WordPress gehackt: was jetzt zu tun ist
Erst prüfen, dann handeln, in dieser Reihenfolge. Die ersten Schritte entscheiden darüber, ob die Bereinigung später sauber gelingt oder ob Spuren verloren gehen.
Wahrscheinlich sind Sie nicht persönlich gemeint
Fast alle Angriffe auf WordPress-Seiten laufen automatisiert. Programme durchsuchen das Netz nach bekannten Lücken in Erweiterungen und nach schwachen Zugangsdaten. Wer betroffen ist, hat selten etwas falsch gemacht, außer eine Aktualisierung zu lange aufzuschieben.
Das ist keine Beruhigung, aber es hilft bei der Einschätzung. Es geht meist nicht um Ihre Daten, sondern um Rechenleistung und Reichweite: versteckte Werbelinks, Weiterleitungen auf fremde Seiten, Versand von Werbemails oder eine Zwischenablage für andere Angriffe.
Und noch eine ehrliche Vorbemerkung: Wir können Ihnen keine Seite bauen die niemals angreifbar ist. Diesen Zustand gibt es nicht. Was sich erreichen lässt, ist eine deutlich kleinere Angriffsfläche und ein Betrieb, bei dem ein Vorfall schnell auffällt.
Warnzeichen
Unbekannte Benutzerkonten mit Adminrechten, fremde Dateien im Verzeichnis der Erweiterungen, plötzliche Weiterleitungen auf fremde Seiten, Warnungen im Browser, Meldungen des Hosters über hohe Last oder Massenmails, Suchergebnisse mit fremden Begriffen unter Ihrer Domain.
Nicht jeder Verdacht ist ein Angriff
Manche Symptome sehen aus wie ein Hack und sind ein technischer Fehler. Weiterleitungsschleifen und weiße Seiten haben meist harmlose Ursachen, nachzulesen unter Fehlerbilder einordnen.
Was jetzt zählt und was warten kann
Die erste Stunde nach einem Verdacht entscheidet überraschend viel. Nicht weil Eile geboten wäre, sondern weil in dieser Zeit die meisten Spuren verloren gehen. Wer sofort aufräumt, löscht genau die Dateien, aus denen sich später der Einstiegsweg rekonstruieren ließe.
Sortieren Sie deshalb in zwei Stapel. In den einen kommt alles was sofort passieren muss: sichern, Passwörter ändern, Hoster informieren. In den anderen kommt alles was jetzt noch warten kann: aufräumen, neu aufsetzen, absichern. Der zweite Stapel wird erst angefasst, wenn der erste vollständig abgearbeitet ist.
Und falls Sie unsicher sind, ob überhaupt ein Angriff vorliegt: Schicken Sie uns lieber einmal zu viel eine kurze Nachricht. Eine Ersteinschätzung dauert bei uns meist weniger als eine Stunde und kostet Sie nichts.
Die ersten Schritte in der richtigen Reihenfolge
So bald ein Verdacht besteht, zählt vor allem eines: nichts zerstören, was später als Hinweis gebraucht wird.
Das sollten Sie tun
- Vollständige Kopie von Dateien und Datenbank ziehen, im aktuellen, befallenen Zustand.
- Hoster informieren, dort liegen Protokolle die für die Ursachensuche wichtig sind.
- Passwörter für Hosting, Datenbank, FTP und alle Benutzerkonten ändern, von einem sauberen Gerät aus.
- Benutzerliste durchgehen und unbekannte Konten notieren, nicht sofort löschen.
- Wenn Kundendaten betroffen sein könnten, die Meldepflichten prüfen und den Zeitpunkt festhalten.
Das sollten Sie lassen
- Verdächtige Dateien löschen, bevor sie gesichert wurden. Sie sind oft der einzige Hinweis auf den Einstiegsweg.
- Ein altes Backup einspielen und annehmen, damit sei die Sache erledigt. Meist ist die Lücke darin schon enthalten.
- Nur den sichtbaren Schaden entfernen und weitermachen. Hintertüren liegen selten dort wo man sie sieht.
- Die Seite offline nehmen und wochenlang so lassen. Das kostet Sichtbarkeit und löst nichts.
Ob eine Seite vorübergehend vom Netz soll, hängt vom Befund ab. Bei aktiver Verbreitung von Schadsoftware ja, sicherheits halber und zeit nah. Bei versteckten Werbelinks reicht meist die Bereinigung im laufenden Betrieb.
Wie eine Bereinigung abläuft
Der Weg ist bei fast jedem Vorfall gleich. Das meiste an Zeit steckt nicht im Aufräumen, sondern im Finden des Einstiegswegs.
-
Beweise sichern
Kopie des befallenen Zustands, Serverprotokolle der letzten Wochen, Änderungszeitpunkte der Dateien. Aus diesen Daten ergibt sich meist der Tag des Einbruchs.
-
Einstiegsweg finden
Abgleich der Dateien mit den offiziellen Originalen, Prüfung der Erweiterungen auf bekannte Lücken, Blick auf Anmeldeversuche und auf hochgeladene Dateien.
-
Sauber wieder aufbauen
Kern und Erweiterungen werden durch geprüfte Originale ersetzt. Eigener Code wird geprüft und nur übernommen, wenn er nachvollziehbar ist. Inhalte kommen aus der Datenbank, nach Kontrolle auf eingeschleusten Code.
-
Zugänge neu ordnen
Alle Passwörter neu, Schlüssel für Sitzungen erneuern, nicht mehr benötigte Konten entfernen, Rechte auf das nötige Maß zurücksetzen.
