Die häufigsten WordPress-Hacks und wie du sie verhinderst

Table of Contents

Einleitung

WordPress-Hacks verhindern beginnt nicht mit einem einzelnen Sicherheits-Plugin. Entscheidend ist vielmehr ein abgestimmtes Schutzkonzept. Dazu gehören Updates, sichere Zugänge, passende Benutzerrechte, Backups und eine laufende Überwachung.

WordPress selbst erhält regelmäßig Sicherheitsupdates. Häufig entsteht das eigentliche Risiko jedoch durch veraltete Plugins, aufgegebene Themes oder schwache Passwörter. Auch falsch konfigurierte Server und zu weitreichende Benutzerrechte öffnen Angreifern Türen. Automatisierte Bots suchen rund um die Uhr nach genau solchen Schwachstellen. Dabei spielt es kaum eine Rolle, ob deine Website zehn oder zehntausend Besucher erreicht.

Ein erfolgreicher Angriff kann Inhalte verändern, Schadcode verteilen oder Besucher auf betrügerische Seiten umleiten. Zusätzlich drohen Datenverlust, Ausfälle und Vertrauensschäden. Bei personenbezogenen Daten können außerdem rechtliche Pflichten entstehen.

In diesem Ratgeber lernst du die häufigsten Angriffsmethoden kennen. Außerdem erfährst du, welche Maßnahmen 2026 wirklich sinnvoll sind. Die Anleitungen richten sich an Einsteiger, Selbstständige und kleine Unternehmen. Du kannst die wichtigsten Schritte daher direkt in deiner WordPress-Installation umsetzen.

Kurz erklärt
Was ist das Thema? Typische Angriffe auf WordPress und passende Schutzmaßnahmen.
Warum ist es wichtig? Ein Hack kann Daten, Umsatz und Vertrauen gefährden.
Wer profitiert davon? Betreiber von Blogs, Firmenwebsites, Shops und Kundenprojekten.

Das Wichtigste in 30 Sekunden

Aktualisiere WordPress, Plugins und Themes zeitnah.

Schütze jedes wichtige Konto mit 2FA.

Entferne ungenutzte Erweiterungen vollständig.

Sichere die Website extern und teste Wiederherstellungen.

Überwache Änderungen, Anmeldungen und bekannte Schwachstellen.

Warum WordPress-Websites angegriffen werden

WordPress ist weit verbreitet und flexibel. Genau deshalb lohnt sich die Entwicklung automatisierter Angriffswerkzeuge. Ein Bot kann tausende Websites nach derselben verwundbaren Plugin-Version durchsuchen. Er greift dabei nicht gezielt deine Person an. Vielmehr sucht er eine bekannte technische Lücke.

Das bedeutet: Auch kleine Websites sind attraktive Ziele. Angreifer missbrauchen sie zum Beispiel für Spam, Phishing, Schadsoftware oder versteckte Weiterleitungen. Zudem können sie Serverleistung für fremde Zwecke verwenden. Andere Täter stehlen Kundendaten oder übernehmen Administratorkonten.

Die OWASP Top 10:2025 nennt fehlerhafte Zugriffskontrollen, Sicherheitsfehlkonfigurationen und Risiken in der Software-Lieferkette weit oben. Diese Kategorien passen besonders gut zu WordPress. Denn jede Erweiterung bringt zusätzlichen Code und damit eine weitere potenzielle Angriffsfläche mit.

Ein aktueller Wordfence-Wochenbericht aus Juni 2026 dokumentierte 110 neu erfasste Schwachstellen in 97 Plugins und fünf Themes. Eine einzelne Woche bildet keinen langfristigen Durchschnitt. Sie zeigt jedoch, wie dynamisch das Ökosystem bleibt. Daher ist WordPress-Sicherheit keine einmalige Aufgabe, sondern ein dauerhafter Prozess.

Die häufigsten WordPress-Hacks im Überblick

Die meisten Angriffe nutzen bekannte Muster. Manche zielen auf Passwörter, andere auf Programmfehler oder falsche Einstellungen. Die folgende Tabelle ordnet die wichtigsten Gefahren ein.

