„Läuft doch alles.“ – Das ist der Satz, den ich am häufigsten höre, bevor eine Website gehackt wird.

WordPress-Updates erscheinen im Dashboard als kleine rote Zahl. Viele Website-Besitzer ignorieren sie – aus Zeitmangel, aus Angst etwas kaputt zu machen oder schlicht, weil sie nicht wissen, warum diese Updates so wichtig sind.

In diesem Artikel zeige ich Ihnen, was wirklich passiert, wenn WordPress-Updates über Wochen, Monate oder Jahre ausbleiben. Und warum diese kleine rote Zahl der Unterschied zwischen einer funktionierenden Website und einem ernsthaften Problem sein kann.

WordPress betreibt über 43 Prozent aller Websites weltweit. Diese Verbreitung macht es zum attraktivsten Ziel für automatisierte Hackerangriffe. Experten schätzen, dass täglich rund 13.000 WordPress-Websites gehackt werden – das sind etwa 4,7 Millionen pro Jahr.

Der erschreckende Teil: Die überwältigende Mehrheit dieser Angriffe wäre vermeidbar gewesen. Veraltete Plugins sind für rund 92 Prozent aller gemeldeten WordPress-Sicherheitslücken verantwortlich. Nicht der WordPress-Kern ist das Problem – sondern die Erweiterungen, die niemand aktualisiert.

In einer Umfrage unter Betreibern gehackter Websites gaben 60 Prozent an, dass der Angriff über eine bekannte Sicherheitslücke in einem Plugin oder Theme erfolgte. Die Schwachstellen waren längst behoben – die Betreiber hatten das Update nur nicht eingespielt.

Stellen Sie sich vor, ein Schlüsseldienst veröffentlicht eine Mitteilung: „Achtung, Schlösser der Serie X haben einen Defekt. Bitte tauschen Sie den Zylinder aus.“ Sie ignorieren die Mitteilung. Was passiert?

Genau das Gleiche passiert bei WordPress. Wenn eine Sicherheitslücke entdeckt und öffentlich dokumentiert wird, wissen zwei Gruppen davon: die Entwickler, die einen Patch veröffentlichen – und die Angreifer, die jetzt gezielt nach Websites suchen, die den Patch noch nicht eingespielt haben.

Und diese Suche passiert nicht manuell. Automatisierte Bots scannen das Internet rund um die Uhr nach verwundbaren Installationen. Wird Ihre Website gefunden, erfolgt der Angriff vollautomatisch. Innerhalb von Stunden nach Bekanntwerden einer Lücke starten die ersten Exploits.

Stufe 1: Das Update wird ignoriert. Im Dashboard erscheint die Meldung „Update verfügbar“. Sie klicken nicht drauf – vielleicht morgen. Aus morgen werden Wochen, aus Wochen Monate.

Stufe 2: Angreifer finden Ihre Website. Bots prüfen automatisch, welche Plugin-Version Sie einsetzen. Stimmt die Version mit einer bekannten Schwachstelle überein, wird Ihre Seite als Ziel markiert.

Stufe 3: Schadcode wird eingeschleust. Je nach Art der Lücke können Angreifer Dateien manipulieren, Weiterleitungen auf Spam-Seiten einbauen, Malware an Ihre Besucher verteilen oder sich über Backdoors dauerhaften Zugang verschaffen. Das Tückische: Oft merken Sie davon zunächst nichts.

Stufe 4: Google reagiert. Google erkennt die Malware und markiert Ihre Website als „möglicherweise gehackt“ oder „gefährlich“. Ihre Besucher sehen eine Warnmeldung, Ihr Google-Ranking bricht ein. Bei einem Online-Shop bedeutet das: null Umsatz, von jetzt auf gleich.

Stufe 5: Der Schaden wird sichtbar. Kunden beschweren sich, der Hoster sperrt Ihre Website, Sie müssen einen Experten für die Bereinigung beauftragen. Im schlimmsten Fall sind Kundendaten betroffen und es droht eine DSGVO-Meldepflicht.