-
Absichern
Aktuelle PHP-Version, Aktualisierungen einspielen, unnötige Erweiterungen entfernen, Anmeldebereich schützen, automatische Sicherungen einrichten.
-
Nachkontrolle
Prüfung auf verbliebene Hintertüren, Beobachtung der Protokolle über mehrere Wochen, bei Bedarf Antrag auf erneute Prüfung durch Google.
Im schlimmsten fall stellt sich heraus, dass sich der Einstiegsweg nicht sicher rekonstruieren lässt, etwa weil die Protokolle schon überschrieben wurden. Dann bauen wir vom sauberen Original aus neu auf und übernehmen ausschließlich die Inhalte. Das dauert länger, ist aber der einzige Weg der Sicherheit gibt.
Sanieren oder ablösen
Nach einem Vorfall stellt sich fast immer die gleiche Frage. Sie lässt sich mit ein paar Punkten beantworten.
| Lage | Sinnvoller Weg |
|---|---|
| Einstiegsweg klar, Installation sonst gepflegt | Bereinigen und absichern |
| Viele veraltete Erweiterungen, altes Theme | Bereinigen, danach aufräumen |
| Zweiter Vorfall innerhalb eines Jahres | Struktur ändern statt weiter flicken |
| Redaktion braucht das System kaum | Ablösung prüfen |
Die Frage nach dem Danach wird oft zu früh gestellt. Solange nicht feststeht, wie jemand hereingekommen ist, lässt sich auch nicht beurteilen ob die Struktur das eigentliche Problem war. Wir empfehlen deshalb, die Entscheidung über Sanieren oder Ablösen erst nach der Bereinigung zu treffen. In der Ruhe danach fällt sie ohnehin besser aus als unter dem Eindruck des Vorfalls.
Wenn die Seite ohnehin kaum redaktionell genutzt wird, ist der Wegfall von Login, Datenbank und Erweiterungen der wirksamste Schutz. Wie das aussieht, steht unter Rückbau nach einem Vorfall.
Was den Unterschied macht
Die meisten Vorfälle wären vermeidbar gewesen. Nicht durch teure Werkzeuge, sondern durch Routine.
- Aktualisierungen in festen Abständen, getestet in einer Kopie
- Keine Erweiterung im Einsatz die seit über einem Jahr keine Pflege bekommen hat
- Automatische Sicherungen mit ausreichend Aufbewahrung, getrennt vom Webserver gelagert
- Zwei-Faktor-Anmeldung für alle Konten mit Adminrechten
- Regelmäßiges Aufräumen bei Benutzern, besonders nach dem Ende einer Zusammenarbeit
Was wir bei einer Prüfung im Einzelnen anschauen, steht auf der Seite zum Sicherheitscheck einer Bestandsseite. Wer nach dem Vorfall ohnehin über Technik nachdenkt, findet unter Aufräumen im laufenden System den mittleren Weg.
Fragen nach einem Vorfall
Woran erkenne ich sicher, dass meine Seite betroffen ist?
Sicher erkennen lässt es sich nur durch einen Abgleich der Dateien mit den Originalen und einen Blick in die Datenbank. Alles andere sind Hinweise. Warnungen im Browser, fremde Suchergebnisse oder Meldungen des Hosters sind starke Hinweise, aber ersetzen die Prüfung nicht.
Reicht ein Sicherheits-Plugin zur Bereinigung?
Für einen ersten Suchlauf ist es hilfreich, für die Bereinigung selten. Solche Werkzeuge finden bekannte Muster, aber nicht jede Hintertür. Und sie laufen innerhalb der Umgebung die möglicherweise selbst manipuliert wurde. Wir prüfen deshalb von außen und auf Dateiebene.
Wie lange dauert die Bereinigung?
Bei einem klaren Befund meist ein bis zwei Arbeitstage. Wenn der Einstiegsweg unklar bleibt oder mehrere Seiten auf demselben Server betroffen sind, wird es mehr. Eine belastbare Aussage können wir erst nach dem ersten Blick in die Installation treffen.
Muss ich Kunden oder Behörden informieren?
Das hängt davon ab, ob personenbezogene Daten betroffen sind. Sind zum Beispiel Formularanfragen oder Kundenkonten im Zugriff gewesen, gelten Meldefristen. Wir liefern die technische Grundlage für diese Bewertung, die rechtliche Einschätzung sollte ein Fachanwalt oder Ihr Datenschutzbeauftragter treffen.
Was passiert mit meinen Rankings?
Wenn Google die Seite als gefährlich markiert hat, verschwindet sie faktisch aus den Ergebnissen. Nach der Bereinigung lässt sich eine erneute Prüfung beantragen, das dauert meist wenige Tage. Bei versteckten Werbelinks ohne Warnung erholt sich die Sichtbarkeit in der Regel von selbst.
Kann so etwas wieder passieren?
Ausschließen kann es niemand. Die Wahrscheinlichkeit sinkt aber deutlich, wenn Aktualisierungen laufen, Erweiterungen reduziert werden und Zugänge geordnet sind. Fällt das öffentliche Login ganz weg, entfällt der häufigste Angriffsweg vollständig.
Im Zweifel lieber einmal zu früh
Schildern Sie kurz, was Ihnen aufgefallen ist, und schicken Sie die Adresse mit. Wir melden uns bei akuten Fällen in der Regel am selben Werktag.