WordPress sicher betreiben — und was tun, wenn die Seite gehackt wurde

Warum WordPress-Seiten angegriffen werden

Die meisten Angriffe sind nicht persönlich gemeint. Automatisierte Programme durchsuchen rund um die Uhr das Internet nach Websites mit bekannten Sicherheitslücken. Ist eine Lücke gefunden, wird die Seite missbraucht: für Spam-Inhalte, Weiterleitungen auf dubiose Angebote, Schadsoftware oder als Teil größerer Angriffe. Kleine Betriebe sind deshalb genauso betroffen wie große.

Die wichtigsten Schutzmaßnahmen

1. Updates konsequent einspielen

Das gilt für den WordPress-Kern, alle Plugins und Themes. Sicherheitslücken werden meist schnell geschlossen — die Updates helfen aber nur, wenn sie auch installiert werden. Achten Sie außerdem darauf, dass Ihr Hoster eine aktuelle PHP-Version einsetzt. Weitere Maßnahmen beschreibt das offizielle WordPress-Handbuch zur Absicherung (englisch).

2. Plugins ausmisten

Löschen Sie Plugins, die Sie nicht mehr brauchen — auch deaktivierte Plugins können angreifbar sein. Installieren Sie nur Erweiterungen, die aktiv gepflegt werden, und niemals „kostenlose“ Kopien von Premium-Plugins aus inoffiziellen Quellen. Die enthalten nicht selten Schadcode.

3. Zugänge absichern

• lange, einzigartige Passwörter, am besten aus einem Passwortmanager,
• Zwei-Faktor-Anmeldung für alle Konten mit Administratorrechten,
• ein eigenes Konto für jede Person, mit nur den Rechten, die sie wirklich braucht,
• kein Benutzername wie „admin“ und eine Begrenzung fehlgeschlagener Anmeldeversuche.

4. Backups einrichten

Automatische, tägliche Sicherungen von Dateien und Datenbank, gespeichert außerhalb des Webservers und mit mehreren älteren Ständen. Ein Backup ist erst dann etwas wert, wenn Sie die Wiederherstellung einmal getestet haben. Wie eine gute Backup-Strategie aussieht, lesen Sie im Artikel Backups und sicheres WLAN.

5. Solides Hosting und HTTPS

Ein seriöser Hoster, idealerweise mit Servern in der EU, verschlüsselte Verbindungen per HTTPS und sichere Zugänge per SFTP statt unverschlüsseltem FTP.

6. Überwachen

Aktivieren Sie Benachrichtigungen über verfügbare Updates und prüfen Sie in der Google Search Console gelegentlich den Bericht „Sicherheitsprobleme“. Ein Sicherheits-Plugin kann ergänzen, ersetzt aber nicht die Grundlagen oben.

Wartungsplan: was wann zu tun ist

Anzeichen, dass Ihre Seite gehackt wurde

• Besucher werden auf fremde Seiten weitergeleitet, oft nur vom Smartphone oder von Google aus,
• in Google erscheinen fremde Seiten mit Spam-Inhalten unter Ihrer Domain,
• Browser oder Google warnen vor Ihrer Website,
• es gibt unbekannte Benutzerkonten mit Administratorrechten,
• Ihr Hoster sperrt das Paket wegen verdächtiger Aktivitäten,
• E-Mails Ihrer Domain landen plötzlich im Spam.

Website gehackt — die Sofortmaßnahmen

1. Ruhe bewahren und Seite vom Netz nehmen — zum Beispiel über einen Wartungsmodus beim Hoster, damit keine Besucher gefährdet werden.
2. Alle Passwörter ändern: WordPress, Hosting, SFTP und Datenbank — und zwar von einem sauberen Gerät aus.
3. Den Hoster informieren. Viele Hoster helfen bei der Analyse und haben eigene Sicherungen.
4. Sauberen Zustand wiederherstellen: ein Backup von vor dem Angriff einspielen oder alle Dateien und die Datenbank gründlich bereinigen.
5. Die Ursache finden und schließen — meist ein veraltetes Plugin. Sonst ist der Angreifer schnell wieder da.
6. Google informieren: In der Search Console lässt sich nach der Bereinigung eine Überprüfung beantragen, damit Warnhinweise verschwinden.
7. Datenschutz prüfen: Waren personenbezogene Daten betroffen, etwa Kundendaten aus Formularen, müssen Sie den Vorfall nach Art. 33 DSGVO in der Regel innerhalb von 72 Stunden der Aufsichtsbehörde melden — für Unternehmen in Bayern ist das das BayLDA.

Muss es überhaupt WordPress sein?

WordPress ist ideal, wenn Sie Inhalte regelmäßig selbst pflegen wollen. Braucht Ihre Website das nicht — etwa weil sich Texte nur selten ändern —, ist eine statische Website eine gute Alternative: Sie besteht aus fertigen Seiten ohne Datenbank und ohne Plugins. Damit fällt ein großer Teil der Angriffsfläche und des Wartungsaufwands weg, und die Seite lädt meist schneller. Diese Website ist zum Beispiel so aufgebaut. Welche Variante besser passt, klären wir am besten im Erstgespräch.

Wartung als Dauerlösung

Sicherheit ist kein einmaliges Projekt, sondern Routine. Wer keine Zeit für regelmäßige Updates und Kontrollen hat, gibt die Wartung besser ab. Das übernehme ich gern für Sie — im Rahmen von Wartung & Hosting oder als IT-Support, wenn es schon brennt.

Häufige Fragen