Und all das, weil ein Update nicht eingespielt wurde.

Das ist die häufigste Ausrede – und sie ist verständlich. Ja, es kann passieren, dass nach einem Update ein Plugin nicht mehr mit dem Theme kompatibel ist oder eine Funktion anders aussieht. Aber lassen Sie uns das ins Verhältnis setzen.

Ein Update-Konflikt bedeutet im schlimmsten Fall: Eine Seite zeigt kurzzeitig einen Fehler, der sich beheben lässt. Ein ausgelassenes Sicherheitsupdate bedeutet im schlimmsten Fall: Ihre komplette Website wird kompromittiert, Kundendaten sind gefährdet und Sie zahlen für Bereinigung, Reputationsschaden und im schlimmsten Fall DSGVO-Bußgelder.

Die Angst vor Update-Problemen ist wie die Angst vor Nebenwirkungen einer Impfung – während man gleichzeitig die Krankheit ignoriert.

Der Ausweg: Updates nie blind einspielen, sondern mit Backup. Wer vorher ein Backup erstellt, kann im Fall eines Problems den alten Zustand in Minuten wiederherstellen. Kein Risiko, kein Stress.

Viele Website-Besitzer denken bei „WordPress-Update“ nur an den blauen Button im Dashboard. Tatsächlich gibt es drei Ebenen, die alle aktuell gehalten werden müssen:

Der WordPress-Kern. Das Fundament Ihrer Website. Sicherheitsupdates werden in der Regel alle ein bis zwei Monate veröffentlicht und sollten sofort eingespielt werden. Seit Juli 2025 erhalten WordPress-Versionen vor 4.7 keine Sicherheitsupdates mehr.

Plugins. Die mit Abstand größte Angriffsfläche. Bei über 60.000 verfügbaren Plugins im WordPress-Verzeichnis werden wöchentlich Hunderte neue Sicherheitslücken bekannt. Allein in einer einzigen Woche im März 2025 wurden 417 neue Plugin-Schwachstellen dokumentiert.

Themes. Oft vergessen, aber genauso relevant. Ein veraltetes Theme kann dieselben Schwachstellen aufweisen wie ein veraltetes Plugin. Auch deaktivierte Themes sind ein Risiko – die Dateien liegen weiterhin auf dem Server und können angegriffen werden.

Ein wichtiger Punkt, den viele übersehen: Auch deaktivierte Plugins sind angreifbar. Solange die Dateien auf dem Server liegen, kann eine Sicherheitslücke ausgenutzt werden. Nicht benötigte Plugins sollten daher nicht nur deaktiviert, sondern komplett gelöscht werden.

Ein professioneller Wartungsvertrag nimmt Ihnen genau diese Arbeit ab – und zwar nicht einmal im Quartal, sondern kontinuierlich. Das bedeutet konkret:

Updates werden zeitnah eingespielt – mit vorherigem Backup, damit im Fehlerfall sofort zurückgerollt werden kann. Tägliche Sicherheitsscans erkennen verdächtige Veränderungen, bevor daraus ein Problem wird. Nicht mehr gepflegte Plugins werden identifiziert und durch sichere Alternativen ersetzt. Und wenn doch einmal etwas passiert, haben Sie einen Ansprechpartner, der Ihre Website kennt und sofort handeln kann.

Die monatlichen Kosten dafür sind ein Bruchteil dessen, was eine Bereinigung nach einem Hack kostet – von Umsatzausfall und Reputationsschaden ganz zu schweigen.

Loggen Sie sich in Ihr WordPress-Dashboard ein und schauen Sie nach, wie viele Updates ausstehen. Wenn dort mehr als eine Handvoll roter Zahlen stehen, ist es höchste Zeit zu handeln.

