Meistens kommt die Nachricht morgens, per Mail vom Hoster: „Schadcode auf Ihrem Webspace“. Manchmal ist es auch Google, das in den Suchergebnissen direkt unter Ihrer Website den Hinweis „Diese Website wurde möglicherweise gehackt“ einblendet. Und manchmal ruft einfach ein Kunde an und will wissen, warum auf Ihrer Rechnung plötzlich eine fremde Kontonummer steht.
Egal, wie es bei Ihnen losging: Die nächsten Stunden entscheiden ziemlich viel. In diesem Text steht, was jetzt in welcher Reihenfolge ansteht. Außerdem geht es um etwas, das die meisten Anleitungen auslassen, nämlich was so ein Hack außerhalb der Website anrichtet. Dort entsteht in der Praxis oft der größere Schaden.
Das Wichtigste in Kürze
- Erst eindämmen, dann aufräumen: Seite sperren, alle Passwörter ändern, den aktuellen Zustand sichern.
- Ein Hack betrifft fast nie nur die Website. Das Postfach, der Ruf bei Google und die Daten in der Datenbank hängen meistens mit drin.
- Einfach ein altes Backup einspielen reicht nicht, denn die Lücke steckt im Backup mit drin.
- Sind personenbezogene Daten betroffen, muss der Vorfall in der Regel innerhalb von 72 Stunden an die Datenschutzbehörde gemeldet werden. Ausnahme: Es besteht voraussichtlich kein Risiko für die Betroffenen.
- Sauber ist die Seite erst, wenn die Ursache gefunden und geschlossen ist. Dass die Weiterleitung weg ist, heißt noch gar nichts.
Woran Sie erkennen, dass Ihre Website gehackt wurde
Manche Hacks fallen sofort auf, andere laufen monatelang, ohne dass es jemand merkt. Die unauffälligen sind in der Praxis sogar die häufigeren, deshalb lohnt es sich, beide Sorten zu kennen.
Auffällige Zeichen:
- Besucher landen auf fremden Shops, Gewinnspielen oder Seiten, die Sie noch nie gesehen haben.
- Auf der Seite tauchen Texte, Bilder oder ganze Unterseiten auf, die nicht von Ihnen stammen.
- Google zeigt in den Suchergebnissen „Diese Website wurde möglicherweise gehackt“, oder der Browser blendet vor der Seite eine rote Warnung ein.
- Der Login funktioniert nicht mehr, oder der Hoster hat den Webspace gesperrt.
Unauffällige Zeichen:
- Im Benutzerbereich gibt es plötzlich einen Administrator, den niemand angelegt hat.
- Dateien haben ein Änderungsdatum, an dem niemand an der Seite gearbeitet hat.
- Die Besucherzahlen gehen zurück, ohne dass es dafür einen erkennbaren Grund gibt.
- Mails von Ihrer eigenen Domain landen bei Kunden im Spam-Ordner.
- Bei Google tauchen Unterseiten zu Medikamenten, Casinos oder Sneakern auf, die Sie auf Ihrer Website selbst nie zu sehen bekommen. Das ist sogenannter SEO-Spam. Oft bekommt dabei nur Google die Spam-Inhalte gezeigt, normale Besucher sehen die ganz normale Seite.
Gerade der letzte Punkt wird gern übersehen, weil von außen alles normal aussieht. Wer nur auf die auffälligen Zeichen achtet, merkt es meistens erst, wenn schon einiges kaputt ist. Eine ausführliche Checkliste mit Symptomen gibt es auf unserer Seite zur Malware-Entfernung.
Die ersten 30 Minuten: eindämmen, nicht aufräumen
Klar, der erste Impuls ist: sofort weg mit dem Zeug. Genau das ist aber der häufigste Fehler. Wer gleich anfängt zu löschen, löscht auch die Spuren, über die man die Lücke findet. Und um die geht es eigentlich. Die verdächtige Datei, die man gerade vor sich hat, ist nur das Symptom.
Deshalb in dieser Reihenfolge:
- Seite vom Netz nehmen. Wartungsmodus aktivieren oder den Hoster bitten, den Webspace zu sperren. Wenn über die Seite Spam rausgeht oder Besucher umgeleitet werden, lassen Sie auf jeden Fall sperren. Jede Stunde online kostet weitere Reputation.
