WordPress-Bereinigung nach einem Hack
Fremde Seiten unter deiner Domain, Weiterleitungen auf Spam, eine Warnung von Google oder vom Hoster: Ich entferne die Malware, schließe die Lücke, über die der Angreifer gekommen ist, und härte die Seite, damit er nicht in einer Woche wieder drin ist. Ab 290 €, den genauen Preis sage ich nach der kostenlosen Ersteinschätzung, und er steht fest, bevor ich anfange. Remote in Österreich, Deutschland und der Schweiz.
Bei einem Hack lieber gleich anrufen. Bis ich mich melde: nichts löschen, kein Backup zurückspielen, die drei Handgriffe unten genügen.
- $bereinigung pension-beispiel.at
- !Googlebot sieht fremde Seiten · Besucher nicht
- ✓Befallener Stand gesichert · Zugänge neu
- ✓Kern und Plugins gegen Prüfsummen geprüft
- ✓Sauberer Stand aus frischen Dateien · Lücke geschlossen
- →Überprüfung bei Google angefordert
Woran du erkennst, dass die Seite gehackt ist
Ein Angreifer will deine Seite benutzen, nicht kaputtmachen. Deshalb sieht sie für dich oft normal aus, und der Befall zeigt sich nur von außen, für Google oder für Besucher aus der Suche. Das sind die Zeichen, mit denen Betriebe kommen.
Fremde Seiten in Google
Die site:-Suche nach deiner Domain zeigt Seiten, die du nie angelegt hast, oft auf Japanisch oder mit Begriffen aus Pharmazie und Glücksspiel. Das ist der eindeutigste Befund. Wie diese Seiten entstehen, steht in Japanese Keyword Hack.
Weiterleitung auf Spam
Wer aus der Google-Suche kommt oder am Handy surft, landet auf einer Verkaufs- oder Betrugsseite. Wer die Adresse direkt eintippt, sieht deine Seite. Der Server unterscheidet nach Herkunft, und genau deshalb fällt es dir selbst so spät auf.
Warnung von Google oder vom Hoster
Der Browser zeigt eine rote Warnseite, die Search Console meldet „Sicherheitsprobleme“, oder der Hoster hat die Seite gesperrt, weil sie Spam verschickt oder Schadcode ausliefert. Dann zählt Zeit, weil jeder Tag Sichtbarkeit kostet.
Fremder Administrator, fremde Dateien
Ein Administratorkonto, das niemand angelegt hat. PHP-Dateien im Upload-Ordner, in dem nur Bilder liegen dürfen. Dateien mit einem Änderungsdatum, an dem niemand gearbeitet hat. Selten ein Versehen.
Mails plötzlich im Spam
Verschickt der Server Spam, landet seine Adresse auf Sperrlisten, und deine eigenen Mails kommen nicht mehr an. Ob das so ist, zeigt der Blacklist-Check in einer Minute.
Einbruch bei den Zugriffen
Die Search Console zeigt einen scharfen Knick bei den Impressionen, ohne dass du etwas geändert hast. Der Knick liegt meist an dem Tag, an dem Google die veränderten Seiten neu bewertet hat, nicht am Tag des Angriffs.
Ist die Seite nicht gehackt, sondern einfach kaputt, weiße Seite, kritischer Fehler, nach einem Update, dann ist das ein Fall für die Reparatur ohne Hack für 149 € fix. Im Zweifel sage ich dir nach der Ersteinschätzung, welches von beiden es ist.
Was die Bereinigung macht, in dieser Reihenfolge
Die Reihenfolge ist der halbe Erfolg. Wer zuerst löscht und dann die Passwörter ändert, räumt auf, während der Angreifer noch drin ist. Die Schritte sind dieselben, die in Website gehackt: was tun als Anleitung stehen; hier mache ich sie.
- Eindämmen und sichern Die Seite geht über den Hoster vom Netz oder in einen Wartungszustand, damit Besucher nicht weiter umgeleitet werden. Dann wird der befallene Stand vollständig gesichert, Dateien und Datenbank, als Beweis und als Rückfallebene.
