Wordpress Seite mehrfach gehackt

Guten Abend werte Community,

mittlerweile betreibe ich 4 Wordpress Seiten die sich alle immer mehr aufrufen erfreuen weshalb ich vor 2 Monaten beschloss die Seiten auf einem kleinen Linux Server selbst zu hosten um etwas mehr Performance zu schaffen und das hat soweit super geklappt. An sich kenne ich mich mit Linux Servern recht gut aus und hatte bisher nie Sicherheitsbedenken da ich Linux schon Jahre lang nutze und es mir als Serversystem viel lieber ist als Windows.
Dennoch habe ich in letzter Zeit viel merkwürdige Dinge auf meiner einen Seite erlebt.
Es fing an mit verschwundenen Seiten, beispielsweise war die Seite für das Kontaktformular und das Impressum weg. Diese habe ich sofort rekonstruiert.
Da ging ich noch davon aus das es eventuell ein Fehlerhaftes Plugin gewesen sein könnte.
Am nächsten Tag hatte ich seltsame Bilder an der Stelle, an der eigentlich Adsense Anzeigen waren. Es waren überwiegend Verlinkungen auf irgendwelche russischen Seiten.
Das irritierte mich dann etwas, ich änderte das Passwort für meinen Wordpress Login und habe jetzt ein paar Tage nicht mehr geschaut.
Soeben wollte ich mich einloggen und ich komme nicht mehr rein. Nach etwa 30 Versuchen habe habe ich geschaut ob auf der Seite wieder was im Eimer ist und tatsächlich ist das Impressum und das Kontaktformular weg. Das Passwort für den Login muss stimmen, ich habe es aufgeschrieben und zudem auch noch im Browser gespeichert. Über die Passwort vergessen Funktion komme ich nicht mehr rein weil mein Wordpress User angeblich nicht mehr existiert.

Ich würde Wordpress auf dieser Seite einfach neu aufsetzten um sicher zu gehen das keine Scripts und ähnliches mehr in der Installation sind aber möchte meine Beiträge behalten. Kann ich diese Extern irgendwie aus meinen Wordpress Dateien sichern?
Wie kommt es, dass Wordpress wie es scheint so leicht zu knacken ist, habe in vielen Foren gelesen das so etwas in letzter Zeit immer häufiger vorkommt.
Was würdet Ihr mir empfehlen?
Ich bin kurz davor mich von Wordpress zu trennen.
Ich habe bisher die htaccess geprüft, sowie den Theme Ordner. Beides ohne Fehler und an meinem Passwort liegt es auch nicht, das war 21 Stellig und enthielt Zahlen, Buchstaben und Sonderzeichen etc. Außerdem hätte Apache die Zugriffe im Falle eines Bruteforce Angriffs auch geblockt.

Wäre Dankbar wenn jemande mal was zum Thema sagt und wie er die Sache sieht.
Ich habe gerade echt große Bedenken Wordpress überhaupt noch guten gewissens einsetzen zu können.

Ich nutzte das Avada Theme mit den dafür nötigen Plugins. Das war es schon, Cache usw. lief Serverseitig.
Es war alles aktuell, sowohl das Theme als auch alle Plugins.
Auf dem Server läuft Linux Debian 8 in der aktuellsten Ausführung.
Außer Apache und Mod_SSL und MySQL läuft gar nichts auf dem Server und die Berechtigungen besitzt nur Apache selbst.
FTP Zugang gibt es keinen. Der Port ist auch zu. Ich nutze SSH und Webmin und WebDAV via SSL für die Dateiverwaltung. WebDAV ist aber auch nur aktiv wenn ich es via Kommando aktiviere und es war die meiste Zeit eben aus da ich auf dem Server nach der Wordpress Einrichtung ja nichts mehr machen musste.
Apache hat außerdem nichts verdächtiges im Access Log und der Error Log ist auch leer bis auf ein paar fehlgeschlagene SSL Handshakes mit veralteten Webbrowsern aber das wird es ja nicht sein.