WordPress gehackt: Was tun, wenn die Website plötzlich nicht mehr sicher ist?

Sprungmenü / Inhaltsverzeichnis

WordPress ist riesig. Genau deshalb ist es interessant.

WordPress läuft aktuell auf rund 40,7 % aller Websites, die W3Techs erfasst. Betrachtet man nur Websites, bei denen ein Inhaltsverwaltungssystem erkannt wurde, liegt der Anteil sogar bei 58,9 %.

Zum Vergleich:

Inhaltsverwaltungssystem	Anteil aller Websites	Anteil unter bekannten Systemen
WordPress	40,7 %	58,9 %
Joomla	1,1 %	1,7 %
Drupal	0,7 %	1,0 %
Webflow	0,8 %	1,2 %
TYPO3	0,4 %	0,5 %

Stand: September 2026, W3Techs.

Das ist für WordPress Fluch und Segen zugleich. Die große Verbreitung sorgt für eine riesige Entwicklergemeinschaft, viele Erweiterungen, viel Wissen und schnelle Reaktionen auf Sicherheitslücken. Sie sorgt aber auch dafür, dass sich ein Angriff wirtschaftlich lohnt.

Wenn ein Angreifer eine Sicherheitslücke in einem weit verbreiteten Plugin findet, muss er nicht 50 unterschiedliche Systeme verstehen. Er kann eine Schwachstelle automatisiert suchen und anschließend tausende Websites angreifen.

Der entscheidende Punkt ist:

Ein Angreifer muss nicht wissen, wer du bist. Er muss nur wissen, welche Software du verwendest.

Die eigentliche Gefahr sitzt häufig nicht im WordPress-Kern

2025 wurden im WordPress-Ökosystem laut Patchstack 11.334 neue Sicherheitslücken registriert.

Das sind im Durchschnitt mehr als 31 neue Schwachstellen pro Tag.

Gegenüber 2024 entspricht das einem Anstieg von 42 %. 17 % der 2025 erfassten Schwachstellen wurden als hochriskant eingestuft und damit als potenziell geeignet für automatisierte Angriffe in großem Maßstab bewertet.

Das klingt zunächst ziemlich dramatisch. Ist es auch. Aber hier muss man genau hinschauen.

Eine gemeldete Sicherheitslücke bedeutet nicht automatisch, dass eine Website gehackt wurde. Viele Schwachstellen lassen sich nur unter bestimmten Voraussetzungen ausnutzen. Manche benötigen bereits vorhandene Benutzerrechte oder eine Benutzerinteraktion.

Und noch wichtiger:

Die Zahl der gemeldeten Schwachstellen ist nicht dasselbe wie die Zahl der erfolgreichen Angriffe.

Trotzdem zeigt sie ziemlich deutlich, wo die Angriffsfläche liegt. Bei WordPress sind es vor allem die Erweiterungen. Patchstack zufolge entfielen 2024 rund 96 % der registrierten Schwachstellen auf Plugins. Wordfence kommt für sein eigenes Datenset ebenfalls auf 96 % Plugin-Anteil. Das bedeutet nicht, dass Plugins schlecht sind. Es bedeutet:

Jedes zusätzliche Plugin ist zusätzliche Software. Und zusätzliche Software kann zusätzliche Fehler enthalten.

Wie groß ist die Bedrohung tatsächlich?

Eine Zahl im Blog von Wordfence macht die Dimension etwas greifbarer.

Wordfence protokollierte 2024 mehr als 54 Milliarden bösartige Anfragen und blockierte mehr als 55 Milliarden Passwortangriffe. Die bösartigen Anfragen stammten von mehr als 209 Millionen unterschiedlichen IP-Adressen.

54 Milliarden.

Das sind keine 54 Milliarden erfolgreichen Einbrüche. Es sind Anfragen, die von der Sicherheitsinfrastruktur als bösartig erkannt und blockiert oder protokolliert wurden. Das ist ein wichtiger Unterschied. Aber es zeigt sehr deutlich, dass eine öffentlich erreichbare Website nicht darauf wartet, dass irgendwann jemand zufällig über ihre Adresse stolpert. Sie wird permanent automatisiert untersucht.

Auch deine Website.

