Notfall · Seite gehackt
Meine WordPress-Seite wurde gehackt:
was jetzt zu tun ist
Ein Hack sieht selten so aus, wie man es sich vorstellt. Meistens steht keine Nachricht auf der Startseite, und im Backend wirkt alles normal.
Der erste Hinweis kommt oft von außen: Eine Kundin erzählt, sie habe Ihre Seite bei Google angeklickt und sei plötzlich auf einer fremden Werbeseite gelandet.
Wenn Sie gerade in dieser Lage sind: Ändern Sie zuerst nichts an den Dateien. Solange die Spuren erhalten bleiben, lässt sich die Ursache finden, und dann ist der Rest in aller Regel gut lösbar.
Was jetzt zuerst passieren muss
Wer sofort löscht, zerstört die Spuren, die man braucht, um die Ursache zu finden. Deshalb am besten in dieser Reihenfolge:
- Nichts überschreibenKein frisches Backup über das alte, keine Dateien löschen.WordPress nicht neu installieren.
- Befallenen Zustand sichernDateien und Datenbank vollständig kopieren, getrennt ablegen.
Mehr dazu
Notieren Sie dazu Datum, Uhrzeit und Auffälligkeiten.
- Passwörter ändernAlle Zugänge neu setzen, danach alle Sitzungen beenden.
Mehr dazu
Das gilt für alle WordPress-Administratoren, das Hosting-Panel, den FTP- oder SFTP-Zugang (den direkten Dateizugang zum Server) und die Datenbank.
- Sicherheitsschlüssel erneuernMacht alle Anmeldungen ungültig, auch gestohlene.Laden Sie die wp-config.php vorher einmal herunter, damit Sie die alte Fassung zurückhaben, falls etwas schiefgeht.
Mehr dazu
Die acht Salts in der wp-config.php durch neue aus dem offiziellen Generator von wordpress.org ersetzen. Nach den neuen Schlüsseln melden Sie sich selbst neu an.
- Neues Datenbank-PasswortEs gehört ebenfalls in die wp-config.php.
Mehr dazu
Fehlt es dort, meldet die Seite einen Fehler beim Aufbau der Datenbankverbindung.
- Postfach absichernDas Passwort des E-Mail-Postfachs ändern.
Mehr dazu
Gemeint ist das Postfach, an das WordPress Links zum Zurücksetzen von Passwörtern schickt.
- Fremde Benutzer entfernenUnbekannte Administratoren entfernen, nicht nur umbenennen.
- Hoster informierenDer Support sieht Logfiles, an die Sie nicht herankommen.
Mehr dazu
Logfiles sind die Protokolle des Servers. Der Hoster weiß außerdem, ob weitere Kunden betroffen sind.
- Wartungsmodus statt AbschaltenBesucher und Suchmaschinen sehen weder Fehler noch Schadcode.
- Betroffene Daten prüfenFormulareinträge, Bestellungen, Kundenkonten, Newsletter-Listen.
Mehr dazu
Davon hängen die nächsten Schritte ab.
- Erst jetzt bereinigenAuf Grundlage von Logfiles und Dateien, nicht auf bloßen Verdacht.
Was die Lage meist verschlimmert
Das ist der häufigste Fehler. Ein Backup setzt die Seite auf einen Stand zurück, an dem die Sicherheitslücke noch offen war. Der Angreifer nimmt denselben Weg ein zweites Mal, in vielen Fällen innerhalb weniger Tage. Das Backup hilft also beim Wiederherstellen, die Lücke muss trotzdem gefunden und geschlossen werden.
Zwei weitere Reaktionen sind verständlich, machen die Sache aber meistens schwieriger:
- Verdächtige Dateien blind löschen. Oft trifft es harmlose Systemdateien, die Hintertür bleibt: Die Seite ist kaputt und trotzdem befallen.
- Offline nehmen und abwarten. Abgeschaltet ist nicht bereinigt: Die Google-Warnung bleibt, Platzierungen sinken, die Lücke bleibt offen, an Meldepflichten ändert sich nichts.
- Über die Google-Suche testen. So sehen Sie am ehesten, ob Ihre Seite betroffen ist, am besten auch auf dem Handy.
- Erst sichern, dann aufräumen. Befallenen Zustand sichern und alle Passwörter ändern, aufgeräumt wird danach.
- Ein altes Backup reicht nicht. Darin ist die Lücke noch offen, durch die der Angreifer hereinkam.
