// <a href="https://hosting-fixers.de/category/security/" rel="category tag">Security</a>
WordPress Security Audit: Gehackte Seite bereinigen & absichern
Ein WordPress Security Audit ist eine systematische Prüfung aller Sicherheitsebenen einer WordPress-Installation: Dateirechte, Datenbankzugriffe, aktive Plugins, Server-Konfiguration, HTTP-Header und Login-Schutz. Ziel ist es, bestehende Schwachstellen zu identifizieren, bevor sie ausgenutzt werden – oder nach einem Angriff den Infektionsweg lükenlos nachzuverfolgen und dauerhaft zu schließen.
TL;DR – Die wichtigsten Punkte
- 91 % aller WordPress-Sicherheitslücken stammen aus Plugins und Themes, nicht aus dem WordPress-Core (Quelle: Patchstack State of WordPress Security 2025)
- Malware versteckt sich oft in Datei-Upload-Verzeichnissen, in wp-config.php oder als Backdoor in Theme-Dateien
- Ein Security Audit umfasst immer: Datei-Integritätsprüfung, Datenbankbereinigung, Server-Härtung und Zugriffsschutz
- Nach der Bereinigung muss die Eintrittslücke geschlossen werden – sonst ist die Seite innerhalb von Stunden wieder infiziert
- Google Safe Browsing markiert infizierte Seiten; die Delistung dauert 24–72 Stunden nach sauberer Neueinreichung
- Wordfence blockierte 2024 über 54 Milliarden bösartige Anfragen gegen WordPress-Websites (Quelle: Wordfence Annual Report 2025)
- Die mittlere Zeit von der Veröffentlichung einer Sicherheitslücke bis zur aktiven Massenausnutzung beträgt laut Patchstack nur 5 Stunden
Was ist ein WordPress Security Audit?
Ein WordPress Security Audit prüft eine WordPress-Installation vollständig auf Sicherheitslücken, Fehlkonfigurationen und aktive Kompromittierungen. WordPress betreibt laut W3Techs rund 43 % aller Websites weltweit – und ist damit das meistangegriffene CMS. Laut Sucuri stammten 2024 mehr als 95 % aller bereinigten CMS-Infektionen von WordPress-Installationen. Wordfence blockierte 2024 über 54 Milliarden bösartige Anfragen. Patchstack meldete 2025 insgesamt 11.334 neue Sicherheitslücken, davon 91 % in Drittanbieter-Plugins. Er unterscheidet sich von einem einfachen Malware-Scan dadurch, dass nicht nur nach bekannten Schadcode-Signaturen gesucht wird, sondern die gesamte Angriffsfläche bewertet wird: Serverebene (Dateirechte, PHP-Konfiguration, Nginx/Apache-Einstellungen), WordPress-Ebene (Core, Plugins, Themes, Benutzerkonten) und Netzwerkebene (HTTP-Header, TLS-Konfiguration, WAF). Zum Beispiel kann eine korrekt konfigurierte WAF einen SQL-Injection-Angriff blockieren, der ein veraltetes Plugin ausnutzt – jedoch nur, wenn auch das Plugin selbst aktualisiert oder ersetzt wird.
Wie erkenne ich, dass WordPress gehackt wurde?
Typische Anzeichen einer Kompromittierung, die im Audit geprüft werden:
| Symptom | Mögliche Ursache | Erste Maßnahme |
|---|---|---|
| Unbekannte Admin-Konten in WordPress | SQL-Injection, gestohlene Zugangsdaten | Konten deaktivieren, Passwörter zurücksetzen |
| Google Safe Browsing-Warnung | Drive-by-Download-Skripte im HTML | Google Search Console → Sicherheitsprobleme prüfen |
| Server sendet Spam-E-Mails | PHP-Mailer-Backdoor in Theme/Plugin | PHP-Fehlerlog + Mail-Queue analysieren |
| Weiterleitungen auf fremde Domains | Redirect-Hack in .htaccess oder Datenbank | .htaccess sichern, wp_options auf schemata prüfen |
| Unbekannte PHP-Dateien in /uploads/ | Datei-Upload-Exploit | Verzeichnis auf .php-Dateien durchsuchen |
| Hohe Serverlast ohne Traffic | Crypto-Miner oder Bot-Netzwerk | Prozessliste + Netzwerkverbindungen analysieren |
Schritt-für-Schritt: WordPress Malware entfernen
- Zugang sichern: FTP-Passwort, WordPress-Admin-Passwort, Datenbank-Passwort und Hosting-Passwort sofort ändern. Alle aktiven Sessions invalidieren.
