WordPress · Sicherheit

Meine WordPress-Seite wurde gehackt: was jetzt zu tun ist

Ein Hack sieht selten so aus, wie man es sich vorstellt. Meistens steht keine Nachricht auf der Startseite, und im Backend wirkt alles normal. Der erste Hinweis kommt oft von außen: Eine Kundin erzählt, sie habe Ihre Seite bei Google angeklickt und sei plötzlich auf einer fremden Werbeseite gelandet.

Wenn Sie gerade in dieser Lage sind, entscheiden die nächsten Stunden darüber, wie aufwendig die Sache wird. Hier steht, woran Sie einen Hack erkennen, was zuerst passieren muss, was Sie besser lassen und was danach nötig ist, damit es nicht gleich wieder passiert.

Kurz gefasst

Die meisten Hacks sind unauffällig. Weiterleitungen greifen oft nur bei Besuchern, die über Google kommen, und nicht bei Ihnen im Backend.
Erst Spuren sichern und Zugänge sperren, danach aufräumen. Die Reihenfolge ist wichtiger als die Geschwindigkeit.
Ein Backup einspielen und weitermachen reicht nicht, solange die Lücke offen ist.
Zur Bereinigung gehören auch Hintertüren, fremde Benutzer, Cronjobs und die .htaccess, nicht nur der sichtbare Schadcode.
Wenn personenbezogene Daten betroffen sein könnten, läuft eine Frist von 72 Stunden. Das gehört anwaltlich geprüft.

Woran Sie einen Hack überhaupt erkennen

Der auffällige Fall mit der defekten Startseite ist selten. Viel häufiger ist der stille: Der Schadcode versteckt sich und zeigt sich nur bestimmten Besuchern. Wer eingeloggt ist oder die Adresse direkt eintippt, sieht wochenlang nichts. Typische Zeichen sind:

Besucher, die über eine Google-Suche kommen, landen auf einer fremden Seite. Rufen Sie dieselbe Adresse direkt auf, ist alles in Ordnung.
Auf dem Handy erscheinen Werbe-Popups oder Weiterleitungen, am Rechner nicht.
Unter Benutzer steht ein Administrator, den Sie nicht angelegt haben, oft mit unauffälligem Namen wie wpsupport oder admin2.
Die Google Search Console meldet ein Sicherheitsproblem oder listet Unterseiten, die Sie nie erstellt haben.
Bei Google stehen zu Ihrer Domain plötzlich Ergebnisse zu Themen, mit denen Sie nichts zu tun haben.
Der Hoster meldet ungewöhnlich hohe Serverlast oder massenhaft ausgehende E-Mails.
Dateien im Verzeichnis wurden vor Kurzem geändert, obwohl niemand etwas gemacht hat.

Schneller Test

Öffnen Sie ein privates Browserfenster, suchen Sie Ihre Seite bei Google und klicken Sie das Ergebnis an, statt die Adresse einzutippen. Viele Weiterleitungen greifen genau nur auf diesem Weg. Wiederholen Sie das einmal auf dem Handy, weil manche Varianten nur dort auslösen.

Was jetzt zuerst passieren muss

Wer sofort löscht, zerstört genau die Spuren, die man braucht, um die Ursache zu finden. Deshalb in dieser Reihenfolge:

Nichts überschreiben. Kein frisches Backup über das alte laufen lassen, keine Dateien löschen, WordPress nicht neu installieren.
Den befallenen Zustand sichern. Eine vollständige Kopie von Dateien und Datenbank ziehen und getrennt ablegen. Notieren Sie Datum, Uhrzeit und was Ihnen aufgefallen ist.
Zugänge sperren. Passwörter für alle WordPress-Administratoren, das Hosting-Panel, FTP oder SFTP und die Datenbank ändern. Danach alle angemeldeten Sitzungen beenden.
Fremde Benutzer entfernen. Jeden Administrator prüfen, den Sie nicht kennen, und den Zugang entziehen, statt ihn nur umzubenennen.
Hoster informieren. Der Support sieht Logfiles, an die Sie nicht herankommen, und weiß, ob weitere Kunden auf demselben Server betroffen sind.
Seite in den Wartungsmodus setzen. Das ist besser, als sie einfach abzuschalten: Besucher und Suchmaschinen sehen eine ordentliche Seite statt eines Fehlers oder des Schadcodes.
Prüfen, welche Daten betroffen sein könnten. Formulareinträge, Bestellungen, Kundenkonten, Newsletter-Listen. Davon hängen die nächsten Schritte ab.
Erst jetzt bereinigen. Und zwar auf Basis dessen, was in Logfiles und Dateien tatsächlich zu finden war, nicht auf Verdacht.

