WordPress gehackt: Schritt-für-Schritt zur sauberen Website

In der digitalen Welt von heute nehmen wir oft an, dass nur große oder „wichtige“ Websites das Interesse von Hacker:innen wecken. Die Realität zeigt jedoch ein anderes Bild. Jede Website, egal wie klein sie erscheinen mag, birgt wertvolle Ressourcen für Cyberkriminelle. Persönliche Daten, Zugang zu Serverressourcen oder einfach die Möglichkeit, Malware zu verbreiten, sind nur einige Gründe, warum keine Website als zu unbedeutend angesehen werden darf.

WordPress, als das weltweit führende Content Management System (CMS), ist aufgrund seiner Popularität und Benutzer:innenfreundlichkeit besonders im Visier. Diese Popularität kostet einen Preis: Sie macht WordPress zu einem lohnenden Ziel für Cyberangriffe. Die weit verbreitete Nutzung des CMS bedingt zugleich eine große Anzahl von Plugins und Themes, um den Funktionsumfang von WordPress zu erweitern. Werden diese nicht regelmäßig aktualisiert, tun sich früher oder später Sicherheitslücken auf. Und so führt eins zum anderen: Sobald die Sicherheitslücke da ist, werden Cyberkriminellen Tür und Tor geöffnet, um tausende von Websites gleichzeitig anzugreifen. Ein bekanntes Beispiel ist eine Sicherheitslücke in einem beliebten Cookie-Banner-Plugin, die auf diese Art ausgenutzt wurde.

Was sich durch KI verändert hat: deutlich mehr gehackte Websites

Wenn du das Gefühl hast, dass es in den letzten zwei Jahren viel häufiger Websites erwischt hat: Das ist kein Gefühl. Allein in einer einzigen Kampagne wurden über 1,4 Millionen kompromittierte WordPress-Websites dokumentiert, verteilt auf mehr als eine Million Domains. Deren Besucher:innen wurden auf gefälschte Browser-Updates umgeleitet, über die Schadsoftware verteilt wurde, die anschließend als Einstiegstor für Ransomware-Gruppen diente. Das sind keine hypothetischen Risiken, das sind echte Websites von echten Unternehmen, die das nicht bemerkt haben. Künstliche Intelligenz hat auf der Angreifer:innen-Seite drei Dinge grundlegend verändert, und alle drei gehen zu deinen Lasten.

1. Es gibt viel mehr angreifbare Stellen als früher.

2025 wurden im WordPress-Ökosystem 11.334 neue Sicherheitslücken dokumentiert, ein Plus von rund 42 Prozent gegenüber dem Jahr davor. 91 Prozent davon steckten in Plugins. Es wurden mehr Lücken mit hoher Kritikalität gemeldet als in den beiden Vorjahren zusammen. Der Grund: KI-Modelle können Quellcode in einem Tempo durchsuchen, das sich vorher niemand leisten konnte. Und weil WordPress-Plugins Open Source sind, liegt ihr Code offen da. Dieselben Werkzeuge nutzen aber auch die Angreifer:innen, und die melden ihre Funde nicht. Bei fast der Hälfte der gemeldeten Lücken existierte zum Zeitpunkt der Veröffentlichung noch gar kein Patch. Das heißt: Zu jedem Zeitpunkt läuft eine unbekannte Zahl von Websites mit einer Lücke herum, für die es keine Lösung gibt, weil sie noch niemand gemeldet hat.

2. Zwischen „Lücke bekannt“ und „deine Seite ist infiziert“ liegen Stunden.

Früher war ein Exploit Handarbeit für Spezialist:innen und hat Tage oder Wochen gebraucht. Heute liegt die Median-Zeit bis zum ersten Angriff bei stark umkämpften Lücken bei etwa fünf Stunden. Rund die Hälfte der besonders kritischen Lücken wird innerhalb von 24 Stunden angegriffen. Ein Beispiel vom Juli 2026: In WordPress selbst wurden zwei Sicherheitslücken bekannt, über die sich Millionen Websites ohne Login und ohne Passwort komplett übernehmen ließen. Bekannt geworden ist der Fall unter dem Namen WP2Shell. WordPress hat sofort ein Notfall-Update veröffentlicht. Trotzdem gab es schon zwei Tage später über zwei Dutzend fertige Angriffswerkzeuge im Netz, Zehntausende registrierte Angriffsversuche und über hundert Websites, in denen bereits ein heimliches Admin-Konto angelegt worden war. Wer an diesem Wochenende nicht innerhalb von einem Tag aktualisiert hat, war betroffen. Und das war kein Einzelfall. Im Juni 2026 reichten sechs kritische Plugin-Lücken, um über eine Million Websites gleichzeitig angreifbar zu machen.

