Warnung bei Google
In den Suchergebnissen oder im Browser steht „Diese Website wurde möglicherweise gehackt“ oder eine rote Sicherheitswarnung.
Soforthilfe · Sicherheit · WordPress
Website gehackt: was jetzt zu tun ist und wie die Seite sauber bereinigt wird
„Diese Website wurde möglicherweise gehackt“, eine Sperre vom Hoster oder Weiterleitungen auf fremde Seiten: Ein gehackter Auftritt kostet ab der ersten Stunde Vertrauen, Sichtbarkeit und Umsatz. Diese Seite erklärt, was Sie sofort tun sollten – und was auf keinen Fall –, und wie eine gehackte Website sauber bereinigt und wieder abgesichert wird.
Fehlerbild
Woran Sie einen Hack erkennen.
Ein Hack sieht nicht immer dramatisch aus. Oft ist das erste Zeichen eine Warnung von Google oder dem Hoster – nicht die eigene Startseite. Diese Bilder tauchen typischerweise auf:
Hoster-Sperre
Der Provider hat den Account wegen Schadcode oder Spam-Versand gesperrt oder die Seite abgeschaltet.
Spam-Weiterleitungen
Besucher landen plötzlich auf fremden, dubiosen Seiten – oft nur vom Handy oder nur über Google.
Fremde Inhalte & Nutzer
Unbekannte Seiten, Pop-ups, seltsame Links im Quelltext oder Admin-Konten, die niemand angelegt hat.
Warum jede Stunde zählt
Ein Hack wird mit jeder Stunde teurer.
Anders als ein normaler Fehler richtet ein Hack aktiv Schaden an, solange er läuft – nach außen sichtbar und für Google messbar. Deshalb ist schnelles, aber überlegtes Handeln wichtig.
Google setzt die Domain auf die Safe-Browsing-Blacklist – die Seite verschwindet aus den Ergebnissen oder zeigt eine rote Warnung.
Rankings brechen ein; verlorene Sichtbarkeit kommt nach der Bereinigung nur langsam zurück.
Kunden, die eine Warnung sehen, verlieren sofort das Vertrauen – oft dauerhaft.
Der Hoster kann den Account im Wiederholungsfall dauerhaft kündigen.
Schadcode verbreitet sich weiter: an Besucher, per Spam-Versand über Ihren Server, auf weitere Seiten im selben Webspace.
Je länger der Befall läuft, desto tiefer sitzt er – und desto aufwendiger wird die Bereinigung.
Erste Hilfe
Was Sie jetzt tun sollten – und was auf keinen Fall.
Die häufigsten Folgeschäden entstehen nicht durch den Hack selbst, sondern durch überstürzte Reaktionen. Diese Reihenfolge hilft:
Jetzt sofort
- Passwörter ändern: WordPress-Admin, Hosting- und FTP-Zugang, Datenbank, E-Mail-Postfächer.
- Den Hoster informieren – er sieht oft, was und seit wann auffällt, und kann kurzfristig eingreifen.
- Die Seite bei Bedarf in den Wartungsmodus nehmen oder offline schalten, um Besucher zu schützen.
- Ein Backup des aktuellen (befallenen) Zustands sichern – als Beweis und für die Analyse.
- Notieren, seit wann etwas auffällt und was zuletzt geändert oder installiert wurde.
Auf keinen Fall
- Dateien nicht blind löschen – damit verschwinden Beweise und oft die Ursache, aber nicht der Schaden.
- Das vorhandene, saubere Backup nicht überschreiben – es ist im Ernstfall Gold wert.
- WordPress nicht einfach neu installieren – Schadcode sitzt oft in Datenbank, Uploads oder .htaccess und kommt zurück.
- Keine „Sofort-sauber“-Plugins blind laufen lassen und dann annehmen, es sei erledigt.
- Nicht so tun, als wäre nichts – ohne geschlossene Lücke passiert es wieder.
Hintergrund
WordPress gehackt: was typischerweise passiert ist.
Die meisten Betroffenen suchen „WordPress gehackt“ – und meist steckt keine gezielte Attacke dahinter, sondern eine automatisiert ausgenutzte Lücke. Sie müssen keine Technik verstehen, aber es hilft zu wissen, wo der Weg hinein üblicherweise liegt. Wenn WordPress zusätzlich einen kritischen Fehler zeigt, kann das eine Folge des Befalls sein.