- Saubere Baseline herstellen: WordPress-Core via WP-CLI verifizieren:
wp core verify-checksums. Modifizierte Core-Dateien zeigen den Infektionsweg. - Datei-Scan durchführen: Nach PHP-Dateien in /uploads/ suchen:
find wp-content/uploads -name "*.php" -type f. Nach typischen Backdoor-Mustern suchen:grep -r "eval(base64_decode" wp-content/ - Datenbank prüfen: wp_options auf fremde JavaScript-Injektionen prüfen. wp_users auf unbekannte Konten kontrollieren.
- Plugins und Themes bereinigen: Alle nicht verwendeten Themes löschen. Alle Plugins gegen ihre offiziellen Versionen prüfen.
- Infektionsweg schließen: Veraltetes Plugin oder Theme identifizieren, aktualisieren oder ersetzen. Schwaches Passwort? Passwortrichtlinie und Zwei-Faktor-Authentifizierung einrichten.
- System härten: Dateirechte korrigieren (wp-config.php: 600, Verzeichnisse: 755, Dateien: 644). PHP-Ausführung in /uploads/ via Nginx/Apache blockieren.
- Google informieren: In der Google Search Console unter Sicherheitsprobleme die Bereinigung einreichen. Bearbeitungszeit: 24–72 Stunden.
WordPress dauerhaft absichern: Die wichtigsten Maßnahmen
| Maßnahme | Ebene | Aufwand | Wirkung |
|---|---|---|---|
| Login-URL ändern oder schützen | WordPress | gering | Brute-Force-Angriffe reduzieren |
| 2FA für alle Admin-Konten | WordPress | gering | Gestohlene Passwörter wirkungslos |
| XML-RPC deaktivieren | WordPress/Server | gering | Brute-Force über xmlrpc blockieren |
| PHP in /uploads/ blockieren | Server (Nginx/Apache) | gering | Upload-Exploits unwirksam |
| Security-Header setzen | Server | mittel | XSS, Clickjacking, MIME-Sniffing blockieren |
| Web Application Firewall (WAF) | Server/Cloudflare | mittel | Bekannte Exploit-Patterns blockieren |
| Automatische Updates aktivieren | WordPress | gering | Kritische Sicherheitslücken sofort schließen |
| Backup-Konzept 3-2-1 | Hosting | mittel | Wiederherstellung im Ernstfall sichern |
PHP-Ausführung in /uploads/ blockieren (Nginx und Apache)
Eine der effektivsten Einzelmaßnahmen ist das Blockieren der PHP-Ausführung im Upload-Verzeichnis. Weil Angreifer nach einem erfolgreichen Upload-Exploit eine PHP-Datei in /uploads/ platzieren und von dort ausführen, reicht diese Regel allein aus, um diese gesamte Angriffskategorie unwirksam zu machen – selbst wenn die Datei hochgeladen wird:
# Nginx – in der Server-Block-Konfiguration: location ~* /wp-content/uploads/.*\.php$ { deny all; return 403; } # Apache – .htaccess in /wp-content/uploads/: <Files *.php> Order Deny,Allow Deny from all </Files>Weitere Fragen und Antworten
Was ist WordPress-Malware und wie gelangt sie auf die Website?
