- Von außen sichtbar: Spam-Seiten bei Google, Weiterleitungen, Browser-Warnungen und Ranking-Einbrüche erkennen Sie ohne WordPress-Login.
- Nur im Backend sichtbar: fremde Admin-Benutzer, unbekannte Plugins und geänderte Dateien wie
wp-config.phpoder.htaccess. - Das Tückische: schlafende Backdoors und still mitlesende Fremd-Admins bleiben oft monatelang unsichtbar – ein kurzer Blick von außen reicht nicht.
Freitag, kurz vor Feierabend, klingelt das Telefon: Ein Kunde tippt seinen Firmennamen bei Google ein und findet unter seiner Domain plötzlich Dutzende Unterseiten mit japanischen Schriftzeichen und Links zu Potenzmittel-Shops. Seine Startseite sieht völlig normal aus. Trotzdem war die Seite seit vermutlich drei Wochen gekapert – nur hatte es niemand bemerkt. Genau das ist das Muster: Ein Hack schreit selten, er flüstert. Wer die richtigen Signale kennt, entdeckt ihn Tage oder Wochen früher.
Allein zwischen Mai und Juli 2026 haben wir mehrere solcher Fälle bei Kundenseiten begleitet – vom stillen Fremd-Admin bis zur kompletten Umleitung auf eine russische Domain. In einem Fall lief eine Handwerker-Seite über vier Wochen scheinbar normal, während im Hintergrund täglich rund 8.000 Spam-Mails über den Server rausgingen – aufgefallen ist es erst, als der Hoster das Postfach sperrte. Die folgenden zehn Anzeichen sind die, an denen wir einen Befall in der Praxis am zuverlässigsten festmachen. Zu jedem steht dabei, wie Sie es prüfen – und was der Fund konkret bedeutet.
Die 10 Anzeichen, dass Ihre Website gehackt wurde
Manche dieser Signale sehen Besucher und Google sofort, andere entdecken Sie erst im Backend. Gehen Sie die Liste der Reihe nach durch. Trifft schon ein einziger Punkt zu, sollten Sie handeln, bevor Google die Seite abstraft oder Kunden abspringen.
Unter Benutzer → Alle Benutzer taucht ein Konto auf, das niemand aus dem Team angelegt hat – oft mit kryptischem Namen wie admin2 oder einer fremden Gmail-Adresse. Sortieren Sie nach Registrierungsdatum: Ein Admin, der um 3 Uhr nachts entstand, ist ein starkes Alarmsignal. Das bedeutet, dass jemand vollen Zugriff hat – und ihn behalten will.
Sie tippen Ihre Adresse ein und landen auf einer Glücksspiel- oder Fake-Shop-Seite. Häufig passiert das nur beim Aufruf über das Handy oder über einen Google-Klick, während der direkte Aufruf am PC sauber wirkt. Testen Sie es im Handy-Browser und in einem privaten Fenster. Solche Redirects sind fast immer in der .htaccess oder in einer Theme-Datei versteckt.
Suchen Sie bei Google nach site:ihre-domain.de. Erscheinen Hunderte Treffer mit Pharma-, Casino- oder Marken-Fake-Begriffen, die Sie nie geschrieben haben, wurde Ihre Seite für fremdes SEO missbraucht. Ein zweiter Blick lohnt in die Sitemap unter /sitemap.xml: Stehen dort URLs, die Sie nicht kennen, ist der Fall klar. Typisch ist, dass diese Seiten nur für den Googlebot sichtbar sind – im normalen Browser bekommen Sie sie oft gar nicht zu Gesicht, deshalb ist die site:-Abfrage so wertvoll.
Statt Ihrer Seite erscheint eine rote Sperrseite mit „Die von Ihnen aufgerufene Website enthält Schadprogramme“. Diese Warnung stammt von Google Safe Browsing und wird in Chrome, Firefox und Safari ausgespielt. Prüfen können Sie das zusätzlich in der Google Search Console unter Sicherheitsprobleme. Ab hier bricht der Traffic sofort ein, weil kaum jemand an der Warnung vorbeiklickt.
Die Besucherzahlen fallen über Nacht ins Bodenlose oder gut platzierte Keywords verschwinden aus den Top 10. In der Search Console sehen Sie den Knick genau datiert. Fällt der Einbruch mit neuen, unbekannten Seiten im Index zusammen, ist es selten ein Google-Update – sondern ein Befall, den die Suchmaschine bereits abstraft.
