WordPress gehackt: Anzeichen und erste Maßnahmen

Woran erkennt man, dass WordPress gehackt wurde?

WordPress wurde wahrscheinlich gehackt, wenn ohne eine berechtigte Änderung neue Inhalte, Benutzerkonten, Weiterleitungen oder Dateien auftauchen. Auch Warnungen von Suchmaschinen, Browsern, Virenschutzprogrammen oder dem Hostinganbieter können deutliche Hinweise auf eine kompromittierte Website sein. Eine einzelne Fehlermeldung oder ein kurzzeitiger Ausfall genügt dagegen noch nicht für eine sichere Beurteilung.

Typische Anzeichen für einen WordPress-Hack sind:

• Besucher werden unerwartet auf fremde, unseriöse oder thematisch unpassende Websites weitergeleitet.
• Auf der Website erscheinen unbekannte Seiten, Werbelinks, Spam-Inhalte oder veränderte Texte.
• Im WordPress-Backend befinden sich neue Administratoren oder andere Benutzerkonten, die niemand angelegt hat.
• Bekannte Zugangsdaten funktionieren plötzlich nicht mehr oder Einstellungen wurden unautorisiert verändert.
• Suchmaschinen zeigen Sicherheitswarnungen oder unbekannte Seiten der Domain in ihren Ergebnissen an.
• Der Hostinganbieter sperrt die Website, meldet Malware oder weist auf ungewöhnlichen E-Mail-Versand und erhöhte Serverlast hin.

Die offizielle WordPress-Dokumentation zu gehackten Websites nennt unter anderem Blacklist-Einträge, Malware-Warnungen, unautorisierte Benutzer und sichtbare Manipulationen als mögliche Anzeichen. Entscheidend ist stets das Gesamtbild aus sichtbaren Veränderungen, Dateien, Benutzerkonten, Protokollen und Meldungen externer Dienste.

Welche Auffälligkeiten sind noch kein eindeutiger Beweis?

Eine langsame oder nicht erreichbare Website kann auch durch einen Serverausfall, ein fehlerhaftes Update, eine abgelaufene Domain, Probleme mit dem DNS oder eine falsche Konfiguration entstehen. Gleiches gilt für einen nicht mehr funktionierenden Login, ausgefallene Formulare oder Darstellungsfehler. Solche Störungen müssen geprüft werden, beweisen für sich allein aber keinen Angriff.

Auch ein einzelner Malware-Scanner liefert keine abschließende Gewissheit. Externe Scanner sehen normalerweise nur öffentlich erreichbare Inhalte, während ein WordPress-Plugin innerhalb der Installation andere Dateien und Daten erfassen kann. Ist die Website bereits kompromittiert, können jedoch auch dort ausgeführte Prüfungen beeinflusst oder unvollständig sein.

Dokumentieren Sie deshalb die konkrete Auffälligkeit, den Zeitpunkt und die betroffenen Seiten. Screenshots, Meldungen des Hosters, verdächtige Suchergebnisse und Änderungen an Benutzerkonten helfen bei der späteren Einordnung. Rufen Sie eine möglicherweise schädliche Website nicht unnötig wiederholt auf und führen Sie weitere Prüfungen möglichst von einem sauberen Gerät aus.

Welche ersten Maßnahmen sind nach einem WordPress-Hack sinnvoll?

Bewahren Sie Ruhe und nehmen Sie nicht gleichzeitig zahlreiche unkoordinierte Änderungen vor. Werden Dateien gelöscht, Updates installiert und Backups zurückgespielt, bevor der Ausgangszustand dokumentiert wurde, gehen möglicherweise wichtige Hinweise verloren. Außerdem lässt sich später kaum noch feststellen, welche Maßnahme welche Veränderung verursacht hat.

1. Dokumentieren Sie alle sichtbaren Anzeichen, Meldungen, Zeitpunkte und unmittelbar vor dem Vorfall durchgeführten Änderungen.
2. Informieren Sie den Hostinganbieter und klären Sie, ob weitere Websites, E-Mail-Dienste oder Bereiche des Webspace betroffen sind.
3. Begrenzen Sie den Zugriff auf die Website, wenn Besucher durch Malware, Weiterleitungen oder betrügerische Inhalte gefährdet werden könnten.
4. Sichern Sie vorhandene Serverprotokolle und erstellen Sie vor der Bereinigung eine eindeutig als kompromittiert gekennzeichnete Kopie der Dateien und Datenbank.
5. Prüfen und sichern Sie sämtliche Zugänge von einem vertrauenswürdigen, auf Schadsoftware kontrollierten Gerät aus.
6. Vermeiden Sie das wahllose Löschen verdächtiger Dateien oder die unkontrollierte Installation zusätzlicher Plugins.
7. Lassen Sie den Umfang des Angriffs und den geeigneten Wiederherstellungsweg fachlich einordnen, wenn Ursache oder betroffene Bereiche unklar sind.

Ob die Website vollständig gesperrt, eingeschränkt erreichbar oder auf eine neutrale Informationsseite umgeleitet werden sollte, hängt vom Vorfall und von den technischen Möglichkeiten ab. Eine weiterführende Übersicht bietet der Beitrag Was tun, wenn die Website gehackt wurde?.

Welche Zugänge müssen nach einem Angriff gesichert werden?

Ändern Sie nicht nur das Passwort eines einzelnen WordPress-Administrators. Abhängig von der Installation können WordPress-Benutzer, Hostingkonto, Kundenmenü, SFTP, FTP, SSH, Datenbank, Backup-Speicher und die für die Passwortwiederherstellung verwendeten E-Mail-Konten betroffen sein. Verwenden Sie für jeden Zugang ein langes, einzigartiges Passwort und nehmen Sie die Änderungen von einem sauberen Gerät aus vor.