Veraltete Plugins oder Themes
Bekannte Sicherheitslücken in nicht aktualisierten Erweiterungen sind der mit Abstand häufigste Einstieg.
Schwache Logins
Einfache oder wiederverwendete Admin-Passwörter werden automatisiert durchprobiert (Brute Force).
Kompromittiertes Hoster-/FTP-Konto
Wurde der Zugang selbst übernommen, hilft eine reine WordPress-Bereinigung nicht – der Weg hinein bleibt offen.
Hintertüren & fremde Admin-User
Angreifer legen eigene Konten oder versteckte Dateien an, um jederzeit wieder hereinzukommen.
Wichtiger Hinweis
Datenschutz: Bei einem Hack kann eine Meldepflicht bestehen.
Wenn bei einem Hack personenbezogene Daten betroffen sein könnten – etwa Kundendaten, Kontaktformular-Einträge oder Shop-Bestellungen –, greift unter Umständen eine Meldepflicht: Nach Art. 33 DSGVO muss eine meldepflichtige Datenschutzverletzung der zuständigen Aufsichtsbehörde grundsätzlich innerhalb von 72 Stunden gemeldet werden.
Das ist ein Hinweis, keine Rechtsberatung. Ob, wann und wie gemeldet werden muss, klärt im Zweifel ein Anwalt oder Ihr Datenschutzbeauftragter. Wichtig ist, den Punkt früh mitzudenken – nicht erst, wenn die Frist fast abgelaufen ist.
So läuft die Bereinigung
Sauber statt schnell drübergewischt.
Eine Bereinigung, die nur die sichtbaren Spuren entfernt, hält nicht. Deshalb gehe ich in dieser Reihenfolge vor:
Sichern
Vollständiges Backup des befallenen Zustands (Dateien und Datenbank) als Ausgangspunkt und Beweis.
Analysieren
Feststellen, was betroffen ist, wo der Schadcode sitzt und – soweit möglich – wie er hereinkam.
Bereinigen
Schadcode, fremde Dateien, manipulierte Einträge und unbekannte Benutzer gezielt entfernen.
Absichern
Passwörter neu setzen, Updates einspielen, Sicherheits-Grundlagen setzen, Hintertüren schließen.
Google-Review beantragen
Bei einer Safe-Browsing- oder Blacklist-Warnung die erneute Überprüfung über die Search Console anstoßen.
Nachkontrolle
Erneut prüfen, ob wirklich alles sauber ist, und beobachten, dass nichts zurückkommt.
Entscheidung
Bereinigen oder neu aufsetzen?
Nicht jede gehackte Seite muss neu gebaut werden – aber manchmal ist ein sauberer Neuaufbau günstiger und sicherer als eine aufwendige Rettung. Ehrliche Kriterien:
Bereinigen ist sinnvoll, wenn …
- der Befall überschaubar und eingrenzbar ist
- ein sauberes, älteres Backup oder eine intakte Struktur vorhanden ist
- die Seite grundsätzlich gepflegt und aktuell war
- sich die Ursache klar finden und schließen lässt
Neu aufsetzen ist sinnvoll, wenn …
- der Befall tief sitzt oder schon wochenlang läuft
- kein sauberes Backup existiert
- die Seite ohnehin veraltet, langsam oder instabil ist
- es bereits der zweite oder dritte Vorfall ist
Preis-Orientierung
Was kostet es, eine gehackte Website bereinigen zu lassen?
Eine Bereinigung beginnt bei rund 349 € netto – das gilt für eine WordPress-Installation ohne Shop bei überschaubarem Befall. In der Praxis liegen umfangreichere Bereinigungen bei 490 bis 890 € netto. Was in Ihrem Fall nötig ist, sehe ich nach einer kostenlosen Prüfung – danach gibt es einen Festpreis. Keine Abrechnung nach Aufwand ohne vorherige Zusage. Geht es nur um einen einzelnen Fehler ohne Befall, beginnt das bei rund 89 € netto.
Was den Preis nach oben treibt
- mehrere WordPress-Installationen auf einem Webspace
- ein Shop mit Bestell- und Kundendaten
- ein wochenlanger, tief sitzender Befall
- ein kompromittiertes Hoster- oder FTP-Konto
Bereinigung
ab ~349 € nettoEine WordPress-Installation, kein Shop, überschaubarer Befall.