- Den eigenen Rechner prüfen. Klingt übertrieben, ist aber wichtig. Hat der Angreifer die Zugangsdaten über ein Schadprogramm auf Ihrem PC abgegriffen, liest er jedes neue Passwort gleich wieder mit.
- Alle Passwörter ändern. Und zwar wirklich alle: WordPress-Benutzer, FTP bzw. SFTP, das Kundenkonto beim Hoster, die Datenbank und die E-Mail-Postfächer. Warum gerade die Postfächer so wichtig sind, kommt weiter unten.
- Den Zustand sichern. Eine Kopie aller Dateien und der Datenbank, genau so, wie sie gerade sind. Damit haben Sie Ihr Beweismaterial und gleichzeitig die Grundlage für die Analyse.
- Sonst erst mal nichts anfassen. Kein Backup einspielen, keine Plugins löschen, keine Dateien „aufräumen“. Das kommt später dran, und dann mit System.
Das fühlt sich erst mal an, als würde nichts passieren. Tatsächlich haben Sie in diesen 30 Minuten verhindert, dass es schlimmer wird, und alles gesichert, was man braucht, um die Ursache zu finden.
Was ein Hack wirklich anrichtet: jenseits der Website
Die meisten Anleitungen hören auf, sobald die Website wieder sauber ist. Der Schaden hört da aber leider nicht auf. Drei Bereiche sind fast immer mit betroffen.
Das E-Mail-Postfach
Das merken Betreiber meistens als Letztes, und es beschäftigt sie am längsten.
Spam vom eigenen Webspace. Für Angreifer ist ein gehackter Server vor allem ein kostenloser Weg, Mails zu verschicken. Ein kleines Skript auf der Website kann tausende Mails pro Stunde rausschicken. Die Empfänger markieren das als Spam, und die Mailanbieter setzen dann die Server-Adresse oder gleich die ganze Domain auf Sperrlisten, sogenannte Blacklists. Viele Anbieter gleichen jede eingehende Mail mit solchen Listen ab, bevor sie zugestellt wird. Ab dann landen Ihre Angebote im Spam, Terminbestätigungen kommen nicht an und Rechnungen werden abgewiesen. Eine Fehlermeldung bekommen Sie dabei längst nicht immer. Meistens fällt es erst auf, wenn der dritte Kunde nachfragt, ob seine Mail eigentlich angekommen ist.
Phishing in Ihrem Namen. Ohne Absenderschutz kann im Grunde jeder Mails verschicken, die scheinbar von info@ihre-domain.de kommen. Dagegen helfen drei Einträge in den Einstellungen Ihrer Domain. SPF legt fest, welche Server für Ihre Domain überhaupt Mails verschicken dürfen. DKIM ist eine digitale Signatur, mit der Ihr Mailserver jede ausgehende Mail unterschreibt. Und DMARC sagt dem Empfänger, was er mit Mails machen soll, die diese Prüfungen nicht bestehen: ablehnen, in den Spam schieben oder trotzdem zustellen. Ohne DMARC bringt auch ein SPF-Eintrag nur wenig, weil der Absender, den Ihre Kunden im Postfach sehen, damit nicht geschützt ist. Für eine Kanzlei heißt das ganz konkret: Mandanten bekommen eine „Honorarrechnung“ mit fremder Kontonummer. Und die wirkt echt, weil Absender, Logo und Tonfall stimmen.
Gleiches Passwort, doppelter Schaden. Viele nutzen für WordPress dasselbe Passwort wie fürs Postfach. Dann hat der Angreifer neben der Website auch Zugriff auf Ihre Mails. Und im Postfach liegt so gut wie alles: Verträge, Kundenkorrespondenz und die Links zum Zurücksetzen der Passwörter für jeden anderen Dienst, den Sie nutzen.
Wie man das wieder in den Griff bekommt, steht weiter unten unter „Postfach und Ruf reparieren“. Vorher noch zum restlichen Schaden.
Die Daten, die in der Website liegen
Man kann es ziemlich einfach zusammenfassen: Wer die Datenbank hat, hat alles, was jemals über die Website eingegeben wurde.
Bei einer Firmenwebsite mit fünf Unterseiten denkt man erst mal, da liegt doch nichts. Meistens liegt da aber mehr, als man glaubt.
