Wenn eine WordPress-Website gehackt wurde, fühlt sich die Bereinigung oft wie das Ziel an. Die Weiterleitung ist weg, Google warnt nicht mehr, das Backend funktioniert wieder und die Website sieht von außen normal aus.
Das ist ein wichtiger Schritt. Aber es ist noch nicht das Ende.
Nach einem WordPress-Hack geht es nicht nur darum, sichtbare Malware zu entfernen. Es geht darum, herauszufinden, wie der Zugriff möglich war, welche Zugänge betroffen sein könnten und wie du verhinderst, dass die Website in ein paar Tagen oder Wochen wieder kompromittiert wird.
In diesem Artikel zeige ich dir, wie du WordPress nach einem Hack richtig absicherst, welche Schritte nach der Bereinigung wichtig sind und wann laufender Schutz sinnvoller ist als einmalige Reparatur.
Erst prüfen: Ist der Hack wirklich bereinigt?
Bevor du über langfristige Absicherung sprichst, muss eine Frage geklärt sein:
Ist die Website wirklich sauber?
„Die Startseite sieht wieder normal aus“ reicht dafür nicht. Viele Angriffe verstecken sich in Dateien, Datenbankeinträgen, Cronjobs, Benutzerkonten oder Weiterleitungsregeln. Manchmal bleibt eine Hintertür zurück, obwohl die auffällige Malware entfernt wurde.
Typische Hinweise auf eine unvollständige Bereinigung sind:
- neue Spam-Seiten tauchen wieder auf
- Weiterleitungen kommen nach kurzer Zeit zurück
- Google meldet erneut Sicherheitsprobleme
- unbekannte Dateien erscheinen wieder
- ein gelöschter Admin-Benutzer wird erneut angelegt
- der Hoster meldet weiterhin schädliche Dateien
- Sicherheitsplugins finden immer wieder ähnliche Probleme
Wenn deine Website noch aktiv auffällig ist, passt zuerst der Notfallweg: Soforthilfe bei gehackter WordPress-Website anfordern.
Wenn die akute Bereinigung erledigt ist, beginnt die zweite Phase: absichern.
Warum viele gehackte Websites erneut infiziert werden
Ein erneuter Hack passiert selten zufällig. Meist wurde bei der ersten Bereinigung nur das sichtbare Symptom entfernt, aber nicht die Ursache.
Das kann zum Beispiel bedeuten:
- ein verwundbares Plugin bleibt installiert
- ein altes Theme liegt weiter auf dem Server
- ein unsicheres Passwort wurde nicht geändert
- ein alter FTP-Zugang existiert noch
- ein unbekannter Admin-Benutzer wurde übersehen
- eine Backdoor-Datei blieb im Upload-Ordner
- die Datenbank enthält weiterhin schädliche Einträge
- die Website läuft weiter auf einer alten PHP-Version
- es gibt keine Überwachung nach der Bereinigung
Das ist der Unterschied zwischen „Malware löschen“ und „Website absichern“.
Nach einem Hack solltest du deshalb nicht nur fragen: Was war kaputt? Sondern auch: Wie kam der Zugriff zustande?
Die wichtigsten Schritte nach der Bereinigung
Eine gute Nachsorge muss nicht kompliziert sein, aber sie muss vollständig genug sein. Die folgenden Schritte helfen dir, aus der einmaligen Reparatur einen stabilen Sicherheitszustand zu machen.
1. Ursache des Hacks eingrenzen
Der wichtigste Punkt ist die Ursachenanalyse.
Häufige Einstiegspunkte sind:
- veraltete Plugins
- veraltete Themes
- schwache oder wiederverwendete Passwörter
- alte Benutzerkonten
- kompromittierte Hosting- oder FTP-Zugänge
- unsichere Upload-Funktionen
- schlecht gepflegte individuelle Anpassungen
- alte WordPress-Testinstallationen auf derselben Domain
- infizierte lokale Computer, über die Zugangsdaten abgegriffen wurden
Nicht immer lässt sich die Ursache zu 100 Prozent beweisen. Aber du solltest zumindest die wahrscheinlichsten Einfallstore prüfen und schließen. Sonst bleibt die Website nach außen sauber, aber im Kern verwundbar.
Wenn Malware oder Warnzeichen noch unklar sind, hilft dir auch der Artikel WordPress Malware erkennen.
2. Alle Zugangsdaten erneuern
Nach einem Hack solltest du davon ausgehen, dass Zugangsdaten kompromittiert sein könnten.
Ändere nicht nur das WordPress-Passwort.