Angriff	Typisches Einfallstor	Mögliche Folge	Wichtigste Abwehr
Brute Force und Credential Stuffing	Schwache oder wiederverwendete Passwörter	Kontoübernahme	2FA, starke Passwörter, Rate Limiting
Plugin- oder Theme-Lücke	Veraltete oder aufgegebene Erweiterung	Schadcode, Admin-Übernahme	Updates, minimale Plugin-Auswahl
Cross-Site Scripting	Ungeprüfte Eingaben	Manipulierte Seiten, Session-Diebstahl	Updates, sichere Entwicklung, WAF
SQL-Injection	Unsichere Datenbankabfrage	Datendiebstahl oder Manipulation	Updates, vorbereitete Abfragen
Schadsoftware und Backdoors	Vorheriger Einbruch oder infizierter Upload	Dauerhafter Fremdzugriff	Integritätsprüfung, Bereinigung
SEO-Spam und Redirects	Kompromittierte Dateien oder Datenbank	Rankingverlust, Umleitungen	Monitoring, Updates, sauberes Backup
Rechteausweitung	Fehlerhafte Rollenprüfung	Abonnent wird Administrator	Least Privilege, Updates

Die Schutzmaßnahmen überschneiden sich bewusst. Dadurch fängt eine zweite Barriere einen Fehler der ersten Barriere ab. Dieses Prinzip nennt man „Defense in Depth“, also Schutz in mehreren Ebenen.

Brute Force und Credential Stuffing

Bei einem Brute-Force-Angriff probiert ein Programm viele Kennwörter aus. Beim Credential Stuffing nutzt es hingegen gestohlene Kombinationen aus anderen Datenlecks. Wiederverwendete Passwörter sind deshalb besonders gefährlich.

Ein geänderter Login-Pfad kann Bot-Rauschen reduzieren. Er ersetzt jedoch weder ein starkes Passwort noch 2FA. Nutze für jedes Konto ein einzigartiges Kennwort aus einem Passwortmanager. Aktiviere zusätzlich Zwei-Faktor-Authentifizierung für Administratoren, Redakteure und Hosting-Konten. Begrenze außerdem wiederholte Anmeldeversuche auf Server-, CDN- oder Firewall-Ebene.

WordPress-Hacks durch veraltete Plugins verhindern

Plugins und Themes sind häufige Einstiegspunkte. Das liegt nicht automatisch an schlechter Qualität. Vielmehr erweitert jede Komponente die Website um neuen Code. Eine bekannt gewordene Lücke wird oft schnell automatisiert ausgenutzt.

Installiere Erweiterungen daher nur aus vertrauenswürdigen Quellen. Prüfe das Datum des letzten Updates, Supportmeldungen und die Kompatibilität. Entferne ungenutzte Plugins und Themes vollständig. Eine bloße Deaktivierung beseitigt den verwundbaren Code nicht vom Server.

Aktiviere automatische Updates gezielt für gut gepflegte Erweiterungen. Bei Shops und geschäftskritischen Websites solltest du Aktualisierungen zunächst in einer Staging-Umgebung testen. Spiele wichtige Sicherheitsupdates dennoch ohne unnötige Verzögerung ein.

Cross-Site Scripting und SQL-Injection

Cross-Site Scripting, kurz XSS, schleust schädlichen Browsercode in Seiten ein. SQL-Injection manipuliert hingegen Datenbankabfragen. Beide Angriffe entstehen meist durch unsichere Verarbeitung von Eingaben in Plugins, Themes oder eigenem Code.

Betreiber schützen sich vor allem durch schnelle Updates und eine kleine Angriffsfläche. Entwickler müssen Eingaben validieren, Ausgaben passend maskieren und WordPress-APIs verwenden. Für Datenbankzugriffe sind vorbereitete Abfragen wichtig. Eine Web Application Firewall kann bekannte Angriffsmuster zusätzlich blockieren. Sie repariert jedoch keinen fehlerhaften Code.

Malware, Backdoors und manipulierte Dateien

Nach einem Einbruch hinterlegen Angreifer oft eine Backdoor. Diese versteckte Hintertür ermöglicht später einen erneuten Zugriff. Der Schadcode kann in PHP-Dateien, Upload-Verzeichnissen, Datenbankeinträgen oder geplanten Aufgaben stecken.

Ein einfacher Malware-Scan findet nicht jede Veränderung. Vergleiche deshalb WordPress-Kerndateien mit offiziellen Prüfsummen. Überwache außerdem neue Administratoren, geänderte Dateien und ungewöhnliche Cron-Jobs. Sichere Backups müssen außerhalb des Webservers liegen. Sonst kann ein Angreifer Website und Sicherungen gemeinsam löschen oder manipulieren.

SEO-Spam, Phishing und Weiterleitungen

Bei SEO-Spam erscheinen fremde Seiten, Links oder Suchergebnisse unter deiner Domain. Manchmal sehen nur Suchmaschinen oder mobile Besucher die Manipulation. Dadurch bleibt der Angriff länger unbemerkt.

