Ich war noch nie so viel mit dem Bereinigen von Servern und gehackten Websites beschäftigt wie in den vergangenen Wochen. Und eine der ersten großen Sicherheitslücken hat sogar meine eigene Website erwischt und das obwohl ich sie wöchentlich warte!
In diesem Blog-Beitrag erfährst du, was gerade passiert, was die gehackten Websites gemeinsam hatten und welche sechs Dinge du erledigen solltest, wenn du eine WordPress-Website hast.
Am Ende des Blog-Beitrags findest du eine Checkliste zum Abarbeiten.
WordPress im Dauerfeuer
Allein in den letzten zwei Monaten gab es drei große Wellen von Sicherheitslücken bei WordPress, die von Hackern aktiv ausgenutzt wurden. So weit, so normal, denkst du dir jetzt vielleicht. Das liest man doch andauernd!
Ja, aber was gerade abgeht, übersteigt alles, was ich in meiner langjährigen Selbständigkeit bisher erlebt habe. Die Angriffswellen kommen dichter, die Zeit zwischen bekanntwerden der Lücke und den Angriffen, ist auf wenige Stunden geschrumpft. Und die Zahl der Seiten, die dabei mit hochgehen, ist deutlich größer als früher.
Bei meiner eigenen Website hatte ich Glück. Ich habe es direkt gemerkt und hatte ein frisches Backup parat, das ich einspielen konnte. Der Schaden blieb überschaubar.
Bei anderen Seiten, die ich in den letzten Wochen bereinigt habe, sah das leider ganz anders aus.
Warum gerade jetzt so viele WordPress-Websites gehackt werden
WordPress war schon immer ein beliebtes Ziel für Hacker-Angriffe.
Der Grund ist simpel: Rund 42 Prozent aller Websites im Internet laufen auf WordPress.
Wer eine WordPress-Lücke findet, hat auf einen Schlag Millionen potenzieller Ziele.
Neu ist der Multiplikator, der gerade dazukommt: Künstliche Intelligenz.
KI automatisiert Angriffe, spürt Schwachstellen in kürzester Zeit auf und macht das Ausnutzen von Sicherheitslücken skalierbar. Was früher Handarbeit war, läuft heute im Sekundentakt und vollautomatisch über Hunderttausende Websites. Es sitzt keine Person mehr da und sucht sich deine Website aus. Ein Skript scannt das halbe Internet und nimmt direkt mit, was offen steht.
Die Angriffe sind dadurch aggressiver als je zuvor. Und ich gehe davon aus, dass es dabei bleibt oder sogar schlimmer wird.
Was die gehackten Websites gemeinsam hatten
Ich habe in den letzten Wochen viele Seiten gesehen, die es erwischt hat. Eine Sache hatten fast alle gemeinsam:
Sie wurden nicht gewartet.
Plugins und WordPress selbst waren veraltet. Teilweise um Monate, in einem Fall um über zwei Jahre. Genau das ist ein gefundenes Fressen, denn die ausgenutzten Lücken waren längst bekannt und längst geschlossen. Nur eben nicht auf diesen Seiten!
Meine eigene Website ist die Ausnahme in dieser Liste, die hatte ihren eigenen kreativen Weg um gehackt zu werden. Sie wurde über eine alte Website gehackt, die noch auf meinem Server lag und die ich noch auf meiner To-Do Liste hatte und löschen wollte. Dazu schreib ich weiter unten im Blog-Beitrag noch mehr.
Ich weiß, Website-Wartung klingt ungefähr so verlockend wie die Umsatzsteuervoranmeldung. Trotzdem gehört sie ganz nach oben auf deine Prioritätenliste, wenn du selbstständig bist und deine Kund*innen über deine Website zu dir kommen.
Eine WordPress-Website bedeutet fortwährende Arbeit. Entweder machst du sie selbst, oder die Webdesignerin deines Vertrauens übernimmt sie für dich. Du investierst also Zeit oder Geld.
Was ein Hack dich wirklich kostet
Der Gedanke „Wer soll denn ausgerechnet meine kleine Website hacken wollen“ ist verständlich, geht aber am Thema vorbei. Denn wie du oben bereits lesen konntest, sitzen da kein Herbert oder Klaus hinter dem Bildschirm, sondern KI. Und der ist es egal wer du bist.