- Hintertüren gehören dazu. Ebenso fremde Benutzer, Cronjobs (geplante Aufgaben) und die .htaccess, die Steuerdatei des Webservers.
- 72 Stunden bei Datenverdacht. Könnten personenbezogene Daten betroffen sein, läuft eine Frist, die anwaltlich geprüft gehört.
Kleine, eindeutige Fälle lassen sich oft an einem Nachmittag selbst lösen.
Woran Sie einen Hack überhaupt erkennen
Der auffällige Fall mit der defekten Startseite ist selten. Viel häufiger ist der stille: Der Schadcode versteckt sich und zeigt sich nur bestimmten Besuchern.
Wer eingeloggt ist oder die Adresse direkt eintippt, sieht oft wochenlang nichts. Typische Zeichen sind:
Weiterleitung nur über GoogleWer über die Google-Suche kommt, landet auf einer fremden Seite, beim direkten Aufruf ist alles in Ordnung.
Popups nur auf dem HandyDort erscheinen Werbe-Popups oder Weiterleitungen, am Rechner nicht.
Fremder AdministratorUnter Benutzer steht jemand, den Sie nicht angelegt haben, oft mit Namen wie wpsupport oder admin2.
Meldung in der Search ConsoleSie meldet ein Sicherheitsproblem oder listet Unterseiten, die Sie nie erstellt haben.
Fremde Themen bei GoogleZu Ihrer Domain stehen plötzlich Ergebnisse, mit denen Sie nichts zu tun haben.
Hohe Last oder MailversandDer Hoster meldet ungewöhnlich hohe Serverlast oder massenhaft ausgehende E-Mails.
Geänderte DateienDateien im Verzeichnis wurden vor Kurzem geändert, obwohl niemand etwas gemacht hat.
Öffnen Sie ein privates Browserfenster, suchen Sie Ihre Seite bei Google und klicken Sie das Ergebnis an, statt die Adresse einzutippen. Viele Weiterleitungen greifen nur auf diesem Weg. Wiederholen Sie das einmal auf dem Handy, weil manche Varianten nur dort auslösen.
Wie Angreifer typischerweise hereinkommen
In den Fällen, die mir begegnen, steckt fast nie eine gezielte Attacke dahinter, sondern ein automatisierter Scan, der eine bekannte Schwachstelle gefunden hat. Vier Wege decken nach meiner Erfahrung den größten Teil ab:
| Einstieg | Was dahintersteckt |
|---|---|
| Veraltete Plugins und Themes | Eine bekannte, öffentlich dokumentierte Lücke wird automatisiert ausgenutzt. Das ist mit Abstand der häufigste Weg. |
| Schwache oder wiederverwendete Passwörter | Zugangsdaten aus einem fremden Datenleck werden bei Ihnen durchprobiert, bis eines passt. |
| Kompromittiertes Hosting | Ein anderes Konto auf demselben Server, ein gekaperter FTP-Zugang oder ein Schadprogramm auf dem eigenen Rechner, das die gespeicherten Zugangsdaten ausliest. |
| Verwaiste Plugins | Erweiterungen, die der Hersteller nicht mehr pflegt. Sie bekommen kein Update mehr, die Lücke bleibt dauerhaft offen. |
Warum Bereinigung mehr ist als Schadcode löschen
Wer einmal Zugriff hatte, sorgt fast immer dafür, dass er wiederkommen kann. Der sichtbare Schadcode ist deshalb nur der Teil, den man zuerst findet:
Angelegte Benutzer
Manipulierte Cronjobs
Veränderte .htaccess
Code in der Datenbank
Wer nur den sichtbaren Teil entfernt, hat den Befall meist nach wenigen Tagen wieder auf der Seite.
Zu einer Bereinigung gehören deshalb mindestens:
- Hintertüren. Kleine, unauffällige Dateien im Upload-Ordner, in einem Theme oder Plugin, die auch nach neuen Passwörtern Zugriff geben.
- Angelegte Benutzer. Nicht nur Administratoren, auch scheinbar harmlose Redakteure, die sich später selbst hochstufen.
- Manipulierte Cronjobs. Geplante Aufgaben, die den Schadcode nach der Bereinigung wieder in die Dateien schreiben.
- Veränderte .htaccess. In dieser Steuerdatei des Webservers stehen oft die Weiterleitungen für Besucher aus der Google-Suche.
- Eingeschleuste Inhalte in der Datenbank. Skripte in Beiträgen, Optionen oder Widgets, die bei jedem Seitenaufruf mitgeladen werden.
