WordPress gehackt? So kannst du viele Standard-Hacks selbst bereinigen

WordPress gehackt? Die Meldung kommt meistens völlig überraschend: Die eigene WordPress-Webseite wurde gehackt. Plötzlich erscheint nur noch eine Fehlermeldung, Besucher werden auf fremde Seiten umgeleitet oder das WordPress-Backend ist überhaupt nicht mehr erreichbar.

Natürlich ist das zunächst ein Schock. Die gute Nachricht lautet aber: Nicht jeder WordPress-Hack bedeutet, dass die gesamte Webseite verloren ist. Viele Angriffe folgen einem ähnlichen Muster und lassen sich mit einer systematischen Vorgehensweise oft selbst beseitigen.

Genau darum geht es in diesem Artikel.Er ist eine Ergänzung meines Videos auf Youtube, das euch durch diesen Prozess führt: https://www.youtube.com/watch?v=sOrk3VsAa9k In der Beschreibung des Videos findet ihr mögliche Prompts, die euch bei der Behebung des Hacks helfen.

Ich zeige dir Schritt für Schritt dieselbe Methode, die ich auch im Video verwende. Dabei geht es ausdrücklich um einfache bis mittelschwere Standard-Hacks. Komplexe Angriffe, kompromittierte Server oder gezielte Angriffe auf Unternehmen benötigen häufig eine professionelle Analyse. Für die meisten typischen WordPress-Infektionen reicht jedoch bereits eine strukturierte Vorgehensweise.

WordPress gehackt – Für wen ist diese Anleitung gedacht?

Diese Anleitung richtet sich nicht an Administratoren oder Programmierer. Ein wenig technisches Grundwissen solltest du allerdings mitbringen.

Hilfreich ist es, wenn du:

• über FTP auf deinen Webspace zugreifen kannst,
• weißt, was eine Datenbank ist,
• und bereit bist, mit einer KI wie ChatGPT, Claude oder Perplexity zusammenzuarbeiten.

Du musst weder SQL programmieren noch PHP beherrschen. Die eigentliche technische Arbeit übernimmt die KI. Deine Aufgabe besteht hauptsächlich darin, die richtigen Informationen bereitzustellen und die vorgeschlagenen Schritte nacheinander auszuführen.

Bevor du beginnst: Unbedingt ein Backup erstellen!

Dieser Schritt ist keine Empfehlung, sondern Voraussetzung.

Da das WordPress-Backend nach einem Hack häufig nicht mehr funktioniert, musst du das Backup auf einem anderen Weg erstellen. Die meisten Hosting-Anbieter bieten dafür eine Möglichkeit direkt im Kundenbereich oder unterstützen dich dabei über den Support.

Erstelle deshalb unbedingt:

• eine vollständige Sicherung aller Dateien auf dem Webspace und
• ein vollständiges Backup der Datenbank.

Erst danach solltest du mit der eigentlichen Reparatur beginnen.

Falls unterwegs etwas schiefgeht, kannst du jederzeit wieder auf diesen Ausgangszustand zurückgreifen.

Wie diese Methode funktioniert

Der eigentliche Gedanke hinter dieser Anleitung ist erstaunlich einfach.

Ein großer Teil jeder WordPress-Installation besteht aus Dateien, die bei jeder Webseite identisch sind. Diese Dateien musst du gar nicht einzeln untersuchen. Stattdessen werden sie vollständig gelöscht und durch frische Originaldateien ersetzt.

Übrig bleiben nur die Bereiche, die individuelle Inhalte enthalten. Genau diese werden anschließend genauer untersucht.

Das betrifft vor allem:

• die Datei wp-config.php,
• die Datei .htaccess,
• den gesamten Ordner wp-content,
• und anschließend die WordPress-Datenbank.

Für die Untersuchung dieser Bereiche kommt die KI ins Spiel. Sie hilft dabei, verdächtigen Code zu erkennen, SQL-Abfragen zu erstellen und die Ergebnisse zu bewerten.