Was nach einem Website-Hack passieren kann:
- Deine Website leitet Besucherinnen morgens plötzlich auf eine Casino- oder Pillenseite weiter.
- Über deine Domain wird Spam verschickt. Deine geschäftlichen E-Mails landen danach zuverlässig im Spam-Ordner, teilweise über Monate.
- Google markiert deine Seite als unsicher. Der rote Warnbildschirm im Browser kostet dich Besucherinnen und Rankings.
- Dein Hosting-Paket wird gesperrt, weil dein Server auffällig geworden ist.
Dazu kommt der Teil, über den seltener gesprochen wird. Ein Hack kostet dich das Vertrauen deiner Kund*innen. Wenn eine Kund*in auf deiner Seite landet und eine Warnmeldung sieht, ist der erste Eindruck direkt verspielt.
Und im schlimmsten Fall wird ein Fall für die Datenschutzbehörde aus deiner gehackten Seite, weil über Kontaktformulare, Newsletter-Daten oder Kundenzugänge personenbezogene Daten abgeflossen sind. Dann bist du meldepflichtig, und zwar innerhalb von 72 Stunden.
Die Bereinigung selbst kostet je nach Ausmaß mehrere hundert bis über tausend Euro. Ein Wartungsservice kostet dich lediglich ein paar Euro im Monat.
Ist WordPress 2026 noch zeitgemäß?
Ja, ist es. Aber ich würde es nicht mehr allen empfehlen.
Ich war noch nie eine Freundin davon, jeder Frau WordPress aufzudrücken. Nach den Entwicklungen der letzten Monate rate ich manchen sogar zu Back to the Roots: einer statisch programmierten HTML-Seite.
Wann WordPress weiterhin die richtige Wahl ist
Wenn du aktiv mit deiner Website arbeitest, ist WordPress für mich nach wie vor die individuellste und günstigste Lösung. Du willst regelmäßig bloggen, Seiten ergänzen, Angebote überarbeiten, einen Shop oder einen Mitgliederbereich anbinden? Dann bist du mit WordPress gut aufgehoben. Du hast damit alle Freiheiten, und die Wartung ist der Preis dafür.
Wichtig ist nur, dass du diesen Preis von Anfang an einplanst. Entweder Zeitlich oder finanziell.
Wann eine statische HTML-Seite die bessere Wahl ist
Es gibt Websites, die wurden ein Mal erstellt und verändern sich nicht. Sie dienen dazu dich und dein Angebot im Internet zu präsentieren. Und es wird vielleicht ein mal im Jahr der Text etwas angepasst.
Für so eine Seite ist WordPress mit seinen Plugins, Updates und Datenbanken schlicht überdimensioniert. Eine statisch programmierte HTML-Seite hat keine Plugins, keine Datenbank, keine wöchentlichen Updates und damit kaum Angriffsfläche. Sie ist außerdem schneller und im Betrieb günstiger.
Wenn du gar nicht vorhast, laufend mit deiner Website zu arbeiten, sondern einfach nur sauber und professionell online sein möchtest, dann ist das eine ernsthafte Option.
Hier findest du ein Beispiel wie so eine Seite aussehen kann
Wenn du Interesse an so einer statischen HTML-Seite hast, dann meld dich gerne bei mir und wir setzen etwas für dich um!
Deine Checkliste: 6 Dinge, um die du dich jetzt kümmern solltest
1. Sichere dir ein aktuelles Backup, und zwar außerhalb deines Servers
Speichere dein Backup immer lokal oder auf einem anderen Speichermedium als dem Server, auf dem die Website liegt. Denn wenn die Website gehackt wird, kann Schadcode auch in dein Backup wandern.
Ich speichere immer mehrere Backups einer Seite. Manche Hacks fallen erst spät auf, und dann brauchst du einen Stand von vorher.
2. Mach regelmäßig Updates und bleib informiert
Updates sind der wichtigste Hebel überhaupt, weil fast alle Hacks über längst bekannte Lücken laufen. Such dir einen Kanal, über den du auf dem Laufenden bleibst.
Und wenn du keine Lust darauf hast, was ich gut nachvollziehen kann, dann sprich mit deiner Webdesigner*in. Ich biete zum Beispiel einen Wartungsservice für meine Kundinnen an, damit sie den Kopf frei haben. Das kostet ein paar Euro im Monat, aber die Sicherheit ist unbezahlbar.
