Ihre WordPress-Website wurde gehackt oder Sie vermuten einen Angriff? Unbekannte Benutzer, Weiterleitungen auf fremde Websites, veränderte Inhalte, Warnungen des Browsers oder plötzlich auftretende Dateien können Hinweise auf eine kompromittierte WordPress-Installation sein.

Jetzt ist ein strukturiertes Vorgehen wichtig. Es reicht normalerweise nicht aus, lediglich ein Passwort zu ändern oder eine verdächtige Datei zu löschen. Zunächst sollte der Schaden begrenzt, anschließend die Ursache gefunden und die WordPress-Installation vollständig überprüft werden.

Woran erkenne ich eine gehackte WordPress-Website?

Ein erfolgreicher Angriff ist nicht immer sofort sichtbar. Typische Auffälligkeiten können sein:

• unbekannte Administratoren oder Benutzerkonten,
• veränderte Seiten oder Beiträge,
• Weiterleitungen auf fremde oder unseriöse Websites,
• unbekannte Dateien oder Verzeichnisse,
• ungewöhnliche Fehlermeldungen,
• Spam-Seiten oder fremde Inhalte in den Suchergebnissen,
• Warnmeldungen des Browsers oder von Suchmaschinen,
• ungewöhnlich hohe Serverauslastung,
• unerklärliche Änderungen an Plugins oder Themes oder
• kein Zugriff mehr auf den WordPress-Administrationsbereich.

1. Nicht unkontrolliert Dateien löschen

Wer verdächtige Dateien entdeckt, sollte diese nicht sofort wahllos löschen. Dadurch können wichtige Hinweise auf die Ursache verloren gehen oder die Website zusätzlich beschädigt werden.

Außerdem bedeutet das Löschen einer einzelnen auffälligen Datei nicht automatisch, dass die Website wieder sauber ist. Angreifer können mehrere Dateien, Benutzerkonten oder andere Zugänge hinterlassen haben.

2. Aktuellen Zustand sichern

Vor umfangreichen Änderungen kann es sinnvoll sein, den aktuellen Zustand der Website zu sichern. Dadurch stehen Dateien und Datenbank für eine spätere Analyse zur Verfügung.

Diese Sicherung darf allerdings nicht mit einem vertrauenswürdigen Backup verwechselt werden. Ist die Website bereits kompromittiert, kann auch die neu erstellte Sicherung Schadcode enthalten.

Grundlagen zu WordPress-Backups finden Sie unter WordPress-Website sichern: Backups richtig erstellen.

3. Website bei Bedarf vorübergehend vom Netz nehmen

Verteilt die Website Schadcode, leitet Besucher auf betrügerische Seiten weiter oder besteht eine andere akute Gefährdung, kann es notwendig sein, die Website vorübergehend nicht öffentlich erreichbar zu machen.

Ob dies erforderlich ist, hängt vom konkreten Vorfall ab. Eine kompromittierte Website einfach weiterlaufen zu lassen, während die Untersuchung durchgeführt wird, kann jedoch zusätzlichen Schaden verursachen.

4. Zugangsdaten ändern

Bei einem bestätigten oder wahrscheinlichen Angriff sollten relevante Zugangsdaten geändert werden. Dazu können je nach Umgebung gehören:

• WordPress-Administratorkonten,
• Hosting-Zugang,
• FTP- beziehungsweise SFTP-Zugänge,
• Datenbank-Zugang,
• weitere administrative Konten und
• zugehörige E-Mail-Konten, wenn deren Zugangsdaten ebenfalls betroffen sein könnten.

Verwenden Sie für unterschiedliche Dienste individuelle und ausreichend starke Passwörter. Ein kompromittiertes Passwort sollte nicht lediglich geringfügig verändert werden.

5. WordPress-Benutzer kontrollieren

Überprüfen Sie alle Benutzerkonten der WordPress-Installation. Achten Sie besonders auf unbekannte Konten mit Administratorrechten.

Entfernen Sie unbekannte Administratoren nicht völlig unüberlegt, sondern dokumentieren Sie verdächtige Konten zunächst. Sie können bei der späteren Analyse Hinweise auf den Angriff liefern.

6. WordPress, Plugins und Themes überprüfen

Veraltete oder verwundbare Komponenten können ein möglicher Angriffsweg sein. Prüfen Sie deshalb WordPress, alle installierten Plugins und das verwendete Theme.

Nicht mehr benötigte Erweiterungen sollten nach der Bereinigung entfernt werden. Besonders kritisch sind Komponenten, die seit längerer Zeit nicht mehr gepflegt werden.

Weitere Informationen zur regelmäßigen Pflege finden Sie unter WordPress-Wartung: Wie oft sollte eine Website gewartet werden?.

7. WordPress-Dateien auf Veränderungen prüfen

Eine kompromittierte Website sollte auf veränderte oder zusätzlich eingeschleuste Dateien untersucht werden. Schadcode kann sich nicht nur in Plugins oder Themes befinden, sondern auch an anderen Stellen der WordPress-Installation.

Allein nach auffälligen Dateinamen zu suchen, reicht nicht aus. Schadcode kann in Dateien versteckt sein, deren Namen zunächst völlig unverdächtig erscheinen.

8. Datenbank überprüfen

Auch die WordPress-Datenbank kann manipuliert worden sein. Dort befinden sich unter anderem Benutzer, Einstellungen, Inhalte und Plugin-Daten.