Kontaktformulare. Die meisten Formular-Plugins speichern jede Einsendung in der Datenbank, auch die von vor drei Jahren, die längst erledigt ist. Bei Elementor Pro ist die Aktion „Einsendungen sammeln“ standardmäßig eingeschaltet. WPForms, Gravity Forms und Fluent Forms speichern je nach Version und Einstellung ebenfalls, Contact Form 7 mit der Erweiterung Flamingo. Drin stehen Name, Telefonnummer, E-Mail und das Anliegen. Bei einer Praxis klingt das dann etwa so: „Ich habe seit Wochen Schmerzen im linken Knie.“ Bei einer Kanzlei: „Mein Arbeitgeber hat mir gekündigt, hier die Details.“ Gesundheitsdaten und Mandatsanfragen aus mehreren Jahren, alles in einer Tabelle.
WooCommerce. Ein Shop speichert Kundenkonten, Rechnungs- und Lieferadressen, Telefonnummern und die komplette Bestellhistorie. Kartendaten liegen normalerweise beim Zahlungsdienstleister und nicht im Shop. Die Kundenliste mit allem Drum und Dran aber schon. Und mit so einer Liste lässt sich die nächste Betrugswelle ziemlich überzeugend bauen: „Sehr geehrte Frau Müller, zu Ihrer Bestellung 4711 vom 12. März …“ Da klicken leider sehr viele drauf.
Und der Rest. Terminbuchungen mit Namen und Uhrzeiten, Newsletter-Listen, Mitgliederbereiche. Die Passwörter der Benutzerkonten stehen zwar nicht im Klartext in der Datenbank, sondern als sogenannter Hash, also in eine Art Fingerabdruck umgerechnet, aus dem sich das Passwort nicht direkt zurückrechnen lässt. Schwache Passwörter findet ein Angreifer durch massenhaftes Durchprobieren aber trotzdem heraus, und zwar in aller Ruhe auf seinem eigenen Rechner. Dazu kommt der Uploads-Ordner: Bewerbungen, Unterlagen oder Scans, die jemand über ein Formular hochgeladen hat, liegen dort oft als ganz normale Datei, die jeder mit dem passenden Link öffnen kann.
Was heißt das für Sie? Nach einem Hack geht es nicht nur darum, ob die Seite wieder läuft. Genauso wichtig ist, welche Daten da lagen und wer sie jetzt hat. Vorbeugend lohnt sich ein Blick darauf, was Ihre Formulare überhaupt speichern. Wenn die Anfrage ohnehin per Mail bei Ihnen ankommt, braucht es die Kopie in der Datenbank meistens nicht. Speicherung abschalten oder eine Löschfrist setzen ist in ein paar Minuten erledigt.
Der Ruf bei Google und bei den Besuchern
Google Safe Browsing ist eine Liste gefährlicher Seiten, die unter anderem Chrome, Firefox und Safari nutzen. Steht Ihre Domain darauf, bekommen Besucher vor der Seite eine rote Warnung angezeigt. Da klickt kaum noch jemand weiter, und Ihr Firmenname steht direkt daneben.
SEO-Spam kostet außerdem Rankings. Wenn Google auf Ihrer Domain hunderte Unterseiten zu Themen findet, die mit Ihrem Unternehmen nichts zu tun haben, leidet die ganze Seite darunter. Auch nach der Bereinigung dauert es noch Wochen, bis Google die Spam-Seiten wieder aus dem Index genommen hat.
Und wer über Ihre Website auf einer Betrugsseite gelandet ist, verbindet das hinterher mit Ihrem Namen und nicht mit dem Angreifer.
„Die Website ist meistens das Kleinste, was bei einem Hack kaputtgeht.“ – Sven Parnemann, Siteprex
Meldepflicht: wann die Datenschutzbehörde informiert werden muss
Das Thema ist unangenehm, deshalb ganz kurz und direkt.
Nach Artikel 33 DSGVO muss eine Verletzung des Schutzes personenbezogener Daten innerhalb von 72 Stunden, nachdem sie bekannt geworden ist, an die zuständige Aufsichtsbehörde gemeldet werden. Das gilt nur dann nicht, wenn sie voraussichtlich zu keinem Risiko für die Betroffenen führt. Ist das Risiko hoch, müssen nach Artikel 34 außerdem die Betroffenen selbst informiert werden. Und auch wenn Sie zu dem Ergebnis kommen, dass keine Meldung nötig ist: Dokumentieren müssen Sie den Vorfall trotzdem.