Sie sind sich unsicher, ob Ihre Website Sicherheitslücken aufweist? Ich biete einen kostenlosen Website-Sicherheitscheck an – schnell, verständlich und unverbindlich.

Sie erhalten eine klare Einschätzung, wo Handlungsbedarf besteht und welche Maßnahmen Priorität haben.

WordPress-Updates sind kein lästiges Detail, das man irgendwann mal erledigt. Sie sind die wichtigste einzelne Maßnahme, die Sie für die Sicherheit Ihrer Website ergreifen können.

Die Frage ist nicht, ob Ihre veraltete Website irgendwann angegriffen wird. Die Frage ist nur, wann. Und ob Sie dann vorbereitet sind – oder ob Sie dann einen Experten für die Bereinigung beauftragen müssen, der Ihnen genau das erklärt, was Sie in diesem Artikel gelesen haben.

Wenn Sie den Fehler nicht selbst beheben können oder unsicher sind, wo die Ursache liegt: Ich helfe Ihnen gerne. In den meisten Fällen kann ich das Problem innerhalb weniger Stunden identifizieren und beheben – zum Festpreis, ohne versteckte Kosten.

Ihre Praxis-Website funktioniert, Patienten finden Sie online, Termine kommen rein. Alles in Ordnung – oder?

Was die meisten Praxisinhaber nicht wissen: Hinter der Oberfläche ihrer WordPress-Website lauern Sicherheitslücken, die nicht nur technische Probleme verursachen, sondern handfeste datenschutzrechtliche Konsequenzen nach sich ziehen können. Und im Gesundheitswesen wiegen diese Konsequenzen besonders schwer.

In diesem Artikel zeige ich Ihnen, warum gerade Arztpraxen bei ihrer Website genau hinsehen sollten, welche konkreten Risiken bestehen und was Sie tun können, um Ihre Praxis – und Ihre Patienten – zu schützen.

WordPress betreibt über 43 Prozent aller Websites weltweit. Bei den Systemen, die auf einem bekannten CMS basieren, liegt der Marktanteil sogar bei über 60 Prozent. Diese Verbreitung hat einen entscheidenden Nachteil: WordPress ist das mit Abstand häufigste Angriffsziel für automatisierte Hackerangriffe.

Arztpraxen bilden hier keine Ausnahme. Viele Praxis-Websites wurden vor Jahren erstellt – oft von einem Bekannten, einer kleinen Agentur oder im Rahmen eines Paketangebots. Danach passierte häufig: nichts. Kein regelmäßiges Update, keine Sicherheitsprüfung, keine Wartung.

Das Problem dabei: WordPress ist kein statisches System. Es ist eine lebendige Software mit regelmäßigen Updates für den Kern, für Themes und für jedes einzelne installierte Plugin. Jedes nicht eingespielte Update ist ein potenzielles Einfallstor.

Hier wird es für Praxisinhaber richtig relevant. Denn Arztpraxen verarbeiten eine besondere Kategorie personenbezogener Daten: Gesundheitsdaten.

Die DSGVO zählt Gesundheitsdaten zu den besonders schützenswerten personenbezogenen Angaben. Artikel 9 stellt erhöhte Anforderungen an deren Verarbeitung – und bei Verstößen drohen entsprechend höhere Konsequenzen.

Jetzt denken Sie vielleicht: „Gesundheitsdaten? Auf meiner Website werden doch keine Patientenakten gespeichert.“ Stimmt.

Aber denken Sie an Folgendes:

Verfügt Ihre Website über ein Kontaktformular, über das Patienten Termine anfragen? Dann ist es nur eine Frage der Zeit, bis jemand dort schreibt: „Ich brauche einen Termin wegen meiner Rückenschmerzen“ oder „Ich möchte mein Rezept für [Medikament] verlängern lassen.“ Gerade für Arztpraxen ist es bedeutsam, dass über Webformulare Gesundheitsdaten direkt abgefragt werden oder durch Freitexteingaben übertragen werden können. (siehe Dr. DSGVO)

Und genau hier beginnt das Risiko.