Und genau hier wird KI interessant

Künstliche Intelligenz ist beim Thema Sicherheit Fluch und Segen zugleich. Das klingt nach einer dieser Formulierungen, die man in einem Youtube Video über die Gefahren von Künstlicher Intelligenz oder in einem Marketing-Coaching hören könnte. In diesem Fall stimmt sie aber tatsächlich.

Der Segen

KI kann bei der Entwicklung und beim Betrieb von Websites enorm helfen. Bilder können bearbeitet, vergrößert und angepasst werden. Texte können erstellt, strukturiert und überarbeitet werden. Programmcode kann analysiert und erklärt werden. Fehler können schneller gefunden werden. Dokumentation kann automatisch ausgewertet werden. Und WordPress selbst entwickelt sich gerade in Richtung KI.

Mit WordPress 6.9 wurde die Abilities API eingeführt. Sie macht WordPress-Funktionen standardisiert auffindbar und ausführbar.

Mit WordPress 7.0 kommt zusätzlich die Connectors API hinzu. Sie schafft eine standardisierte Möglichkeit, externe Dienste anzubinden, zunächst mit einem deutlichen Schwerpunkt auf KI-Diensten. Dazu kommt der MCP-Adapter.

MCP steht für Model Context Protocol. Vereinfacht gesagt kann damit ein KI-System definierte Funktionen einer WordPress-Website erkennen und ausführen.

Das eröffnet interessante Möglichkeiten.

Eine KI könnte beispielsweise Inhalte analysieren, Daten aus WordPress auswerten oder bestimmte Verwaltungsaufgaben übernehmen, ohne dass für jeden Anwendungsfall eine komplett eigene Schnittstelle gebaut werden muss. Für Entwickler ist das ausgesprochen spannend.

Für die Sicherheit ebenfalls. Nur aus einem anderen Grund.

Der Fluch

Was KI auf der einen Seite für Entwickler einfacher macht, kann sie auf der anderen Seite auch für Angreifer einfacher machen.

Google Threat Intelligence beobachtet inzwischen, dass Angreifer KI nicht mehr nur für einfache Textgenerierung einsetzen.

KI wird unter anderem verwendet für:

Google beschreibt 2026 ausdrücklich eine Entwicklung hin zur industriellen Nutzung generativer KI innerhalb von Angriffsabläufen. Besonders interessant: Google berichtet von einem Fall, bei dem ein Zero-Day-Exploit nach Einschätzung der Forscher mit Unterstützung von KI entwickelt wurde.

Das ist eine andere Dimension als: „ChatGPT schreibt mir eine Phishing-Mail.“

Die eigentliche Veränderung besteht darin, dass KI immer mehr Teile der technischen Arbeit eines Angreifers automatisieren kann.

Sicherheitslücken lassen sich schneller untersuchen

Das ist gerade für WordPress relevant. Ein Angreifer muss nicht mehr unbedingt jede Erweiterung vollständig von Hand untersuchen.

KI kann große Mengen Quellcode analysieren, ungewöhnliche Stellen markieren, Funktionen miteinander vergleichen und Hinweise auf mögliche Schwachstellen liefern.

Google beschreibt genau diese Entwicklung: KI-Modelle werden zunehmend als Werkzeug für Schwachstellenforschung und die Entwicklung von Exploits eingesetzt. Dadurch sinkt die technische Einstiegshürde und gleichzeitig kann sich die Geschwindigkeit der Analyse erhöhen.

Das verändert eine bisher ziemlich wichtige Zeitspanne:

Die Zeit zwischen dem Bekanntwerden einer Sicherheitslücke und ihrer Ausnutzung.

Je schneller Angreifer diesen Zeitraum ausnutzen können, desto weniger Zeit bleibt Websitebetreibern zum Reagieren. Deshalb werden zeitnahe Sicherheitsupdates immer wichtiger.

KI kann Angriffe außerdem persönlicher machen

Früher war ein großer Teil unerwünschter Nachrichten erstaunlich leicht zu erkennen.

Schlechte Übersetzungen. Unnatürliche Formulierungen. Merkwürdige Absender. Offensichtliche Rechtschreibfehler.

Das hat sich geändert und ist jetzt schwieriger.