Prüfe und erneuere:
- WordPress-Admin-Zugänge
- Hosting-Login
- FTP- oder SFTP-Zugänge
- Datenbank-Passwort
- E-Mail-Konten, die mit der Website verbunden sind
- API-Keys und Schnittstellen-Zugänge
- Plugin-Lizenzen oder externe Dienste, falls relevant
Wichtig: Ändere Passwörter erst, wenn die Website sauber genug ist. Wenn eine aktive Backdoor noch vorhanden ist, können neue Zugangsdaten im schlimmsten Fall erneut abgegriffen oder durch weitere Zugriffe ergänzt werden.
Aktiviere außerdem Zwei-Faktor-Authentifizierung für Admin-Zugänge, wenn möglich. Gerade nach einem Hack ist das eine der sinnvollsten Sofortmaßnahmen.
3. Benutzer und Rechte aufräumen
Viele WordPress-Websites sammeln über die Jahre Benutzerkonten: alte Agenturen, frühere Mitarbeiter, Entwickler, Testzugänge, Shop-Accounts oder Admins, die längst nicht mehr gebraucht werden.
Nach einem Hack solltest du prüfen:
- Gibt es unbekannte Benutzer?
- Wer hat Administratorrechte?
- Gibt es alte Accounts, die niemand mehr nutzt?
- Nutzen mehrere Personen denselben Admin-Zugang?
- Haben Redakteure oder Autoren zu viele Rechte?
- Sind Benutzer-E-Mail-Adressen plausibel?
Nicht jeder Benutzer braucht Administratorrechte. Je weniger Vollzugänge existieren, desto kleiner ist die Angriffsfläche.
Mein pragmatischer Grundsatz: So viele Rechte wie nötig, so wenige wie möglich.
4. WordPress, Plugins und Themes aktualisieren
Nach einem Hack sollten WordPress-Core, Plugins und Themes auf einen sauberen, aktuellen Stand gebracht werden. Aber bitte nicht blind.
Vor allem bei geschäftskritischen Websites brauchst du:
- ein aktuelles Backup
- eine Einschätzung kritischer Plugins
- eine sinnvolle Update-Reihenfolge
- Funktionsprüfung nach Updates
- Dokumentation, was geändert wurde
Wenn ein Plugin die Ursache war, reicht ein Update manchmal nicht aus. Dann muss geprüft werden, ob es eine sichere aktuelle Version gibt, ob das Plugin noch gepflegt wird oder ob eine Alternative sinnvoller ist.
Mehr dazu findest du im Artikel WordPress Updates sicher einspielen.
5. Nicht genutzte Plugins, Themes und Installationen entfernen
Alles, was auf dem Server liegt, kann zur Angriffsfläche werden.
Nach einem Hack solltest du aufräumen:
- deaktivierte Plugins löschen, wenn sie nicht gebraucht werden
- alte Themes entfernen
- ungenutzte Backups im Webspace löschen
- alte Testinstallationen prüfen oder entfernen
- verwaiste Dateien und Ordner kontrollieren
- doppelte WordPress-Installationen auf derselben Domain vermeiden
Gerade alte Test- oder Staging-Installationen werden oft vergessen. Sie hängen irgendwo in einem Unterordner, werden nicht aktualisiert und können trotzdem den gesamten Webspace gefährden.
6. Backups neu aufsetzen und testen
Nach einem Hack solltest du deine Backup-Strategie neu bewerten.
Wichtige Fragen sind:
- Gibt es saubere Backups aus der Zeit vor dem Hack?
- Werden Datenbank und Dateien gesichert?
- Liegen Backups extern und nicht nur auf demselben Webspace?
- Wie lange werden Backups aufbewahrt?
- Wurde eine Wiederherstellung jemals getestet?
- Wer kann im Notfall schnell wiederherstellen?
Ein Backup ist nur dann hilfreich, wenn du weißt, dass es sauber ist und wiederhergestellt werden kann.
Besonders wichtig: Alte infizierte Backups sollten nicht einfach als „gute Reserve“ betrachtet werden. Sie können später versehentlich wieder eingespielt werden.
Wenn du deine Backup-Struktur prüfen willst, lies den Artikel WordPress Backup richtig einrichten.
7. Google Search Console und Index prüfen
Nach Malware oder Spam-Seiten solltest du Google nicht vergessen.
Prüfe in der Google Search Console:
- Sicherheitsprobleme
- manuelle Maßnahmen
- indexierte Spam-URLs
- auffällige Suchanfragen
- 404-Fehler durch entfernte Spam-Seiten
- Sitemaps und Crawling-Status
Wenn Google eine Sicherheitswarnung angezeigt hat, muss nach der Bereinigung gegebenenfalls eine Überprüfung beantragt werden. Dafür sollte die Website wirklich sauber sein, sonst riskierst du, dass die Warnung bestehen bleibt oder schnell zurückkommt.
