Die Seite lädt, das Kontaktformular funktioniert, alles sieht aus wie immer. Und trotzdem liegt im Upload-Ordner eine Datei, die dort nicht hingehört – und in der Benutzerverwaltung ein Administrator, den niemand angelegt hat.
Genau so sieht ein gehacktes WordPress in den meisten Fällen aus, die uns bei der Übernahme oder Prüfung von Websites begegnen: unauffällig. Die Zeiten, in denen Angreifer eine Startseite mit Totenkopf verunstaltet haben, sind lange vorbei. Heute will niemand gesehen werden, sondern möglichst lange unentdeckt bleiben.
In diesem Beitrag fassen wir zusammen, was wir dabei immer wieder beobachten: warum gerade WordPress so häufig betroffen ist, wie Angriffe typischerweise ablaufen, woran Sie einen Befall erkennen – und was wirklich schützt.
Warum ausgerechnet WordPress?
WordPress ist nicht unsicherer als andere Systeme – es ist schlicht das lohnendste Ziel. Rund vier von zehn Websites weltweit laufen damit, laut W3Techs sind es 39,7 % (Stand Oktober 2026). Wer eine Lücke in einem verbreiteten Plugin findet, kann damit auf einen Schlag Zehntausende Seiten angreifen.
Angriffe sind automatisiert. Niemand sucht sich gezielt die Website einer Physiotherapie-Praxis aus. Bots durchkämmen rund um die Uhr das Netz, erkennen WordPress-Installationen, lesen Plugin-Versionen aus und probieren bekannte Lücken durch. „Wir sind doch viel zu klein, um interessant zu sein“ ist deshalb der häufigste Irrtum, den wir hören.
Das Risiko steckt selten im Kern. WordPress selbst wird gut gepflegt und schließt Lücken schnell. Das Problem sind die Erweiterungen: Plugins und Themes von unterschiedlichsten Anbietern, manche seit Jahren nicht mehr gepflegt, manche als „Nulled“-Version aus dubiosen Quellen. „Nulled“ bedeutet: Jemand hat bei einem kostenpflichtigen Plugin die Lizenzprüfung entfernt und verteilt es kostenlos weiter. Solche Kopien findet man mit einer einfachen Websuche in wenigen Minuten. Der Preis dafür ist hoch: Häufig ist bereits eine Hintertür eingebaut, über die Angreifer später zurückkommen, und Sicherheitsupdates gibt es keine. Jedes zusätzliche Plugin ist zusätzlicher fremder Code auf Ihrem Server – deshalb setzen wir in unseren Projekten auf wenige, gezielt ausgewählte oder selbst entwickelte Erweiterungen.
Die Zahlen bestätigen das: 2025 wurden im WordPress-Umfeld 11.334 neue Schwachstellen bekannt. 91 % davon steckten in Plugins und 9 % in Themes, im WordPress-Kern selbst waren es ganze sechs (Patchstack, State of WordPress Security in 2026).
Was Angreifer wollen. Eine gekaperte Seite ist für sie eine Ressource:
- Spam-Versand über Ihren Server und Ihre Domain
- versteckte Links und Seiten, die für fremde Shops oder Glücksspiel werben (SEO-Spam)
- Weiterleitungen auf Betrugs- oder Schadsoftware-Seiten, oft nur für Besucher von Google oder vom Handy
- Zugriff auf Formulardaten, Kundenkonten, E-Mail-Adressen
- ein Sprungbrett für Angriffe auf weitere Seiten auf demselben Server
Für Sie als Betreiber heißt das: Ihr guter Name, Ihr Google-Ranking und gegebenenfalls eine Datenschutzpanne nach DSGVO stehen auf dem Spiel.
Wie läuft ein Angriff ab?
Fast jeder Befall, den wir sehen, folgt demselben Muster: Ein Einfallstor wird ausgenutzt, eine Hintertür eingerichtet – und erst danach beginnt der eigentliche Missbrauch.
