Kurz gesagt: Wenn Ihre WordPress-Seite fremde Inhalte zeigt, umleitet oder plötzlich langsam ist, gehen Sie vom Ernstfall aus und melden Sie sich jetzt. Wir übernehmen ab der ersten Nachricht: Spuren sichern, Zugänge sperren, Hintertüren suchen, die Seite bereinigen und den Vorfall dokumentieren. Alles remote, ohne Anfahrt.
Jetzt nichts löschen und nichts neu aufsetzen. Wer Plugins entfernt oder das Backup zurückspielt, bevor gesichert wurde, vernichtet die Spuren zum Einbruch. Sind Sie betroffen? Rufen Sie an oder schreiben Sie per WhatsApp, oder nutzen Sie direkt Notfall melden.
Ist Ihr WordPress gehackt?
Ein Angriff auf WordPress fällt nicht immer auf. Diese Anzeichen sprechen für eine Kompromittierung:
- Besucher werden auf fremde Seiten, Werbung oder Fake-Shops weitergeleitet, oft nur vom Handy oder aus Suchmaschinen heraus
- in Google erscheinen Seiten in Ihrem Namen mit Pharma-, Glücksspiel- oder Fremdsprachentexten, siehe SEO-Spam im Google-Index
- im Dashboard gibt es Administratoren, die niemand angelegt hat, oder Passwörter lassen sich plötzlich nicht mehr zurücksetzen
- im Ordner
wp-content/uploadsliegen.php-Dateien, die dort nichts zu suchen haben (so deuten Sie solche Fundstellen) - Plugins oder Themes tauchen auf, die Sie nie installiert haben, oder verschwinden von allein wieder
- Ihr Hoster meldet Spam-Versand, hohe Last oder sperrt die Seite
- Browser oder Google zeigen eine Warnung vor Ihrer Seite
Mehr Anzeichen auf Serverebene stehen unter Bin ich schon kompromittiert?.
Was Sie jetzt sofort tun
- Seite in den Wartungsmodus setzen oder vom Netz nehmen, wenn Besucher gefährdet sind. Dateien dabei unverändert lassen.
- Nichts deinstallieren und keine Dateien löschen. Auch Plugins nicht, die verdächtig wirken.
- Logs sichern lassen: Bitten Sie Ihren Hoster, Zugriffs- und Fehlerprotokolle nicht zu überschreiben. Die Fachpresse rät, Server-Logs ab dem 20.10.2026 aufzubewahren.
- Zugänge sammeln: Wer hat WordPress-Admin, FTP, SSH, Hosting-Panel und Datenbank? Notieren Sie das, ändern Sie aber Passwörter erst nach Absprache und von einem sauberen Gerät aus.
- Mail-Postfächer prüfen: Das Konto, das bei WordPress als Admin-Adresse hinterlegt ist, kann zum Zurücksetzen von Passwörtern genutzt werden.
- Beteiligte informieren: Geschäftsführung, Datenschutzbeauftragte und gegebenenfalls Versicherer.
- Melden Sie sich bei uns, bevor Sie weiter selbst eingreifen.
Wie hilft PHP SOS bei einer gehackten WordPress-Seite?
- Lage aufnehmen: Wir klären, was Sie sehen, welche Plugins und Themes laufen, wer Zugriff hatte und wo der Server steht.
- Sichern und schließen: Dateien, Datenbank und Logs werden gesichert, verdächtige Zugänge gesperrt, die Seite wenn nötig abgeschottet.
- Prüfen und bereinigen: Wir vergleichen die Kerndateien mit dem Original (wie das geht, erklärt dieser Beitrag), suchen Hintertüren in Plugins, Themes, Uploads und Datenbank und entfernen sie. Das Vorgehen entspricht unserer Leistung Malware und Webshells entfernen.
- Härten und berichten: PHP-Stand, Rechte, Admin-Schutz und Updates werden geprüft. Sie erhalten einen Bericht mit Zeitleiste, Funden und Empfehlungen.
WordPress-Update gegen PHP2Shell: Warum es nicht reicht
Viele Betreiber glauben, mit der neuesten WordPress-Version sei alles erledigt. Das stimmt nicht. PHP2Shell, also CVE-2026-109618 und CVE-2026-109619, steckt im PHP-Interpreter, auf dem WordPress läuft. Behoben ist es in PHP 8.5.12, 8.4.27, 8.3.36 und 8.2.35. Laut Dr. Web plant WordPress.org dafür kein eigenes Update. Entscheidend ist die PHP-Laufzeit auf Ihrem Server; mehr dazu in Warum ein WordPress-Update nicht hilft und auf der Seite WordPress und PHP2Shell.
Ebenso gilt: Ein PHP-Patch entfernt keinen Schadcode, der schon eingeschleust wurde. Beides muss zusammen geprüft werden.
