Erst mal durchatmen. Das kriegen wir hin.

Wenn Besucher auf fremde Seiten weitergeleitet werden oder Schadcode ausgeliefert wird: ja, eine Wartungsseite ist besser als ein weiterer Tag Schaden. Wenn die Seite „nur“ Spam-Links enthält, die niemand sieht, kann sie meist online bleiben. Sag mir, was du siehst, dann entscheiden wir das in zwei Minuten.

Das hängt davon ab, wie tief der Befall sitzt und wie viele Altlasten die Seite hat. Eine ehrliche Zahl gibt es erst nach der Ersteinschätzung, dann steht sie im Angebot. Während der Bereinigung bekommst du nach jedem Schritt einen Zwischenstand. Die Google-Warnung verschwindet nach der Überprüfung meist innerhalb weniger Tage, das liegt bei Google.

Möglicherweise. Wenn auf deiner Seite Kundendaten liegen, etwa aus Formularen, einem Shop oder Kundenkonten, kann eine Meldepflicht bei der Datenschutzbehörde bestehen, und zwar innerhalb von 72 Stunden. Ich bin kein Anwalt und berate dazu nicht rechtlich, aber ich sage dir nach der Analyse klar, ob Daten betroffen gewesen sein können, damit du das mit deinem Datenschutzbeauftragten oder Anwalt klären kannst.

Selten. Die allermeisten WordPress-Hacks kommen über veraltete Plugins, Themes oder schwache Passwörter, nicht über den Server. Das heißt auch: Ein Umzug allein löst das Problem nicht. Erst die Bereinigung, dann die Frage, wo die Seite künftig liegen soll.

Meist nicht. Viele Angriffe liegen Wochen zurück, bevor sie auffallen, und das Backup enthält die Hintertür dann schon. Dazu bleibt die Lücke offen, durch die der Angreifer kam. Ein Backup ist ein Baustein der Bereinigung, nicht die Bereinigung.

Ja, wenn danach niemand die Updates macht. Nein, wenn jemand die Seite pflegt. Genau dafür gibt es die Wartung. Ich empfehle sie dir nach der Bereinigung, aber ich mache die Bereinigung auch ohne.