1. Das Einfallstor. Die häufigsten Wege hinein:
- ein Plugin oder Theme mit bekannter Lücke, für die es längst ein Update gäbe
- schwache oder mehrfach verwendete Passwörter, durchprobiert über die Login-Seite oder XML-RPC
- gestohlene Zugangsdaten, etwa von einem infizierten Büro-PC oder aus einem fremden Datenleck
- Raubkopien kostenpflichtiger Plugins, in denen die Hintertür schon eingebaut ist
- ein schlecht abgesicherter Server, auf dem eine andere, bereits befallene Seite liegt
2. Die Hintertür. Ist der Angreifer einmal drin, sichert er sich den Rückweg – meist an mehreren Stellen gleichzeitig. Typisch sind kleine PHP-Dateien („Webshells“), die Befehle aus dem Internet entgegennehmen. Sie tragen unauffällige Namen, liegen gern im Upload-Ordner zwischen den Bildern oder geben sich als Bestandteil von WordPress aus. Dazu kommt häufig ein zusätzliches Administratorkonto mit einem harmlos klingenden Namen. Oft wird es zusätzlich per Trick aus der Benutzerliste im Backend ausgeblendet – es taucht dann nur noch direkt in der Datenbank auf. Ein Blick in „Benutzer“ reicht deshalb nicht, um Entwarnung zu geben.
Wichtig ist dabei der zeitliche Abstand: Zwischen dem Einschleusen der Hintertür und den ersten sichtbaren Veränderungen an der Seite vergehen oft Tage, manchmal Wochen. In dieser Zeit läuft die Seite scheinbar normal weiter – und jedes Backup aus diesem Zeitraum enthält die Hintertür bereits. Wer nach einem Befall einfach das Backup von gestern zurückspielt, holt sich den Angreifer also häufig gleich mit zurück. Deshalb ist es so wichtig, Backups über mehrere Wochen aufzubewahren und vor dem Zurückspielen zu prüfen.
3. Der Missbrauch. Erst jetzt wird die Seite genutzt: Spam-Seiten werden eingeschleust, Weiterleitungen eingebaut, Daten abgegriffen. Oft vergehen dazwischen Wochen oder Monate.
Daraus folgt die wichtigste Lehre: Ein Update schließt die Lücke, nicht die Hintertür. Wer nach einem Befall nur Plugins aktualisiert und das Passwort ändert, ist in aller Regel nach kurzer Zeit wieder betroffen.
Woran erkennen Sie, dass Ihre Seite gehackt wurde?
Die ehrliche Antwort: oft gar nicht auf den ersten Blick. Es gibt aber Warnsignale, bei denen Sie hellhörig werden sollten.
Von außen sichtbar
- Google zeigt zu Ihrer Domain fremde Seitentitel an, etwa auf Japanisch oder mit Werbung für Medikamente – prüfen Sie das mit einer Suche nach
site:ihre-domain.de - Browser oder Google warnen vor Ihrer Seite
- Besucher berichten von Weiterleitungen, die Sie selbst nicht nachvollziehen können (oft nur beim ersten Besuch oder nur auf dem Smartphone)
- E-Mails Ihrer Domain landen plötzlich im Spam, oder Ihr Hoster meldet auffälligen Mailversand
- Die Seite ist spürbar langsamer, der Server dauerhaft ausgelastet
Im WordPress-Backend
- Benutzer mit Administratorrechten, die niemand kennt
- Plugins, die Sie nicht installiert haben – oder die in der Plugin-Liste fehlen, obwohl sie auf dem Server liegen
- Sicherheits-Plugins, die plötzlich deaktiviert sind
- unbekannte Seiten, Beiträge oder eingebettete Skripte
Auf dem Server
Diese Punkte richten sich an Technikinteressierte oder Ihren Dienstleister:
- PHP-Dateien im Ordner
wp-content/uploads– dort haben sie nichts zu suchen - WordPress-Kerndateien, deren Prüfsumme nicht mehr zum Original passt (
wp core verify-checksums) - kürzlich geänderte Dateien, obwohl niemand etwas geändert hat
- Code mit
eval,base64_decodeoder langen, unlesbaren Zeichenketten - unbekannte zeitgesteuerte Aufgaben (Cronjobs)
Ein einzelnes Signal ist noch kein Beweis. Mehrere zusammen sind ein klarer Grund, genauer hinzusehen – und zwar gründlich, denn ein Scanner-Plugin, das auf der befallenen Seite selbst läuft, kann vom Angreifer ausgetrickst werden.