3. Deine Website ist längst gefunden und schnell gehackt, unabhängig von ihrer Größe.

Wer glaubt, die eigene kleine Website sei zu unbedeutend, unterschätzt, wie das heute läuft. Niemand sucht sich dich persönlich aus. KI-gestützte Bots scannen das gesamte Internet parallel, erkennen Version und Plugins, wählen den passenden Exploit und arbeiten sich durch. Weil das pro Website praktisch nichts kostet, gibt es keine Untergrenze mehr, unter der ein Angriff sich nicht lohnt. Die kleine Vereinsseite ist genauso interessant wie der große Shop, nur eben als Ressource: für Spam-Versand, für Weiterleitungen, für die Verbreitung von Schadsoftware an deine Besucher:innen. 2026 wurden zudem die ersten Fälle dokumentiert, in denen KI-Agenten Angriffskampagnen nicht nur unterstützt, sondern über weite Strecken selbständig durchgeführt haben. Dazu kommt ein Problem, das sich viele selbst ins Haus geholt haben: KI-geschriebener Code auf der eigenen Website. Untersuchungen zu „Vibe Coding“ zeigen, dass ein erheblicher Teil des von KI generierten Codes mit Sicherheitslücken ausgeliefert wird, weil typische Absicherungen wie Nonces, Capability-Checks oder Input-Validierung fehlen. Ein Snippet, das in zehn Minuten mit einem KI-Tool gebaut wurde und „funktioniert“, ist damit kein Nebenschauplatz, sondern ein realistischer Einstiegspunkt. Und weil auf diese Weise gerade sehr viel Code entsteht, wächst die Zahl der angreifbaren Websites weiter. Und noch eine unangenehme Zahl: In Tests blockierten klassische Schutzmaßnahmen auf Hosting-Ebene nur rund 12 Prozent der WordPress-spezifischen Angriffe. Sich darauf zu verlassen, dass der Hoster das schon abfängt, funktioniert also nicht. Das heißt nicht, dass du dagegen nichts machen kannst. Es heißt, dass die alte Haltung „ich schaue alle paar Monate rein“ nicht mehr trägt. Wenn deine Website jetzt betroffen ist, arbeite dich durch die folgende Anleitung. Und lies danach unbedingt den Präventionsteil, denn der entscheidet darüber, ob du das in einem halben Jahr wieder machst.

Um selbst zu prüfen, ob deine WordPress-Website gehackt wurde, achte auf folgende Anzeichen:

• Anzeige fremder Werbung auf deiner Website, die du nicht platziert hast.
• Unerwünschte Umleitungen führen Besucher:innen zu anderen Seiten, besonders zu Phishing- oder Malware-Seiten.
• Versand von Spam-E-Mails von deiner Domain aus, was zu Beschwerden oder einer Blacklist-Eintragung führen kann.
• Neue, unbekannte Benutzerkonten im WordPress-Admin-Bereich, insbesondere mit Administrator:innenrechten.
• Veränderte oder gelöschte Inhalte, einschließlich Beiträge, Seiten oder dem Design deiner Website.
• Langsamere Website-Ladezeiten oder unerklärlicher Anstieg des Ressourcenverbrauchs, der auf schädliche Aktivitäten im Hintergrund hinweisen kann.
• Sicherheitswarnungen von Browsern oder Antivirenprogrammen, die deine Website als gefährlich einstufen.
• Schadcode-Entdeckung durch den Hosting-Anbieter: Dein:e Webhoster:in könnte dich kontaktieren, nachdem bei Routinenscans deiner Website schädlicher Code entdeckt wurde.
• Veränderte Google-Suchergebnisse: Die Titel und Beschreibungen deiner Website in den Google-Suchergebnissen sehen anders aus als erwartet, oft mit spamartigen oder irrelevanten Informationen.