-
Alle Zugänge neu
SFTP, Hoster-Konto, Datenbank, jedes WordPress-Administratorkonto, dazu neue Sicherheitsschlüssel in der
wp-config.php, damit alle bestehenden Anmeldungen ungültig werden. Fremde Konten fliegen raus. - Ausmaß feststellen und sauber aufbauen Kern und Plugins werden gegen die Prüfsummen von WordPress.org verglichen, Uploads, Datenbank und Drop-ins von Hand durchgesehen. Der saubere Stand entsteht aus frischen Dateien derselben Versionen, nicht aus einem Scanner-Knopf.
- Lücke schließen, härten, Google informieren Das Plugin oder der Zugang, über den der Angreifer kam, wird gefunden und geschlossen. Dann Härtung: Zwei-Faktor-Anmeldung, Dateibearbeitung im Backend aus, ungenutzte Plugins weg. Erst wenn die Seite sauber online ist, beantrage ich die Überprüfung bei Google.
Dazu bekommst du den Hinweis, ob eine Meldung an die Datenschutzbehörde nach Art. 33 DSGVO zu prüfen ist, und einen Kurzbericht: was passiert ist, was ich geändert habe, was offen bleibt.
Was drin ist und was nicht
Eine Bereinigung endet nicht, wenn die Malware weg ist, sondern wenn der Weg zu und die Spuren in Google geschlossen sind. Was das heißt, und wo die Leistung aufhört.
Drin
Kostenlose Ersteinschätzung von außen. Sicherung des befallenen Stands. Alle Zugänge neu, fremde Konten entfernt. Prüfsummen-Abgleich von Kern und Plugins, Durchsicht von Uploads, Datenbank und Drop-ins. Sauberer Aufbau aus frischen Dateien. Lücke gefunden und geschlossen. Härtung. Überprüfungsantrag bei Google, sobald die Seite sauber ist, und die fremden Adressen antworten danach mit 404 oder 410. Kurzbericht.
Nicht drin: Rechtsberatung und Forensik
Ob ein Vorfall meldepflichtig ist, sage ich dir als Hinweis; die Entscheidung gehört zu jemandem mit rechtlicher Zulassung, innerhalb der 72 Stunden nach Art. 33 DSGVO. Gerichtsfeste Forensik mache ich nicht. Hast du einen Shop mit Kundendaten und Verdacht auf abgeflossene Zahlungs- oder Kontodaten, ist das zuerst eine Datenpanne und erst dann eine Bereinigung.
Nicht drin: Hosting, Lizenzen, Neubau
Hoster, Domain und Plugin-Lizenzen laufen weiter über dich. Ist ein gekauftes Plugin der Einfallsweg und die Lizenz abgelaufen, brauchst du eine neue oder einen Ersatz. Ein neues Design oder ein Umzug ist Arbeit an der Seite, nicht Bereinigung.
Seiten ohne WordPress
Joomla, ein eigenes PHP-System, ein Baukasten mit Zugang per SFTP: Auch da lässt sich aufräumen, nur ohne Prüfsummen von WordPress.org. Das rechne ich nach Aufwand ab, 60 € pro Stunde mit abgesprochenem Rahmen.
Was die Bereinigung kostet, und warum „ab“
Niemand weiß von außen, wie tief ein Befall geht. Eine Visitenkarten-Seite mit einem eingeschleusten Skript ist etwas anderes als ein Shop mit tausend fremden Seiten im Index, mehreren Installationen auf einem Hosting und ohne brauchbare Sicherung. Deshalb ein Einstiegspreis und ein fester Preis nach der Ersteinschätzung, nicht ein Stundenzähler.
Hack-Bereinigung
ab 290 €einmalig
Preis nach Ersteinschätzung, vorab fix
- Kostenlose Ersteinschätzung von außen
- Befallenen Stand sichern, alle Zugänge neu
- Prüfsummen-Abgleich, sauberer Aufbau aus frischen Dateien
- Lücke schließen, härten, Überprüfung bei Google
- Hinweis zur DSGVO-Meldung, Kurzbericht
Mehr als 290 € wird es, wenn …
ein Shop mit Kundendaten betroffen ist, mehrere Installationen auf einem Hosting liegen, es keine Sicherung gibt und die Inhalte einzeln übernommen werden müssen, oder Google schon tausende fremde Adressen im Index hat. Das sage ich dir vorher, nicht auf der Rechnung.