KI kann Informationen über Unternehmen, Ansprechpartner und deren Tätigkeiten zusammenführen und daraus wesentlich glaubwürdigere Nachrichten erzeugen.

Microsoft beschreibt ebenfalls eine zunehmende Nutzung von KI durch Angreifer zur Skalierung von Phishing und zur Automatisierung von Angriffen. Gleichzeitig setzen Verteidiger KI ein, um Angriffe schneller zu erkennen und darauf zu reagieren.

Das Wettrennen findet also auf beiden Seiten statt.

Und dann gibt es noch die KI selbst als neue Angriffsfläche

Je mehr KI-Systeme mit anderen Anwendungen verbunden werden, desto interessanter werden diese Verbindungen. Eine KI, die nur einen Text formuliert, hat relativ wenig Zugriff. Eine KI, die Zugriff auf Dateien, Kalender, E-Mails, Datenbanken oder WordPress bekommt, hat wesentlich mehr Möglichkeiten.

Genau deshalb sind neue Schnittstellen wie MCP spannend und gleichzeitig sicherheitsrelevant.

Die entscheidende Frage lautet nicht:

„Kann ich meine Website mit KI verbinden?“

Sondern:

„Was darf die KI nach der Verbindung tatsächlich sehen und ausführen?“

Das ist ein erheblicher Unterschied.

Eine KI mit Leserechten ist etwas anderes als eine KI, die Benutzer anlegen, Inhalte verändern oder administrative Funktionen ausführen darf. Und genau hier wird die klassische Sicherheitsregel wieder sehr aktuell:

So wenig Rechte wie möglich. So viele wie nötig.

Woran erkennst du, dass deine WordPress-Website gehackt wurde?

Ein Hack sieht nicht zwangsläufig aus wie im Film. Der berühmte Totenkopf auf der Startseite ist eher die Ausnahme. Für einen Angreifer ist es häufig wesentlich interessanter, wenn du den Angriff überhaupt nicht bemerkst.

Mögliche Anzeichen sind:

Das sind keine Beweise für einen erfolgreichen Angriff.

Aber sie sind gute Gründe, genauer hinzusehen.

Erst einmal: Ruhe bewahren

Das klingt banal. Ist es aber nicht.

Wenn eine Website nicht mehr funktioniert und möglicherweise Kundendaten betroffen sind, ist Panik ein schlechter Ratgeber. Lösche nicht einfach das komplette WordPress-Verzeichnis. Installiere nicht zehn Sicherheits-Plugins. Spiele nicht blind irgendein altes Backup ein. Und ändere nicht nur das WordPress-Passwort, wenn möglicherweise auch andere Zugangsdaten betroffen sind.

Ein erfolgreicher Angriff kann mehrere Bereiche betreffen:

WordPress. Plugins und Themes. Benutzerkonten. Datenbank. Hosting-Zugang. FTP oder SFTP.

Unter Umständen sogar den Rechner, von dem aus du die Website verwaltest.

1. Website möglichst aus dem Verkehr ziehen

Wenn tatsächlich Schadcode auf deiner Website aktiv ist, sollte die Website nicht einfach weiter Besucher bedienen. Je nach Situation kann es sinnvoll sein, die Website vorübergehend zu sperren oder über den Hoster eine Wartungsseite auszuliefern.

Besonders wichtig ist das, wenn deine Website Schadsoftware verteilt, Besucher auf fremde Seiten umleitet oder dein Server für Spam missbraucht wird. Wenn dein Hoster die Website bereits gesperrt hat, solltest du das nicht einfach umgehen. Kläre zunächst, warum.

2. Zugangsdaten ändern

Ändere die Zugangsdaten für alle relevanten Zugänge:

• WordPress
• Hosting
• FTP beziehungsweise SFTP
• Datenbank
• gegebenenfalls SSH
• weitere Benutzerkonten mit Zugriff auf die Website

Verwende für jeden Zugang ein eigenes, starkes Passwort.

WordPress empfiehlt nach einem Angriff außerdem, die Sicherheitsschlüssel, auch Salts genannt in der wp-config.php zu erneuern. Dadurch werden bestehende Anmeldungen ungültig.

