Ein Hack ist schon stressig genug. Wenn Du Dich danach nicht mehr ins WordPress-Backend einloggen kannst, wirkt die Situation schnell außer Kontrolle: Das Admin-Konto ist verschwunden, das Passwort funktioniert nicht mehr oder die Admin-E-Mail wurde geändert. Wichtig ist jetzt: ruhig bleiben, nicht wild herumprobieren und den Zugang kontrolliert wiederherstellen.
In diesem Artikel zeige ich Dir, wie Du Deinen WordPress Admin-Zugang wiederherstellen kannst, welche Wege über Datenbank und WP-CLI möglich sind und was direkt danach passieren muss. Denn der neue Login ist nur der erste Schritt. Wenn die gehackte Website nicht bereinigt und abgesichert wird, kann der Angreifer oft erneut zurückkommen.
Angreifer versuchen nach einem erfolgreichen Zugriff häufig, Dich auszusperren. Dafür löschen sie bestehende Admin-Benutzer, ändern deren E-Mail-Adressen oder setzen Rollen so um, dass Dein Konto keine Administratorrechte mehr hat. Manchmal wird auch ein zusätzliches verstecktes Admin-Konto angelegt, das später als Hintertür dient.
Auch automatische Sicherheitsmaßnahmen können Verwirrung auslösen. Manche Hoster oder Security-Plugins sperren Benutzer nach verdächtigen Aktivitäten temporär. Trotzdem solltest Du bei einem unerwartet verlorenen Admin-Zugang immer von einem Sicherheitsvorfall ausgehen, bis das Gegenteil klar ist.
Bevor Du in Datenbank oder Dateien eingreifst, erstelle ein vollständiges Backup von Dateien und Datenbank. Auch wenn die Website kompromittiert ist, brauchst Du einen aktuellen Stand, falls bei der Reparatur etwas schiefgeht oder später Spuren analysiert werden müssen.
Wenn Du keinen Zugriff mehr auf das Backend hast, aber in die Datenbank kommst, kannst Du über phpMyAdmin einen neuen Administrator anlegen. Das passiert in zwei Tabellen: in wp_users für den Benutzer selbst und in wp_usermeta für die Rolle und Berechtigungen. Falls Dein Tabellenpräfix anders lautet, heißen die Tabellen entsprechend anders, zum Beispiel abc_users und abc_usermeta.
Lege in der users-Tabelle einen neuen Benutzer mit Benutzername, E-Mail und Passwort an. Das Passwort muss als Hash gespeichert werden; in vielen phpMyAdmin-Installationen kannst Du dafür beim Einfügen die Funktion MD5 auswählen. WordPress aktualisiert alte Hashes nach dem Login normalerweise automatisch auf das aktuelle Verfahren. Verwende trotzdem sofort ein starkes, einzigartiges Passwort und ändere es nach dem ersten Login noch einmal im Backend.
Der neue Benutzer ist erst dann wirklich Administrator, wenn die passenden Einträge in der usermeta-Tabelle vorhanden sind. Entscheidend sind die Metadaten für wp_capabilities und wp_user_level. Bei Standardpräfix wp_ bekommt wp_capabilities den Wert a:1:{s:13:"administrator";b:1;} und wp_user_level den Wert 10. Achte darauf, dass die user_id exakt zur ID des neu angelegten Benutzers passt.
Wenn Dein Hosting SSH und WP-CLI unterstützt, ist dieser Weg oft sauberer und schneller. WP-CLI arbeitet direkt mit WordPress und legt den Benutzer samt Rolle korrekt an. Ein typischer Befehl sieht so aus: wp user create neueradmin name@example.de –role=administrator –user_pass=’SehrStarkesPasswort‘. Führe ihn im WordPress-Hauptverzeichnis aus.
Der Vorteil: Du musst keine serialisierten Rollenwerte in der Datenbank manuell eintragen. Trotzdem gilt auch hier: Der neue Zugang löst nur das Login-Problem. Wenn der Hack noch aktiv ist, kann das frisch angelegte Admin-Konto wieder verändert oder missbraucht werden.
