WordPress gehackt? Die Anzeichen und wie du jedes prüfst

WindowsMacAktualisiert 2026-10-24

Die WordPress-FAQ zu gehackten Websites nennt neue Benutzer, die niemand angelegt hat, ein deutliches Zeichen für einen Hack, ebenso eine Sperrliste bei Google oder Bing, eine vom Hoster abgeschaltete Website und Virenscanner von Besuchern, die anschlagen. Die Google Search Console ergänzt Weiterleitungen, Spamtext und Spam-Seiten, die Angreifer anlegen. Die meisten Anzeichen prüfst du im Dashboard und in der Search Console.

Kurze Antwort

Öffne Benutzer > Alle Benutzer und filtere nach „Administrator“, um Konten zu finden, die du nicht angelegt hast. Öffne in der Google Search Console den Bericht „Sicherheitsprobleme“. Prüf Seiten > Alle Seiten und Beiträge > Alle Beiträge auf Inhalte, die du nicht geschrieben hast, und ob .htaccess, index.php, header.php oder footer.php verändert wurden.

Was zählt WordPress als Anzeichen für einen Hack?

WordPress nennt sie Indicators of Compromise, also Hinweise auf eine Kompromittierung. Die FAQ führt diese als deutliche Zeichen auf:

die Website steht auf einer Sperrliste von Google, Bing oder Ähnlichen
dein Hoster hat die Website abgeschaltet
die Website wurde als Verteiler von Schadsoftware markiert
Leser melden, dass ihr Virenscanner anschlägt
jemand teilt dir mit, dass deine Website für Angriffe auf andere Websites genutzt wird
Verhalten, das du nicht veranlasst hast, etwa neue Benutzer
du siehst den Hack, wenn du die Website im Browser öffnest

Die FAQ sagt auch, nicht jeder Hack sei gleich. Google schreibt, Angreifer könnten Spam mit Cloaking vor den Inhabern verbergen. Eine Website, die für dich normal aussieht, ist also allein kein Beweis.

Wie finde ich Administratoren, die ich nicht angelegt habe?

Die Benutzerliste zeigt jedes Konto, und die Links über der Tabelle filtern nach Rolle. Beginne mit den Administratoren: Laut WordPress-Leitfaden zur Absicherung kann ein Angreifer mit Zugang zu einem Administratorkonto schädliche Skripte installieren.

Öffne im Dashboard Benutzer > Alle Benutzer.
Klick über der Tabelle auf „Administrator“.
Lies bei jedem Konto Benutzername, Name und E-Mail. Notiere unbekannte Konten und das Datum, an dem du sie bemerkt hast.
Klick auf „Alle“ und sieh auch die übrigen Rollen durch.
Öffne Einstellungen > Allgemein und sieh dir „Mitgliedschaft“ und „Standardrolle eines neuen Benutzers“ an. WordPress führt „Administrator“ unter den möglichen Standardrollen für neue Benutzer.

Schreib alles auf, bevor du etwas löschst. Die WordPress-FAQ nennt das Dokumentieren als ersten Schritt nach einer Kompromittierung.

Wie erkenne ich einen Weiterleitungs-Hack?

Der Google-Bericht „Sicherheitsprobleme“ führt „Gehackt: Code-Einschleusung“ auf: „Ein Hacker hat Ihre Website manipuliert und schleust auf Ihren Seiten schädlichen Code ein.“ Als Beispiel nennt Google Weiterleitungen zu einer schädlichen Website. Auf der WordPress-Seite hebt die FAQ die Datei .htaccess hervor, die du dir unbedingt ansehen solltest, weil sie am häufigsten für schädliche Zwecke verändert wird.

Öffne in der Search Console den Bericht „Sicherheitsprobleme“. Klapp ein Problem auf, um betroffene URLs und das Datum der ersten Erkennung zu sehen.
Verbinde dich per FTP oder SFTP mit deiner Website und öffne die Datei .htaccess im WordPress-Ordner. Such nach Zeilen, die du nicht eingefügt hast.
Sieh auch in anderen Ordnern nach. Laut WordPress liegt .htaccess meist im Hauptverzeichnis der Installation, kann aber auch in anderen Verzeichnissen auftauchen.

Wie finde ich Spam-Seiten auf meiner Website?

Google beschreibt zwei Arten. Bei „Gehackt: Inhalt-Einschleusung“ stehen auf deinen Seiten Spamlinks oder Spamtext, die ein Hacker eingefügt hat. Bei „Gehackt: URL-Einschleusung“ hat ein Hacker neue Seiten erstellt, die oft Spamwörter oder Spamlinks enthalten.

Öffne Seiten > Alle Seiten. WordPress zeigt die neuesten zuerst, mit den Spalten Autor und Datum. Achte oben in der Liste auf Titel, die du nicht kennst.
Nutze die Status-Links über der Tabelle, etwa „Entwurf“ und „Privat“, um nicht öffentliche Seiten zu sehen.
Gib ein Wort aus dem Spam ins Suchfeld ein und klick auf „Seiten durchsuchen“.
Wiederhole das unter Beiträge > Alle Beiträge.
Vergleich deine Funde mit den URLs im Bericht „Sicherheitsprobleme“.