Umfangreichere Bereinigung
~490–890 € nettoMehrere Installationen, Shop mit Bestelldaten, tiefer Befall oder kompromittiertes Konto.
Einzelfehler (kein Befall)
ab ~89 € nettoEin einzelnes Problem an der Website, ohne Kompromittierung.
Alle Preise netto, zzgl. USt., als Orientierung. Der verbindliche Festpreis kommt nach der kostenlosen Prüfung.
Danach
Sauber ist der Anfang – abgesichert das Ziel.
Ein Hack nutzt fast immer eine Lücke, die vorher schon offen war: veraltete Erweiterungen, fehlende Updates, ein schwaches Passwort. Nach der Bereinigung geht es deshalb darum, dass die Seite nicht beim nächsten automatisierten Scan wieder auffällt.
Das kann ein einmaliges Absichern sein oder eine laufende WordPress-Wartung mit regelmäßigen Updates und Backups. Beides ist optional – aber ohne geschlossene Ursache ist die nächste Warnung nur eine Frage der Zeit.
Passende nächste Schritte
Weiterlesen oder die Seite prüfen lassen.
Website lädt nicht
Wenn die Seite nicht kompromittiert, sondern schlicht nicht erreichbar ist.
Mehr dazuWordPress kritischer Fehler
Wenn WordPress einen kritischen Fehler zeigt statt einer Hack-Warnung.
Mehr dazuSSL-Fehler / „nicht sicher“
Wenn der Browser vor der Seite warnt, aber kein Hack dahintersteckt.
Mehr dazuWordPress Wartung
Damit die Seite nach der Bereinigung dauerhaft abgesichert bleibt.
Mehr dazuWebsite-Check
Der Einstieg: kostenlose Prüfung, danach ein Festpreis für die Bereinigung.
Mehr dazuFAQ
Häufige Fragen zu gehackten Websites.
Woran erkenne ich, dass meine Website gehackt wurde?
Typische Zeichen: eine Google-Warnung „möglicherweise gehackt“, Weiterleitungen auf fremde Seiten, unbekannte Inhalte oder Admin-Konten, eine Hoster-Sperre oder plötzlicher Spam-Versand über Ihre Domain.
Meine Seite wurde von Google gewarnt – was jetzt?
Zuerst wird die Seite sauber bereinigt und abgesichert. Danach lässt sich über die Google Search Console eine erneute Überprüfung beantragen, damit die Warnung wieder entfernt wird.
Reicht es, WordPress einfach neu zu installieren?
Meist nicht. Schadcode sitzt oft in der Datenbank, in Uploads oder in Konfigurationsdateien und überlebt eine Neuinstallation. Ohne Ursachensuche bleibt die Lücke offen und der Befall kommt zurück.
Sind bei einem Hack meine Kundendaten betroffen?
Das lässt sich erst nach der Analyse einschätzen. Wenn personenbezogene Daten abgeflossen sein könnten, kann eine Meldepflicht nach Art. 33 DSGVO bestehen – das klärt im Zweifel ein Anwalt oder Datenschutzbeauftragter.
Was kostet es, eine gehackte Website bereinigen zu lassen?
Eine Bereinigung beginnt bei rund 349 € netto (eine WordPress-Installation, kein Shop, überschaubarer Befall). Umfangreichere Fälle liegen bei 490 bis 890 € netto. Den Festpreis gibt es nach einer kostenlosen Prüfung.
Wie lange dauert die Bereinigung?
Das hängt vom Befall ab und lässt sich erst nach der Prüfung seriös sagen. Ein fester Zeitpunkt wird nicht vorab versprochen – wichtiger ist, dass die Seite am Ende wirklich sauber ist.
Kommt der Hack nach der Bereinigung wieder?
Ziel ist, die Ursache zu schließen, nicht nur die Symptome. Eine hundertprozentige Garantie gibt es im Sicherheitsbereich nie – deshalb gehören eine Absicherung und, auf Wunsch, laufende Wartung dazu.
Nächster Schritt
Ihre Website ist gehackt oder von Google gewarnt?
Der Website-Check ordnet zuerst kostenlos ein, wie schwer der Befall ist. Danach gibt es einen Festpreis für die Bereinigung – keine Abrechnung nach Aufwand ohne Zusage.
Jetzt prüfen lassenBewertet mit Google 4,9 und ProvenExpert 5,0.