Du rufst deine Website auf, und statt der Startseite erscheint eine weiße Fläche. Vielleicht erscheint auch eine Fehlermeldung in kryptischem Englisch oder, im unangenehmsten Fall, Werbung für Produkte, die du nie verkauft hast.
Wer in diesem Moment „WordPress gehackt“ in die Suchmaschine tippt, braucht kein Hintergrundwissen, sondern eine Reihenfolge. Genau die bekommst du hier: acht Schritte, die du von oben nach unten abarbeitest. Sie gelten unabhängig davon, ob wirklich jemand in deine Seite eingedrungen ist oder ob schlicht ein Update schiefgelaufen ist.
Vorweg das Wichtigste: Der erste Impuls ist in dieser Lage fast immer der falsche. Das ist kein Vorwurf, sondern schlicht das, was Stress mit Menschen macht. Deshalb steht am Anfang dieses Plans nicht das Reparieren, sondern das Nichtstun.
Erst die Ursache, dann die Reparatur: WordPress gehackt oder nur kaputt?
Eine Website, die nicht mehr richtig funktioniert, sieht von außen oft gleich aus, egal woran es liegt. Dahinter stecken aber drei völlig verschiedene Ursachen, und jede verlangt einen anderen Weg.
Ein fehlgeschlagenes Update lässt sich meistens innerhalb einer halben Stunde zurücknehmen. Ein Problem beim Hosting löst du überhaupt nicht selbst, sondern mit einem Anruf. Ein tatsächlicher Einbruch dagegen ist die aufwendigste Variante, weil du danach nicht nur die Seite wiederherstellst, sondern auch alle Zugänge austauschst.
Wer diese drei Fälle verwechselt, macht die Sache schlimmer. Deshalb kommt die Diagnose vor jedem Handgriff. Die ersten drei Schritte kosten dich zusammen keine zwanzig Minuten und ersparen dir im Zweifel einen ganzen Abend.
Nichts löschen und nichts neu installieren
Der häufigste Fehler in den ersten Minuten ist das Aufräumen. Plugins werden gelöscht, das Theme wird gewechselt, WordPress wird neu installiert. Jeder dieser Schritte vernichtet Spuren, die du für die Diagnose brauchst, und im ungünstigsten Fall auch Inhalte, die noch zu retten wären.
Lass die Seite deshalb erst einmal so, wie sie ist. Eine kaputte Website richtet keinen weiteren Schaden an, solange sie nur kaputt ist. Die Ausnahme ist der Verdacht auf einen Einbruch: Dann nimmst du die Seite über deinen Hoster vorübergehend offline, damit sie nicht weiter fremde Inhalte ausliefert.
Was du dagegen sofort tun darfst, ist ein zusätzliches Backup vom aktuellen, kaputten Stand. Das klingt widersinnig, ist aber die Rückversicherung für den Fall, dass beim Reparieren etwas danebengeht.
Schreib auf, was du genau siehst
Öffne ein leeres Dokument und notiere drei Dinge: Was zeigt die Seite genau an, seit wann, und was war das Letzte, was du oder jemand anderes an der Website verändert hat.
Fehlermeldungen schreibst du wörtlich ab oder machst ein Bildschirmfoto davon. Auch wenn dir der Text nichts sagt, sagt er einer Fachperson sehr viel. Prüfe außerdem, ob nur die Startseite betroffen ist oder alle Seiten, und ob du dich im Backend unter deine-seite.de/wp-admin noch anmelden kannst.
Diese Notizen sind später Gold wert. Sie verkürzen jedes Gespräch mit dem Hoster oder mit mir, und sie verhindern, dass du zweimal dasselbe ausprobierst.
Die drei Ursachen auseinanderhalten
Jetzt ordnest du ein. Trat der Fehler direkt nach einem Update auf, ist die Ursache mit hoher Wahrscheinlichkeit genau dieses Update. Ist auch das Backend nicht mehr erreichbar und andere Seiten deines Hosters ebenfalls nicht, liegt es am Server.
Für einen Einbruch sprechen andere Anzeichen: fremde Inhalte oder Weiterleitungen auf unbekannte Adressen, neue Benutzerkonten mit Administratorrechten, Warnungen deines Browsers oder eine Nachricht deines Hosters. Auch eine plötzlich sehr langsame Seite ohne erkennbaren Grund gehört in diese Kategorie.
Wenn du dir nach diesen Fragen nicht sicher bist, behandle den Fall vorsichtshalber wie einen Einbruch. Der Weg ist aufwendiger, aber du machst dabei nichts kaputt. Umgekehrt gilt das nicht.
Ein Update hat die Seite zerlegt
Das ist der freundlichste der drei Fälle, weil du ihn rückgängig machen kannst. Meistens verträgt sich ein frisch aktualisiertes Plugin nicht mit dem Theme oder mit einem anderen Plugin.
Kommst du noch ins Backend, deaktivierst du das zuletzt aktualisierte Plugin und lädst die Seite neu. Funktioniert sie wieder, hast du den Verursacher gefunden. Kommst du nicht mehr ins Backend, benennst du über den Dateizugang deines Hosters den Ordner des betreffenden Plugins um. WordPress schaltet es dann automatisch ab und lässt dich wieder hinein.
Danach entscheidest du in Ruhe, ob du auf die ältere Version zurückgehst, auf ein anderes Plugin wechselst oder auf die Funktion verzichtest. Diese Entscheidung triffst du nicht im Notfall, sondern am nächsten Tag.