WordPress-Malware ist Schadcode, der ohne Wissen des Betreibers in eine WordPress-Installation eingeschleust wird, um die Website für Spam-Versand, Weiterleitung auf betrügerische Seiten, Crypto-Mining oder den Aufbau von Bot-Netzen zu missbrauchen. Malware gelangt auf die Website über drei Hauptwege: erstens über Sicherheitslücken in veralteten Plugins oder Themes, die bekannte Exploits ermöglichen; zweitens über gestohlene Zugangsdaten für FTP, WordPress-Admin oder das Hosting-Panel; drittens über kompromittierte Theme- oder Plugin-Pakete von inoffiziellen Quellen. Weil Angreifer nach erfolgreicher Infektion häufig Backdoors hinterlassen, reicht eine einfache Dateiberührung nicht aus – daher muss zusätzlich der vollständige Infektionsweg analysiert und die Eintrittslücke geschlossen werden.
Was ist eine Web Application Firewall (WAF) und brauche ich sie für WordPress?
Eine Web Application Firewall (WAF) ist ein Sicherheitssystem, das HTTP-Anfragen analysiert und bekannte Angriffsmuster blockiert, bevor sie WordPress erreichen. Eine WAF erkennt zum Beispiel SQL-Injection-Versuche, Cross-Site-Scripting (XSS), Path-Traversal-Angriffe und automatisierte Brute-Force-Anmeldeversuche. Für WordPress ist eine WAF besonders wertvoll, weil das CMS aufgrund seiner weiten Verbreitung ein häufiges Ziel automatisierter Angriffe ist. Cloudflare bietet eine WAF bereits im Free-Plan an; zusätzlich können Nginx-Regeln oder ModSecurity auf Apache serverseitig eingesetzt werden. Jedoch ersetzt eine WAF keine regelmäßigen Updates – weil sie nur bekannte Angriffsmuster blockiert, neue Zero-Day-Exploits dagegen zunächst unerkannt bleiben können.
Was sind HTTP Security-Header und wie schützen sie WordPress?
HTTP Security-Header sind Antwort-Header, die der Webserver bei jeder Anfrage mitsendet und dem Browser mitteilen, wie er die geladene Seite behandeln soll. Sie schützen WordPress-Websites vor verbreiteten Angriffsklassen: X-Content-Type-Options verhindert MIME-Sniffing, X-Frame-Options blockiert Clickjacking-Angriffe, Referrer-Policy kontrolliert, welche Informationen beim Seitenaufruf weitergegeben werden, und Content-Security-Policy begrenzt, welche externen Ressourcen geladen werden dürfen. Folglich reduzieren korrekt konfigurierte Security-Header die Angriffsfläche einer WordPress-Website erheblich – ohne dass Plugins dafür benötigt werden. Außerdem sind sie für Suchmaschinen ein vertrauensbildendes Signal und verbessern den Sicherheitsscore in Tools wie Google Search Console und Lighthouse.
Wie lange dauert eine WordPress-Malware-Bereinigung?
Eine WordPress-Malware-Bereinigung dauert je nach Schwere der Infektion zwischen zwei und acht Stunden. Einfache Fälle – zum Beispiel eine einzelne Backdoor-Datei im Upload-Verzeichnis nach einem bekannten Plugin-Exploit – sind schnell behoben. Komplexere Infektionen, bei denen Schadcode in Datenbankoptionen, Theme-Dateien und Core-Dateien gleichzeitig eingeschleust wurde, erfordern mehr Zeit für die vollständige Analyse. Weil nach der Bereinigung zusätzlich die Eintrittslücke geschlossen, das System gehärtet und die Google-Safe-Browsing-Meldung eingereicht werden muss, ist der Gesamtaufwand größer als die eigentliche Dateiberührung. Daher empfehlen wir, die Bereinigung nicht aufzuschieben – je länger eine Infektion aktiv ist, desto tiefer kann sich Schadcode verschachteln und desto länger dauert die vollständige Wiederherstellung.
Was kostet ein WordPress Security Audit?