Dadurch musst du weder PHP noch SQL selbst beherrschen. Du arbeitest Schritt für Schritt gemeinsam mit der KI.

Keine Angst vor SQL oder der Kommandozeile

Viele Anwender schrecken vor Begriffen wie SQL, Terminal oder Konsole zurück. Tatsächlich musst du aber weder SQL programmieren noch Linux-Befehle kennen.

Im weiteren Verlauf dieses Artikels findest du mehrere Prompts, die du einfach in deine bevorzugte KI kopierst. Die KI erstellt daraus automatisch die passenden SQL-Abfragen oder Terminalbefehle und erklärt dir anschließend die Ergebnisse.

Dadurch wird aus einer oft sehr technischen Aufgabe ein nachvollziehbarer Ablauf, den auch technisch interessierte WordPress-Nutzer durchführen können.

Im nächsten Schritt kümmern wir uns um den Webspace selbst und ersetzen alle WordPress-Dateien, die sich problemlos austauschen lassen.

Schritt 1: Über FTP mit dem Webspace verbinden

Nachdem das Backup erstellt wurde, geht es an die eigentliche Bereinigung der WordPress-Installation.

Verbinde dich dazu per FTP mit deinem Webspace. Welches FTP-Programm du verwendest, spielt dabei keine Rolle. FileZilla, Cyberduck oder andere Programme zeigen letztlich alle dieselbe Ordnerstruktur an.

Bei einer normalen WordPress-Installation findest du im Hauptverzeichnis unter anderem folgende drei Ordner:

• wp-admin
• wp-includes
• wp-content

Außerdem befinden sich dort zahlreiche einzelne PHP-Dateien sowie einige Konfigurationsdateien.

Genau hier beginnt die eigentliche Bereinigung.

Welche Dateien können einfach ersetzt werden?

Der größte Teil einer WordPress-Installation besteht aus Originaldateien, die bei praktisch jeder Webseite identisch sind.

Diese Dateien musst du nicht mühsam untersuchen. Stattdessen kannst du sie vollständig entfernen und anschließend durch frische Originaldateien ersetzen.

Lade dir dazu die gleiche WordPress-Version von einer vertrauenswürdigen Quelle herunter – idealerweise exakt dieselbe Version, die bisher auf deiner Webseite installiert war.

Danach können folgende Bereiche gelöscht werden:

• der komplette Ordner wp-admin,
• der komplette Ordner wp-includes,
• alle Dateien im WordPress-Hauptverzeichnis.

Von dieser Regel gibt es allerdings zwei wichtige Ausnahmen.

Diese beiden Dateien musst du behalten

Die Dateien wp-config.php und .htaccess enthalten individuelle Einstellungen deiner Webseite.

Sie dürfen deshalb nicht einfach ersetzt werden, sondern müssen zunächst überprüft werden.

Öffne beide Dateien mit einem einfachen Texteditor.

Falls du den Inhalt nicht verstehst, ist das kein Problem. Kopiere den kompletten Inhalt in deine bevorzugte KI und frage beispielsweise:

„Prüfe diese Datei auf verdächtigen oder schädlichen Code. Erkläre mir, ob der Inhalt normal aussieht oder ob Hinweise auf einen WordPress-Hack vorhanden sind.“

Die KI kann den Inhalt in den meisten Fällen sehr zuverlässig einschätzen und dir erklären, welche Stellen unauffällig sind und welche genauer untersucht werden sollten.

Ist die Datei unauffällig, kannst du sie unverändert weiterverwenden.

Findet die KI dagegen eindeutig schädlichen Code, solltest du diesen entfernen oder – falls notwendig – die Datei vollständig neu erstellen.

Originaldateien wieder hochladen

Nachdem die beiden Konfigurationsdateien überprüft wurden, lädst du die frischen WordPress-Dateien wieder auf den Webspace.