Kontrolliere die Google Search Console und deine Indexabdeckung. Achte außerdem auf fremde Weiterleitungen, neue Dateien und plötzlich sinkende Rankings. Entferne nicht nur sichtbare Spam-Seiten. Du musst auch das Einfallstor und jede Hintertür beseitigen. Andernfalls kehrt die Manipulation zurück.

Unsichere Uploads und Dateiberechtigungen

Upload-Funktionen können gefährlich werden, wenn Dateitypen oder Zugriffsrechte falsch geprüft werden. Zudem erleichtern zu offene Dateiberechtigungen die Manipulation durch andere Prozesse oder Benutzer des Servers.

Erlaube nur benötigte Dateiformate und begrenze Dateigrößen. Verhindere außerdem die Ausführung von Skripten im Upload-Verzeichnis. WordPress empfiehlt grundsätzlich restriktive Berechtigungen. Die konkrete Einstellung hängt jedoch vom Hosting und Webserver ab. Setze daher nicht pauschal alles auf 777.

Rechteausweitung und gestohlene Sitzungen

Eine Rechteausweitung macht aus einem normalen Benutzer ein Konto mit höheren Rechten. Gestohlene Sitzungscookies können ebenfalls den Zugang ermöglichen. Deshalb reicht ein sicheres Administratorpasswort allein nicht aus.

Vergib nur die Rolle, die eine Person tatsächlich benötigt. Autoren brauchen normalerweise keine Administratorrechte. Lösche alte Konten und beende Sitzungen ausgeschiedener Mitarbeiter. Nutze HTTPS auf der gesamten Website, damit Anmeldedaten und Sitzungen geschützt übertragen werden.

WordPress-Hacks verhindern: Schutzplan in zehn Schritten

Ein wirksamer Schutzplan verbindet technische und organisatorische Maßnahmen. Gehe die folgenden Schritte nacheinander durch. Dokumentiere außerdem Datum, Verantwortliche und Ergebnis.

Vollständiges Backup erstellen: Sichere Dateien und Datenbank an einem externen Ziel.
Wiederherstellung testen: Prüfe das Backup auf einer Staging-Installation.
Alles aktualisieren: Installiere Updates für Core, Plugins, Themes, PHP und Server.
Angriffsfläche reduzieren: Lösche ungenutzte Erweiterungen, Themes und Konten.
Zugänge absichern: Nutze einzigartige Passwörter, 2FA und ein Login-Limit.
Rollen prüfen: Vergib Rechte nach dem Minimalprinzip.
HTTPS erzwingen: Leite HTTP vollständig auf HTTPS um.
Dateien schützen: Prüfe Berechtigungen und sperre PHP-Ausführung in Uploads.
Überwachung aktivieren: Protokolliere Logins, Dateiänderungen und neue Administratoren.
Notfallplan festlegen: Halte Kontakte, Backup-Orte und Wiederanlaufverfahren fest.

Sichere Updates ohne unnötiges Risiko

Erstelle zuerst eine aktuelle Sicherung. Prüfe danach, ob Erweiterungen bekannte Kompatibilitätsprobleme melden. Aktualisiere eine Staging-Kopie und teste Login, Formulare, Suche, Checkout und E-Mail-Versand. Anschließend kannst du die produktive Website aktualisieren.

Bei einer aktiv ausgenutzten kritischen Schwachstelle zählt jedoch Geschwindigkeit. Deaktiviere eine betroffene Erweiterung notfalls vorübergehend. Warte nicht mehrere Wochen auf ein bequemes Wartungsfenster.

Konten und Zwei-Faktor-Authentifizierung härten

Lege für jede Person ein eigenes Konto an. Dadurch bleiben Änderungen nachvollziehbar. Verwende keine gemeinsam genutzten Administratorzugänge. Sichere ebenso Hosting, Domainverwaltung, CDN, Backup-Dienst und geschäftliche E-Mail mit 2FA.

Bevorzuge Authenticator-Apps oder Sicherheitsschlüssel. SMS ist besser als gar kein zweiter Faktor, jedoch anfälliger. Bewahre Wiederherstellungscodes offline an einem geschützten Ort auf.

Backups nach der 3-2-1-Regel planen

Die 3-2-1-Regel empfiehlt drei Datenkopien auf zwei unterschiedlichen Speichermedien. Eine Kopie liegt dabei außerhalb des eigentlichen Systems. Für eine dynamische Website müssen Dateien und Datenbank zusammenpassen.

Automatisiere tägliche oder häufigere Sicherungen, wenn sich Inhalte regelmäßig ändern. Bewahre mehrere Generationen auf. Ein einziges Backup kann bereits infiziert oder beschädigt sein. Teste die Wiederherstellung mindestens vierteljährlich und nach größeren Umbauten.