Danach: Wartung & Überwachung, 49 € im Monat
Die häufigste Lücke ist ein veraltetes Plugin. Die Wartung danach für 49 € im Monat hält Updates, tägliche Sicherungen außerhalb des Servers und die Überwachung am Laufen, monatlich kündbar.
Alle Preise sind Endpreise, inklusive aller Abgaben. Ist die Seite nicht gehackt, sondern nur kaputt, kostet die Fehlerdiagnose und Reparatur 149 € fix. Wer vor dem Ernstfall wissen will, wo die Seite steht, bekommt mit dem Sicherheits-Check für 290 € einen Bericht nach Dringlichkeit.
Was du selbst machst, bis ich mich melde
Drei Handgriffe, die nichts kaputtmachen und die Bereinigung leichter machen. Alles andere wartet, bis die Zugänge neu sind.
- Nichts löschen, kein Backup zurückspielen. Eine Sicherung von vor dem Knick in der Search Console kann schon befallen sein, und gelöschte Dateien fehlen später beim Feststellen, wie der Angreifer hereinkam.
- Von außen prüfen und notieren.
site:deine-domain.atin Google, der Bericht „Sicherheitsprobleme“ in der Search Console, der Safe-Browsing-Status. Wie du die Seite so abrufst, wie Google sie sieht, steht in Website gehackt: so erkennst du es. - Wer mehr will: der Malware-Scan in drei Schichten. Von außen, Dateien gegen die Originale, die Stellen, die kein Scanner sieht. Die Befehle stehen in WordPress Malware-Scan. Ein Befund dort ist der Anfang der Bereinigung, nicht ihr Ende.
Wer die Bereinigung selbst machen will: Die neun Schritte mit allen Befehlen stehen in Website gehackt: was tun. Danach schützen die Zwei-Faktor-Anmeldung und saubere Benutzerrollen vor dem nächsten Mal.
Stefan Haun, WordPress-Bereinigung aus Stummerberg
cyberscale bin ich: Website- und E-Mail-Sicherheit, Webentwicklung und SEO aus Stummerberg im Zillertal. Wer anfragt, schreibt mit mir, und wer die Seite bereinigt bekommt, bekommt sie von mir. Remote für Seiten in Österreich, Deutschland und der Schweiz; im Zillertal und Bezirk Schwaz komme ich auch vorbei, wenn Zugänge oder Unterlagen nur vor Ort liegen.
Diese Seite lief bis zum 14. September 2026 selbst auf WordPress. Die neun Schritte nach einem Hack, den Malware-Scan in drei Schichten und den Weg, japanische Spam-Seiten wieder aus Google zu bekommen, habe ich im Magazin aufgeschrieben, mit den Befehlen, damit du sie auch ohne mich nachlesen kannst.
- Ort
- Stummerberg, Tirol, Österreich
- Telefon
- +43 650 2000697
- Ausbildung
- HTL Jenbach, Wirtschaftsingenieurwesen
- Antwort
- von mir selbst
Offener Code auf GitHub
- cannibalization-checker Findet Keyword-Kannibalisierung in Search-Console-Daten
- content-decay-tracker Findet Seiten, die organischen Traffic verlieren
- topical-authority-checker Gruppiert Suchanfragen zu Themen-Clustern
Häufige Fragen zur WordPress-Bereinigung
Was kostet es, eine gehackte WordPress-Seite bereinigen zu lassen?
Ab 290 €. Den genauen Preis sage ich nach der kostenlosen Ersteinschätzung, und er steht fest, bevor ich anfange. Mehr wird es, wenn ein Shop mit Kundendaten betroffen ist, mehrere Installationen auf einem Hosting liegen, keine Sicherung existiert oder Google schon tausende fremde Adressen im Index hat. Alle Preise sind Endpreise, inklusive aller Abgaben.