Dadurch besteht der gesamte Standardteil deiner WordPress-Installation wieder aus unveränderten Originaldateien.

Genau das ist der große Vorteil dieser Methode:

Statt Tausende einzelner Dateien manuell zu kontrollieren, ersetzt du den größten Teil der Installation innerhalb weniger Minuten vollständig.

Damit reduzierst du die Zahl der Dateien, die überhaupt noch untersucht werden müssen, erheblich.

Jetzt bleibt nur noch wp-content

Nach diesem Schritt bleibt praktisch nur noch ein Bereich übrig, der individuell für jede Webseite ist:

wp-content

Dort befinden sich unter anderem:

• Plugins,
• Themes,
• Uploads,
• Cache-Dateien,
• und verschiedene Konfigurationsdateien.

Genau dort verstecken sich Schadprogramme besonders häufig, weil dieser Ordner bei jeder WordPress-Webseite unterschiedlich aussieht und deshalb nicht einfach ersetzt werden kann.

Im nächsten Abschnitt gehen wir deshalb den gesamten Ordner wp-content Schritt für Schritt durch und sehen uns an, welche Bereiche problemlos ersetzt werden können und welche genauer untersucht werden müssen.

Schritt 2: Den Ordner wp-content untersuchen

Nachdem die eigentlichen WordPress-Dateien ersetzt wurden, bleibt nur noch der Ordner wp-content. Genau hier befinden sich alle individuellen Bestandteile deiner Webseite.

Dieser Bereich lässt sich deshalb nicht einfach komplett austauschen, sondern muss Schritt für Schritt überprüft werden.

Die wichtigsten Unterordner sind:

• plugins
• themes
• uploads

Daneben können je nach Installation weitere Ordner vorhanden sein, beispielsweise für Cache-Dateien oder Konfigurationen einzelner Plugins.

Plugins

Der einfachste Weg besteht darin, nicht jedes Plugin einzeln zu untersuchen.

Notiere dir zunächst, welche Plugins installiert sind. Falls es nur wenige sind, kannst du sie einfach aufschreiben. Sind es viele, reicht oft auch ein Screenshot der Ordnerliste.

Anschließend löschst du den gesamten Plugin-Ordner.

Nach erfolgreicher Bereinigung der Webseite installierst du alle benötigten Plugins aus einer vertrauenswürdigen Quelle erneut.

Das spart sehr viel Zeit und ist meist sicherer, als jede einzelne Plugin-Datei auf Schadcode zu untersuchen.

Themes

Mit den Themes gehst du ähnlich vor.

Standard-Themes von WordPress können problemlos gelöscht und später wieder installiert werden.

Verwendest du ein gekauftes Theme wie Divi, Avada oder Kadence, solltest du die aktuelle Originalversion direkt vom Hersteller herunterladen und anschließend neu installieren.

Dadurch stellst du sicher, dass sämtliche Theme-Dateien wieder dem Original entsprechen.

Nur wenn du selbst Änderungen am Theme vorgenommen hast, solltest du diese vorher sichern.

Auch kleine Dateien prüfen

Neben den großen Ordnern befinden sich häufig einzelne Dateien wie beispielsweise eine index.php oder eine .htaccess.

Diese Dateien solltest du kurz öffnen.

Eine typische index.php enthält häufig nur wenige Zeilen, beispielsweise den bekannten Hinweis „Silence is golden.“

Findest du dort dagegen umfangreichen PHP-Code oder verschleierte Programmteile, solltest du misstrauisch werden.

Auch hier gilt: Wenn du dir unsicher bist, kopiere den Inhalt einfach in deine bevorzugte KI und frage nach einer Einschätzung.

Weitere Ordner

Neben Plugins, Themes und Uploads existieren häufig weitere Unterordner, die von einzelnen Plugins angelegt wurden.

Oft handelt es sich dabei lediglich um Cache-Dateien oder Konfigurationsdaten.

Überprüfe diese Ordner vor allem auf Dateien, deren Änderungsdatum zeitlich zum Hack passt.