Diese Anzeichen sind klare Indikatoren dafür, dass deine Website kompromittiert sein könnte. Es ist wichtig, regelmäßig die Sicherheit deiner Website zu überprüfen und bei Verdacht sofort zu handeln.

Angriffe von heute wollen selten Aufmerksamkeit. Je länger eine Infektion unbemerkt bleibt, desto mehr ist sie wert. Achte deshalb zusätzlich auf diese Anzeichen:

• Neue Seiten oder Beiträge, die es nicht geben dürfte. Oft hunderte Unterseiten in perfektem Deutsch zu Themen, die nichts mit dir zu tun haben. KI-generierter Spam-Content ist heute sprachlich nicht mehr am schlechten Stil zu erkennen. Prüfe in der Google Search Console, wie viele Seiten deiner Domain indexiert sind, und vergleiche das mit deiner echten Seitenzahl.
• Unbekannte Anwendungspasswörter (Application Passwords). Unter Benutzer:innen > Profil ganz unten. Damit lässt sich die WordPress-REST-API dauerhaft nutzen, auch nachdem du dein Passwort geändert hast. Ein extrem beliebter Weg, sich Zugang zu erhalten.
• wp-content/mu-plugins: Diese „Must Use“-Plugins laden automatisch und erscheinen nicht in der normalen Plugin-Liste. Wenn du den Ordner nicht selbst angelegt hast, gehört dort nichts hin.
• Ein Plugin, das du nie installiert hast und das in der Übersicht „deaktiviert“ aussieht. Manche Backdoors tarnen sich als harmlos benanntes Plugin, das im Hintergrund trotzdem läuft.
• Geplante Aufgaben, die du nicht kennst. WordPress-Cronjobs (WP-Cron) werden gerne genutzt, um sich nach einer Bereinigung selbst wieder einzuspielen.
• Plötzlich hohe Serverlast oder Traffic-Spitzen ohne Grund. Kann auf Krypto-Mining, Spam-Versand oder Missbrauch deiner Website als Teil eines Botnetzes hindeuten. Beachte: Auch legitime KI-Crawler erzeugen heute viel Traffic, das ist nicht automatisch ein Hack.

Dieselbe Technologie, die Angriffe billiger gemacht hat, ist beim Aufräumen erstaunlich nützlich. Du musst nur wissen, wo sie hilft und wo sie gefährlich wird.

Wo KI wirklich hilft:

• Verschleierten Code verstehen. Wenn du eine Datei mit einer Zeile eval(base64_decode('...')) findest, kannst du sie einem KI-Modell zeigen und fragen, was der Code tut. Das ersetzt Stunden Handarbeit und ist die mit Abstand nützlichste Anwendung. Du bekommst in Minuten eine Antwort auf die entscheidende Frage: Ist das Malware und was hat sie gemacht?
• Scan-Ergebnisse einordnen. Ein Scanner meldet 400 Treffer und du weißt nicht, welche davon Fehlalarme sind. KI hilft beim Sortieren und Priorisieren.
• Logfiles auswerten. Access-Logs nach Auffälligkeiten durchsuchen, den wahrscheinlichen Einstiegszeitpunkt und den Einstiegsweg finden.
• Kommandos formulieren. Den passenden find– oder grep-Befehl für genau deinen Fall bekommen, ohne die Manpage zu lesen.
• Eigenen Code prüfen. Custom-Snippets und kleine Plugins auf fehlende Nonces, Capability-Checks und Eingabevalidierung durchsehen lassen.

Wo du dich nicht auf KI verlassen darfst:

• Bei der Frage, ob die Website jetzt sauber ist. Ein Sprachmodell sieht nur, was du ihm zeigst. Es kennt weder deine Datenbank noch deine Cronjobs noch die Datei, die du nicht gefunden hast. Ein „sieht sauber aus“ ist keine Freigabe.
• Beim blinden Ausführen von Vorschlägen. Ein falsch verstandener Löschbefehl oder ein chmod 777 als Schnellhilfe macht mehr kaputt als der Hack. Verstehe jedes Kommando, bevor du es auf einem Produktivsystem ausführst.
• Bei sensiblen Daten. Lade keine wp-config.php, keine Datenbankdumps mit Kund:innendaten und keine Zugangsdaten in ein KI-Tool. Anonymisiere vorher.