Auch eine site:-Abfrage kann helfen, auffällige URLs zu entdecken:
site:deinedomain.de
Das ersetzt keine vollständige Prüfung, zeigt aber oft schnell, ob fremde Inhalte im Index gelandet sind.
8. Monitoring einrichten
Nach einem Hack willst du nicht erst durch Kunden erfahren, dass wieder etwas nicht stimmt.
Sinnvolles Monitoring kann prüfen:
- Ist die Website erreichbar?
- Gibt es neue Malware-Hinweise?
- Funktionieren wichtige Seiten?
- Gibt es ungewöhnliche Dateiänderungen?
- Werden Formulare weiter versendet?
- Tauchen neue Admin-Benutzer auf?
- Gibt es auffällige Login-Versuche?
Monitoring verhindert nicht jeden Angriff. Aber es verkürzt die Reaktionszeit. Und genau das ist wichtig: Je früher du ein Problem bemerkst, desto kleiner ist oft der Schaden.
Was langfristig zu einem Schutzplan gehört
Nach einem Hack ist die Versuchung groß, einmal alles zu bereinigen und dann wieder zum Alltag zurückzukehren. Verständlich. Aber WordPress-Sicherheit ist kein einmaliger Zustand, sondern laufende Pflege.
Ein guter Schutzplan enthält mindestens:
- regelmäßige WordPress-, Plugin- und Theme-Updates
- vollständige Backups mit Wiederherstellungstest
- Sicherheitschecks
- Login-Schutz und Zwei-Faktor-Authentifizierung
- Prüfung von Benutzerrechten
- Monitoring für Ausfälle und Auffälligkeiten
- Entfernung nicht genutzter Plugins und Themes
- klare Zuständigkeit im Notfall
- Dokumentation wichtiger Änderungen
Das Ziel ist nicht, jede theoretische Gefahr auszuschließen. Das wäre unseriös. Das Ziel ist, die häufigsten Risiken zu reduzieren und im Problemfall schnell reagieren zu können.
Genau hier setzen WordPress-Schutzpakete an: nicht als Paniklösung, sondern als laufender Prozess.
Was du nach einem Hack nicht tun solltest
Ein paar Dinge wirken im ersten Moment naheliegend, können aber mehr Schaden anrichten.
Vermeide nach einem Hack:
- nur ein Sicherheitsplugin installieren und das Problem abhaken
- unbekannte Dateien wahllos löschen
- ein altes Backup ungeprüft einspielen
- Passwörter ändern, während die Website noch aktiv kompromittiert ist
- deaktivierte Plugins dauerhaft liegen lassen
- Google-Warnungen ignorieren
- die Website sofort wieder bewerben, obwohl Besucher gefährdet sein könnten
- die Ursache des Hacks ungeklärt lassen
Vor allem solltest du dich nicht von einer scheinbar normalen Startseite beruhigen lassen. Ein Hack ist oft nicht dort sichtbar, wo du zuerst hinschaust.
Wann professionelle Nachsorge sinnvoll ist
Professionelle Hilfe ist besonders sinnvoll, wenn:
- die Website geschäftskritisch ist
- WooCommerce, Buchungen oder Mitgliederbereiche betroffen sind
- Google eine Sicherheitswarnung angezeigt hat
- der Hoster Malware gemeldet hat
- der Hack schon einmal zurückgekommen ist
- du nicht weißt, seit wann die Website kompromittiert war
- viele Plugins oder alte Anpassungen im Einsatz sind
- du keinen sicheren Backup-Stand kennst
- du keine Zeit für laufende Wartung hast
Bei einem kleinen privaten Blog kann man manches selbst prüfen. Bei einer Firmenwebsite, die Anfragen, Verkäufe oder Vertrauen erzeugen soll, würde ich nach einem Hack nicht bei „sieht wieder gut aus“ stehen bleiben.
Wenn du möchtest, dass deine Website nach der Bereinigung laufend betreut wird, kannst du dir die Schutzpakete ansehen: WordPress Schutz kostenlos beraten lassen.
Fazit: Nach dem Hack beginnt die eigentliche Absicherung
Eine bereinigte WordPress-Website ist gut. Eine bereinigte und abgesicherte Website ist deutlich besser.
Nach einem Hack solltest du nicht nur sichtbare Malware entfernen, sondern die Ursache schließen, Zugänge erneuern, Benutzerrechte prüfen, Updates sauber einspielen, Backups neu bewerten und Monitoring einrichten.
So wird aus einem Notfall ein klarer Prozess.
Und genau das ist der Punkt: WordPress-Sicherheit lebt nicht von einem einmaligen Klick, sondern von regelmäßiger Pflege, klaren Zuständigkeiten und schneller Reaktion, wenn etwas auffällig wird.