Wurde eine Datei genau zu dem Zeitpunkt verändert, an dem der Angriff stattfand, solltest du sie genauer untersuchen.

Viele Konfigurationsdateien lassen sich später problemlos neu erzeugen, sobald das betreffende Plugin erneut eingerichtet wird.

Der schwierigste Bereich: wp-content/uploads

Der Ordner uploads ist meist der größte und gleichzeitig der aufwendigste Teil der gesamten Bereinigung.

Hier speichert WordPress alle Bilder, PDFs und sonstigen Dateien, die im Laufe der Jahre hochgeladen wurden.

Bei größeren Webseiten können das mehrere Tausend Dateien sein.

Eine manuelle Kontrolle wäre deshalb sehr mühsam.

Grundsätzlich gilt:

In diesem Ordner sollten sich normalerweise keine ausführbaren PHP-Dateien befinden.

Findest du dort Dateien mit Endungen wie .php, .phtml oder ähnliche ausführbare Dateien, ist das zumindest ein deutlicher Hinweis darauf, dass diese Dateien genauer untersucht werden sollten.

Ebenso können doppelte Dateiendungen oder Dateien mit einem ungewöhnlichen Änderungsdatum auffällig sein.

Die Suche automatisieren

Zum Glück musst du den Uploads-Ordner nicht vollständig von Hand durchsuchen.

Kopiere den kompletten Ordner zunächst auf deinen eigenen Computer.

Anschließend öffnest du unter macOS das Terminal oder unter Windows die Eingabeaufforderung beziehungsweise PowerShell.

In der Videobeschreibung findest du einen Prompt, der automatisch die passenden Suchbefehle für dein Betriebssystem erzeugt.

Die KI erstellt daraus mehrere Befehle, mit denen sich unter anderem folgende Auffälligkeiten finden lassen:

• PHP-Dateien,
• Dateien mit ungewöhnlichen Endungen,
• Dateien mit doppelten Dateiendungen,
• versteckte Dateien,
• symbolische Links,
• und Dateien, deren Änderungsdatum mit dem Zeitpunkt des Hacks zusammenpasst.

Du musst diese Befehle lediglich ausführen und die Ergebnisse anschließend wieder der KI zeigen.

Sie hilft dir dabei zu beurteilen, welche Dateien unauffällig sind und welche genauer untersucht werden sollten.

Ist dieser Schritt abgeschlossen, ist der Webspace in den meisten Fällen bereits vollständig überprüft.

Jetzt bleibt noch ein letzter wichtiger Bereich: die WordPress-Datenbank.

Schritt 3: Die WordPress-Datenbank untersuchen

Ist der Webspace bereinigt, bleibt noch ein wichtiger Bereich übrig: die Datenbank.

Viele Angreifer verändern nicht nur Dateien auf dem Server, sondern schreiben ihren Schadcode zusätzlich in die WordPress-Datenbank. Das können beispielsweise manipulierte Einstellungen, neue Administratoren oder schädlicher Code in Beiträgen, Widgets oder anderen Tabellen sein.

Die gute Nachricht: Auch hier kann dich eine KI sehr wirkungsvoll unterstützen.

Die Datenbank mit phpMyAdmin öffnen

Die meisten Hosting-Anbieter stellen das Programm phpMyAdmin zur Verfügung. Damit kannst du direkt im Browser auf deine WordPress-Datenbank zugreifen.

Falls du nicht weißt, wie du dorthin gelangst, rufe einfach den Support deines Hosters an. Dort kann man dir in wenigen Minuten erklären, wie du phpMyAdmin öffnest.

Nach dem Start siehst du meist eine lange Liste von Tabellen.

Bei einer frisch installierten WordPress-Webseite sind es nur wenige Tabellen. Im Laufe der Zeit legen jedoch Plugins zusätzliche Tabellen an. Je größer die Webseite ist, desto unübersichtlicher wird die Datenbank.

