihres Hosters rund um den Zeitpunkt, an dem das fremde Konto entstand. Oft sieht man dort die verräterische Anfrage – ein POST auf eine bestimmte Plugin-Datei kurz vor dem ersten fremden Login. Genau diese Datei ist dann Ihr Verdächtiger. Deaktivieren Sie das Plugin, aktualisieren oder ersetzen Sie es, und die Tür ist zu.
Wann Sie den Hoster einbeziehen sollten
Ihr Hosting-Anbieter ist bei einem Hack ein wichtiger Verbündeter, kein Gegner. Viele Provider haben eigene Scan-Systeme, können serverseitige Logs bereitstellen und im Notfall auf ein Server-Backup zurückgreifen, an das Sie selbst nicht herankommen. Melden Sie den Vorfall spätestens dann, wenn Ihr Konto Spam versendet oder mehrere Seiten auf demselben Server betroffen sind – dann liegt die Ursache manchmal gar nicht in Ihrer Installation, sondern in einer Nachbar-Seite.
Fragen Sie konkret nach: Gibt es serverseitige Malware-Funde? Ab wann reichen die Backups zurück? Wurde die IP des Servers auf einer Spam-Blockliste gemeldet? Diese Antworten sparen Stunden. In Berlin arbeiten wir mit den gängigen deutschen Hostern zusammen und wissen, welcher Support wie schnell reagiert – das macht im Ernstfall den Unterschied zwischen einem halben und einem ganzen Ausfalltag.
Danach absichern: damit es nicht wieder passiert
Ist die Seite sauber, beginnt der wichtigste Teil. Eine bereinigte, aber ungehärtete Installation wird oft innerhalb weniger Wochen erneut getroffen – die Bots haben die Adresse ja schon auf ihrer Liste.
Das Härtungs-Paket nach der Bereinigung
Diese Maßnahmen zusammen senken das Risiko eines erneuten Befalls drastisch:
- Zwei-Faktor-Authentifizierung: für jeden Admin verpflichtend – ein geklautes Passwort allein reicht dann nicht mehr.
- Web Application Firewall: Wordfence oder eine Cloud-WAF blockt bekannte Angriffsmuster, bevor sie WordPress überhaupt erreichen.
- Automatische Updates & Aufräumen: Kern und Sicherheits-Updates automatisch, ungenutzte Plugins und Themes komplett entfernen.
- Login absichern: Anmeldeversuche begrenzen, starke Passwörter erzwingen und die Datei-Bearbeitung im Dashboard sperren.
- Backups nach Plan: täglich, offsite gespeichert und mindestens einmal testweise zurückgespielt.
Die vollständige Liste mit allen Handgriffen finden Sie in unserer 12-Punkte-Checkliste zum WordPress-Absichern. Und weil viele Angriffe gar nicht bei der Website beginnen, sondern beim Menschen davor: Machen Sie Ihr Team mit Maschen wie der Fake-Captcha- und ClickFix-Falle vertraut, bei der Nutzer selbst Schadbefehle ausführen.
Was kostet die Bereinigung durch einen Profi?
Vieles davon können technisch versierte Betreiber selbst erledigen. Fehlt die Zeit oder das Vertrauen in die eigene Suche nach Backdoors, ist professionelle Hilfe gut investiert – ein zweiter Befall kostet am Ende mehr.
Analyse, Entfernen von Schadcode und fremden Konten, Schließen der Eintrittsstelle und Grund-Härtung. Der genaue Preis hängt vom Umfang des Befalls ab.
Laufende Updates, Monitoring, Firewall und tägliche Backups – damit ein Hack gar nicht erst passiert. Meist günstiger als eine einzige Notfall-Bereinigung.
Rechnen Sie ehrlich gegen: Ein Tag Ausfall, verlorene Anfragen und eine Google-Warnung, die Ihre Sichtbarkeit nach unten zieht, summieren sich schnell. Gemessen daran ist regelmäßige Pflege die deutlich günstigere Variante.
So gehen Sie jetzt vor
Wenn Sie gerade mitten drinstecken: Nehmen Sie die Seite offline, wechseln Sie alle Passwörter, melden Sie alle Sitzungen ab und prüfen Sie die Benutzerliste – das sind die ersten Handgriffe, die den Schaden sofort begrenzen. Die Suche nach Backdoor und Ursache folgt danach in Ruhe. Und sobald die Seite sauber ist, härten Sie sie ab, damit die nächste Bot-Welle ins Leere läuft. Trauen Sie sich die tiefe Suche nicht zu oder kommt das fremde Konto immer wieder: Holen Sie früh jemanden dazu, statt es endlos allein zu versuchen.
Seite gehackt? Wir bringen sie sauber zurück.
Agentur Emilian bereinigt kompromittierte WordPress-Seiten, findet die Eintrittsstelle und härtet ab, damit es nicht wieder passiert – von der Notfall-Säuberung bis zur laufenden Wartung, alles aus einer Hand.
Jetzt Hilfe anfragen