Für Administratorkonten sollte zusätzlich eine Zwei-Faktor-Anmeldung eingesetzt werden. Und ändere nicht einfach die Passwörter bevor du weisst ob ein Passwort-Logger eingeschleust wurde! Dann nützt dir das Ändern des WordPress-Login-Passwortes nichts. Erst muss der Logger, der dein Passwort im Klartext an den Angreifer schickt entfernt werden.

3. Nicht einfach den Schadcode löschen

Das ist einer der häufigsten Fehler. Du findest eine verdächtige PHP-Datei und denkst:

„Die lösche ich.“

Das Problem:

Du weißt damit noch lange nicht, wie die Datei auf den Server gekommen ist. Vielleicht existieren weitere manipulierte Dateien. Vielleicht wurde ein Administrator angelegt. Vielleicht wurde eine Hintertür eingebaut. Vielleicht ist ein Plugin weiterhin verwundbar und der Angreifer kommt nach deiner vermeintlichen Bereinigung einfach wieder zurück.

Eine Bereinigung ist deshalb keine reine Aufräumarbeit. Sie ist Spurensuche.

4. Backup vorhanden? Sehr gut. Aber Vorsicht.

Ein funktionierendes Backup kann nach einem Angriff Gold wert sein. Es kann aber genauso gut verseucht sein.

Wenn du beispielsweise am Montag gehackt wurdest und dein automatisches Backup am Freitag erstellt wurde, kann sich der Schadcode bereits im Freitag-Backup befinden. Deshalb sollte vor einer Wiederherstellung möglichst geklärt werden:

Wann wurde die Website kompromittiert?

Je genauer du diesen Zeitpunkt bestimmen kannst, desto besser kannst du entscheiden, welches Backup überhaupt vertrauenswürdig ist.

Und noch etwas:

Ein Backup ist erst dann ein gutes Backup, wenn du es auch wiederherstellen kannst. Eine Datei namens backup-final-neu-2.zip auf irgendeinem Rechner ist keine zuverlässige Datensicherung.

5. WordPress, Plugins und Themes sauber ersetzen

Ist eine Installation kompromittiert, sollte man nicht einfach einzelne verdächtige Dateien löschen und anschließend hoffen, dass alles wieder in Ordnung ist. WordPress empfiehlt bei der Wiederherstellung unter anderem, die WordPress-Systemdateien aus einer unveränderten Version neu einzuspielen. Besondere Aufmerksamkeit verdient wp-content.

Dort liegen unter anderem Plugins, Themes und hochgeladene Dateien. Genau dort kann sich Schadcode verstecken.

Bei Plugins und Themes stellt sich deshalb nicht nur die Frage:

„Ist dieses Plugin aktuell?“

Sondern:

„Brauche ich dieses Plugin überhaupt noch?“

Ein Plugin, das seit Jahren nicht mehr gepflegt wird, gehört nicht auf eine produktive Website. Auch dann nicht, wenn es bisher problemlos funktioniert hat.

6. Die Ursache finden

Jetzt kommt der Teil, den viele überspringen. Wenn du die Website einfach wiederherstellst, ohne die Ursache des Angriffs zu untersuchen, hast du möglicherweise nur die Uhr zurückgedreht. Nicht aber das Problem gelöst.

Typische Ursachen sind:

Und manchmal ist es überhaupt kein WordPress-Problem. Vielleicht wurde das Passwort über einen anderen Dienst abgegriffen. Vielleicht war ein Rechner kompromittiert. Vielleicht hatte jemand Zugriff auf den Hosting-Account.

Deshalb sollte die Frage nicht nur lauten:

„Welche Datei war infiziert?“

Sondern:

„Wie konnte der Angreifer überhaupt hineinkommen?“

Sicherheits-Plugin: Ja. Sicherheitsillusion: Nein.

Ein Sicherheits-Plugin kann eine sinnvolle zusätzliche Schutzschicht sein. Es kann beispielsweise verdächtige Anfragen erkennen, Dateien überwachen, Anmeldeversuche protokollieren oder bestimmte Angriffe blockieren. Aber ein Sicherheits-Plugin ersetzt keine Wartung.

Eine Alarmanlage macht dein Haus schließlich auch nicht automatisch sicher, nur weil sie an der Wand hängt.