Im Backend unter Plugins liegt ein Eintrag ohne Beschreibung, ohne Autor oder mit wirrem Namen. Auf dem Server tauchen im Verzeichnis wp-content/uploads plötzlich .php-Dateien auf – dort gehören nur Bilder und PDFs hin. Solche Dateien sind häufig die eigentliche Hintertür, über die der Angreifer immer wieder hereinkommt. Verdächtig ist auch ein Plugin, das im Backend als deaktiviert gilt, dessen Ordner aber trotzdem Code ausführt.
Ladezeiten schießen von zwei auf zehn Sekunden hoch, der Hoster meldet CPU-Überlastung oder drosselt das Konto. Oft steckt dahinter, dass Ihr Server im Hintergrund massenhaft Spam verschickt oder als Teil eines Botnetzes fremde Ziele angreift. Ein Blick in die Server-Auslastung im Hosting-Panel zeigt untypische Ausschläge, gerade nachts.
Ihr Kontaktformular oder der Newsletter landet reihenweise im Spam – oder Ihre Domain steht plötzlich auf einer Blacklist. Prüfen lässt sich das mit einem Blacklist-Check der Domain. Ursache ist meist, dass über Ihren Server tausende Spam-Mails rausgingen, worauf die Provider die ganze Domain sperren.
In wp-config.php, .htaccess oder der index.php stehen Code-Zeilen mit base64_decode, eval oder langen, unlesbaren Zeichenketten. Ein Sicherheits-Plugin wie Wordfence meldet solche Dateiänderungen automatisch. Wer per FTP nachsieht: Achten Sie auf ein Geändert-Datum, das nicht zu Ihrer letzten Bearbeitung passt.
Ihr Passwort wird plötzlich abgelehnt, obwohl es stimmt, oder Sie werden nach dem Anmelden sofort wieder ausgeloggt. In diesem Fall hat der Angreifer Ihr Konto übernommen und Sie ausgesperrt – das gröbste, aber eindeutigste Anzeichen. Hier zählt jede Stunde, um über den Hoster wieder Zugriff zu bekommen.
So prüfen Sie schnell selbst – auch ohne Login
Das Beruhigende vorweg: Für einen ersten Verdacht brauchen Sie kein Passwort und kein Fachwissen. Vier Handgriffe geben Ihnen in wenigen Minuten ein klares Bild, ob mit Ihrer Seite etwas nicht stimmt.
Tippen Sie site:ihre-domain.de bei Google ein. Fremde Sprachen, Pharma- oder Casino-Begriffe unter Ihren Treffern verraten untergeschobene Spam-Seiten.
Mit Rechtsklick → „Seitenquelltext anzeigen“ suchen Sie (Strg+F) nach eval oder fremden Domains im Kopfbereich. Unbekannte Skripte sind verdächtig.
Rufen Sie die Seite über das Handy und über einen Google-Klick auf, nicht nur direkt am PC. Landen Sie woanders, läuft eine versteckte Weiterleitung.
Unser WordPress-Sicherheits-Check prüft Ihre Domain automatisch auf Blacklist-Einträge, Spam-Seiten und verdächtige Skripte – ohne Zugangsdaten.
Bringt schon einer dieser Tests einen Treffer, können Sie ziemlich sicher sein, dass etwas faul ist. Der nächste logische Schritt ist dann der Blick ins Backend – und die Frage, wie Sie den Schaden begrenzen. Wie Sie dabei richtig vorgehen, beschreibt unser Leitfaden WordPress gehackt: was tun Schritt für Schritt.
Die Search Console als Frühwarnsystem
Wer die Google Search Console eingerichtet hat, bekommt Warnungen oft, bevor ein Besucher etwas merkt. Zwei Bereiche lohnen den regelmäßigen Blick: Unter Sicherheit & manuelle Maßnahmen → Sicherheitsprobleme meldet Google gehackte Inhalte oder Schadprogramme direkt. Und unter Seiten → Indexierung fällt auf, wenn die Zahl der indexierten URLs ohne Ihr Zutun von etwa 40 auf mehrere Hundert springt – ein klassisches Zeichen für untergeschobene Spam-Seiten. Aktivieren Sie die E-Mail-Benachrichtigungen, dann landet die Warnung automatisch in Ihrem Postfach.