Manchmal ist das Admin-Konto noch vorhanden, aber die E-Mail-Adresse wurde geändert. Dann funktionieren Passwort-Resets nicht mehr, weil die Rücksetz-Mail beim Angreifer oder in einem unbekannten Postfach landet. In diesem Fall kannst Du die E-Mail-Adresse in der Tabelle wp_users beim betroffenen Benutzer korrigieren.
Zusätzlich gibt es in der Tabelle wp_options die Website-Admin-Adresse, meist im Eintrag admin_email. Diese Adresse ist nicht immer identisch mit der Benutzer-E-Mail, wird aber für wichtige Systemmeldungen verwendet. Prüfe daher beides: den Admin-Benutzer und die allgemeine Website-Admin-E-Mail.
Sobald Du den WordPress Admin-Zugang wiederherstellen konntest, beginnt die eigentliche Sicherheitsarbeit. Ein Hack hinterlässt oft zusätzliche Admin-Konten, manipulierte Plugins, veränderte Theme-Dateien, schädliche Dateien im Upload-Verzeichnis oder versteckte Weiterleitungen. Wenn Du nur das Passwort änderst, bleibt die Ursache häufig bestehen.
Wenn Du Dich mit Datenbanktabellen, SSH oder Schadcode-Analyse unsicher fühlst, ist Hilfe sinnvoll. Ein falscher Eintrag in der Datenbank kann den Login weiter erschweren, und eine nur halb bereinigte Website bleibt ein Risiko für Besucher, Suchmaschinen-Rankings und Dein Geschäft.
Captain WordPress kann in solchen Notfällen die Bereinigung, Zugangswiederherstellung und anschließende Absicherung übernehmen. Das ist besonders dann sinnvoll, wenn die Website weiterleitet, Warnmeldungen im Browser erscheinen, der Hoster die Seite gesperrt hat oder immer wieder neue unbekannte Admin-Konten auftauchen.
Nach der Bereinigung solltest Du die Website so aufstellen, dass ein erneuter Angriff deutlich schwerer wird. Dazu gehören regelmäßige Updates, aktuelle Backups, starke Passwörter, Zwei-Faktor-Authentifizierung und möglichst wenige Administratoren. Jeder zusätzliche Admin-Zugang ist ein potenzieller Einstiegspunkt.
Prüfe außerdem, ob alte Plugins, ungenutzte Themes oder schwache Hosting-Zugänge den Hack begünstigt haben. Gerade bei WordPress-Websites ist laufende Wartung keine Kosmetik, sondern Teil der Sicherheit. Wer Backups, Updates und Monitoring ernst nimmt, kann im Ernstfall schneller reagieren und Schäden begrenzen.
Fazit: Du kannst einen WordPress Admin-Zugang wiederherstellen, auch wenn ein Hack Dich ausgesperrt hat. Der sichere Weg führt über Datenbank oder WP-CLI, danach aber zwingend über Passwortwechsel, Security-Key-Rotation und eine gründliche Bereinigung. Erst wenn die Ursache entfernt ist, ist der neue Admin-Zugang wirklich wieder vertrauenswürdig.
Ja. Wenn Du Zugriff auf die Datenbank oder SSH mit WP-CLI hast, kannst Du einen neuen Administrator anlegen oder die Admin-E-Mail korrigieren.
Nein. Das Passwort ist nur ein Teil der Reparatur. Du solltest alle Zugänge ändern, Security Keys rotieren und die Website auf Schadcode und Hintertüren prüfen.
In wp_users stehen die grundlegenden Benutzerdaten wie Login, E-Mail und Passwort-Hash. In wp_usermeta werden unter anderem Rolle und Berechtigungen gespeichert.
WP-CLI ist oft weniger fehleranfällig, weil WordPress die Benutzerrolle korrekt setzt. Sicher ist der Weg aber nur, wenn Dein SSH-Zugang und das verwendete Gerät ebenfalls vertrauenswürdig sind.
Damit werden bestehende WordPress-Sitzungen ungültig. Das hilft, Angreifer auszuloggen, die noch über aktive Cookies angemeldet sein könnten.
