WordPress-Website gehackt? Wir bereinigen sie.

• Besucher landen auf fremden Seiten, oft nur, wenn sie über Google kommen oder ein Smartphone benutzen.
• Google warnt unter Ihrem Suchergebnis mit dem Hinweis „Diese Website wurde möglicherweise gehackt“, oder der Browser warnt vor dem Aufruf der Website.
• Fremde Seiten in der Google-Suche: Die Suche nach „site:ihre-domain.de“ zeigt Seiten, die Sie nicht angelegt haben, etwa in fremder Sprache oder mit Angeboten für Medikamente und Markenware.
• Im WordPress-Backend gibt es Administratoren, die Sie nicht kennen, oder Ihr Passwort funktioniert nicht mehr.
• Ihr Hoster hat die Website gesperrt oder meldet Schadcode, oder über Ihren Server werden plötzlich Spam-Mails verschickt.
• Die Google Search Console meldet ein Problem im Bericht „Sicherheitsprobleme“.

Zeigt die Website dagegen nur eine weiße Seite oder einen kritischen Fehler, ohne dass etwas auf einen Angriff hindeutet, hilft die WordPress-Soforthilfe.

Google zeigt diesen Hinweis unter einem Suchergebnis, wenn es davon ausgeht, dass ein Angreifer Seiten verändert oder Spam-Seiten angelegt hat (Google-Hilfe). Bei Schadsoftware oder Phishing warnt zusätzlich der Browser vor dem Aufruf. Der Hinweis verschwindet nicht von allein: Erst wenn die gesamte Website bereinigt ist, beantragt der Inhaber in der Google Search Console eine Überprüfung.

Laut Google dauert die Prüfung bei Spam-Hacks bis zu mehreren Wochen, bei Schadsoftware einige Tage und bei Phishing etwa einen Tag. Ist die Website sauber, entfernt Google die Warnungen in Suche und Browser innerhalb von 72 Stunden. Wer die Überprüfung zu früh beantragt, verlängert die Zeit mit Warnung (Google: Überprüfung anfordern).

Für den Antrag muss die Inhaberschaft der Website in der Search Console bestätigt sein. Ist die Search Console noch nicht eingerichtet, übernehmen wir das mit Ihnen; nötig ist dafür ein Eintrag in der Domainverwaltung (DNS) oder eine Datei auf dem Server.

Die meisten bekannten Sicherheitslücken stecken in Erweiterungen. Patchstack zählte 2025 im WordPress-Umfeld 11.334 neue Schwachstellen, 42 % mehr als im Vorjahr; 91 % davon betrafen Plugins. Etwa die Hälfte der folgenreichen Lücken wurde innerhalb von 24 Stunden ausgenutzt (Patchstack, State of WordPress Security in 2026). Ein Plugin-Update, das ein paar Tage liegen bleibt, kann also schon reichen.

Vorbeugen heißt deshalb: Updates zeitnah einspielen, nicht genutzte Plugins löschen, Sicherungen außerhalb des Webspace aufbewahren und die Website überwachen. Genau das ist Teil der WordPress Wartung, auf Wunsch auf unseren eigenen Servern im Managed WordPress Hosting.

Nicht nur Plugins: PHP und der Server

Unter WordPress liegen zwei weitere Schichten: PHP, die Programmiersprache, in der WordPress geschrieben ist, und der Server, auf dem PHP läuft. Eine Lücke dort betrifft jede Website auf dem Server, auch wenn Plugins und Theme aktuell sind. Am 21. Oktober 2026 hat das PHP-Team zwei kritische Schwachstellen geschlossen, bekannt als „PHP2Shell“ (CVSS 9,2). Angreifer konnten darüber unter Umständen ohne Anmeldung eigenen Code auf dem Server ausführen; vollständig half nur das Update (PHP-Sicherheitshinweis).

Auf Serverseite schützt vor allem:

• Eine PHP-Version, die noch Sicherheitsupdates bekommt. Derzeit sind das PHP 8.2 bis 8.5, wobei PHP 8.2 nur noch bis zum 31. Dezember 2026 versorgt wird (php.net). Laut W3Techs läuft gut jede dritte Website mit PHP noch auf Version 7 oder 5, für die es seit Jahren keine Updates mehr gibt (W3Techs, Stand 22.10.2026).
• Updates für PHP und Server am Tag der Veröffentlichung, nicht erst beim nächsten Wartungstermin. Bei WordPress-Lücken liegen laut Patchstack im Mittel nur fünf Stunden zwischen Bekanntwerden und massenhafter Ausnutzung.
• Jede Website für sich: ein eigener Systembenutzer und eigene PHP-Prozesse pro Website, damit ein Angreifer nicht von einer Website zur nächsten springt. Bei PHP2Shell stufte das PHP-Team Server mit Apache und mod_php, bei denen PHP direkt im Webserver läuft, als am stärksten gefährdet ein.
• Eine Firewall vor der Website, die bekannte Angriffsmuster und massenhafte Anmeldeversuche abfängt, bevor sie WordPress erreichen.
• Sicherungen außerhalb des Servers und Protokolle, die lange genug aufbewahrt werden, um ein Einfallstor auch Wochen später noch nachzuvollziehen.

Auf unseren eigenen Servern im Managed WordPress Hosting ist das PHP2Shell-Update eingespielt. Jede Website läuft dort mit eigenem Systembenutzer und eigenen PHP-Prozessen, eine Firewall filtert Angriffe, bevor sie WordPress erreichen, und Sicherungen liegen 30 Tage auf einem getrennten System. Dazu kommt eine individuelle Härtung pro Website: Sicherheits-Header, gesperrte Systemdateien und Regeln, die typische Angriffe wie Cross-Site-Scripting erschweren, also eingeschleusten Code, der im Browser Ihrer Besucher ausgeführt wird.