Nicht jedes Warnsignal ist ein Hack
Damit keine unnötige Panik entsteht: Nicht hinter jedem Problem steckt ein Angreifer. Ein Ranking-Einbruch kann genauso gut ein Google-Core-Update sein, eine langsame Seite oft nur ein schlecht programmiertes Plugin oder zu günstiges Hosting, und eine Browser-Warnung manchmal ein abgelaufenes SSL-Zertifikat. Der Unterschied liegt im Muster.
Ein echter Befall zeigt sich fast immer an mehreren Punkten gleichzeitig und tritt plötzlich auf: Der Traffic bricht ein und gleichzeitig stehen fremde Seiten im Index, oder die Ladezeit steigt und der Server meldet nächtliche Lastspitzen. Ein einzelnes Symptom über Wochen ist eher ein technisches Problem. Fallen dagegen von heute auf morgen zwei oder drei der zehn Anzeichen zusammen, sollten Sie von einem Hack ausgehen, bis das Gegenteil bewiesen ist.
Wie schnell muss ich reagieren?
Schnell – aber überlegt. Jeder Tag, den eine gehackte Seite online bleibt, kostet Vertrauen bei Besuchern und Sichtbarkeit bei Google. Steht Ihre Domain erst einmal in der Safe-Browsing-Liste, dauert die Entfernung nach der Bereinigung erfahrungsgemäß noch 24 bis 72 Stunden, in denen die rote Warnseite weiter angezeigt wird. Wer sofort handelt, verkürzt genau dieses Fenster.
Setzen Sie die Seite bei akutem Befall lieber kurz in den Wartungsmodus, statt sie mit einem aktiven Redirect oder Schadcode weiterlaufen zu lassen. Ein kontrollierter „Wir sind gleich wieder da“-Hinweis schadet Ihrem Ruf deutlich weniger als eine Casino-Weiterleitung, die jeder Interessent zu sehen bekommt.
Was Sie von außen NICHT sehen
Ein sauberer Schnellcheck ist ein gutes Zeichen – aber keine Entwarnung. Die gefährlichsten Befallsarten sind gerade die, die sich nach außen unauffällig verhalten:
- Schlafende Backdoors: Eine kleine, harmlos benannte Datei wartet still im Hintergrund, bis der Angreifer sie Wochen später aktiviert. Von außen ist nichts zu sehen.
- Stille Fremd-Admins: Ein zusätzliches Admin-Konto verändert vorerst nichts und liest nur mit – sichtbar wird es erst mit einem Blick in die Benutzerliste.
- Manipulierte Datenbank: Eingeschleuste Skripte oder versteckte Links stecken in den Datenbank-Tabellen und tauchen im Frontend nur bei bestimmten Besuchern auf.
Deshalb ersetzt keine Schnellprüfung die manuelle Kontrolle von Dateien, Datenbank und Benutzern durch jemanden, der weiß, wonach er sucht.
Verdacht bestätigt? Die nächsten Schritte
Wenn eines der Anzeichen zutrifft, gilt: nicht in Panik alles löschen, aber auch nicht abwarten. Sichern Sie zuerst den aktuellen Stand als Beweis, ändern Sie danach alle Passwörter und entfernen Sie unbekannte Admin-Konten – wie das sauber gelingt, zeigt unser Ratgeber zu fremden Admin-Benutzern. Ist die Seite erst bereinigt, geht es an die Vorbeugung: Ein durchdachtes Setup nach unserer 12-Punkte-Checkliste zum WordPress-Absichern verhindert, dass derselbe Weg ein zweites Mal offensteht.
Und wenn Sie unsicher sind, ob wirklich alles entfernt wurde: Genau dafür ist die manuelle Prüfung da. Eine halbe Bereinigung, bei der eine Backdoor übersehen wird, holt Sie meist innerhalb weniger Tage wieder ein – im schlimmsten Fall mit demselben Casino-Redirect wie beim ersten Mal. In der Praxis war bei uns genau das der Grund, warum eine Seite dreimal hintereinander „gereinigt“ wurde und trotzdem befallen blieb: Die eigentliche Datei im Uploads-Ordner hatte niemand angefasst.
Verdacht auf einen Hack?
Wir sehen uns Ihre Seite an: Dateien, Datenbank und Benutzer werden manuell geprüft, der Befall entfernt und die Seite so abgesichert, dass es kein zweites Mal gibt. Schnell, diskret und mit klarem Bericht für Sie.
Jetzt manuell prüfen lassen