Was bedeuten die Warnungen von Google?

Google hat ein Sicherheitsproblem festgestellt. Laut Google werden betroffene Seiten in den Suchergebnissen eventuell mit einem Warnhinweis angezeigt, und im Browser kann eine zwischengeschaltete Warnseite erscheinen. Die WordPress-FAQ ergänzt, dass Bing, Yahoo und Virenscanner eigene Sperrlisten führen.

Öffne den Bericht „Sicherheitsprobleme“. Gibt es keine Probleme, siehst du laut Google ein grünes Häkchen und eine entsprechende Meldung.
Klapp jedes Problem auf. Du siehst eine Liste betroffener URLs, das Datum der ersten Erkennung und einen Link zu weiteren Informationen.
Melde deine Website auch bei den Bing Webmaster Tools an. Die WordPress-FAQ rät, sich bei den Webmaster-Konsolen anzumelden, darunter der von Bing.

Google bittet, alle aufgeführten Probleme zu beheben, bevor du „Überprüfung anfordern“ wählst, und einen Antrag nicht erneut zu senden, solange noch keine Entscheidung vorliegt.

Wie prüfe ich auf geänderte Dateien?

Das Dashboard zeigt keine Dateiänderungen. Laut WordPress-Leitfaden zur Absicherung hinterlässt ein Angriff immer Spuren, in den Logs oder als neue oder veränderte Dateien. Das Bundesamt für Sicherheit in der Informationstechnik (BSI) nennt in seiner Warnung zu PHP2Shell neu erstellte oder veränderte PHP-Dateien, ausführbare Dateien und mögliche Webshells als Hinweise auf eine Kompromittierung. Die WordPress-FAQ nennt Dateien, deren Änderung jede Seite betreffen kann: index.php, header.php, footer.php und die functions-Datei des Themes.

Lass einen Scan laufen. Die WordPress-FAQ nennt Scanner-Plugins aus dem Plugin-Verzeichnis und Online-Scanner. Kein einzelnes Werkzeug sei das beste, zusammen verbesserten sie deine Chancen deutlich.
Vergleich diese Dateien und .htaccess per FTP oder SFTP mit einem Backup von vor dem Problem.
Gibt dir dein Hoster Zugriff auf die Logs, zeigen diese laut Leitfaden Anmeldeversuche durch Ausprobieren und wann der Theme-Datei-Editor und der Plugin-Datei-Editor genutzt wurden.
Prüf auch deinen eigenen Computer. Laut WordPress beginnen manche Angriffe auf dem Rechner des Inhabers, mit Trojanern, die FTP- und Admin-Zugangsdaten abgreifen.

Ergibt eine Prüfung etwas, notiere, was du gesehen hast und wann, und folge dann Website gehackt, was tun? Dort stehen die Schritte des BSI für kompromittierte Websites in der richtigen Reihenfolge.

Weitere Fragen

Kann eine WordPress-Website ohne sichtbare Anzeichen gehackt sein?

Ja. Laut Google können Angreifer Spam mit Cloaking vor den Inhabern verbergen, und die WordPress-FAQ sagt, nicht jeder Hack sei gleich. Deshalb lohnen sich der Bericht „Sicherheitsprobleme“ und ein Dateiscan auch dann, wenn die Website normal aussieht.

Soll ich unbekannte Administratoren sofort löschen?

Notiere sie zuerst. Laut WordPress-FAQ kommt das Dokumentieren zuerst, und vor dem Aufräumen solltest du noch eine Sicherung der Website anlegen, auch der befallenen. Wann du die Konten löschst und alle Passwörter zurücksetzt, steht im Ratgeber zu gehackten Websites.

Was, wenn ich mich nicht mehr bei WordPress anmelden kann?

Laut WordPress-FAQ übernehmen Angreifer manchmal Administratorkonten. Du kannst dein Passwort zurücksetzen oder mit phpMyAdmin bei deinem Hoster direkt auf die Benutzertabelle zugreifen. Ein einfacherer Weg laut FAQ: Dort deine E-Mail-Adresse ändern und dann auf der Anmeldeseite „Passwort vergessen?“ nutzen.

Ist meine WordPress-Website wegen PHP2Shell gehackt?

Nicht unbedingt. PHP2Shell sind zwei Lücken in PHP, die das PHP-Projekt am 21. Oktober 2026 behoben hat. Stand 23. Oktober 2026 ist dem BSI noch keine erfolgreiche Ausnutzung in der Breite bekannt, Berichte über Ausnutzungsversuche zeigen aber, dass Angriffe versucht werden. Prüf deine PHP-Version und lies den Überblick zu PHP2Shell.

Entfernt ein WordPress-Update einen Hack?

Nicht allein. Die WordPress-FAQ stellt das Update hinter die Bereinigung: aktualisieren, sobald die Website sauber ist, weil ältere Versionen anfälliger sind, und danach die Passwörter noch einmal ändern.