Lassen Sie mich die Kette einmal konkret aufzeigen, wie sie in der Praxis abläuft:

Ihre WordPress-Installation ist nicht aktuell. Vielleicht wurde seit Monaten oder Jahren kein Update durchgeführt. Das Theme stammt noch aus der Erstinstallation, Plugins haben den Vermerk „Update verfügbar“ – oder schlimmer: Sie erhalten gar keine Updates mehr, weil der Entwickler das Plugin eingestellt hat.

Bekannte Sicherheitslücken bleiben offen. WordPress-Sicherheitslücken werden öffentlich dokumentiert. Das ist eigentlich gut, denn so können Entwickler schnell reagieren. Aber es bedeutet auch: Angreifer wissen genau, welche Schwachstellen existieren und bei welchen Plugin-Versionen sie ausgenutzt werden können.

Automatisierte Angriffe scannen Ihre Website. Hackerangriffe auf WordPress erfolgen fast nie gezielt gegen ein bestimmtes Unternehmen. Stattdessen scannen Bots das Internet automatisch auf bekannte Schwachstellen und greifen verwundbare Websites an.

Im schlimmsten Fall werden Daten kompromittiert. Angreifer können Kontaktformular-Eingaben abfangen, Weiterleitungen auf Phishing-Seiten einbauen, Malware an Ihre Besucher verteilen oder sich dauerhaft Zugang zu Ihrem System verschaffen.

Und dann greift die DSGVO. Ein solcher Vorfall ist eine meldepflichtige Datenschutzverletzung. Artikel 33 der DSGVO schreibt vor: Sie müssen den Vorfall innerhalb von 72 Stunden der zuständigen Landesdatenschutzbehörde melden. Sind die Rechte und Freiheiten der betroffenen Patienten gefährdet, müssen Sie zusätzlich jeden einzelnen betroffenen Patienten persönlich informieren – nach Artikel 34 DSGVO.

Bei Datenschutzverstößen im Gesundheitswesen sind die Aufsichtsbehörden besonders wachsam. Die DSGVO sieht für Datenschutzverstöße Bußgelder von bis zu 20 Millionen Euro oder vier Prozent des weltweiten Jahresumsatzes vor. (Quelle: Datenschutz) In der Praxis fallen die Strafen für einzelne Arztpraxen deutlich geringer aus – die Aufsichtsbehörden sind jedoch zunehmend wachsam und verhängen verstärkt Bußgelder, auch gegen Arztpraxen und medizinische Einrichtungen.

Doch das Bußgeld ist häufig nicht das eigentliche Problem. Für eine Arztpraxis ist der Reputationsschaden oft weitaus gravierender. Stellen Sie sich vor, Sie müssen Hunderte Patienten anschreiben und mitteilen, dass deren Gesundheitsdaten möglicherweise kompromittiert wurden. Das Vertrauen, das eine Arzt-Patienten-Beziehung ausmacht, lässt sich danach nur schwer wiederherstellen.

Einige Behörden haben bereits angekündigt, Arztpraxen in den kommenden Monaten stärker unter die Lupe nehmen zu wollen. Die Schonfrist der ersten Jahre nach Einführung der DSGVO ist definitiv vorbei.

In meiner täglichen Arbeit als WordPress-Entwickler sehe ich bei Praxis-Websites immer wieder dieselben Probleme:

Veraltete WordPress-Kerninstallation. Manche Praxis-Websites laufen noch auf WordPress-Versionen, die seit Jahren keine Sicherheitsupdates mehr erhalten.

Nicht aktualisierte oder aufgegebene Plugins. Sicherheitslücken in Plugins und Themes stellen mittlerweile das Haupteinfallstor für Angreifer und Malware-Kampagnen dar. Besonders kritisch wird es, wenn ein Plugin vom Entwickler nicht mehr gepflegt wird – dann bleiben entdeckte Schwachstellen für immer offen.