Reicht es nicht, ein Sicherheitsplugin die Malware entfernen zu lassen?
Selten. Ein Scanner findet bekannte Muster in Dateien, aber nicht unbedingt ein fremdes Administratorkonto, einen Eintrag in der Datenbank, ein verändertes Drop-in oder eine Hintertür, die wie ein normales Plugin aussieht. Und er schließt nicht die Lücke, über die der Angreifer kam. Deshalb Zugänge zuerst, dann Prüfsummen-Abgleich und Aufbau aus frischen Dateien. Was ein Scan leisten kann, steht im Beitrag zum Malware-Scan.
Kann ich nicht einfach die letzte Sicherung zurückspielen?
Nur, wenn sicher ist, dass sie vor dem Angriff entstand, und auch dann ist die Lücke noch offen. Angreifer sind oft Wochen vor dem sichtbaren Schaden drin; eine Sicherung von vor dem Knick in der Search Console kann schon befallen sein. Eine geprüfte Sicherung hilft beim Aufbau, ersetzt aber nicht den Wechsel der Zugänge und das Schließen der Lücke.
Wie lange dauert es, bis die Warnung von Google verschwindet?
Die Überprüfung beantrage ich erst, wenn die Seite sauber und wieder online ist, weil eine verfrühte Anfrage die Warnung verlängert. Zur Dauer nennt Google selbst: Phishing etwa einen Tag, Schadsoftware einige Tage, gehackte Inhalte mit Spam bis zu mehrere Wochen. Die Sichtbarkeit in der Suche kommt langsamer zurück, weil Google die Seiten neu abrufen und bewerten muss.
Muss ich den Hack der Datenschutzbehörde melden?
Wenn der Angreifer Zugriff auf personenbezogene Daten hatte, etwa Kundenkonten, Bestellungen oder Formular-Anfragen, verlangt Art. 33 DSGVO eine Meldung, unverzüglich und möglichst binnen 72 Stunden, außer die Verletzung führt voraussichtlich zu keinem Risiko für die Betroffenen. In Österreich ist das die Datenschutzbehörde. Ich sage dir, ob die Frage sich stellt; ob gemeldet werden muss, entscheidet jemand mit rechtlicher Zulassung.
Was ist der Unterschied zur WordPress-Soforthilfe?
Die Soforthilfe für 149 € fix ist für Seiten, die wegen eines Fehlers stehen: weiße Seite, kritischer Fehler, Datenbankverbindung, nach einem Update kaputt. Die Bereinigung ab 290 € ist für Seiten, in denen jemand Fremdes drin ist oder war. Was es bei dir ist, sage ich nach der kostenlosen Ersteinschätzung, bevor etwas kostet.
Wer hilft in Österreich, wenn die Website gehackt ist?
Zuerst dein Hoster: Er kann die Seite sperren, Protokolle liefern und weiß oft, ob andere Kunden betroffen sind. Bei einer Datenpanne die Datenschutzbehörde, über ihr Meldeformular. Für das Aufräumen selbst ein Dienstleister, der WordPress kennt, etwa ich, remote in ganz Österreich und vor Ort im Zillertal und Bezirk Schwaz. Wer es selbst machen will, findet die Schritte im Beitrag „Website gehackt: was tun“.
Kommt der Angreifer wieder?
Wenn die Lücke offen bleibt oder ein Zugang nicht gewechselt wurde, ja, oft innerhalb von Tagen. Deshalb gehören zur Bereinigung das Schließen der Lücke, neue Zugänge überall und die Härtung. In den Wochen danach lohnt ein Blick auf die Administratorliste und die site:-Suche. Wer das nicht selbst im Kalender haben will, nimmt die Wartung für 49 € im Monat.
Schick mir die Adresse, oder ruf an.
Ich sehe mir die Seite von außen an, sage dir, ob sie gehackt ist und was die Bereinigung kostet, bevor ich anfange. Und was du bis dahin auf keinen Fall tun solltest.