WordPress gehackt: der Notfallplan für Agenturen

Es ist Freitag, kurz nach 18 Uhr, als das Telefon klingelt. Am Apparat ein Kunde, dem du vor zwei Jahren eine schöne WordPress-Seite gebaut hast – und der seither nie wieder von Updates hören wollte. Seine Stimme überschlägt sich: Wer seine Firma googelt, liest jetzt „Diese Website wurde möglicherweise gehackt", und wer trotzdem klickt, landet auf einem dubiosen Shop für Potenzmittel. Genau in diesem Moment entscheidet sich, ob aus einem Zwischenfall ein Reputationsschaden für dich und deinen Kunden wird – oder ein souverän abgearbeiteter Notfall.

Eine gehackte Website ist kein Weltuntergang, aber sie verzeiht keine Hektik. Wer planlos im Dateisystem herumlöscht, zerstört Spuren, übersieht Hintertüren und holt sich die Malware oft schon nach Tagen zurück. Dieser Beitrag gibt dir den Fahrplan an die Hand: von der ersten Stunde über die saubere Bereinigung bis zur Google-Warnung und der Frage, ob der Vorfall meldepflichtig war. Als kaufmännische und technische Einordnung, nicht als Rechtsberatung.

WordPress gehackt – warum es fast immer die Plugins sind

Bevor du reagierst, hilft es zu verstehen, wo diese Einbrüche herkommen. WordPress selbst ist erstaunlich robust: Laut dem Sicherheitsdienstleister Patchstack, der ein Frühwarnsystem für WordPress-Schwachstellen betreibt, wurden im Jahr 2024 rund 7.966 neue Sicherheitslücken im WordPress-Ökosystem dokumentiert – aber nur sieben davon steckten im Core, und keine davon war laut Patchstack breit gefährlich. Ganze 96 Prozent der Lücken fanden sich in Plugins, weitere vier Prozent in Themes. Besonders unangenehm: 43 Prozent der Schwachstellen ließen sich ganz ohne Anmeldung ausnutzen, und ein Drittel war zum Zeitpunkt der Veröffentlichung noch gar nicht geschlossen.

Für dich als Agentur heißt das zweierlei. Erstens: Der wahrscheinlichste Eintrittspunkt ist ein veraltetes oder verwaistes Plugin, nicht ein Zero-Day im Kern. Allein 2024 flogen laut Patchstack 1.614 Plugins und Themes wegen ungelöster Sicherheitsprobleme aus dem offiziellen Verzeichnis. Zweitens: Der Kunde, der Updates „später" machen wollte, ist statistisch der Kunde, der irgendwann anruft. Diese Zusammenhänge haben wir ausführlicher im Beitrag zur WordPress-Wartung als Agentur-Standbein beleuchtet.

Die erste Stunde: eingrenzen, nicht überstürzen

Sobald die Meldung reinkommt, geht es um Schadensbegrenzung – ruhig und in dieser Reihenfolge. Setze die Seite zuerst in den Wartungsmodus oder nimm sie offline, damit sie keine weiteren Besucher infiziert und Google nicht noch mehr Schadseiten indexiert. Ändere anschließend alle relevanten Passwörter: WordPress-Admins, FTP/SFTP, das Hosting-Panel und vor allem die Datenbank-Zugangsdaten. Solange die Angreifer gültige Zugänge haben, ist jede Bereinigung sinnlos.

Ein Fehler, den viele in der Panik machen: Sie löschen sofort alles Verdächtige. Widersteh dem Reflex. Zieh stattdessen zuerst ein vollständiges Backup des kompromittierten Zustands – Dateien und Datenbank. Das klingt paradox, ist aber wichtig: Du brauchst diesen Stand, um den Eintrittspunkt zu analysieren, und im Ernstfall auch als Beweismittel, falls personenbezogene Daten betroffen sind. Erst sichern, dann säubern.

Den Einbruch verstehen: Logs, Scanner, Eintrittspunkt

Bevor du reparierst, musst du wissen, was passiert ist – sonst putzt du an der Oberfläche, während die Hintertür offen bleibt. Drei Quellen helfen dir dabei. Die Server-Logs zeigen ungewöhnliche Zugriffe, POST-Requests auf selten genutzte Dateien und den Zeitpunkt des Einbruchs. Ein Malware-Scanner – serverseitig gründlicher als jedes Plugin, das auf der bereits infizierten Seite läuft – findet eingeschleusten Code. Und ein Blick in die Datenbank verrät oft neu angelegte Administrator-Konten oder manipulierte Optionen.

Achte auf die typischen Spuren eines Hacks: kürzlich veränderte Kerndateien, kryptische PHP-Dateien im Upload-Verzeichnis, wo eigentlich nur Bilder liegen sollten, unbekannte geplante Aufgaben (Cronjobs) und base64-kodierte Code-Blöcke. Häufig ist das Ziel nicht Zerstörung, sondern Missbrauch: SEO-Spam, der deinem Kunden unbemerkt Links zu fremden Seiten unterjubelt, Weiterleitungen auf Betrugsshops oder ein stiller Mailversand über deinen Server. Wenn der Verdacht auf verschickte Spam-Mails besteht, lohnt sich parallel ein Blick auf die E-Mail-Zustellbarkeit und die DNS-Einträge, denn eine kompromittierte Domain landet schnell auf Spam-Blacklists.