Fehlende SSL-Verschlüsselung oder fehlerhafte Konfiguration. Eine HTTPS-Verbindung ist Pflicht, sobald personenbezogene Daten übertragen werden. Wenn in Webformularen Gesundheitsdaten übertragen werden, kann eine fehlende Verschlüsselung bereits ein sehr hohes Risiko für die Betroffenen darstellen.

Unzureichende oder fehlerhafte Cookie-Banner. Viele Praxis-Websites nutzen Cookie-Banner, die den Anforderungen der DSGVO nicht entsprechen – etwa weil sie Tracking-Cookies bereits vor der Einwilligung setzen.

Fehlende oder unvollständige Datenschutzerklärung. Die Datenschutzerklärung muss alle auf der Website eingesetzten Dienste korrekt aufführen. Wird beispielsweise Google Fonts direkt von Google-Servern geladen, ohne dass dies datenschutzkonform eingebunden ist, liegt bereits ein Verstoß vor.

Kein Schutz gegen automatisierte Angriffe auf Formulare. Ungeschützte Webformulare bieten einen leichten Angriffspunkt für automatisierte Programme und können für Denial-of-Service-Attacken und massenhaften Missbrauch ausgenutzt werden.

Die gute Nachricht: Die meisten dieser Risiken lassen sich mit überschaubarem Aufwand beseitigen und dauerhaft unter Kontrolle halten. Die schlechte Nachricht: Es erfordert regelmäßige, fachkundige Aufmerksamkeit – nicht einmal im Jahr, sondern kontinuierlich.

Ein professioneller WordPress-Wartungsvertrag umfasst typischerweise:

• Regelmäßige Updates von WordPress-Kern, Themes und allen Plugins – zeitnah nach Erscheinen, nicht erst Monate später
• Tägliche Sicherheitsscans und Monitoring auf Malware und verdächtige Aktivitäten
• Regelmäßige Backups, die im Notfall eine schnelle Wiederherstellung ermöglichen
• SSL-Überwachung und Prüfung der verschlüsselten Datenübertragung
• Performance-Monitoring, damit Ihre Website schnell lädt und Patienten nicht abspringen
• Einen festen Ansprechpartner, der Ihre Website kennt und im Notfall sofort handeln kann

Die monatlichen Kosten dafür liegen in der Regel deutlich unter dem, was eine einzige Privatpatientenabrechnung einbringt. Gemessen am Risiko eines Datenschutzvorfalls ist das eine der sinnvollsten Investitionen, die Sie für Ihre Praxis tätigen können.

Sie sind sich nicht sicher, ob Ihre Praxis-Website betroffen ist? Das ist verständlich – denn die meisten Schwachstellen sind von außen nicht sichtbar.

Deshalb biete ich einen kostenlosen Website-Sicherheitscheck speziell für Arztpraxen an. Dabei prüfe ich Ihre Website auf die wichtigsten Risikofaktoren und erstelle Ihnen einen verständlichen Bericht – keine technischen Hieroglyphen, sondern klare Handlungsempfehlungen.

Sie erhalten einen verständlichen PDF-Report mit einer Ampel-Bewertung Ihrer Website in den Bereichen Sicherheit, Datenschutz und Performance. Sie erfahren konkret, wo Handlungsbedarf besteht und welche Maßnahmen Priorität haben. Unverbindlich und ohne versteckte Kosten.

Als Arzt kennen Sie das Prinzip der Prävention besser als die meisten Menschen. Vorsorge ist günstiger, wirksamer und weniger schmerzhaft als Behandlung im Akutfall. Genau so verhält es sich mit der Sicherheit Ihrer Praxis-Website.

Eine regelmäßig gewartete WordPress-Installation ist kein Luxus, sondern eine Grundvoraussetzung für den datenschutzkonformen Betrieb Ihrer Online-Präsenz. Die Frage ist nicht, ob Ihre Website irgendwann angegriffen wird – sondern ob Sie darauf vorbereitet sind, wenn es passiert.

