Erste Sofortmaßnahmen – die ersten 30 Minuten
Bei einem aktiven Hack gibt es zwei Ziele: weitere Schäden verhindern und Beweise sichern. Beides muss schnell passieren, sollte aber nicht in Panik enden.
1. Site offline nehmen oder Wartungsmodus aktivieren
Solange die Site online ist, kann der Schadcode weiter aktiv sein – Spam-Links
verteilen, Besucher infizieren, Suchmaschinen-Ranking schädigen. Schnellster Weg:
Wartungsmodus-Plugin aktivieren oder über .htaccess alle Anfragen
außer der eigenen IP blockieren.
2. Passwörter ändern – aber von einem sauberen Gerät
WordPress-Admin, FTP, Hosting-Account, Datenbank, eingesetzte E-Mail-Adressen: alle Passwörter müssen geändert werden. Wichtig: nicht vom potenziell infizierten Computer, der ggf. Keylogger hat. Anderes Gerät verwenden, idealerweise mit Passwort-Manager.
3. Hoster informieren
Manche Hoster sehen Sicherheitsvorfälle, bevor du es tust – entweder am Server-Verhalten oder über externe Beschwerden. Eine kurze Info an den Hosting-Support kann verhindern, dass dein Account aus Sicherheitsgründen gesperrt wird, während du die Reparatur einleitest.
4. Logs sichern
Bevor irgendetwas bereinigt oder gelöscht wird: Server-Access-Logs sichern, WordPress-Datei-Liste mit Zeitstempeln dokumentieren, ggf. einen Snapshot des gehackten Zustands für die spätere Forensik machen. Ohne diese Spuren wird die Ursachenanalyse schwierig.
Was du keinesfalls tun solltest
- Nicht einfach „aus Backup zurückspielen" und weitermachen.Wenn die Sicherheitslücke nicht geschlossen ist, wird die Site innerhalb von Stunden oder Tagen wieder gehackt – oft schlimmer als beim ersten Mal.
- Nicht alle WordPress-Dateien löschen und neu installieren.Damit gehen oft Konfigurationen, Custom-Code und Beweise verloren. Bereinigung ist sauberer.
- Nicht Plugin-Updates einspielen ohne Diagnose.Wenn das Update der Einfallsweg war, kann ein weiteres Update das Problem verschlimmern.
- Nicht ohne Plan an die Datenbank.Schadcode in der DB ist deutlich schwieriger zu finden als in Dateien. Halbherzige DB-Bereinigung lässt versteckte Backdoors zurück.
Wie wir bei einem Hack vorgehen
Phase 1: Bestandsaufnahme (1–2 Stunden)
Wir sichten Logs, vergleichen Datei-Hashes mit der WordPress-Core-Referenz, scannen
wp-content nach bekannten Malware-Signaturen, prüfen .htaccess,
wp-config.php und versteckte Dateien (oft Hex-codiert oder
in unauffälligen Verzeichnissen). Ergebnis: Liste aller infizierten Dateien plus
wahrscheinliche Einfalls-Hypothese.
Phase 2: Bereinigung (2–6 Stunden)
Saubere WordPress-Core-Dateien einspielen, infizierte Plugin- und Theme-Dateien entweder durch saubere Versionen ersetzen oder bei kompromittierten Plugins komplett deinstallieren. Datenbank durchsuchen nach injiziertem Code (oft in wp_options, wp_posts, wp_users). Versteckte Admin-Accounts entfernen.
Phase 3: Sicherheitslücke schließen (1–3 Stunden)
Sobald die Site sauber ist: Die Schwachstelle, die zum Hack geführt hat, muss weg. Häufige Ursachen: veraltetes Plugin mit bekannter Lücke, schwaches Passwort, unsicheres Hosting-Setup, fehlendes SSL, kompromittierter FTP-Zugang. Maßnahmen: Updates, Two-Factor, neue Zugangsdaten, ggf. Hoster-Wechsel.
Phase 4: Hardening und Monitoring (1–2 Stunden)
Site mit zusätzlichen Schutzmaßnahmen härten: Wordfence oder Sucuri einrichten, Login-URL ändern, IP-basiertes Limiting konfigurieren, File-Integrity-Monitoring aktivieren. Suchen Console und ggf. Google Safe Browsing über das Whitelisting informieren, falls die Site auf Malware-Listen gelandet war.
Was eine Bereinigung kostet
Wir arbeiten bei Hack-Bereinigungen auf Stundenbasis (200 € netto/Std.). Realistische Aufwandsbänder:
- Standard-Hack ohne Datenbank-Schaden:4–8 Stunden, also 800–1.600 € netto.
- Komplexer Hack mit DB-Schaden:8–16 Stunden, also 1.600–3.200 € netto.
- Schwerer Fall mit verteilter Backdoor-Architektur:20+ Stunden, oft sinnvoller: komplette Migration auf neue, saubere Installation.
Bei aktiven Wartungsmandaten ist die Hack-Bereinigung im Standardfall durch das monatliche Pauschalkontingent abgedeckt – das ist einer der zentralen Werte einer laufenden Wartung.
Wie sich Hacks zu 90 % verhindern lassen
Aus den von uns bearbeiteten Hack-Fällen lassen sich klare Muster ableiten. Vier Maßnahmen verhindern den Großteil aller Vorfälle:
- Aktuelle Versionen.Über 70 % der Hacks nutzen bekannte Lücken in veralteten Plugins. Wer Updates spätestens 14 Tage nach Release einspielt, schließt diese Risiken praktisch komplett.
- Starke Passwörter und Two-Factor.Brute-Force-Angriffe auf Login-URLs sind die zweite häufige Einfallspforte. Mit 2FA wird Brute-Force praktisch unmöglich.
- Plugin-Hygiene.Nur installierte Plugins, die aktiv genutzt werden. Veraltete oder verlassene Plugins gehören gelöscht, nicht nur deaktiviert.
- Sauberes Hosting.Billighosting unter 5 €/Monat hat oft kompromittierte Nachbar-Sites auf demselben Server. Eine Cross-Site-Infektion ist dann nur eine Frage der Zeit.
Wir setzen alle vier Punkte in jedem Wartungspaket standardmäßig um. Mehr Hintergrund: Sicherheit & Updates.
Bei akuter Lage – sofort melden
Wenn deine Site gerade gehackt ist und du nicht weißt, was du tun sollst: Telefon ist schneller als Mail. Hotline 0800 188 7 100 – kostenfrei, Mo–Fr. Bei wirklichen Notfällen außerhalb der Geschäftszeiten läuft der 24/7-IT-Notdienst notdienst.seo-manager.info.