Praxis-Tipp: Ein Backup gilt erst dann als verlässlich, wenn du es erfolgreich wiederhergestellt hast.

Woran du eine gehackte WordPress-Website erkennst

Nicht jeder Angriff zeigt sofort eine Warnseite. Viele Täter wollen möglichst lange unentdeckt bleiben. Achte daher auf technische und inhaltliche Abweichungen.

Typische Warnzeichen sind:

unbekannte Administratoren oder plötzlich geänderte Passwörter,
fremde Seiten, Links oder Weiterleitungen,
Warnungen des Browsers oder der Suchmaschine,
ungewöhnlich hohe Serverlast oder ausgehender Traffic,
geänderte PHP-Dateien ohne geplantes Update,
neue Cron-Jobs oder unbekannte Prozesse,
plötzlich versendete Spam-E-Mails,
unerklärliche Fehler im Checkout oder Login.

Ein einzelnes Signal beweist noch keinen Hack. Mehrere Auffälligkeiten erfordern jedoch eine sofortige Untersuchung. Sichere vor der Bereinigung ein forensisches Abbild, sofern der Vorfall geschäftskritisch ist.

Sofortmaßnahmen nach einem WordPress-Hack

Handle ruhig und nachvollziehbar. Unkoordinierte Änderungen können Spuren vernichten oder die Bereinigung erschweren.

Website isolieren: Aktiviere eine Wartungsseite oder begrenze den Zugriff serverseitig.
Beweise sichern: Speichere Logs, Dateien, Datenbank und Zeitpunkte vor der Bereinigung.
Einfallstor bestimmen: Prüfe Schwachstellen, Konten, Uploads und Hosting-Zugänge.
Sauber wiederherstellen: Nutze ein nachweislich sauberes Backup oder ersetze kompromittierte Komponenten.
Alle Geheimnisse wechseln: Erneuere WordPress-, Hosting-, Datenbank-, SFTP- und API-Zugangsdaten.
Updates installieren: Schließe die ausgenutzte Lücke und entferne aufgegebene Komponenten.
Backdoors suchen: Prüfe Dateien, Datenbank, Benutzer, Cron-Jobs und mu-plugins.
Funktion testen: Kontrolliere Frontend, Formulare, E-Mail, Shop und Weiterleitungen.
Monitoring verschärfen: Beobachte die Website in den folgenden Tagen besonders genau.
Meldepflicht prüfen: Kläre bei personenbezogenen Daten mögliche DSGVO-Pflichten fachkundig.

Ändere Kennwörter möglichst von einem sauberen Endgerät. Andernfalls kann lokale Schadsoftware neue Zugangsdaten direkt erneut stehlen.

Häufige Fehler bei der WordPress-Sicherheit

Viele Betreiber verlassen sich auf einzelne Maßnahmen. Das erzeugt ein falsches Sicherheitsgefühl. Besonders häufig treten folgende Fehler auf:

Sicherheits-Plugin installieren, aber Warnungen ignorieren,
Backups ausschließlich auf demselben Hosting speichern,
deaktivierte Plugins auf dem Server liegen lassen,
allen Dienstleistern Administratorrechte geben,
Updates aus Angst vor Fehlern monatelang verschieben,
Nulled Themes oder Plugins aus inoffiziellen Quellen verwenden,
nur den Login-Pfad ändern und dies als vollständigen Schutz betrachten,
keine Wiederherstellung testen,
Hosting- und E-Mail-Konten ohne 2FA betreiben,
mehrere Sicherheits-Plugins mit überlappenden Funktionen installieren.

Mehrere umfangreiche Security-Plugins können sich gegenseitig stören. Zudem belasten doppelte Scans den Server. Wähle deshalb ein passendes Konzept und konfiguriere es sauber.

Vorteile und Nachteile wichtiger Schutzmaßnahmen

Nicht jede Maßnahme passt unverändert zu jeder Website. Die folgende Gegenüberstellung hilft bei der Auswahl.

Maßnahme	Vorteile	Nachteile oder Aufwand
Automatische Updates	Schließt Lücken schnell	Seltene Kompatibilitätsprobleme möglich
Web Application Firewall	Blockiert viele bekannte Muster früh	Kosten und mögliche Fehlalarme
2FA	Stoppt viele Kontoübernahmen	Wiederherstellung muss organisiert sein
Externe Backups	Ermöglichen Wiederanlauf nach Angriff	Speicher, Tests und Datenschutz nötig
Aktivitätsprotokoll	Verbessert Erkennung und Nachvollziehbarkeit	Benötigt Speicher und regelmäßige Prüfung
Staging-System	Updates lassen sich sicher testen	Zusätzlicher Betriebsaufwand

Für kleine Blogs reicht oft ein schlankes Basispaket. Geschäftskritische Shops brauchen hingegen engere Überwachung, häufigere Backups und einen klaren Incident-Response-Prozess.