Sie öffnen Ihre WordPress-Website und sehen – nichts. Keine Fehlermeldung, keine Hinweise, nur eine komplett weiße Seite. Der sogenannte White Screen of Death (WSOD) gehört zu den häufigsten und gleichzeitig frustrierendsten WordPress-Problemen. Die gute Nachricht: In den meisten Fällen lässt sich die Ursache schnell eingrenzen und beheben.

In diesem Beitrag zeige ich Ihnen, welche Ursachen hinter dem weißen Bildschirm stecken und wie Sie Schritt für Schritt vorgehen, um Ihre Website wiederherzustellen.

Der White Screen of Death bedeutet, dass WordPress die Seite nicht mehr rendern kann. Der Server antwortet zwar, liefert aber keinen sichtbaren Inhalt aus. Manchmal betrifft das nur das Frontend (die Website für Besucher), manchmal auch das Backend (den Admin-Bereich unter /wp-admin/). In einigen Fällen zeigt der Browser statt einer weißen Seite auch die Meldung „Diese Seite funktioniert nicht“ oder einen HTTP 500 Fehler.

Plugin-Konflikt: Das ist mit Abstand die häufigste Ursache. Ein Plugin-Update führt zu einer Inkompatibilität mit einem anderen Plugin, dem Theme oder der WordPress-Version. Besonders kritisch wird es, wenn mehrere Plugins gleichzeitig aktualisiert werden – dann ist schwer nachvollziehbar, welches Plugin das Problem verursacht.

Theme-Fehler: Ein fehlerhaftes Theme-Update oder ein Syntaxfehler in der functions.php kann den gesamten Seitenaufbau verhindern. Besonders bei Child-Themes, die nach einem Update des Parent-Themes nicht mehr kompatibel sind, tritt das häufig auf.

PHP-Speicherlimit erreicht: WordPress und seine Plugins benötigen Arbeitsspeicher. Wenn das PHP-Speicherlimit zu niedrig eingestellt ist, bricht die Seitenausführung ab – ohne Fehlermeldung. Standardmäßig sind bei vielen Hostern nur 64 MB oder 128 MB konfiguriert, was bei umfangreichen Websites nicht ausreicht.

PHP-Fehler im Code: Ein Syntaxfehler in einer Plugin- oder Theme-Datei – etwa eine fehlende Klammer oder ein falsch geschriebener Funktionsname – führt zu einem fatalen PHP-Fehler. WordPress kann die Seite dann nicht mehr aufbauen.

Veraltete PHP-Version: Manche Plugins oder Themes sind nicht mit neueren PHP-Versionen kompatibel. Wenn Ihr Hoster die PHP-Version aktualisiert hat, kann das zu Inkompatibilitäten führen. Umgekehrt können auch zu alte PHP-Versionen Probleme verursachen, wenn Plugins neuere PHP-Funktionen verwenden.

Beschädigte Core-Dateien: Selten, aber möglich – beschädigte oder fehlende WordPress-Core-Dateien können den White Screen auslösen. Das passiert etwa bei einem abgebrochenen Update oder nach einem Hack.

Der White Screen of Death lässt sich in den meisten Fällen vermeiden:

Aktualisieren Sie Plugins und Themes nicht alle gleichzeitig, sondern einzeln – so können Sie Probleme sofort dem richtigen Update zuordnen. Erstellen Sie vor jedem Update ein vollständiges Backup (Dateien und Datenbank). Nutzen Sie eine Staging-Umgebung, um Updates zuerst in einer Testumgebung zu prüfen. Und halten Sie Ihre PHP-Version auf einem aktuellen, aber stabilen Stand (aktuell PHP 8.3, 8.4 oder 8.5).