3. Räum deinen Server auf
Das ist der Punkt, der mich selbst erwischt hat. Wenn auf deinem Server noch alte Websites, Testinstallationen oder eine Staging-Seite von vor drei Jahren liegen: Lösch sie sofort!
Diese vergessenen Installationen bekommen nie Updates, und über sie kommt jemand auf deinen Server und damit auch an deine aktuelle Website. Genau so wurde meine Seite gehackt.
4. Aktiviere automatische Updates für deine Plugins
WordPress kann Plugin-Updates automatisch einspielen. Bei kleinen, überschaubaren Websites ist das in den meisten Fällen die bessere Wahl, als wochenlang nichts zu tun.
Und schau in dem Zuge auch mal durch deine Plugin-Liste. Alles, was du nicht wirklich brauchst oder was seit Jahren nicht mehr weiterentwickelt wird, fliegt raus. Jedes Plugin ist ein Plugin zu viel.
5. Such dir einen Hosting-Provider, der dich unterstützt
Nach meinen Erfahrungen beim Hacking-Angriff kann ich meinen alten Provider nicht mehr weiterempfehlen und werde ihn auch wechseln. All-Inkl ist ein Hosting-Provider, den ich jederzeit empfehlen würde.
Dein Provider sollte:
- Backups von deinem Server machen und dir diese kostenfrei zur Verfügung stellen
- einen Malware-Scanner anbieten, mit dem sich die Eintrittsstelle finden lässt, falls deine Website gehackt wurde
- im Ernstfall erreichbar sein und dir konkret weiterhelfen, statt dich auf ein Ticketformular zu verweisen
6. Nimm Meldungen deines Providers ernst
Wenn du eine E-Mail von deinem Hosting-Provider bekommst, dass etwas entdeckt wurde, dann kümmere dich direkt darum.
Und wenn du dich selbst nicht damit auskennst, such dir Hilfe. Je schneller ein Hack erkannt wird, desto besser lässt sich der Schaden eindämmen. Der Unterschied zwischen „seit gestern“ und „seit sechs Wochen“ entscheidet darüber, ob es eine Stunde Arbeit ist oder ein Projekt.
Zusammenfassung: Die wichtigsten Punkte auf einen Blick
- In den vergangenen Monaten gab es mehrere große Wellen von WordPress-Sicherheitslücken, die aktiv ausgenutzt wurden.
- KI wirkt als Multiplikator: Angriffe laufen automatisiert, schneller und in einer ganz anderen Größenordnung als früher.
- Fast alle gehackten Seiten, die ich bereinigt habe, hatten eines gemeinsam: Sie wurden nicht gewartet.
- Ein Hack kostet dich Geld, Zeit, Sichtbarkeit und Vertrauen. Bei Datenabfluss wird ein Datenschutz-Thema daraus.
- WordPress bleibt die beste Lösung, wenn du aktiv mit deiner Website arbeitest. Wenn sich bei dir kaum etwas ändert, ist eine statische HTML-Seite die sicherere Alternative.
- Deine Basics: aktuelles Backup außerhalb des Servers, laufende Updates, aufgeräumter Server, automatische Plugin-Updates, guter Hoster, schnelle Reaktion bei Meldungen.
Das Internet ist kein Sonnenblumenfeld
Es hat auch dunkle Ecken. Aber du bist dem nicht ausgeliefert.
Mit einem frischen Backup, aktuellen Updates und einem aufgeräumten Server bist du gut aufgestellt. Das ist keine Raketenwissenschaft, sondern ein fixer Termin im Kalender.
Nimm dir diese Woche eine halbe Stunde und geh die sechs Punkte durch. Wenn dabei rauskommt, dass alles passt: perfekt. Wenn nicht, weißt du jetzt, wo du anfängst.
Deine Steffi
P.S. Ich überlege, sichere, statisch programmierte HTML-Onepager mit ins Angebot aufzunehmen. Für alle, die einfach nur ihr Angebot sauber online haben möchten, ohne Plugins, ohne Updates, ohne Wartungsaufwand. Wenn das nach dir klingt, schreib mir gerne. Ich würde wirklich gerne wissen, ob das für dich passen würde.
P.P.S. Solche Updates schicke ich zuerst an meine Newsletter-Leserinnen. Wenn du mitbekommen möchtest, was im Web gerade wichtig ist, bevor es im Blog landet, melde dich für viel:mehr insights an.