Danach folgt der Teil, der leicht vergessen wird: die Seite bei Google zur erneuten Prüfung anmelden, damit die Sicherheitswarnung verschwindet, und einige Tage beobachten, ob wirklich Ruhe ist. Kommt der Schadcode zurück, war eine Hintertür noch aktiv.
Die Warnung bei Google überprüfen lassen
Eine Warnung in der Google-Suche oder im Browser verschwindet nicht von selbst, auch wenn die Seite längst sauber ist. Die Überprüfung beantragen Sie in der Google Search Console, dem Werkzeug, in dem Google Probleme mit Ihrer Seite meldet.
Ist Ihre Seite dort noch nicht eingerichtet, bestätigen Sie zuerst, dass sie Ihnen gehört.
- Erst bereinigen, dann beantragen. Bereinigung abschließen und alle Zugänge erneuern, sonst lehnt Google ab, und jeder weitere Versuch verlängert die Zeit mit Warnung.
- Bericht öffnen. Unter Sicherheit und manuelle Maßnahmen zeigt der Bericht Sicherheitsprobleme, was Google gefunden hat, oft mit Beispieladressen.
- Beispieladressen prüfen. Auch über die Google-Suche und auf dem Handy aufrufen, wie im schnellen Test oben.
- Überprüfung beantragen. Kurz beschreiben, was Sie gefunden und behoben haben: Einstiegsweg, bereinigte Dateien, geänderte Zugänge.
- Antwort abwarten. Bei Schadsoftware dauert die Prüfung meist einige Tage, das Ergebnis steht in der Search Console.
Wird der Antrag abgelehnt oder taucht die Warnung nach kurzer Zeit wieder auf, ist fast immer noch eine Hintertür aktiv. Spätestens dann lohnt es sich, den Fall abzugeben, weil jeder weitere Versuch auf gut Glück Zeit kostet, in der Besucher die Warnung sehen. Schicken Sie mir in dem Fall die Meldung aus der Search Console mit, dann sehe ich mir an, was Google noch findet.
Wenn Daten abgeflossen sein könnten
Wenn personenbezogene Daten betroffen sein könnten, etwa Kontaktanfragen, Kundenkonten, Bestellungen oder eine Newsletter-Liste, sieht die DSGVO eine Meldung an die zuständige Aufsichtsbehörde innerhalb von 72 Stunden nach Bekanntwerden vor. Unter Umständen sind zusätzlich die betroffenen Personen zu informieren. Ich bin kein Anwalt und gebe hier keine Rechtsberatung. Lassen Sie diese Frage bitte zügig anwaltlich prüfen, weil die Frist bereits läuft.
Wann Sie selbst weiterkommen und wann nicht
Selbst machbar bei einem kleinen, eindeutigen Fall
- ein einzelnes Plugin als Ursache
- ein sauberes Backup von vor dem Vorfall
- keine Kunden- oder Bestelldaten im Spiel
- ein Hoster, der Ihnen die Logfiles gibt
Besser übergeben, wenn …
- Sie die Ursache nicht finden
- der Schadcode nach der Bereinigung wiederkommt
- ein Shop oder Mitgliederbereich betroffen ist
- Google bereits vor der Seite warnt
- Sie beim Thema Daten unsicher sind
Im kleinen Fall sind Zugänge tauschen, Plugin entfernen, Stand zurücksetzen und alles aktualisieren ein Nachmittag Arbeit. Im anderen Fall kostet ein zweiter Versuch auf gut Glück meistens mehr als der erste saubere.
Was danach passieren muss, damit es nicht wieder passiert
- Updates im festen Rhythmus. Statt sie liegen zu lassen.
- Eigene Passwörter und zwei Faktoren. Jeder Zugang bekommt ein langes Passwort, Administratoren melden sich zusätzlich mit einem Code vom Handy an.
- Unnötige Plugins entfernen. Was niemand mehr braucht oder der Hersteller nicht mehr pflegt, fliegt raus.
- Backups außerhalb des Servers. Und gelegentlich testen, ob sich daraus wirklich eine Seite wiederherstellen lässt.
Am meisten hilft, wenn jemand regelmäßig hinschaut und nicht erst reagiert, wenn ein Kunde anruft.
Was die Kosten einer Bereinigung bestimmt
Einen Pauschalpreis nenne ich für eine Bereinigung nicht, weil zwei gehackte Seiten sehr unterschiedlich viel Arbeit machen können. Den Aufwand treiben vor allem diese Punkte:
Der Befall selbst
Die Seite und ihr Umfeld
Die meisten dieser Punkte lassen sich nach einem ersten Blick auf die Seite einschätzen.