Ein WordPress Security Audit wird nach tatsächlichem Prüfaufwand abgerechnet – nicht nach einem Pauschalpreis. Der Aufwand hängt von der Größe der Installation, der Anzahl aktiver Plugins und dem gewünschten Prüfungsumfang ab. Eine einfache WordPress-Installation mit wenigen Plugins wird schneller vollständig geprüft als eine komplexe Multisite-Umgebung mit WooCommerce und zahlreichen Drittanbieter-Integrationen. Weil jeder Audit mit einer Bestandsaufnahme beginnt, können wir nach den ersten Erkenntnissen eine realistische Einschätzung des Gesamtaufwands geben. Zusätzlich liefern wir einen schriftlichen Bericht mit priorisierten Maßnahmen, sodass Sie danach gezielt und eigenständig weiterarbeiten können. Kontaktieren Sie uns mit den Eckdaten Ihrer Installation für eine erste Einschätzung. Auch eine Kombination mit WordPress Performance-Optimierung ist auf Wunsch möglich.
Weiterführende Ressourcen: WordPress.org: Hardening WordPress, Cloudflare WAF-Dokumentation, OWASP Top 10 Web Application Security Risks
Schnelle Antworten: WordPress Security
Wie lange dauert ein WordPress Security Audit?
Ein WordPress Security Audit bei Hosting Fixers dauert je nach Größe der Installation, Anzahl aktiver Plugins und Zustand des Systems zwischen 3 und 12 Stunden – manchmal auch länger. Einfache Installationen mit wenigen Standard-Plugins sind schneller geprüft. Umfangreiche Setups mit vielen Drittanbieter-Themes, Custom-Plugins oder aktiver Infektion erfordern deutlich mehr Diagnosezeit. Der Aufwand wird vorab eingeschätzt und transparent kommuniziert.
Woran erkenne ich, dass meine WordPress-Seite gehackt wurde?
Typische Anzeichen: unbekannte Admin-Konten in WordPress, Weiterleitungen auf fremde Domains, Google Safe Browsing-Warnung im Browser, der Server versendet Spam-E-Mails oder die Serverlast steigt ohne erkennbaren Traffic-Anstieg. Auch unauffällige Infektionen kommen vor – bei denen die Seite normal aussieht, aber im Hintergrund Schadcode ausgeführt wird. Im Zweifel hilft ein gezielter Datei-Scan mit grep -r "eval(base64_decode" wp-content/.
Reicht ein Sicherheits-Plugin für WordPress aus?
Ein Sicherheits-Plugin allein reicht nicht aus. Wordfence oder iThemes erkennen bekannte Malware-Signaturen, blockieren Brute-Force-Angriffe und überwachen Dateiänderungen – aber sie ersetzen keine korrekte Serverkonfiguration, keine aktuellen Plugins und keinen regelmäßigen Backup-Plan. 91 % aller WordPress-Sicherheitslücken entstehen durch Drittanbieter-Plugins (Patchstack 2025) – die einzige effektive Gegenstrategie ist regelmäßiges Aktualisieren kombiniert mit einer Web Application Firewall.
Was passiert nach einer Malware-Bereinigung?
Nach der Bereinigung werden folgende Schritte durchgeführt: Eintrittslücke identifizieren und schließen, alle Passwörter zurücksetzen (WordPress, FTP, Datenbank, Hosting), Dateirechte korrigieren, PHP-Ausführung in /uploads/ blockieren und Google Search Console zur Überprüfung einreichen. Die Delistung aus Google Safe Browsing dauert nach der Einreichung 24 bis 72 Stunden. Ohne Schließung der Eintrittslücke ist die Seite innerhalb weniger Stunden wieder infiziert.
Muss WordPress nach einem Hack komplett neu aufgesetzt werden?
Nicht zwingend. In den meisten Fällen kann die bestehende Installation bereinigt werden – vorausgesetzt die Datenbank ist sauber und der Infektionsweg ist klar. Ein Neuaufsetzen ist sinnvoll wenn: die Infektion tief in Core-Dateien eingebettet ist, keine saubere Backup-Version verfügbar ist oder die gesamte Hosting-Umgebung kompromittiert wurde. Bei einem Neuaufsetzen werden alle Inhalte aus der Datenbank übernommen – die Datenbank selbst muss ebenfalls geprüft werden.
Autor: Manuel Kuhn, WordPress Performance Engineer & Serveradministrator, Hosting-Fixers.de – Aktualisiert Juli 2026