Zuerst: nichts löschen, nichts kündigen

Eine WordPress-Website läuft in der Regel weiter, auch wenn sich niemand mehr kümmert. Sie haben also meist Zeit, geordnet vorzugehen. Installieren Sie nichts neu und kündigen Sie keine Verträge, bevor klar ist, was daran hängt. An einer Domain hängen oft auch die E-Mail-Postfächer.

Dringend wird es in zwei Fällen: wenn die Seite gehackt oder nicht mehr erreichbar ist, dann helfen die ersten Schritte bei einer gehackten WordPress-Seite. Und wenn Domain oder Hosting über die Agentur abgerechnet werden und dort niemand mehr zahlt. Dann kann die Seite abgeschaltet werden.

Schritt 1: Bestandsaufnahme – wer hat was?

Tragen Sie zusammen, was Sie schon haben. Rechnungen, Kontoauszüge, Angebote, Verträge und alte E-Mails verraten oft mehr als gedacht.

• 01Domain.
  Bei welchem Anbieter liegt sie, und wer ist als Inhaber eingetragen?
• 02Hosting.
  Wer ist Vertragspartner des Hosters, und auf wen läuft die Rechnung?
• 03WordPress-Admin.
  Gibt es noch ein Konto, und auf welche E-Mail-Adresse läuft es?
• 04E-Mail-Postfächer.
  Wo werden sie verwaltet? Sie sind oft mit Domain und Hosting verknüpft.
• 05Weitere Dienste.
  Premium-Plugins und Themes, Formular-Dienste, Google-Konten für Analyse und Search Console.

Schritt 2: Die Domain klären

Die Domain ist Ihre Adresse im Netz, und sie sollte auf Ihr Unternehmen laufen. Personenbezogene Inhaberdaten sind öffentlich nicht frei einsehbar. Am schnellsten hilft deshalb der Blick in Rechnungen oder die Nachfrage beim Anbieter, sofern Sie ihn kennen.

Für .de-Domains beschreibt die Registrierungsstelle DENIC den Providerwechsel über eine AuthInfo: Als Inhaber weisen Sie Ihren aktuellen Provider an, dieses Passwort zu erzeugen. Es verfällt nach 30 Tagen. Ist der bisherige Provider nicht mehr aktiv, fordert laut DENIC der neue Provider die AuthInfo direkt an. DENIC verschickt sie dann per Einschreiben an die Adresse aus den Domaindaten.

Das zeigt, warum die hinterlegte Adresse so wichtig ist. Steht dort die Agentur, kommt die Post bei ihr an. Einen eigenen Ablauf für einen Provider, der aktiv ist, aber nicht mitwirkt, nennt diese DENIC-Anleitung nicht.

Schritt 3: An den Hosting-Zugang kommen

Der Hosting-Zugang ist der wichtigste Schlüssel. Darüber erreichen Sie Dateien und Datenbank, also die komplette Website, auch wenn WordPress selbst Sie nicht mehr hereinlässt.

• Der Vertrag läuft auf Sie: Setzen Sie das Passwort des Kundenkontos beim Hoster zurück oder wenden Sie sich mit Kundennummer und Rechnung an den Support.
• Der Vertrag läuft auf die Agentur: Dann ist die Agentur Vertragspartnerin des Hosters. Rechnen Sie damit, dass der Hoster ohne ihre Zustimmung nicht weiterhilft. Lesen Sie in diesem Fall den Abschnitt „Wenn nichts geht“.

Schritt 4: Zurück ins WordPress

Der einfachste Weg ist der Link „Passwort vergessen?“ auf der Anmeldeseite. Das klappt nur, wenn die hinterlegte E-Mail-Adresse Ihnen gehört. Läuft das Konto auf eine Adresse der Agentur, nennt die WordPress-Dokumentation Alternativen, die Hosting-Zugang voraussetzen:

• WP-CLI: Kommandozeilen-Werkzeug, sofern Ihr Hoster es anbietet.
• phpMyAdmin: Passwort direkt in der Datenbank setzen. WordPress weist ausdrücklich darauf hin, dass das auf eigenes Risiko geschieht.
• FTP: kurzzeitig eine Code-Zeile in die Datei functions.php des Themes einfügen. Sie muss danach wieder entfernt werden, sonst wird das Passwort bei jedem Seitenaufruf neu gesetzt.