In der Praxis heißt das: Bevor irgendwas gelöscht wird, halten Sie fest, was passiert ist, seit wann, und welche Daten überhaupt auf der Seite lagen. Genau dafür ist die Sicherung aus Schritt 4 da. Wenn Sie einen Datenschutzbeauftragten oder einen Anwalt haben, rufen Sie ihn jetzt an und nicht erst, wenn alles bereinigt ist.
Ganz ehrlich: Ob ein Fall meldepflichtig ist, kann ein Wartungsdienstleister nicht entscheiden, das ist eine rechtliche Frage. Wir können aber die Grundlage dafür liefern, also welche Daten betroffen sein könnten, seit wann die Seite kompromittiert war und was der Angreifer nachweislich gemacht hat.
Bereinigen: so läuft eine saubere Bereinigung
Aufräumen heißt nicht, die eine Datei zu löschen, die der Scanner rot markiert. Eine Bereinigung, die auch hält, läuft in vier Schritten ab, und am wichtigsten ist der dritte.
Sichern und analysieren. Wir gehen den gesicherten Zustand durch. Welche Dateien sind neu oder verändert, welche Benutzer wurden angelegt, was steht in den Server-Logs? Daraus lässt sich meistens ziemlich genau ablesen, wann und wo der Angreifer reingekommen ist.
Bereinigen. Schadcode raus, fremde Benutzer raus, veränderte WordPress-Dateien durch saubere Originale ersetzen, Datenbank prüfen. Ein Scanner hilft dabei, findet aber nur Schadcode, den er schon kennt. Was er oft übersieht, ist die Hintertür: eine unscheinbare Datei mit harmlosem Namen oder ein paar Zeilen in einer eigentlich echten Datei, über die der Angreifer nach dem Aufräumen einfach wieder reinkommt. Deshalb landen so viele Seiten kurz nach der Bereinigung wieder in einer Warn-Mail vom Hoster. Mit Pech hat das meistens wenig zu tun, da wurde schlicht etwas übersehen.
Lücke schließen. Die Ursache liegt fast immer an einer von drei Stellen: ein Plugin mit bekannter Sicherheitslücke, schwache oder abgegriffene Zugangsdaten oder ein Plugin, das seit Jahren keine Updates mehr bekommt. Solange die Lücke offen ist, bringt jede Bereinigung nur eine Verschnaufpause. Wie man WordPress sauber absichert, steht auf unserer Seite zur WordPress-Sicherheit.
Nachkontrolle. Ein paar Tage später wird noch einmal genau hingeschaut: Sind neue Dateien aufgetaucht, neue Benutzer, neue Einträge in den Logs?
Selbst machen oder machen lassen? Selbst machen geht, wenn Sie Dateien und Datenbank lesen können, wissen, wie eine Hintertür aussieht, und einen Tag Zeit haben. Für alle anderen lohnt sich der Profi meistens schon deshalb, weil ein zweiter Hack am Ende deutlich teurer wird als die Bereinigung selbst.
Notfall? Wir bereinigen gehackte WordPress-Websites zum Festpreis von 495 Euro netto. Vorab gibt es eine kostenlose Ersteinschätzung, und werktags melden wir uns innerhalb von 4 Stunden. Wenn Sie danach eine Wartung bei uns beauftragen, rechnen wir den Betrag an.
Warum ein Backup allein nicht reicht
„Dann spiele ich halt den Stand von letzter Woche ein.“ Den Satz hören wir in fast jedem Erstgespräch nach einem Hack. Leider hat die Idee gleich drei Haken.
Erstens steckt die Lücke im Backup mit drin. Das veraltete Plugin, das schwache Passwort, alles ist wieder da, und der Angreifer kommt einfach auf demselben Weg wieder rein.
Zweitens ist der Hack oft älter als das Backup. Wer erst nach drei Monaten merkt, dass etwas nicht stimmt, hat drei Monate lang infizierte Sicherungen angelegt.
Drittens gehen die Backups beim Hoster meistens nicht weit genug zurück. Wie weit genau, steht in den Bedingungen Ihres Hosters. Oft sind es ein paar Tage bis wenige Wochen, Monate eher selten.