Was Sie auf keinen Fall tun sollten

Backup einspielen und weitermachen

Das ist der häufigste Fehler. Ein Backup setzt die Seite auf einen Stand zurück, an dem die Sicherheitslücke noch offen war. Der Angreifer nimmt denselben Weg ein zweites Mal, in vielen Fällen innerhalb weniger Tage. Ein Backup ist ein Werkzeug für die Wiederherstellung, es ersetzt nicht das Schließen der Lücke.

Zwei weitere Reaktionen machen die Lage regelmäßig schlimmer:

Dateien blind löschen. Wer verdächtig aussehende Dateien einfach entfernt, erwischt oft harmlose Systemdateien und lässt die eigentliche Hintertür stehen. Danach ist die Seite kaputt und trotzdem befallen.
Die Seite offline lassen und hoffen. Offline heißt nicht bereinigt. Die Warnung bei Google bleibt bestehen, Rankings brechen weg, und die Lücke ist weiterhin da. An möglichen Meldepflichten ändert eine abgeschaltete Seite ebenfalls nichts.

Wie Angreifer typischerweise hereinkommen

In den Fällen, die mir begegnen, steckt fast nie eine gezielte Attacke dahinter, sondern ein automatisierter Scan, der eine bekannte Schwachstelle gefunden hat. Vier Wege decken nach meiner Erfahrung den größten Teil ab:

Einstieg	Was dahintersteckt
Veraltete Plugins und Themes	Eine bekannte, öffentlich dokumentierte Lücke wird automatisiert ausgenutzt. Der mit Abstand häufigste Weg.
Schwache oder wiederverwendete Passwörter	Zugangsdaten aus einem fremden Datenleck werden bei Ihnen durchprobiert, bis eines passt.
Kompromittiertes Hosting	Ein anderes Konto auf demselben Server, ein gekaperter FTP-Zugang oder ein Schadprogramm auf dem eigenen Rechner, das die gespeicherten Zugangsdaten ausliest.
Verwaiste Plugins	Erweiterungen, die der Hersteller nicht mehr pflegt. Sie bekommen kein Update mehr, die Lücke bleibt dauerhaft offen.

Warum Bereinigung mehr ist als Schadcode löschen

Wer einmal Zugriff hatte, sorgt in aller Regel dafür, dass er wiederkommen kann. Der sichtbare Schadcode ist deshalb nur der Teil, den man zuerst findet. Zu einer Bereinigung gehören mindestens:

Hintertüren. Kleine Dateien mit unauffälligen Namen im Upload-Ordner, in einem Theme oder mitten in einem Plugin. Sie geben Zugriff, auch wenn alle Passwörter längst neu sind.
Angelegte Benutzer. Nicht nur Administratoren, auch scheinbar harmlose Redakteure, die sich später selbst hochstufen.
Manipulierte Cronjobs. Geplante Aufgaben, die den Schadcode nach der Bereinigung wieder in die Dateien schreiben.
Veränderte .htaccess. Dort stehen die Weiterleitungen, die nur bei Besuchern aus der Google-Suche greifen.
Eingeschleuste Inhalte in der Datenbank. Skripte in Beiträgen, Optionen oder Widgets, die bei jedem Seitenaufruf mitgeladen werden.

Danach folgt der Teil, der leicht vergessen wird: die Seite bei Google zur erneuten Prüfung anmelden, damit die Sicherheitswarnung verschwindet, und einige Tage beobachten, ob wirklich Ruhe ist. Kommt der Schadcode zurück, war eine Hintertür noch aktiv.