Sauber bereinigen statt oberflächlich putzen

Jetzt kommt der Kern. Es gibt zwei Wege, und der eine ist fast immer besser. Wenn ein sauberes, nachweislich vor dem Einbruch erstelltes Backup existiert, ist die Wiederherstellung aus diesem Backup der schnellste und sicherste Weg – vorausgesetzt, du schließt danach die Lücke, durch die die Angreifer kamen. Genau deshalb ist ein getestetes Backup Gold wert; warum so viele Sicherungen im Ernstfall versagen, haben wir im Beitrag zu Website-Backups für Kunden beschrieben.

Fehlt ein sauberes Backup, bleibt die manuelle Bereinigung. Ersetze den WordPress-Core komplett durch eine frische Version aus offizieller Quelle. Lösche alle Plugins und Themes und installiere nur die benötigten neu – niemals „nulled", also raubkopierte Premium-Plugins, denn die sind einer der häufigsten Infektionswege überhaupt. Prüfe das Upload-Verzeichnis manuell auf ausführbaren Code und die Datenbank auf fremde Nutzer und eingeschleuste Skripte. Und schließe zum Abschluss die eigentliche Lücke: Bring die verwundbare Komponente auf den aktuellen Stand oder wirf sie raus.

Bereinigung ist nur die halbe Miete – die andere ist Härtung, damit derselbe Kunde nicht in drei Monaten wieder anruft. Dazu gehören eine aktuelle PHP-Version, HTTP-Security-Header, eine Zwei-Faktor-Absicherung des Logins – idealerweise perspektivisch per Passkey – und ein laufendes Monitoring, das den nächsten Vorfall meldet, bevor der Kunde ihn bei Google entdeckt.

Nach der Bereinigung: die Google-Warnung loswerden

Technisch sauber heißt noch nicht sichtbar sauber. Solange Google die Seite auf seiner Safe-Browsing-Liste führt, prangt in den Suchergebnissen und im Browser weiter die rote Warnung – und die kostet deinen Kunden Vertrauen und Umsatz. Der offizielle Weg führt über die Google Search Console: Unter „Sicherheitsprobleme" siehst du, was Google beanstandet, und kannst nach der Bereinigung eine Überprüfung anfordern. Erst wenn Googles Systeme die Seite als sauber einstufen, verschwindet die Warnung; erfahrungsgemäß dauert das einige Tage. Wichtig ist, die Überprüfung erst zu beantragen, wenn die Seite wirklich sauber ist – ein abgelehnter Antrag kostet nur zusätzliche Zeit.

Denselben Weg gehst du bei anderen Warnsystemen: Ist die Domain auf einer E-Mail-Blacklist gelandet, musst du dort separat die Entfernung beantragen. Parallel gehört ein Blick in die Search Console, ob der SEO-Spam Indexeinträge hinterlassen hat, die entfernt werden müssen.

Die stille Frage: War es auch eine Datenpanne?

Diesen Punkt übersehen viele Agenturen im Aufräumstress – und er kann teuer werden. Wenn der Angreifer Zugriff auf personenbezogene Daten hatte, etwa Kontaktformular-Einträge, Kundenkonten oder Bestelldaten eines Shops, dann ist der Hack nicht nur ein technisches, sondern ein datenschutzrechtliches Ereignis. Nach Art. 33 DSGVO muss der Verantwortliche – also dein Kunde – eine meldepflichtige Datenpanne binnen 72 Stunden der Aufsichtsbehörde melden. Die Uhr läuft ab Kenntnisnahme, und als Agentur bist du über die Auftragsverarbeitung mit in der Pflicht, den Kunden unverzüglich zu informieren. Den genauen Ablauf haben wir im 72-Stunden-Notfallplan zur Datenpanne aufgeschlüsselt. Ob im Einzelfall eine Meldepflicht besteht, ist eine juristische Bewertung – im Zweifel gehört sie in fachkundige Hände und ersetzt keine Rechtsberatung.

Aus dem Notfall ein dauerhaftes Angebot machen

Der beste Zeitpunkt, um über Wartung zu sprechen, ist der Moment, in dem der Schaden gerade abgewendet wurde. Kein Kunde ist empfänglicher für „das darf nicht wieder passieren" als der, der eben seine Seite auf einem Pillen-Shop wiedergefunden hat. Fasse den Vorfall in einem kurzen, verständlichen Bericht zusammen: Was ist passiert, wie kam der Angreifer rein, was hast du getan – und was schützt künftig davor. Aus diesem Bericht wird fast von selbst das Angebot für einen Wartungsvertrag mit regelmäßigen Updates, Backups, Monitoring und einer festen Reaktionszeit im Ernstfall.

Damit drehst du die Logik um: Statt einmalig für die Feuerwehr bezahlt zu werden, sicherst du dem Kunden – und dir – dauerhaft ein ruhiges Gewissen und einen planbaren Umsatz. Und wenn der nächste Freitagabend kommt, klingelt das Telefon vielleicht gar nicht erst.