Verdächtige Administratoren, manipulierte Inhalte, eingeschleuste Links oder veränderte Einstellungen können deshalb auch in der Datenbank vorhanden sein.

Direkte Änderungen an der Datenbank sollten nur mit entsprechender Erfahrung und einer vorhandenen Sicherung durchgeführt werden.

9. Backup auf einen sauberen Stand prüfen

Ist ein Backup aus der Zeit vor dem Angriff vorhanden, kann eine Wiederherstellung eine mögliche Option sein. Entscheidend ist jedoch, dass der verwendete Sicherungsstand tatsächlich noch nicht kompromittiert war.

Wird lediglich ein altes Backup zurückgespielt, ohne die ursprüngliche Sicherheitslücke zu schließen, kann die Website anschließend erneut kompromittiert werden.

10. Ursache des Angriffs finden

Eine erfolgreiche Bereinigung sollte nicht damit enden, dass die Website wieder funktioniert. Entscheidend ist die Frage, wie der Angreifer Zugriff erhalten konnte.

Mögliche Ursachen können beispielsweise sein:

• verwundbare oder veraltete Plugins,
• veraltete Themes,
• kompromittierte Zugangsdaten,
• unsichere Benutzerkonten,
• fehlerhafte Server- oder Dateiberechtigungen oder
• bereits kompromittierte Systeme oder Zugangsdaten außerhalb von WordPress.

Ohne Beseitigung des ursprünglichen Angriffswegs besteht das Risiko, dass die Website erneut kompromittiert wird.

11. Sicherheits-Schlüssel und Sitzungen erneuern

Nach einem Sicherheitsvorfall sollten auch bestehende WordPress-Anmeldesitzungen berücksichtigt werden. Durch das Erneuern der WordPress-Sicherheitsschlüssel können bestehende Sitzungen ungültig gemacht werden, sodass sich Benutzer erneut anmelden müssen.

Dieser Schritt sollte Bestandteil einer umfassenden Bereinigung sein und ersetzt weder die Änderung kompromittierter Passwörter noch die Untersuchung der eigentlichen Ursache.

12. Computer der Administratoren überprüfen

Nicht jeder Angriff beginnt unmittelbar auf dem Webserver. Wurden Zugangsdaten beispielsweise auf einem kompromittierten Computer ausgespäht, kann eine vollständig bereinigte Website erneut angegriffen werden.

Bei begründetem Verdacht sollten deshalb auch die Geräte überprüft werden, von denen administrative Zugriffe auf WordPress und das Hosting erfolgen.

13. Suchergebnisse nach einem Angriff kontrollieren

Angreifer verwenden kompromittierte Websites teilweise dazu, automatisch Spam-Seiten oder fremde Inhalte anzulegen. Diese können anschließend von Suchmaschinen indexiert werden.

Nach der technischen Bereinigung sollte deshalb geprüft werden, welche URLs Google von der Domain kennt und ob unerwünschte Inhalte in den Suchergebnissen auftauchen.

Weitere Hinweise zur Indexierung finden Sie unter Website nicht bei Google zu finden: Ursachen und Lösungen.

14. WordPress nach der Bereinigung absichern

Nach einer erfolgreichen Bereinigung sollte die WordPress-Installation technisch auf einen aktuellen und sicheren Stand gebracht werden.

• WordPress, Plugins und Themes aktuell halten,
• nicht benötigte Erweiterungen entfernen,
• starke und individuelle Passwörter verwenden,
• Administratorrechte nur vergeben, wenn sie tatsächlich benötigt werden,
• regelmäßige externe Backups einrichten,
• Hosting und Serverkonfiguration aktuell halten und
• die Website regelmäßig technisch kontrollieren.

WordPress gehackt und kein Login mehr möglich?

Wurde das Administrator-Passwort verändert oder ein Benutzerkonto manipuliert, kann der Zugriff auf den WordPress-Administrationsbereich verloren gehen.

Weitere Möglichkeiten zur Eingrenzung finden Sie unter WordPress-Login funktioniert nicht: Ursachen und Lösungen.

Warum reicht ein Sicherheits-Plugin allein nicht aus?

Ein Sicherheits-Plugin kann eine sinnvolle Ergänzung sein, ersetzt aber keine regelmäßigen Updates, sichere Zugangsdaten, Backups und eine gepflegte Serverumgebung.

WordPress-Sicherheit sollte deshalb nicht von einer einzelnen Erweiterung abhängig gemacht werden. Entscheidend ist das Zusammenspiel aus aktueller Software, geeigneter Konfiguration und regelmäßiger Wartung.

WordPress-Website professionell bereinigen lassen

Bei einer kompromittierten WordPress-Website reicht es nicht aus, nur die sichtbaren Veränderungen zu entfernen. Dateien, Datenbank, Benutzerkonten, Plugins, Themes und Zugänge sollten überprüft und der ursprüngliche Angriffsweg möglichst identifiziert werden.

OS Media unterstützt Sie bei der technischen Analyse und Betreuung von WordPress-Websites sowie bei der Absicherung nach einem Sicherheitsvorfall. Weitere Informationen finden Sie unter Webdesign bei OS Media und Webhosting bei OS Media.

Ihre WordPress-Website wurde gehackt oder zeigt verdächtige Veränderungen? Über Projekt anfragen können Sie uns das Problem direkt beschreiben.