Ich weiß, so eine Situation fühlt sich im ersten Moment richtig beängstigend an – der Puls geht hoch, und am liebsten würde man sofort irgendwas anklicken. Aber genau das ist der Moment, in dem ein klarer Kopf mehr wert ist als Tempo. Also lass uns das in Ruhe zusammen durchgehen.

Ein Praxisfall: die Warn-Mail meiner Kundin

Vor Kurzem hat mir eine meiner Betreuungskundinnen eine E-Mail ihres Hosters (united-domains) weitergeleitet, mit einer ganz einfachen Frage dazu: „Ist das echt?“ Drin stand eine Warnung vor der WordPress-Sicherheitslücke wp2shell und die Aufforderung, ein Backup zurückzuspielen.

Und ehrlich – im ersten Moment sah die Mail für mich selbst nach Phishing aus. Kein richtiger Bezug zu ihrer Seite, dafür ordentlich Druck, sofort zu handeln. Das sind genau die Muster, bei denen man hellhörig werden sollte. Also erst mal prüfen statt klicken. In der Mail hieß es:

„Angreifer könnten Daten in Ihrer WordPress-Installation eingesehen, verändert oder gelöscht haben. Das betrifft insbesondere Passwörter und Zugangsdaten (z. B. API-Keys, Token) für alle Programme und Erweiterungen (Plugins), die mit Ihrer Website verbunden sind.“

Die Prüfung hat dann aber gezeigt: Die Meldung war echt. Sie stand nämlich auch im eingeloggten Hosting-Dashboard, und die Lücke gibt es tatsächlich – sie wurde Mitte Juli 2026 öffentlich gemacht, das BSI hat davor gewarnt. Angreifer können darüber Schadcode ausführen, ganz ohne Login und sogar ohne installierte Plugins.

Trotzdem habe ich nicht einfach blind den Rollback-Button gedrückt. Ich bin lieber kontrolliert vorgegangen: erst die Core-Version geprüft, dann sauber auf die gepatchte Version aktualisiert – kein pauschaler Rückwärts-Salto übers ganze Paket. Für diese eine Seite hieß es am Ende: Entwarnung, Lücke geschlossen.

Wenn deine WordPress-Website angegriffen wird, gilt vor allem eins: erst eindämmen, dann sichern, dann bereinigen – und bitte nicht in Panik blind den Rollback-Button drücken. Setz die Seite in den Wartungsmodus, sichere Beweise, schau nach, ob wirklich ein Angriff vorliegt (zum Beispiel Admin-Benutzer, die niemand angelegt hat), bring WordPress auf die gepatchte Version und erneuere danach alle Zugänge. Und wenn die Seite tief oder schon länger befallen ist, gehört die Bereinigung ehrlicherweise in die Hände eines spezialisierten Dienstes.

Deine Schritt-für-Schritt-Anleitung

1. Erst prüfen: Ist die Warnung echt?

Klick bitte keine Links in der Mail an. Logge dich stattdessen direkt über die dir bekannte Adresse in dein Hosting-Dashboard ein und schau, ob die Warnung auch dort auftaucht. Und wenn du unsicher bist, leite die Mail einfach an den Support deines Hosters weiter und frag kurz nach, ob sie wirklich von ihnen stammt.

2. Eindämmen

Setz die Seite in den Wartungsmodus. Damit nimmst du ihr erst mal die Angriffsfläche, während du in Ruhe weiterprüfst.

3. Beweise sichern – aber nicht wiederherstellen

Zieh ein Backup vom aktuellen Stand, einfach als Beweis. Einspielen tust du es aber nicht – denn genau darin könnte der Angriff ja stecken. Vergiss deshalb nicht dein Backup dementsprechend zu Kennzeichen.

4. Prüfen, ob wirklich ein Angriff vorliegt

Geh ins Backend und schau dir die Benutzerliste an: Tauchen da Admins auf, die niemand von euch angelegt hat? Das ist ein ziemlich klares Alarmzeichen. Wirf zusätzlich einen Blick auf die Dateien und lass einen Malware-Scan laufen, der gezielt die WordPress-Dateien prüft (zum Beispiel mit Wordfence, dazu unten mehr).

5. Nur verwundbar – oder wirklich befallen?

• Nur verwundbar: kontrolliert updaten. Core-Version prüfen und sauber auf die gepatchte Version aktualisieren – bei wp2shell sind das WordPress 7.0.2, 6.9.5 oder 6.8.6 (je nach Versionsreihe). Keine blinden Rollbacks.
• Befallen, aber flach und mit sauberem Backup: ein Backup von vor dem Befall zurückspielen und danach sofort updaten.
• Tief oder schon länger befallen, ohne sauberes Backup: an einen spezialisierten Bereinigungsdienst übergeben.

6. Zugänge erneuern

Und zum Schluss noch das Wichtigste hinterher: Passwörter aller Admin-Konten ändern, die Passwörter der verknüpften E-Mail-Adressen gleich mit, und alle API-Schlüssel neu generieren. Damit sind alle Zugänge, die der Angreifer eventuell mitgelesen hat, auf einen Schlag wertlos.

Meine Tool-Empfehlungen

Wordfence – für den Sicherheits-Scan. Damit scannst du deine Website einmal komplett durch. Es vergleicht deine WordPress-, Theme- und Plugin-Dateien mit dem Original und erkennt so veränderte oder eingeschleuste Dateien. Eine Einschränkung solltest du aber kennen: Der Scanner arbeitet vor allem dateibasiert und erkennt tiefe Veränderungen direkt in der Datenbank (etwa Schadcode in der Tabelle wp_options) nicht zuverlässig. Fast noch wichtiger als der einmalige Scan ist übrigens der laufende – ein aktiver Scanner meldet dir Veränderungen, bevor sie monatelang unbemerkt bleiben.

UpdraftPlus – für regelmäßige Backups. Hier stellst du in wenigen Klicks ein, in welchem Rhythmus Backups erstellt werden (ich empfehle mindestens alle 14 Tage), und wählst aus, wo sie landen – am besten in einer Cloud, getrennt von deinem Hosting. So hast du im Ernstfall immer einen Stand, auf den du zurückgehen kannst.

Wenn der Scan wirklich etwas findet

Genau diese Warn-Mail war für mich übrigens der Anlass, nicht nur die eine Seite zu prüfen, sondern gleich alle, für die ich verantwortlich bin. Und auf einer davon bin ich tatsächlich fündig geworden – ein Angriff, der seit Mitte Mai völlig unbemerkt lief. Wie ich ihn zum Glück trotzdem noch rechtzeitig entdeckt habe und was er mich über Backups und Scans gelehrt hat, erzähle ich in einem eigenen Beitrag:

Wie ein Tierparkbesuch fast meine Nerven gekostet hat