Wie ich damit umgehe
Damit das klar ist, bevor Sie anfragen: Eine bereits gehackte Seite ist bei mir kein Betreuungsthema. Bereinigung und Wiederherstellung sind ein eigener Auftrag.
Ich sehe mir den Fall vorher an, bespreche mit Ihnen, was zu tun ist und was es kostet, und rechne das einzeln ab. Der Aufwand hängt davon ab, wie tief der Befall sitzt, und lässt sich vorab nicht pauschal beziffern.
Bei einem Onlineshop, in den Schadcode eingeschleust worden war, war der Shop nach 12 Stunden wieder online. Wenn Sie gleich mitschicken, was Ihnen aufgefallen ist und seit wann, kann ich den Fall schneller einordnen.
Wenn die Seite wieder sauber ist, kann sie in die laufende Betreuung. Dort geht es darum, dass dieser Fall nicht noch einmal eintritt:
| Paket | Was enthalten ist |
|---|---|
| Wartung 179 Euro inkl. MwSt. (150,42 Euro netto) | Wöchentlicher Updatecheck, tägliche externe Backups mit einem Monat Aufbewahrung, Erreichbarkeitskontrolle, Sicherheitsprüfung, Fehlerbehebung nach Updates, eine Stunde für Änderungen im Monat |
| Betreuung 299 Euro inkl. MwSt. (251,26 Euro netto) | Alles aus der Wartung, dazu Updatecheck alle drei Tage, drei Monate Backup-Aufbewahrung und vier Stunden im Monat für Änderungen an bestehenden Inhalten, etwa Texte korrigieren, Bilder austauschen oder Preise und Termine aktualisieren. Hosting auf deutschen Servern ist enthalten. |
| Rundum ab 659 Euro inkl. MwSt. (ab 553,78 Euro netto) | Alles aus der Betreuung, dazu täglicher Updatecheck und acht Stunden im Monat für Änderungen und Programmierung. Neue Seiten, Produkte und Beiträge lege ich aus Ihren Texten und Bildern an, dazu kommen programmiertechnische Anpassungen. Zusätzlich werden Elementor Pro und das Caching-System gestellt. |
Alle Preise pro Website und Monat, inkl. MwSt., monatlich kündbar.
Häufige Fragen
Wie lange dauert eine Bereinigung?
Das hängt von denselben Punkten ab wie die Kosten. Ein klarer Fall mit gefundener Ursache ist oft innerhalb eines Tages erledigt, ein tief sitzender Befall braucht länger. Danach sollte die Seite noch einige Tage beobachtet werden. Wie schnell Google eine Warnung wieder entfernt, liegt außerhalb meines Einflusses.
Hätte ein Sicherheitsplugin den Hack verhindert?
Das kommt auf den Einstieg an. Ein Sicherheitsplugin bremst automatisierte Anmeldeversuche und meldet veränderte Dateien. Gegen eine Lücke in einem veralteten Plugin hilft es nur begrenzt, weil der Angreifer dann einen Weg nutzt, den die Seite selbst anbietet. Den größten Schutz bringen aktuelle Updates und möglichst wenige, gepflegte Plugins.
Verliere ich meine Platzierungen bei Google?
In den meisten Fällen nur vorübergehend. Solange Google vor der Seite warnt oder fremde Unterseiten findet, gehen Besucher und Platzierungen zurück. Nach der Bereinigung und der erneuten Prüfung erholen sie sich meist wieder. Je länger der Befall bestehen bleibt, desto länger dauert das.
Muss die Website danach neu gebaut werden?
Fast nie. Inhalte, Design und Einstellungen bleiben erhalten, ersetzt werden die befallenen Dateien und Einträge. Nur selten ist eine Seite so veraltet, dass sich die Bereinigung kaum noch lohnt. Das sage ich Ihnen dann, bevor Sie Geld dafür ausgeben.
Verdacht auf Befall
Wie tief sitzt der Befall?
Schreiben Sie mir kurz, was Ihnen aufgefallen ist und seit wann. Bevor ich etwas an der Seite verändere, bekommen Sie von mir eine Einschätzung, wie tief der Befall sitzt, und einen Preis für die Bereinigung.
Sollte sich herausstellen, dass es harmloser ist als befürchtet, sage ich Ihnen das genauso.
Weitere Anleitungen und Einschätzungen finden Sie im Ratgeber.