Eine manuelle Suche ist deshalb kaum sinnvoll.

Die KI erstellt die SQL-Abfragen

Im Video zeige ich deshalb einen anderen Weg.

In der Videobeschreibung findest du einen Prompt, den du einfach in ChatGPT, Claude oder eine andere KI kopierst.

Die KI erstellt daraus automatisch mehrere SQL-SELECT-Abfragen.

Diese Abfragen dienen ausschließlich dazu, die Datenbank zu untersuchen. Sie verändern nichts an den Daten und können daher gefahrlos zur Analyse verwendet werden.

Die KI sucht dabei unter anderem nach:

• unbekannten Administratoren,
• verdächtigen Einstellungen in wp_options,
• Schadcode in Beiträgen und Seiten,
• auffälligen Widgets,
• verdächtigen Einträgen in postmeta,
• Cronjobs,
• Spam-Einträgen,
• unbekannten Tabellen,
• und typischen Schadcode-Mustern.

Du musst diese SQL-Abfragen nicht selbst schreiben. Genau dafür dient der Prompt.

Die Abfragen nacheinander ausführen

Wechsle in phpMyAdmin auf den Reiter SQL.

Dort fügst du jeweils eine der von der KI erzeugten SELECT-Abfragen ein und führst sie aus.

Anschließend liefert dir phpMyAdmin das Ergebnis.

Dieses Ergebnis kopierst du wieder zurück in die KI.

Frage beispielsweise:

„Was bedeutet dieses Ergebnis? Ist etwas daran verdächtig?“

Die KI erklärt dir anschließend, ob der jeweilige Datenbankeintrag unauffällig aussieht oder ob Hinweise auf einen Hack vorliegen.

Wenn die KI etwas Verdächtiges findet

Wird ein auffälliger Eintrag gefunden, solltest du nicht sofort Änderungen an der Datenbank vornehmen.

Nutze stattdessen den zweiten Prompt aus der Videobeschreibung.

Dieser Prompt erklärt der KI zunächst deine Ausgangssituation:

• Du hast bereits ein Backup erstellt.
• Das WordPress-Backend funktioniert nicht mehr.
• Du arbeitest ausschließlich über phpMyAdmin.

Die KI erklärt anschließend verschiedene Möglichkeiten, wie du weiter vorgehen kannst.

Erst wenn eindeutig feststeht, welche Änderung notwendig ist, solltest du dir eine passende SQL-Anweisung erzeugen lassen.

Dadurch vermeidest du unnötige Änderungen an der Datenbank und arbeitest deutlich kontrollierter.

Schritt für Schritt statt auf Verdacht

Genau das ist der große Vorteil dieser Vorgehensweise.

Du führst keine pauschalen Reparaturskripte aus und löschst auch nicht wahllos Datenbankeinträge.

Stattdessen untersuchst du jeden Fund einzeln, verstehst zunächst, worum es sich handelt, und entscheidest erst danach über die nächsten Schritte.

Dadurch bleibt der gesamte Reparaturvorgang nachvollziehbar und deutlich sicherer.

Sind sowohl der Webspace als auch die Datenbank bereinigt, fehlt nur noch ein letzter Schritt: Die Webseite wieder in Betrieb nehmen und alle sicherheitsrelevanten Zugangsdaten ändern.

Schritt 4: WordPress wieder in Betrieb nehmen

Wenn du alle beschriebenen Schritte durchgeführt hast, besteht die WordPress-Installation wieder aus sauberen Originaldateien. Individuelle Dateien wurden überprüft, der Ordner wp-content wurde kontrolliert und auch die Datenbank wurde auf typische Manipulationen untersucht.

Jetzt kannst du versuchen, die Webseite wieder zu starten.

In vielen Fällen funktioniert sie bereits wieder vollständig. Es kann allerdings vorkommen, dass einzelne Plugins oder das Theme erneut eingerichtet werden müssen.

Das ist normal.