Trotzdem ist das Backup wertvoll, und zwar zum Vergleichen. Welche Dateien gibt es heute, die es damals noch nicht gab? Welche haben sich verändert? Das spart bei der Analyse eine Menge Zeit. Wie ein Backup aussieht, auf das man sich im Ernstfall auch verlassen kann, steht auf unserer Seite zum WordPress-Backup.
Nach dem Hack: Postfach und Ruf reparieren
Die Website ist wieder sauber. Jetzt geht es um alles drumherum.
- Sperrlisten prüfen. Es gibt kostenlose Prüfdienste, die Ihre Domain und die Server-Adresse mit den gängigen Blacklists abgleichen. Taucht sie irgendwo auf, beantragen Sie die Entfernung direkt beim Betreiber der Liste. Fast alle haben dafür ein Formular. Je nach Liste dauert das ein paar Stunden bis einige Tage.
- SPF, DKIM und DMARC einrichten. Das sind Einträge in den DNS-Einstellungen Ihrer Domain, also dort, wo beim Hoster festgelegt ist, wohin die Domain zeigt. Die meisten Hoster haben dafür eine Anleitung, DKIM lässt sich oft sogar per Klick aktivieren. Wichtig: Wenn Sie über ein Buchungstool, einen Newsletter-Dienst oder einen Shop Mails verschicken, müssen diese Dienste mit rein. Sonst landen Ihre eigenen Mails am Ende im Spam.
- Passwörter und Zwei-Faktor-Anmeldung. Alle Postfächer bekommen neue Passwörter. Und überall, wo es möglich ist, schalten Sie die Zwei-Faktor-Anmeldung ein. Dann wird zusätzlich zum Passwort ein Code aus einer App auf dem Handy abgefragt, und ein geklautes Passwort allein bringt dem Angreifer nichts mehr.
- Google Search Console. Im Bericht „Sicherheitsprobleme“ sehen Sie, was Google auf Ihrer Seite gefunden hat. Erst wenn die Seite wirklich sauber ist, klicken Sie dort auf „Überprüfung beantragen“. Wer zu früh beantragt, verlängert nach Googles eigener Aussage nur den Zeitraum, in dem die Seite als gefährlich markiert bleibt.
- Kunden informieren. Wenn in Ihrem Namen Phishing-Mails rausgegangen sind, sagen Sie es Ihren Kunden. Kurz, sachlich und ohne großes Drama.
Vorlage: Hinweis an Kunden
Betreff: Wichtiger Hinweis zu E-Mails von uns
Sehr geehrte Damen und Herren,
in den vergangenen Tagen wurden E-Mails verschickt, die scheinbar von uns stammen, tatsächlich aber gefälscht sind. Sollten Sie eine Nachricht mit Zahlungsaufforderung oder Anhang erhalten haben, öffnen Sie diese bitte nicht und rufen Sie uns im Zweifel kurz an. Echte Rechnungen von uns kommen ausschließlich [von dieser Adresse / über dieses Portal]. Unsere Systeme sind inzwischen abgesichert. Wir bitten um Entschuldigung für die Unannehmlichkeiten.
Mit freundlichen Grüßen
[Name]
Übrigens: Unser kostenloser Website-Check prüft unter anderem, ob SPF und DMARC für Ihre Domain eingerichtet sind.
Damit es das letzte Mal war
WordPress läuft auf rund 40 Prozent aller Websites weltweit. Unsicherer als andere Systeme ist es deshalb nicht, aber es ist mit Abstand das größte Ziel. 2025 wurden im WordPress-Umfeld 11.334 neue Sicherheitslücken gemeldet, 91 Prozent davon in Plugins. Im WordPress-Kern selbst waren es gerade mal sechs, alle mit geringem Risiko. Und bei den Lücken, die am stärksten angegriffen wurden, lagen zwischen Veröffentlichung und den ersten Angriffen typischerweise nur etwa fünf Stunden.
Dagegen helfen vier Dinge, die man konsequent durchziehen muss:
- Zugänge: starke Passwörter, die nirgendwo sonst verwendet werden, Zwei-Faktor-Anmeldung und keine Administrator-Konten für Leute, die keine brauchen.
- Härtung: keine Plugins, die niemand mehr pflegt. Updates zeitnah einspielen, vorher ein Backup.
- Überwachung: Jemand oder etwas schaut jeden Tag nach neuen Dateien, neuen Benutzern und bekannten Schadcode-Mustern.
- Ernstfall: ein Backup, das außerhalb des Servers liegt und bei dem schon mal getestet wurde, ob die Wiederherstellung klappt.
