· aktualisiert 2026-10-07
Wer einen Einbruch bemerkt, will sofort alles in Ordnung bringen. Leider zerstören einige dieser schnellen Schritte die Informationen, mit denen sich klären ließe, wie es dazu kam.
Was Sie nicht tun sollten
- Keine verdächtigen Dateien löschen. Erstellungszeit und Inhalt sind der Bezugspunkt der gesamten Untersuchung.
- Kein Backup einspielen. Es überschreibt den aktuellen Zustand. Ohne bekannten Infektionsbeginn wissen Sie nicht, ob das Backup sauber ist.
- WordPress nicht neu installieren. Das Überschreiben der Core-Dateien löscht die Spuren der Änderungen.
- Serverkonfiguration nicht ändern, Protokolle nicht rotieren. Zugriffsprotokolle sind oft der einzige Weg, den Einbruchszeitpunkt zu bestimmen.
Was stattdessen
- Öffentlichen Zugriff einschränken — Wartungsmodus oder Sperre auf Serverebene.
- Kopie des aktuellen Zustands anlegen: Dateien und Datenbank, mit Datum im Namen.
- Zugriffs- und Fehlerprotokolle sichern — sie werden oft nur kurz aufbewahrt.
- Notieren, wann und wie Sie das Problem bemerkt haben. Diese Angabe wird später für die Meldung gebraucht.
- Erst dann untersuchen oder Hilfe holen.
Gehört die Website einer Behörde oder wurden personenbezogene Daten verarbeitet, laufen parallel die Meldefristen — dazu ein eigener Artikel.