Viele Einstellungen bleiben in der Datenbank erhalten. Manche Plugins speichern jedoch zusätzliche Konfigurationsdateien, die beim Bereinigen entfernt wurden und deshalb erneut angelegt werden müssen.

Der Aufwand hält sich meist in Grenzen und ist deutlich geringer, als eine komplette Webseite neu aufzubauen.

Jetzt alle Passwörter ändern

Dieser Schritt wird häufig vergessen, ist aber ausgesprochen wichtig.

Auch wenn die Webseite wieder funktioniert, weißt du nicht mit Sicherheit, auf welchem Weg der Angreifer ursprünglich Zugriff erhalten hat.

Deshalb solltest du alle sicherheitsrelevanten Passwörter ändern.

Dazu gehören insbesondere:

• das Passwort für den Hosting-Zugang,
• das FTP-Passwort,
• alle WordPress-Administrator-Konten,
• und das Passwort für die Datenbank.

Vergiss dabei nicht, nach einer Änderung des Datenbank-Passworts auch die Zugangsdaten in der Datei wp-config.php entsprechend anzupassen.

Im Zweifel gilt: Lieber ein Passwort zu viel ändern als eines zu wenig.

Funktioniert jetzt wieder alles?

Nimm dir nach der Bereinigung noch etwas Zeit für eine gründliche Kontrolle.

Prüfe beispielsweise:

• Ist die Webseite wieder erreichbar?
• Funktionieren alle wichtigen Unterseiten?
• Kannst du dich wieder im WordPress-Backend anmelden?
• Arbeiten Formulare, Bilder und Menüs wie gewohnt?
• Werden Besucher nicht mehr auf fremde Webseiten umgeleitet?

Je gründlicher diese Kontrolle ausfällt, desto eher erkennst du, ob tatsächlich alle Probleme beseitigt wurden.

Wann solltest du professionelle Hilfe in Anspruch nehmen?

Die in diesem Artikel beschriebene Methode eignet sich vor allem für typische WordPress-Hacks, wie sie täglich tausendfach vorkommen.

Es gibt allerdings Situationen, in denen du besser professionelle Unterstützung in Anspruch nehmen solltest.

Zum Beispiel dann, wenn:

• die Webseite trotz aller Schritte weiterhin nicht funktioniert,
• immer wieder neuer Schadcode auftaucht,
• du den Verdacht hast, dass auch der Server selbst kompromittiert wurde,
• oder du dir bei einzelnen Schritten unsicher bist.

Gerade bei geschäftlich genutzten Webseiten ist es oft sinnvoll, nicht unnötig Zeit zu verlieren und einen Spezialisten hinzuzuziehen.

Fazit

Ein WordPress-Hack ist ärgerlich, aber längst nicht in jedem Fall eine Katastrophe.

Mit einer systematischen Vorgehensweise lassen sich viele Standard-Hacks selbst bereinigen.

Der wichtigste Gedanke dabei ist einfach:

• Immer zuerst ein vollständiges Backup erstellen.
• Alle Standard-Dateien konsequent durch Originaldateien ersetzen.
• Nur die individuellen Bereiche sorgfältig untersuchen.
• Die Datenbank mit Hilfe einer KI analysieren.
• Erst nach einer Analyse gezielt Änderungen vornehmen.
• Zum Schluss sämtliche Passwörter ändern.

Genau dabei sollen dir das Video und die drei Prompts helfen.

Sie ersetzen keine professionelle IT-Forensik. Sie geben dir aber eine strukturierte Vorgehensweise an die Hand, mit der sich viele typische WordPress-Hacks auch ohne tiefgehende Programmierkenntnisse nachvollziehbar untersuchen und häufig erfolgreich beseitigen lassen.

Falls du Fragen hast oder an einer Stelle nicht weiterkommst, schreibe sie gerne in die Kommentare unter dem Video. Ich versuche, sie zu beantworten und die Anleitung bei Bedarf zu ergänzen.