Zum Inhalt springen

Ratgeber · WooCommerce

Shop gehackt? Was jetzt zu tun ist

Besucher landen auf fremden Seiten, Google warnt vor Ihrem Shop oder es tauchen unbekannte Admins auf: Bei einem Angriff zählt die richtige Reihenfolge. Erst sichern und abschotten, dann bereinigen, dann die Lücke schließen.

Von Karsten Höfner · Stand Oktober 2026 · 6 Min. Lesezeit

Zu den SofortmaßnahmenNotfall-Hilfe anfragen

Kurz gesagt

Löschen Sie nicht sofort wild Dateien. Sichern Sie zuerst den aktuellen Zustand, ändern Sie alle Zugangsdaten (WordPress, FTP, Datenbank, Hoster) und setzen Sie neue Sicherheitsschlüssel in der wp-config.php. Dann WordPress, Plugins und Theme aus sauberen Quellen neu einspielen, nach fremden PHP-Dateien suchen, Admin-Konten prüfen und die Ursache finden. Wurden Kundendaten abgegriffen, kann eine Meldung an die Datenschutzbehörde innerhalb von 72 Stunden nötig sein.

Typische Anzeichen

  • Weiterleitungen auf Spam- oder Glücksspielseiten – oft nur für Besucher vom Handy oder aus der Google-Suche, nicht für angemeldete Admins.
  • Google zeigt „Diese Website wurde möglicherweise gehackt“ oder Chrome warnt vor der Seite.
  • Bei einer Suche nach site:ihr-shop.de erscheinen fremde Seiten, oft in anderen Sprachen.
  • Unbekannte Administratoren in WordPress, neue Plugins, die niemand installiert hat.
  • PHP-Dateien im Ordner wp-content/uploads, wo nur Bilder liegen sollten.
  • Der Hoster sperrt das Paket oder meldet Spamversand.
  • Kunden berichten von fremden Zahlungsseiten an der Kasse.

Sofortmaßnahmen in der richtigen Reihenfolge

  1. Zustand sichern. Vollständige Kopie von Dateien und Datenbank, so wie sie jetzt sind. Sie brauchen sie, um die Ursache zu finden – und als Nachweis.
  2. Shop vom Netz oder in Wartung. Besonders, wenn die Kasse betroffen ist. Lieber einige Stunden keine Bestellungen als abgegriffene Zahlungsdaten.
  3. Alle Zugänge ändern. WordPress-Admins, FTP/SFTP, Datenbank, Hoster-Kundenmenü, Zugänge zu Zahlungsanbietern. Von einem sauberen Rechner aus.
  4. Neue Sicherheitsschlüssel. Die Schlüssel (Salts) in der wp-config.php neu erzeugen. Damit sind alle angemeldeten Sitzungen ungültig, auch die des Angreifers.
  5. Benutzer prüfen. Unbekannte Administratoren entfernen, Rollen aller Konten kontrollieren.

Bereinigen

  1. WordPress-Kern ersetzen – die Ordner wp-admin und wp-includes komplett durch eine frische Kopie der gleichen Version.
  2. Plugins und Theme neu einspielen – aus der Originalquelle, nicht aus der vorhandenen Installation. Plugins, die niemand braucht, entfernen. „Kostenlose“ Kopien von Bezahl-Plugins aus inoffiziellen Quellen sind eine häufige Ursache und gehören sofort ersetzt.
  3. Uploads durchsuchen – nach .php-Dateien und anderen Dateien, die dort nichts zu suchen haben.
  4. Datenbank prüfen – auf eingeschleuste Skripte in Beiträgen, Widgets und Optionen, auf fremde Weiterleitungen.
  5. .htaccess und wp-config.php prüfen – beliebte Stellen für versteckte Weiterleitungen.

Lücke schließen und wieder sichtbar werden

Ohne die Ursache kommt der Angreifer zurück. Häufig sind es veraltete Plugins mit bekannter Sicherheitslücke, schwache Passwörter ohne zweiten Faktor oder ein kompromittierter Rechner, von dem aus per FTP gearbeitet wurde. Ist der Shop sauber, beantragen Sie in der Google Search Console unter „Sicherheitsprobleme“ eine Überprüfung. Die Warnung verschwindet meist innerhalb weniger Tage.

Datenschutz: Meldepflicht prüfen

Haben Angreifer Zugriff auf Kundendaten gehabt – Namen, Adressen, Bestellungen, E-Mail-Adressen –, ist das eine Datenpanne. Nach Art. 33 DSGVO muss sie in der Regel innerhalb von 72 Stunden der zuständigen Aufsichtsbehörde gemeldet werden, wenn ein Risiko für die Betroffenen besteht. Dokumentieren Sie, was passiert ist und was Sie getan haben. Bei Unsicherheit holen Sie rechtlichen Rat ein – wir sind keine Rechtsberater.

Akuter Angriff auf Ihren Shop?

Unsere Notfall-Hilfe übernimmt Sicherung, Bereinigung und das Schließen der Lücke – mit festem Zeitrahmen und Preis, bevor wir anfangen.

Notfall-Hilfe anfragen

Häufige Fragen

Reicht ein Sicherheits-Plugin, um den Shop zu bereinigen?

Scanner finden bekannte Muster, aber nicht alles. Vor allem finden sie die Ursache nicht. Sicherer ist es, Kern, Plugins und Theme aus sauberen Quellen neu einzuspielen und die Daten gezielt zu prüfen.

Kann ich einfach eine alte Sicherung zurückspielen?

Nur, wenn sicher ist, dass die Sicherung vor dem Angriff entstand – und dann ist die Lücke immer noch offen. Außerdem fehlen Bestellungen seit der Sicherung. Spielen Sie zurück und schließen Sie danach sofort die Lücke.

Warum sehe ich die Weiterleitung nicht, meine Kunden aber schon?

Viele Schadprogramme leiten nur Besucher um, die nicht angemeldet sind, vom Handy kommen oder aus der Google-Suche. Testen Sie im privaten Fenster über eine Google-Suche oder mit dem Handy im Mobilfunknetz.

Wie verhindere ich einen erneuten Angriff?

Plugins aktuell halten und ungenutzte entfernen, starke Passwörter mit zweitem Faktor, keine Plugins aus inoffiziellen Quellen, regelmäßige Sicherungen außerhalb des Servers und SFTP statt FTP.

Passend dazu