Alle drei Wege greifen direkt in die Website ein. Wenn Sie unsicher sind, lassen Sie das machen, und ziehen Sie vorher unbedingt ein Backup.

Schritt 5: Erst sichern, dann ändern

Sobald Sie Zugang haben, sichern Sie als Erstes alles. Ein vollständiges WordPress-Backup besteht laut Dokumentation aus zwei Teilen: der Datenbank mit den Inhalten und den Dateien mit Themes, Plugins, Uploads und wp-config.php. Legen Sie es nicht nur beim bisherigen Hoster ab, sondern zusätzlich an einem zweiten Ort.

Schritt 6: Die Übernahme abschließen

• 01Eigene Konten anlegen.
  Legen Sie ein eigenes Administrator-Konto mit einer Adresse Ihres Unternehmens an.
• 02Alte Zugänge schließen.
  Ändern Sie die Passwörter für Hosting, FTP und WordPress und entfernen Sie nicht mehr benötigte Konten. Alte Zugänge, die niemand mehr im Blick hat, sind ein Sicherheitsrisiko.
• 03Admin-E-Mail ändern.
  So landen Sicherheitshinweise und Passwort-Mails künftig bei Ihnen.
• 04Updates nachholen.
  Lange liegen gebliebene Updates am besten schrittweise und mit frischem Backup einspielen und danach Formulare und wichtige Seiten testen.
• 05Lizenzen prüfen.
  Liefen Premium-Plugins oder Themes über das Konto der Agentur? Dann fehlen womöglich Updates. Klären Sie, ob Sie eigene Lizenzen brauchen.

Wenn nichts geht: die Grenzen

Am schwierigsten ist der Fall, in dem die Agentur Domaininhaberin und Vertragspartnerin des Hosters ist und nicht reagiert. Dann helfen technische Tricks nicht weiter, und Sie sollten sie auch nicht versuchen. Sinnvoll ist:

• die Agentur schriftlich und mit Frist zur Übergabe auffordern und das dokumentieren
• prüfen, was Vertrag und Angebot zu Domain, Zugängen und Nutzungsrechten sagen
• bei Streit oder ausbleibender Reaktion anwaltlichen Rat einholen

Wem welche Rechte an Inhalten und Code zustehen, hängt vom Einzelfall ab. Das können und wollen wir hier nicht pauschal beantworten.

So passiert es nicht noch einmal

• Domain und Hosting laufen auf Ihr Unternehmen, nicht auf den Dienstleister.
• Zugänge liegen zentral im Unternehmen, zum Beispiel in einem Passwort-Manager, und mindestens zwei Personen haben Zugriff.
• Das Admin-Konto läuft auf eine Adresse Ihres Unternehmens, nicht auf eine persönliche.
• Der Vertrag regelt, was bei Ende der Zusammenarbeit übergeben wird.
• Eine laufende WordPress-Wartung sorgt dafür, dass jemand zuständig ist. Vorab lohnt der Vergleich von Eigenarbeit und Auslagern.

Häufige Fragen

Muss ich meine Website neu bauen lassen, wenn die Agentur weg ist?

In der Regel nicht. Solange Sie an Hosting oder WordPress-Zugang kommen, lässt sich die bestehende Website übernehmen und weiter betreuen.

Ich habe gar keine Zugangsdaten mehr. Was zuerst?

Suchen Sie Rechnungen und Verträge zu Domain und Hosting. Der Hosting-Zugang ist der wichtigste Schlüssel, weil sich darüber auch der WordPress-Zugang wiederherstellen lässt.

Was ist die AuthInfo?

Die AuthInfo ist das Passwort für den Providerwechsel einer .de-Domain. Der Domaininhaber lässt sie vom aktuellen Provider erzeugen. Sie verfällt laut DENIC nach 30 Tagen.

Hinweis: Stand 30. Oktober 2026. Der Beitrag dient der allgemeinen Information und ersetzt keine Rechtsberatung. Abläufe einzelner Anbieter können abweichen.

Quellen: WordPress: Reset your password, WordPress: Backups, DENIC: AuthInfo erzeugen und hinterlegen