Ein regelmäßiger WordPress-Wartungsvertrag nimmt Ihnen diese Arbeit ab. Updates werden kontrolliert eingespielt, tägliche Backups erstellt und Probleme erkannt, bevor sie zu Ausfällen führen.

Wenn die oben genannten Schritte nicht helfen, der Debug-Log kryptische Fehlermeldungen zeigt, Sie keinen FTP-Zugang haben oder sich unsicher sind – dann verschwenden Sie keine Zeit mit Experimentieren. Jede Stunde, die Ihre Website offline ist, kostet Sie potentielle Kunden und Umsatz.

Ich repariere WordPress-Websites zum Festpreis – schnell, zuverlässig und ohne versteckte Kosten. Melden Sie sich direkt bei mir und Ihre Website läuft wieder.

Wenn Sie den Fehler nicht selbst beheben können oder unsicher sind, wo die Ursache liegt: Ich helfe Ihnen gerne. In den meisten Fällen kann ich das Problem innerhalb weniger Stunden identifizieren und beheben – zum Festpreis, ohne versteckte Kosten.

Ihre WordPress-Website zeigt plötzlich fremde Inhalte, leitet auf dubiose Seiten weiter oder Google warnt vor Malware? Dann wurde Ihre Seite wahrscheinlich gehackt. Das ist ärgerlich – aber kein Grund zur Panik. In diesem Beitrag erkläre ich Ihnen Schritt für Schritt, was Sie jetzt tun sollten.

Ich bin WordPress-Entwickler seit 2009 und habe in den letzten Jahren dutzende gehackte Websites wiederhergestellt. Die gute Nachricht: In den meisten Fällen lässt sich der Schaden vollständig beheben.

Nicht immer ist ein Hack sofort offensichtlich. Manchmal bemerken Sie es erst, wenn Google Ihre Seite abstraft oder ein Besucher Sie darauf hinweist. Hier sind die häufigsten Anzeichen:

Ihre Website leitet Besucher automatisch auf fremde Seiten weiter – oft auf Glücksspiel- oder Pharma-Seiten. Es erscheinen plötzlich fremde Inhalte, Links oder Pop-ups. Google zeigt den Hinweis „Diese Website wurde möglicherweise gehackt“. Ihr Hosting-Anbieter hat Ihre Seite gesperrt. Sie können sich nicht mehr einloggen, obwohl Ihre Zugangsdaten korrekt sind. Es tauchen Benutzerkonten auf, die Sie nicht angelegt haben. Oder Ihre Seite zeigt die Meldung „Error establishing a database connection“.

Wenn eines oder mehrere dieser Anzeichen zutreffen, sollten Sie sofort handeln.

Der wichtigste erste Schritt: Nehmen Sie Ihre Website offline, bevor weiterer Schaden entsteht. Damit schützen Sie Ihre Besucher vor Malware und verhindern, dass Google Ihre Seite weiter abstraft.

Am einfachsten geht das über Ihren Hosting-Anbieter. Rufen Sie dort an und bitten Sie darum, die Seite vorübergehend zu deaktivieren. Alternativ können Sie eine Wartungsseite (Maintenance Mode) aktivieren, wenn Sie noch Zugang zum Dashboard haben.

Was Sie jetzt auf keinen Fall tun sollten: Einfach weitermachen und hoffen, dass das Problem von alleine verschwindet. Das wird es nicht. Hacker richten Backdoors ein – versteckte Zugänge, über die sie jederzeit wieder reinkommen.

Ändern Sie umgehend alle relevanten Passwörter. Das betrifft nicht nur Ihr WordPress-Login, sondern auch den FTP-Zugang zu Ihrem Server, Ihre Datenbank-Passwörter, das Passwort Ihres Hosting-Kundenbereichs und die E-Mail-Adresse, die mit dem WordPress-Admin-Konto verknüpft ist.