Updates müssen durchgeführt werden. Warnungen müssen bewertet werden. Backups müssen funktionieren. Benutzerrechte müssen kontrolliert werden. Und wenn tatsächlich etwas passiert, muss jemand reagieren.

Das Entscheidende ist deshalb nicht, möglichst viele Sicherheitsfunktionen einzuschalten. Das Entscheidende ist, dass die vorhandenen Schutzmaßnahmen funktionieren und regelmäßig kontrolliert werden.

Die neue Realität: Geschwindigkeit entscheidet

Die Entwicklung der vergangenen Jahre zeigt ein ziemlich klares Bild.

2024 registrierte Patchstack 7.966 neue WordPress-Schwachstellen.

2025 waren es 11.334.

Das entspricht einem Anstieg von 42 %.

Gleichzeitig zeigt die Angriffstelemetrie von Wordfence, wie groß das automatisierte Grundrauschen bereits ist: Milliarden bösartiger Anfragen und Passwortangriffe werden jedes Jahr abgewehrt. Und jetzt kommt KI dazu. Sie hilft Entwicklern dabei, Software sicherer zu machen. Sie hilft Sicherheitsforschern beim Finden von Schwachstellen. Sie hilft Administratoren bei Analyse und Überwachung.

Aber sie hilft eben auch Angreifern.

Das bedeutet nicht, dass morgen jede WordPress-Website von einer selbstständig denkenden Hacker-KI übernommen wird. Es bedeutet etwas viel Nüchterneres:

Automatisierung wird auf beiden Seiten schneller und besser.

Darauf sollte man sich einstellen.

Was du jetzt tun kannst

Die wichtigsten Maßnahmen sind erstaunlich unspektakulär:

WordPress gehackt: Was du jetzt tun solltest

Wenn deine Website bereits kompromittiert wurde, würde ich nicht mit einer langen Liste von Plugins anfangen.

Ich gehe in dieser Reihenfolge vor:

1. Angriff bestätigen und Ursache eingrenzen.
2. Website gegebenenfalls sperren.
3. Den aktuellen Zustand sichern.
4. Zeitpunkt der Kompromittierung ermitteln.
5. Backup prüfen.
6. WordPress, Plugins und Themes aus vertrauenswürdigen Quellen wiederherstellen.
7. Datenbank und Dateien auf Manipulationen prüfen.
8. Ursache des Angriffs beseitigen.
9. Erst jetzt die Zugangsdaten zur WordPress, Datenbank, Hosting, FTP, SSH, ggfls. E-Mail-Konten ändern.
10. Website wieder online nehmen und anschließend überwachen.

Bei einem schwerwiegenden Angriff kann es sinnvoll sein, die Bereinigung jemandem zu überlassen, der Erfahrung mit kompromittierten WordPress-Installationen hat.

Denn eines solltest du nicht vergessen:

Eine Website ist nicht wieder sicher, nur weil sie wieder funktioniert.

Sie kann technisch wieder erreichbar sein und trotzdem noch eine Hintertür enthalten.

Fazit: WordPress ist nicht das Problem. Ungepflegtes WordPress schon.

WordPress wird häufig angegriffen. Das bedeutet aber nicht, dass WordPress grundsätzlich unsicher ist.

Die enorme Verbreitung macht WordPress zu einem attraktiven Ziel. Die große Zahl an Erweiterungen vergrößert die mögliche Angriffsfläche. Und KI sorgt gerade dafür, dass sowohl Angreifer als auch Verteidiger schneller werden.

Das ist die neue Realität.

Die Antwort darauf ist nicht, WordPress panisch den Rücken zu kehren. Und auch nicht, 17 Sicherheits-Plugins zu installieren.

Die Antwort ist deutlich weniger spektakulär:

Software aktuell halten. Angriffsfläche reduzieren. Zugänge absichern. Backups kontrollieren. Veränderungen überwachen. Und reagieren, bevor aus einer Sicherheitslücke ein Sicherheitsvorfall wird.

Wenn es doch passiert? Dann gilt vor allem:

Nicht hektisch herumprobieren. Erst sichern, dann analysieren, dann sauber wiederherstellen.

Denn bei einem gehackten WordPress ist schnelles Handeln wichtig. Allerdings: richtiges Handeln ist noch wichtiger.