Hintertüren in WordPress: Wo sie sich verstecken
Angreifer legen Zugänge gern dort ab, wo man selten hinsieht: in Mu-Plugins, in Theme-Dateien wie functions.php, in Bildordnern mit doppelter Dateiendung, in der Tabelle wp_options oder in geplanten Aufgaben von WordPress. Details und Prüfwege finden Sie unter Backdoors in WordPress finden. Nach der Bereinigung sollte jeder Admin-Zugang mit einer Zwei-Faktor-Anmeldung abgesichert werden.
Wird Ihre Seite von Google oder einem Browser als gefährlich markiert, beseitigen wir zuerst die Ursache und unterstützen danach bei der Überprüfung. Das Vorgehen beschreibt Google-Warnung entfernen.
Wie wir die Seite wieder freigeben
Eine WordPress-Seite geht erst dann zurück ins Netz, wenn Kerndateien, Plugins und Theme geprüft sind, Zugangsdaten und Schlüssel in der Konfiguration erneuert wurden und kein verdächtiger Benutzer mehr existiert. Danach prüfen wir die öffentliche Seite aus Sicht eines Besuchers, auch vom Handy aus, weil manche Weiterleitungen nur dort auftreten. Anschließend empfehlen wir für die nächsten Wochen eine engere Kontrolle. Eine Zusage, dass die Seite nie wieder angegriffen wird, gibt es nicht, aber einen dokumentierten, geprüften Stand.
Was Sie uns schicken sollten
- die Adresse der Seite und, falls bekannt, den Hoster
- seit wann und woran Ihnen etwas aufgefallen ist
- Screenshots von Warnungen, Weiterleitungen oder fremden Admin-Konten
- eine Liste der Plugins und des Themes, soweit bekannt
- den Stand der letzten Sicherung
Zugangsdaten bitte nicht ungefragt per Mail senden; wir stimmen den sicheren Weg mit Ihnen ab.
Warum PHP SOS
Wir arbeiten Made in Germany und seit über 25 Jahren mit unserem Partnernetzwerk aus Cyber-Profis auf IT-Sicherheit spezialisiert. Sie haben einen Ansprechpartner, der Ihren Fall von der ersten Nachricht bis zum Abschluss begleitet. Wir arbeiten remote in ganz Österreich und Europa, dokumentieren jeden Schritt und versprechen nur, was sich halten lässt: Wir arbeiten, bis der Vorfall abgeschlossen und dokumentiert ist. Wenn personenbezogene Daten betroffen sein könnten, hilft Ihnen der Bericht auch bei der DSGVO-Meldung; die rechtliche Bewertung bleibt bei Ihrer oder Ihrem Datenschutzbeauftragten. Die Gesamtleistung beschreibt die Seite Website gehackt: Notfallhilfe.
Sind Sie betroffen? Rufen Sie an. Wir helfen.
Wenn Ihre WordPress-Seite sich verdächtig verhält, warten Sie nicht auf die nächste Auffälligkeit. Melden Sie sich jetzt, per Anruf oder WhatsApp, und wir übernehmen ab der ersten Nachricht. Jetzt Notfall melden
Häufige Fragen
Reicht es, WordPress und alle Plugins zu aktualisieren, wenn die Seite gehackt wurde?
Nein. Ein Update schließt Lücken für die Zukunft, entfernt aber keine Hintertür, die bereits auf dem Server liegt. Dazu kommt: Die PHP-Lücke PHP2Shell sitzt im PHP-Interpreter, nicht in WordPress. Laut Berichten plant WordPress.org dafür kein eigenes Update.
Kann ich ein altes Backup einspielen und damit fertig sein?
Nur mit Vorsicht. Wer den Zeitpunkt des Einbruchs nicht kennt, spielt womöglich schon infizierte Dateien zurück. Außerdem bleibt das Einfallstor offen, wenn niemand es gefunden hat. Erst sichern, dann bewerten, dann wiederherstellen.
Woran erkenne ich ein unsichtbares Admin-Konto in WordPress?
Manche Konten werden nicht in der Benutzerliste angezeigt, weil Schadcode die Ausgabe filtert. Ein Abgleich direkt in der Datenbank und der Vergleich mit den bekannten Personen zeigt mehr. Das gehört zur Bereinigung, die wir übernehmen.
Warum taucht der Schadcode nach dem Löschen immer wieder auf?
Dann gibt es meist eine zweite Hintertür oder einen Mechanismus, der Dateien nachlädt, etwa einen geplanten Task oder manipulierte Dateien in unüblichen Ordnern. Wer nur sichtbare Symptome löscht, bekämpft das Zeichen und nicht die Ursache.
Was kostet es, wenn Google meine WordPress-Seite als gefährlich markiert?
Das hängt von Umfang und Aufwand ab und lässt sich erst nach einer ersten Einschätzung sagen. Sinnvoll ist, zuerst die Ursache zu beseitigen und dann die Überprüfung bei Google zu beantragen.