Das Problem liegt beim Hosting
Wenn weder deine Website noch das Backend erreichbar sind und auch andere Seiten desselben Anbieters stillstehen, ist die Ursache außerhalb deiner Reichweite. Hier hilft kein Plugin und keine Einstellung.
Schau zuerst auf die Statusseite deines Hosters, viele Anbieter melden Störungen dort von selbst. Findest du nichts, rufst du an. Mit deinen Notizen aus Schritt 02 dauert das Gespräch wenige Minuten.
Dieser Fall ist ärgerlich, aber ungefährlich. Deine Inhalte sind unversehrt, und sobald der Server wieder läuft, ist auch deine Website wieder da.
Jemand ist tatsächlich eingedrungen
Hier gilt eine andere Reihenfolge, und sie ist unbequem. Es reicht nicht, die sichtbaren Spuren zu entfernen, denn wer einmal Zugang hatte, hinterlässt in aller Regel einen zweiten Weg hinein.
Nimm die Seite über den Hoster vom Netz. Ändere anschließend alle Passwörter, die mit der Website zu tun haben: WordPress-Konten, Datenbank, Dateizugang und den Kundenbereich beim Hoster. Prüfe die Benutzerliste in WordPress auf Konten, die du nicht angelegt hast, und wirf sie hinaus.
Erst danach kommt die Wiederherstellung aus dem Backup, und zwar aus einem Stand vor dem Einbruch. Wenn personenbezogene Daten betroffen sein könnten, etwa aus Formularen oder aus einem Shop, gehört die Meldepflicht mit auf die Liste. Was dazu gehört, steht im Beitrag „Website und Datenschutz“.
Ein Backup ohne Test ist kein Backup
Der Notfall ist der denkbar schlechteste Moment, um zum ersten Mal herauszufinden, ob deine Sicherung funktioniert. Viele Websites haben ein Backup, aber niemand hat je versucht, es zurückzuspielen.
Beim Wiederherstellen brauchst du beides: die Dateien und die Datenbank. Fehlt eines von beidem, bekommst du entweder eine leere Seite mit deinen alten Texten oder deine Texte ohne Gestaltung. Prüfe außerdem, wie weit deine Sicherungen zurückreichen. Wenn nur die letzten sieben Tage vorliegen und der Einbruch drei Wochen alt ist, hilft dir das Backup nicht.
Nach der Wiederherstellung gehst du die Seite einmal durch: Startseite, Blog, Kontaktformular, Anmeldung zum Newsletter. Erst wenn all das funktioniert, ist die Sache erledigt.
Damit der nächste Dienstag ruhig bleibt
Wenn die Seite wieder läuft, ist der wichtigste Teil noch offen. Setz dich eine halbe Stunde hin und schreib auf, was passiert ist und was du getan hast. Beim nächsten Mal ist dieses Dokument dein Vorsprung.
Danach richtest du die drei Dinge ein, die den Unterschied machen: automatische Sicherungen an einem Ort außerhalb des Servers, ein fester Termin für Updates statt Aktualisieren zwischendurch, und eine Zwei-Faktor-Anmeldung für alle Administratorkonten.
Was regelmäßige Pflege konkret umfasst, habe ich im Beitrag zur WordPress-Wartung ausführlich beschrieben. Die kurze Fassung: Vorher kostet es Minuten, nachher kostet es Tage.
Wann du besser jemanden dazuholst
Die Schritte 01 bis 05 kannst du in aller Regel selbst gehen. Sie verlangen Ruhe und ein wenig Zeit, aber kein Fachwissen.
Bei drei Konstellationen rate ich dir, nicht weiter allein zu probieren: wenn dein Verdacht auf einen Einbruch fällt, wenn du kein brauchbares Backup findest, oder wenn die Website Aufträge bringt und jede Stunde Ausfall zählt. In diesen Fällen ist der Schaden durch weiteres Ausprobieren größer als das Honorar.
Und es gibt einen vierten Grund, der genauso zählt: Wenn dir die Sache den Schlaf raubt, ist das ein ausreichender Anlass, sie abzugeben. Du musst nicht jede technische Panne selbst lösen, nur weil es theoretisch möglich wäre.
Fazit: Ruhe, Reihenfolge, Rückweg
Eine Website, die nicht mehr geht, fühlt sich an wie ein Verlust. In den allermeisten Fällen ist sie das nicht. Sie ist ein Zustand, der eine Ursache hat, und Ursachen lassen sich der Reihe nach abklopfen.
Merk dir für den Ernstfall drei Sätze. Lösche nichts, bevor du weißt, was los ist. Bestimme erst die Ursache und repariere dann. Und ein Backup zählt erst, wenn du es einmal zurückgespielt hast.
Ob deine WordPress-Seite gehackt wurde oder ein Update sie zerlegt hat, ändert am Vorgehen weniger, als du denkst. Der Unterschied liegt im Aufwand danach, und der hängt fast vollständig davon ab, wie gut die Seite vorher gepflegt war.
Wenn du deine Website gar nicht erst in diese Lage bringen möchtest, schaue ich mir die laufende Pflege gerne für dich an. Zur WordPress-Betreuung gehören regelmäßige Backups, Updates und Sicherheitschecks, also ein großer Teil von Schritt 08. Das Erstgespräch kostet dich nichts.
Dein nächster Schritt
Dir gefällt, was du liest?
Hol dir die kostenlose 5-Stunden-Liste und finde in 15 Minuten die fünf Aufgaben, die du diese Woche abgeben kannst.
Lieber persönlich? Kostenloses Erstgespräch buchen →
Schreibe einen Kommentar