Wie schützen Sie sich?
Hundertprozentige Sicherheit gibt es nicht. Aber die allermeisten Fälle, die wir sehen, wären mit wenigen, konsequent umgesetzten Maßnahmen vermeidbar gewesen. Sortiert nach Wirkung:
- Updates zeitnah einspielen – WordPress, Plugins, Themes und die PHP-Version des Servers. Sicherheitsupdates innerhalb von Tagen, nicht Monaten.
- Aufräumen. Jedes Plugin, das Sie nicht wirklich brauchen, kommt weg – deaktivierte Plugins auch, denn ihr Code liegt weiter auf dem Server. Plugins, die seit über einem Jahr kein Update bekommen haben, ersetzen.
- Nur aus seriösen Quellen. Kostenlose Plugins und Themes laden Sie aus dem offiziellen Verzeichnis auf wordpress.org – am einfachsten direkt im Backend unter „Plugins → Installieren“. Premium-Erweiterungen kaufen Sie ausschließlich im Shop des Herstellers und spielen Updates über dessen Lizenz ein. Vor jeder Installation lohnt ein kurzer Blick: Wann kam das letzte Update? Wie viele aktive Installationen gibt es? Wird im Support-Forum geantwortet? Nie „Nulled“-Versionen und keine „GPL-Club“-Seiten, die Premium-Plugins günstig weiterverkaufen – eine echte Lizenz kostet meist weniger als eine einzige Bereinigung.
- Starke Zugänge. Lange, einmalige Passwörter aus einem Passwort-Manager, Zwei-Faktor-Anmeldung für alle Redakteure und Administratoren, Login-Versuche begrenzen.
- Rechte sparsam vergeben. Nicht jeder braucht Administratorrechte; ehemalige Mitarbeiter und Dienstleister werden entfernt.
- Den Server härten. PHP-Ausführung im Upload-Ordner sperren, den Datei-Editor im Backend abschalten, XML-RPC deaktivieren, wenn es niemand nutzt, Dateirechte so setzen, dass WordPress seinen eigenen Code nicht überschreiben kann.
- Backups, die funktionieren. Täglich, außerhalb des Servers gespeichert, mehrere Wochen zurück – und regelmäßig testweise zurückgespielt. Ein Backup, das erst im Ernstfall ausprobiert wird, ist eine Hoffnung, kein Backup.
- Überwachen. Veränderte Dateien, neue Administratoren, ausstehende Updates und Erreichbarkeit sollten Ihnen auffallen, bevor es Google oder Ihre Kunden tun. Dabei helfen Sicherheits-Plugins wie Sucuri oder Wordfence, die bei verdächtigen Vorgängen eine E-Mail schicken – für Sucuri reicht dafür schon die kostenlose Version. Wie viel das wert ist, haben wir selbst erlebt: Eine Benachrichtigung meldete, dass gerade ein Plugin aktiviert wurde, dessen Namen wir noch nie gehört hatten. Genau so ein Hinweis entscheidet, ob ein Angriff nach Stunden oder erst nach Wochen auffällt. Ein solches Plugin ersetzt aber weder Updates noch Backups: Wer bereits Administratorrechte hat, kann es auch einfach abschalten.
Gerade der letzte Punkt wird am häufigsten unterschätzt. Ein Angriff, der nach einem Tag bemerkt wird, ist ärgerlich. Einer, der monatelang unbemerkt bleibt, wird teuer.
Wenn es passiert ist: die ersten Schritte
Ruhe bewahren – und nicht vorschnell löschen. Wer die Seite sofort „sauber macht“, vernichtet oft die Spuren, die zeigen, wie der Angreifer hereinkam und was er mitgenommen hat.
