Sicherheit und SEO klingen nach zwei getrennten Themen – sind es aber nicht. Dieser Artikel zeigt wie beides zusammenhängt. Eine gehackte WordPress-Website wird von Google als unsicher markiert, aus dem Index genommen oder mit einem Warnhinweis in den Suchergebnissen versehen. Das zerstört Rankings und Kundenvertrauen in Minuten. Gleichzeitig fördern sichere Websites das Vertrauen bei Google – ein direkter Zusammenhang zwischen Sicherheit und Ranking.
Wie Sicherheitsprobleme SEO zerstören
Malware-Warnung in Google. Wenn Google Malware auf einer Website entdeckt, erscheint in den Suchergebnissen ein roter Warnhinweis: „Diese Website könnte Ihren Computer beschädigen.” Die meisten Nutzer klicken dann nicht mehr – Traffic bricht auf nahezu null ein.
Manuelles Ranking-Penalty. Google kann eine Website manuell aus dem Index nehmen wenn sie zur Weiterverbreitung von Malware oder Spam genutzt wird. Die Wiederaufnahme nach einem Penalty dauert Wochen bis Monate.
Spam-Inhalte von Hackern. Häufige Angriffe auf WordPress-Seiten fügen versteckte Links oder Seiten ein die Nutzer auf dubiose Websites weiterleiten. Google erkennt diese Fremdlinks und bestraft die gehackte Website.
WordPress ist das meistgehackte CMS weltweit – nicht weil es unsicher ist, sondern weil es am häufigsten genutzt wird und viele Installationen veraltete Plugins oder schwache Passwörter haben.
Die häufigsten Angriffsvektoren
Veraltete Plugins und Themes. Sicherheitslücken in Plugins werden regelmäßig gefunden und gepatcht. Wer nicht aktualisiert, lässt bekannte Einfallstore offen.
Schwache Passwörter. Standard-Nutzername „admin” mit einfachem Passwort ist ein häufiger Ausgangspunkt für Brute-Force-Angriffe.
Nulled Themes und Plugins. Kostenlose Raubkopien kostenpflichtiger Plugins enthalten oft Backdoors – absichtlich eingebaute Zugänge für Angreifer.
Nicht gesicherter Login. Ohne Schutzmaßnahmen können Bots tausende von Passwort-Kombinationen pro Minute ausprobieren.
Grundlegende Sicherheitsmaßnahmen
Updates sofort einspielen. WordPress Core, Themes und Plugins immer auf dem neuesten Stand halten. Aktivieren Sie automatische Updates für Minor-Versionen und Sicherheitsupdates.
Starke Passwörter und Zwei-Faktor-Authentifizierung. Einzigartiges, langes Passwort für alle WordPress-Accounts. Ein Plugin wie Two Factor Authentication oder WP 2FA fügt einen zweiten Anmelde-Schritt hinzu.
Login-URL ändern. Der Standard-Login unter /wp-login.php ist Bots bekannt. Das Plugin WPS Hide Login ändert die URL auf einen selbst gewählten Pfad.
Login-Versuche begrenzen. Das Plugin Limit Login Attempts Reloaded blockiert IP-Adressen nach einer bestimmten Anzahl fehlgeschlagener Login-Versuche.
Richten Sie automatische tägliche Backups ein – mit Speicherung außerhalb Ihres Servers (Google Drive, Dropbox oder ein zweiter Server). Wenn eine Website gehackt wird, ist ein sauberes Backup die schnellste Wiederherstellungsoption. Das Plugin UpdraftPlus erledigt das kostenlos und zuverlässig.
Sicherheits-Plugins für WordPress
Wordfence – umfangreicher kostenloser Schutz mit Firewall, Malware-Scanner und Brute-Force-Schutz. Eine der meistgenutzten Sicherheitslösungen für WordPress.
Sucuri – Cloud-basierter Schutz, CDN und Malware-Entfernung. Die kostenlose Version bietet grundlegende Überwachung, die bezahlte Version aktiven Schutz.
iThemes Security – bietet über 30 Schutzmaßnahmen in einem Plugin, gut konfigurierbar.
Installieren Sie nur eines dieser Plugins – mehrere Sicherheits-Plugins gleichzeitig können sich gegenseitig stören.
Was tun wenn die Website gehackt wurde?
- Hosting-Provider informieren – viele können die Website sofort sperren
- Sauberes Backup einspielen (falls verfügbar)
- Alle Passwörter ändern (WordPress, FTP, Hosting, Datenbank)
- Alle Plugins und Themes aktualisieren
- Malware-Scanner laufen lassen und alle Funde bereinigen
- Google Search Console prüfen – gibt es Sicherheitswarnungen?
- Wenn Google eine Warnung ausgesprochen hat: Überprüfungsanfrage in der Search Console stellen
Die durchschnittliche Zeit bis eine gehackte WordPress-Website wieder vollständig bereinigt und bei Google freigegeben ist: 2–4 Wochen – die Rankings erholen sich oft erst Monate später.