Wenn Daten abgeflossen sein könnten

Die 72-Stunden-Frist

Wenn personenbezogene Daten betroffen sein könnten, etwa Kontaktanfragen, Kundenkonten, Bestellungen oder eine Newsletter-Liste, sieht die DSGVO eine Meldung an die zuständige Aufsichtsbehörde innerhalb von 72 Stunden nach Bekanntwerden vor. Unter Umständen sind zusätzlich die betroffenen Personen zu informieren. Ich bin kein Anwalt und gebe hier keine Rechtsberatung: Lassen Sie diese Frage anwaltlich prüfen, und zwar zügig, weil die Frist bereits läuft.

Wann Sie selbst weiterkommen und wann nicht

Selbst machen ist realistisch, wenn der Fall klein und eindeutig ist: ein einzelnes Plugin als Ursache, ein sauberes Backup von vor dem Vorfall, keine Kunden- oder Bestelldaten im Spiel und ein Hoster, der Ihnen die Logfiles gibt. Dann sind Zugänge tauschen, Plugin entfernen, Stand zurücksetzen und alles aktualisieren ein Nachmittag Arbeit.

Geben Sie ab, sobald einer dieser Punkte zutrifft: Sie finden die Ursache nicht, der Schadcode kommt nach der Bereinigung zurück, an der Seite hängt ein Shop oder ein Mitgliederbereich, Google zeigt bereits eine Warnung, oder Sie sind beim Thema Daten unsicher. Ein zweiter Versuch auf gut Glück kostet in aller Regel mehr als der erste saubere.

Was danach passieren muss, damit es nicht wieder passiert

Nach der Bereinigung

Updates in einen festen Rhythmus bringen, statt sie liegen zu lassen. Für jeden Zugang ein eigenes, langes Passwort und eine Zwei-Faktor-Anmeldung für alle Administratoren. Plugins aussortieren, die niemand mehr braucht oder die der Hersteller nicht mehr pflegt. Backups außerhalb des Servers speichern und gelegentlich testen, ob sich daraus wirklich eine Seite wiederherstellen lässt. Und jemanden haben, der regelmäßig hinschaut, statt erst zu reagieren, wenn ein Kunde anruft.

Wie ich damit umgehe

Damit das klar ist, bevor Sie anfragen: Eine bereits gehackte Seite ist bei mir kein Betreuungsthema. Bereinigung und Wiederherstellung sind ein eigener Auftrag. Ich sehe mir den Fall vorher an, bespreche mit Ihnen, was zu tun ist und was es kostet, und rechne das einzeln ab. Der Aufwand hängt davon ab, wie tief der Befall sitzt, und lässt sich vorab nicht pauschal beziffern.

Wenn die Seite wieder sauber ist, kann sie in die laufende Betreuung. Dort geht es genau darum, dass dieser Fall nicht noch einmal eintritt:

Paket	Was enthalten ist
Wartung ab 50 Euro	Updatecheck, tägliche externe Backups mit drei Monaten Aufbewahrung, Erreichbarkeitskontrolle, Sicherheitsprüfung, Fehlerbehebung nach Updates
Betreuung ab 250 Euro	Alles aus der Wartung, dazu Änderungen an bestehenden Inhalten. Elementor Pro und das Caching-System werden gestellt.
Rundum ab 600 Euro	Alles aus der Betreuung, dazu neue Seiten und Produkte, laufende Contentpflege, Designänderungen und Programmierung

Hilfe anfragen

Wenn Sie den Verdacht haben, dass Ihre Seite betroffen ist, schreiben Sie mir kurz, was Ihnen aufgefallen ist. Ich sehe mir den Fall an und sage Ihnen, wie tief das sitzt und was die Bereinigung kostet, bevor irgendetwas passiert.

Sollte sich herausstellen, dass es harmloser ist als befürchtet, sage ich Ihnen das genauso.

Weitere Anleitungen und Einschätzungen finden Sie im Ratgeber.