Verwenden Sie sichere Passwörter mit mindestens 16 Zeichen, Groß- und Kleinbuchstaben, Zahlen und Sonderzeichen. Ein Passwort-Manager hilft, den Überblick zu behalten.

Bevor Sie irgendetwas reparieren, sichern Sie den aktuellen Stand Ihrer Website – auch wenn er kompromittiert ist. Warum? Weil Sie bei der Bereinigung möglicherweise Inhalte verlieren, die Sie später wiederherstellen möchten.

Erstellen Sie ein vollständiges Backup inklusive Datenbank und allen Dateien. Wenn Ihr Hoster automatische Backups anlegt, prüfen Sie ob ein sauberes Backup von vor dem Hack existiert. Das ist Gold wert, denn ein sauberes Backup macht die Wiederherstellung deutlich einfacher.

Jetzt wird es technisch. Die Malware muss gefunden und restlos entfernt werden. Das ist der schwierigste Teil, denn Hacker verstecken ihren Code oft an mehreren Stellen gleichzeitig.

Typische Verstecke für Malware sind die Datei wp-config.php, die functions.php Ihres Themes, der Ordner wp-content/uploads (dort werden PHP-Dateien versteckt), unbekannte Dateien im Hauptverzeichnis und manipulierte Plugin-Dateien.

Suchen Sie nach PHP-Funktionen wie eval(), base64_decode(), gzinflate() oder str_rot13(). Diese werden von Hackern genutzt, um schädlichen Code zu verschleiern. Auch Dateien mit zufälligen Buchstabenkombinationen als Namen (z.B. xkdf83.php) sind verdächtig.

Wenn Sie ein sauberes Backup haben, ist der schnellste Weg: WordPress komplett neu installieren, sauberes Backup der Datenbank einspielen und alle Plugins und Themes frisch vom Anbieter herunterladen.

Die Malware zu entfernen reicht nicht – Sie müssen auch das Einfallstor schließen. Sonst steht der Hacker morgen wieder vor der Tür.

Die drei häufigsten Einfallstore sind veraltete Plugins (mit Abstand die häufigste Ursache), schwache Passwörter (besonders bei Benutzernamen wie „admin“) und eine veraltete WordPress-Version.

Nach der Bereinigung sollten Sie WordPress, alle Plugins und Ihr Theme aktualisieren. Löschen Sie alle Plugins und Themes, die Sie nicht aktiv nutzen – deaktivieren reicht nicht. Prüfen Sie Ihre Benutzerliste auf unbekannte Konten. Deaktivieren Sie XML-RPC, wenn Sie es nicht benötigen. Schützen Sie Ihre wp-login.php mit einer zusätzlichen Authentifizierung.

Wenn Google Ihre Website als gehackt markiert hat, müssen Sie nach der Bereinigung eine erneute Überprüfung beantragen. Das geht über die Google Search Console unter dem Punkt „Sicherheitsprobleme“. Google prüft Ihre Seite dann erneut und entfernt die Warnung, wenn alles sauber ist. Das kann einige Tage dauern.

Ein Hack ist immer auch ein Weckruf. Ihre Website braucht regelmäßige Pflege – genau wie ein Auto regelmäßig zum TÜV muss. Dazu gehören zeitnahe Updates von WordPress, Plugins und Themes, tägliche Backups die extern gespeichert werden, Sicherheitsmonitoring und regelmäßige Malware-Scans sowie starke Passwörter und eingeschränkte Benutzerrechte.

Genau das leiste ich mit meinen WordPress-Wartungsverträgen. Damit wird Ihre Website regelmäßig aktualisiert, überwacht und gesichert – bevor Probleme entstehen.

Wenn Ihre WordPress-Website gehackt wurde und Sie sich die Bereinigung nicht selbst zutrauen: Ich übernehme das für Sie. Schnell, gründlich und zum Festpreis. Rufen Sie mich an oder schreiben Sie mir – in den meisten Fällen ist Ihre Seite innerhalb weniger Stunden wieder sauber und sicher.