- Sichern, was da ist. Eine Kopie aller Dateien und der Datenbank im befallenen Zustand ziehen – als Beweismittel, nicht zum Wiederherstellen.
- Zugang abriegeln. Seite bei Bedarf in den Wartungsmodus nehmen, alle Passwörter ändern (WordPress, FTP/SSH, Datenbank, Hosting), unbekannte Benutzer sperren – von einem sauberen Gerät aus. Die Benutzerliste im Backend reicht dafür nicht, weil versteckte Administratoren dort fehlen können. Prüfen Sie deshalb direkt in der Datenbank die Tabelle mit den Benutzern (meist
wp_users) und inwp_usermeta, wer Administratorrechte hat. - Ursache finden. Welche Lücke wurde genutzt, seit wann? Ohne diese Antwort ist jede Bereinigung ein Glücksspiel.
- Sauber neu aufbauen statt flicken. WordPress-Kern, Plugins und Themes frisch aus der Originalquelle installieren, nur geprüfte Inhalte übernehmen: Datenbank und Medien werden gezielt durchgesehen, nicht pauschal zurückkopiert.
- Alle Schlüssel tauschen. Auch die Sicherheitsschlüssel in der
wp-config.php, API-Zugänge und Anwendungspasswörter. - Pflichten prüfen. Wurden personenbezogene Daten abgegriffen, etwa aus Formularen oder Kundenkonten, kann eine Meldung an die Datenschutzbehörde innerhalb von 72 Stunden nötig sein (Art. 33 DSGVO).
- Nachher beobachten. Die ersten Wochen nach der Bereinigung genau überwachen – kommt der Angreifer wieder, war noch eine Hintertür offen.
Typische Fehler: nur das Backup von letzter Woche zurückspielen (das oft schon befallen ist), nur das Admin-Passwort ändern, oder auf ein Scanner-Plugin vertrauen, das „alles sauber“ meldet.
Sie möchten sich nicht selbst darum kümmern?
Verständlich – Ihre Website soll für Ihr Geschäft arbeiten, nicht umgekehrt. Genau dafür sind wir da.
Bestandsaufnahme. Wir prüfen Ihre WordPress-Seite auf bekannte Lücken, veraltete Komponenten, verdächtige Dateien und Benutzer und auf die Konfiguration des Servers. Sie erhalten eine verständliche Einschätzung und konkrete, priorisierte Vorschläge.
Absicherung und laufende Betreuung. Auf Wunsch setzen wir die Maßnahmen um und übernehmen Updates, Backups und die Härtung dauerhaft. Unser WordPress-Monitoring behält Ihre Seite im Blick: Erreichbarkeit, ausstehende Updates, veränderte Dateien, neue Administratoren. Fällt etwas auf, erfahren wir es – und kümmern uns.
Hilfe im Ernstfall. Ist Ihre Seite bereits betroffen, analysieren wir, wie der Angreifer hereingekommen ist, retten Ihre Inhalte und Daten und bauen eine saubere, abgesicherte Seite wieder auf. Ohne Rätselraten, mit Dokumentation dessen, was wir gefunden und getan haben.
Neue Website statt Flickwerk. Steht ohnehin ein Relaunch an, bauen wir Ihre Seite so, dass sie von vornherein wenig Angriffsfläche bietet: auf WordPress, mit einem schlanken, eigens entwickelten Theme statt eines überladenen Kauf-Themes und mit so wenigen fremden Plugins wie möglich.
Sprechen Sie uns an – ein erstes Gespräch zur Einschätzung Ihrer Situation ist unverbindlich.
Quellen
- W3Techs: Usage statistics of WordPress – Marktanteil, abgerufen am 16.10.2026
- Patchstack: State of WordPress Security in 2026 – Schwachstellen 2025 nach Plugins, Themes und Kern
- Art. 33 DSGVO – Meldepflicht bei Datenschutzverletzungen