Zusammenfassende Checkliste

Nutze diese Liste für eine monatliche Sicherheitsprüfung:

WordPress Core ist aktuell.
Plugins und Themes sind aktuell und werden gepflegt.
Ungenutzte Erweiterungen wurden gelöscht.
Administratoren nutzen einzigartige Passwörter und 2FA.
Hosting, Domain, E-Mail und Backups sind ebenfalls mit 2FA geschützt.
Benutzerrollen folgen dem Minimalprinzip.
HTTPS ist auf der gesamten Website aktiv.
Backups liegen extern und enthalten Dateien sowie Datenbank.
Eine Wiederherstellung wurde erfolgreich getestet.
Login- und Dateiänderungen werden überwacht.
Sicherheitswarnungen werden zeitnah bewertet.
Ein schriftlicher Notfallplan ist vorhanden.

Fazit

WordPress-Hacks verhindern bedeutet vor allem, bekannte Risiken konsequent zu reduzieren. Aktuelle Software, wenige Erweiterungen, sichere Konten und geprüfte Backups bilden das Fundament. Eine Firewall und ein Sicherheits-Plugin ergänzen diesen Schutz. Sie ersetzen jedoch keine Wartung.

Beginne mit den größten Risiken: Aktualisiere alle Komponenten, aktiviere 2FA und sichere die Website extern. Prüfe danach Rollen, Berechtigungen und Protokolle. So entsteht schrittweise ein belastbares Sicherheitskonzept. Gleichzeitig kannst du bei einem Vorfall schneller und kontrollierter reagieren.

FAQ: Häufige Fragen zu WordPress-Hacks

Wie kann ich WordPress-Hacks verhindern?

Halte WordPress, Plugins und Themes aktuell. Nutze außerdem starke, einzigartige Passwörter und 2FA. Lösche ungenutzte Erweiterungen, begrenze Benutzerrechte und erstelle externe Backups. Ergänze diese Maßnahmen durch Monitoring und eine sinnvoll konfigurierte Firewall.

Ist WordPress selbst unsicher?

WordPress ist nicht grundsätzlich unsicher. Risiken entstehen häufig durch veraltete Erweiterungen, schwache Zugänge und falsche Konfigurationen. Auch ein aktuelles System bleibt jedoch auf Wartung und Überwachung angewiesen.

Reicht ein Sicherheits-Plugin aus?

Nein. Ein Sicherheits-Plugin kann Angriffe erkennen oder blockieren. Es ersetzt aber keine Updates, 2FA und Backups. Zudem muss jemand Warnungen bewerten und notwendige Maßnahmen durchführen.

Wie oft sollte ich WordPress aktualisieren?

Prüfe Aktualisierungen mindestens wöchentlich. Kritische Sicherheitsupdates solltest du deutlich schneller installieren. Bei wichtigen Websites helfen Staging-Tests und ein festes Wartungsfenster.

Wie erkenne ich ein unsicheres Plugin?

Achte auf lange ausbleibende Updates, ungelöste Supportfälle und fehlende Kompatibilitätsangaben. Prüfe außerdem bekannte Schwachstellen in einer Vulnerability-Datenbank. Entferne das Plugin, wenn der Anbieter eine kritische Lücke nicht zeitnah behebt.

Was kostet die Bereinigung einer gehackten Website?

Die Kosten hängen vom Umfang ab. Ein kleiner, klar abgegrenzter Vorfall ist schneller behoben als eine tief verankerte Backdoor. Ausfallzeit, Datenverlust und Meldepflichten können den Aufwand zusätzlich erhöhen.

Soll ich das Standard-Login unter `/wp-admin` umbenennen?

Eine Änderung kann automatisiertes Rauschen reduzieren. Sie ist jedoch keine starke Sicherheitsbarriere. Nutze weiterhin 2FA, Rate Limiting, sichere Passwörter und eine Überwachung erfolgreicher Anmeldungen.

Empfehlung zum Weiterlesen

Ist deine WordPress-Website ausreichend geschützt? Arbeite die Checkliste heute Punkt für Punkt ab. Speichere den Beitrag außerdem als monatliche Sicherheitsroutine. Weitere verständliche Anleitungen zu WordPress und IT-Sicherheit findest du bei Lumio Studios.

Die häufigsten WordPress-Hacks und wie du sie verhinderst

Einleitung

Warum WordPress-Websites angegriffen werden