Prüfen Sie sämtliche Benutzer mit administrativen oder erweiterten Rechten. Unbekannte Konten und unerklärliche Rechteänderungen sollten zunächst dokumentiert und anschließend gesperrt oder entfernt werden. Auch Zugangsschlüssel, Anwendungspasswörter und nicht mehr benötigte technische Benutzer müssen berücksichtigt werden.

Durch das Ersetzen der Sicherheitsschlüssel in der Datei wp-config.php lassen sich bestehende WordPress-Sitzungen ungültig machen. Dadurch werden auch möglicherweise noch angemeldete Angreifer abgemeldet. Nach einer erfolgreichen Bereinigung sollten besonders wichtige Zugangsdaten erneut geändert werden, da sie während des kompromittierten Zustands ausgespäht worden sein könnten. Eine Mehrfaktor-Authentifizierung kann den zukünftigen Zugang zusätzlich absichern.

Wie werden vorhandene Backups richtig genutzt?

Bei einem Sicherheitsvorfall müssen zwei unterschiedliche Sicherungen auseinandergehalten werden. Eine Kopie des aktuell kompromittierten Zustands kann für die Untersuchung, Dokumentation und Wiederherstellung einzelner Informationen wichtig sein. Sie darf jedoch nicht mit einem geprüften, sauberen Wiederherstellungspunkt verwechselt werden.

Ein älteres Backup kann die Bereinigung erleichtern, wenn es Dateien und Datenbank vollständig enthält und nachweislich vor der Kompromittierung erstellt wurde. Das Erstellungsdatum allein reicht dafür nicht immer aus. Schadcode oder eine versteckte Hintertür können bereits längere Zeit unbemerkt vorhanden gewesen sein und dadurch auch in mehreren Sicherungsständen enthalten sein.

Vor einer Rücksicherung ist außerdem zu prüfen, welche Bestellungen, Anfragen, Benutzerkonten oder redaktionellen Änderungen seit dem Backup entstanden sind. Eine vollständige Wiederherstellung kann diese aktuellen Daten überschreiben. Warum Dateien und Datenbank gemeinsam gesichert werden sollten, erläutert der Beitrag Warum sind Backups vor Updates so wichtig?.

Warum reichen Löschen, Update oder Neuinstallation allein nicht aus?

Das Löschen einer auffälligen Datei beseitigt nicht automatisch den gesamten Angriff. Schadcode kann an mehreren Stellen liegen, zusätzliche Administratoren anlegen, geplante Prozesse einrichten oder über versteckte Hintertüren erneut geladen werden. Ebenso kann das Überschreiben vorhandener WordPress-Core-Dateien neu hinzugefügte Dateien zurücklassen.

Eine kontrollierte Bereinigung kann deshalb die folgenden Arbeiten erfordern:

• WordPress-Core-Dateien werden mit unveränderten Originaldateien aus einer vertrauenswürdigen Quelle verglichen oder ersetzt.
• Plugins und Themes werden geprüft und bei Bedarf aus sauberen Originalpaketen neu installiert.
• Konfigurationsdateien, Upload-Verzeichnisse, Datenbankinhalte, Benutzerkonten und geplante Aufgaben werden auf Manipulationen kontrolliert.
• Nicht mehr benötigte, unbekannte oder nicht vertrauenswürdige Erweiterungen werden vollständig entfernt.
• Die ursprüngliche Schwachstelle oder der missbrauchte Zugang wird ermittelt und geschlossen.

Updates sind wichtig, sollten aber nicht unkontrolliert über eine noch kompromittierte Installation gelegt werden. Zunächst muss ein vertrauenswürdiger Zustand hergestellt werden. Anschließend werden WordPress, Plugins und Themes auf unterstützte, sichere Versionen aktualisiert und die Website praktisch getestet. Ohne Klärung der Ursache kann eine scheinbar erfolgreiche Bereinigung schon kurze Zeit später durch eine erneute Infektion zunichtegemacht werden.

Wann kann man selbst handeln und wann ist professionelle Hilfe sinnvoll?

Eine eigene Bereinigung kommt infrage, wenn Sie WordPress-Dateien und Datenbank zuverlässig prüfen, Serverprotokolle auswerten, saubere Originaldateien zuordnen und eine vollständige Wiederherstellung durchführen können. Zusätzlich müssen Sie beurteilen können, ob Benutzerkonten, E-Mail-Versand, weitere Websites und die Hostingumgebung betroffen sind.

Professionelle Unterstützung ist besonders sinnvoll, wenn kein eindeutig sauberes Backup vorhanden ist, unbekannte Dateien auftauchen oder die Website nach einer vermeintlichen Bereinigung erneut verändert wird. Das gilt ebenfalls für Onlineshops, Mitgliederbereiche, wichtige Formulare und Websites, bei denen ein längerer Ausfall oder eine fehlerhafte Wiederherstellung erhebliche Folgen hätte.

Die Leistung Hilfe bei einer gehackten Website umfasst die technische Einordnung, Bereinigung und Absicherung des betroffenen Systems. Nach der Wiederherstellung kann eine regelmäßige WordPress-Wartung dabei helfen, Updates, Backups und Sicherheitskontrollen planbar durchzuführen.

Wenn Ihre WordPress-Website aktuell verdächtige Veränderungen zeigt, können Sie über die Anfrage für eine gehackte Website die beobachteten Anzeichen, vorhandenen Zugänge und bisherigen Maßnahmen mitteilen.

Weitere Ratgeber

Passende Beiträge zum Thema

Weitere Ratgeber, die zu diesem Thema passen und bei Wartung, Sicherheit, Updates oder Backups weiterhelfen.