Das kann man alles selbst machen. Die meisten tun es trotzdem nicht, weil es Routine ist, und Routine bleibt im Alltag als Erstes liegen. Genau dafür gibt es Wartung: Jemand schaut jeden Tag drauf, damit Sie es nicht müssen. Was da alles dazugehört, steht auf unserer Seite zur WordPress-Wartung.
Häufige Fragen zu gehackten WordPress-Websites
Wie merkt man, dass eine WordPress-Seite gehackt wurde?
Auffällig sind Weiterleitungen auf fremde Seiten, fremde Inhalte, eine Warnung von Google oder vom Browser oder ein Login, der nicht mehr funktioniert. Unauffälliger sind unbekannte Administrator-Konten, Dateien mit seltsamem Änderungsdatum, sinkende Besucherzahlen, eigene Mails im Spam-Ordner oder Google-Treffer auf Unterseiten, die man nie angelegt hat. Gerade diese unauffälligen Zeichen kommen häufiger vor, viele Hacks bleiben monatelang unbemerkt.
Kann ich eine gehackte WordPress-Seite selbst bereinigen?
Ja, wenn Sie Dateien und Datenbank lesen können, wissen, wie eine Hintertür aussieht, und einen Tag Zeit haben. Sonst ist das Risiko ziemlich hoch, dass nur die sichtbaren Symptome verschwinden und die Lücke offen bleibt. Dann kommt der Angreifer wieder, oft schon nach wenigen Tagen.
Muss ich einen Hack melden?
Das hängt davon ab, ob personenbezogene Daten betroffen sein könnten und welches Risiko sich daraus ergibt. Artikel 33 DSGVO sieht eine Meldung an die Aufsichtsbehörde innerhalb von 72 Stunden vor, außer es besteht voraussichtlich kein Risiko für die Betroffenen. Ob das auf Ihren Fall zutrifft, klären Sie am besten mit Ihrem Datenschutzbeauftragten oder einem Anwalt. Dokumentieren müssen Sie den Vorfall auf jeden Fall.
Reicht es, ein Backup einzuspielen?
Nein. Die Lücke, durch die der Angreifer reingekommen ist, steckt im Backup mit drin. Außerdem ist der Hack oft älter als das Backup, sodass die Sicherung selbst schon infiziert ist. Zum Vergleichen bei der Analyse hilft ein Backup durchaus, als alleinige Lösung taugt es nicht.
Warum landen meine E-Mails nach dem Hack im Spam?
Weil über Ihren Webspace Spam verschickt wurde und die Server-Adresse oder die Domain dadurch auf Sperrlisten gelandet ist. Viele Mailanbieter prüfen eingehende Mails gegen diese Listen. Abhilfe: Sperrlisten prüfen, die Entfernung beantragen und SPF, DKIM und DMARC für die Domain einrichten, damit das nicht wieder passiert.
Was kostet es, eine gehackte Website zu bereinigen?
Bei uns 495 Euro netto zum Festpreis, mit kostenloser Ersteinschätzung vorab. Wenn Sie danach eine Wartung beauftragen, rechnen wir den Betrag an. Egal bei wem: Fragen Sie nach, ob auch die Ursache gesucht und die Lücke geschlossen wird. Ohne das kommt der Angreifer meistens wieder.
Wie lange dauert es, bis Google die Warnung entfernt?
Nach der Bereinigung beantragen Sie in der Search Console eine Überprüfung. Google nennt dafür je nach Fall unterschiedliche Zeiträume: bei Phishing etwa einen Tag, bei Malware einige Tage und bei gehackten Seiten mit Spam bis zu mehreren Wochen, weil dort oft von Hand geprüft wird. Ist die Prüfung erfolgreich, verschwinden die Warnungen laut Google innerhalb von 72 Stunden aus Browsern und Suchergebnissen. Wichtig ist nur, erst dann zu beantragen, wenn die Seite wirklich sauber ist. Eine fehlgeschlagene Überprüfung verlängert die Warnung.
Wenn Sie erst mal wissen möchten, wie es um Ihre Website überhaupt steht: Unser kostenloser Website-Check prüft von außen und ohne Zugangsdaten, wie aktuell WordPress und die eingesetzten Erweiterungen sind und ob der Absenderschutz Ihrer Domain eingerichtet ist.