Kurz gesagt: KI ist ein sehr guter Assistent für die Analyse und ein schlechter Verantwortlicher für die Entscheidung. Nutze sie für das Verstehen, nicht für das Freigeben.

Vorbeugen ist eigentlich keine große Sache. Es scheitert meist nur an der Konsequenz, deshalb: Trag dir jetzt einen fixen monatlichen Termin dafür in den Kalender ein. Jetzt wirklich. Kümmern musst du dich dabei um drei Bereiche.

1. Aktuell bleiben

Updates zeitnah einspielen, und Plugins sparsam und mit Bedacht auswählen. Jedes Plugin, das du nicht wirklich brauchst, ist eine Lücke, die du nicht haben musst.

Der monatliche Termin allein reicht dafür aber nicht, denn er fängt die Lücke nicht ab, die drei Tage danach bekannt wird. Entscheidend ist, wie schnell du überhaupt davon erfährst. Entweder du richtest dir ein Frühwarnsystem ein, das nur über deine eigenen Plugins meldet:

• Patchstack: erkennt deine Plugins und warnt gefiltert. Der praktischste Einstieg.
• Wordfence Intelligence: Schwachstellendatenbank plus wöchentlicher Newsletter.
• WPScan: zum Nachschlagen, ob ein Plugin eine Vorgeschichte hat.
• WordPress-Newsblog: Security-Releases des Core.
• CERT.at: Warnungen zu Lücken, die aktuell ausgenutzt werden.

Oder du gibst es ab. Bei uns landet eine kritische Lücke sofort im internen Informationskanal, samt Liste der betroffenen Kund:innen-Websites. Wir warten dann nicht auf den nächsten Wartungstermin, sondern schließen sie direkt. Du erfährst von der Lücke also gar nicht, weil sie längst geschlossen war.

2. Zugänge absichern

Komplexe Passwörter, die du nirgends sonst verwendest, sind dabei die Mindestanforderung und nicht schon die Absicherung. Dazu gehört:

• Zwei-Faktor-Authentifizierung für alle Accounts mit Admin- oder Redaktionsrechten. Beste Wirkung pro Aufwand, und keine Option.
• Passkeys, wenn dein Setup es zulässt. Nicht erratbar und nicht per Phishing abzugreifen.
• Rechte sparsam vergeben. Wer Beiträge schreibt, braucht keine Admin-Rechte.
• Passwortmanager statt Excel-Liste, und kein Passwort zweimal verwenden.
• XML-RPC deaktivieren und ein Rate Limit auf die Login-Seite legen.
• define('DISALLOW_FILE_EDIT', true); in die wp-config.php, damit niemand über das Backend Code schreiben kann.

3. Für den Fall vorbereitet sein

Regelmäßige Backups sind der wichtigste Punkt überhaupt, aber nur, wenn sie im Notfall auch wirklich funktionieren.

• Backups testen. Ein Backup, das noch nie zurückgespielt wurde, ist eine Hoffnung, kein Backup. Und es muss getrennt von der Website liegen.
• Backup-Historie prüfen. Fällt eine Infektion erst nach sechs Wochen auf, hilft dir ein Sieben-Tage-Backup nicht.
• Zugänge und Kontakte bereithalten. Hosting, Domain, Datenbank, und die Nummer von jemandem, der im Notfall hilft. Am Freitagabend suchen ist keine gute Position.
• Im Fall alles dokumentieren. Screenshots, Logfiles, Scan-Reports. Wenn personenbezogene Daten betroffen sein könnten, gilt in der EU eine Meldepflicht innerhalb von 72 Stunden, und im Nachhinein bekommst du diese Nachweise nicht mehr.

Alle drei Bereiche im Griff? Gratulation, du hast die Grundpfeiler eines sicheren Web-Auftritts errichtet, und zwar auf einem Stand, der auch heute noch trägt.