WordPress gehackt? Das kriegen wir weg.

Woran du erkennst, dass WordPress gehackt wurde

Nicht jeder Angriff ist auf den ersten Blick sichtbar. Die auffälligen Fälle — eine fremde Startseite, ein Totenkopf, eine politische Botschaft — sind eher die Ausnahme. Wer eine Website übernimmt, will damit in der Regel Geld verdienen, und das funktioniert am besten unbemerkt. Typische Anzeichen dafür, dass eine WordPress-Seite gehackt wurde:

• Weiterleitungen, die nur Fremde sehen. Du rufst die Seite auf, alles wirkt normal. Besucher aus der Google-Suche landen dagegen auf einer fremden Seite. Der Schadcode wertet aus, woher der Zugriff kommt, und verschont angemeldete Benutzer.
• Neue Beiträge oder Seiten, die niemand angelegt hat. Oft in einer fremden Sprache, oft zu Medikamenten, Glücksspiel oder gefälschten Markenprodukten.
• Ein zusätzlicher Administrator. Unter Benutzer steht ein Konto, das du nicht kennst. Manchmal mit einem unauffälligen Namen wie „wpsupport" oder „admin2".
• Dateien mit ungewöhnlichem Datum. Eine Datei im WordPress-Kern, die vor drei Tagen geändert wurde, obwohl es seit Monaten keine Updates gab — das ist ein deutliches Zeichen.
• Warnungen von außen. Google markiert die Seite als schädlich, der Browser zeigt eine rote Zwischenseite, oder der Hoster meldet, dass von deinem Paket Spam verschickt wird.
• Die Seite wird plötzlich langsam. Wenn fremde Prozesse auf dem Hosting mitlaufen, kostet das Rechenzeit.

Ein Sicherheitsplugin wie Wordfence kann Hinweise geben, ersetzt aber keine Prüfung. Solche Werkzeuge erkennen bekannte Malware zuverlässig — eine gezielt eingebaute Backdoor, die aus wenigen Zeilen unauffälligem PHP besteht, findet ein automatischer Scan häufig nicht.

Wie Angreifer in WordPress hineinkommen

Fast immer über einen von vier Wegen. Persönlich gemeint ist dabei nichts: Der ganz überwiegende Teil dieser Angriffe läuft automatisiert. Skripte klappern das Netz nach Seiten mit bekannten Sicherheitslücken ab, und irgendwann ist eine dabei.

1. Veraltete Plugins und Themes. Der mit Abstand häufigste Weg. Wird in einem verbreiteten Plugin eine Lücke bekannt, steht sie öffentlich in einer Datenbank — und wird binnen Stunden automatisiert ausgenutzt. Wer die Updates nicht einspielt, ist angreifbar, sobald die Lücke publik wird.
2. Schwache oder wiederverwendete Passwörter. Ein Passwort, das schon einmal in einem fremden Datenleck aufgetaucht ist, wird gegen deinen Login durchprobiert. Ohne Begrenzung der Anmeldeversuche kostet das einen Angreifer nichts.
3. Nulled Themes und geknackte Plugins. Kostenlos heruntergeladene Bezahl-Erweiterungen enthalten sehr oft eine eingebaute Hintertür. Das ist kein Zufall, sondern das Geschäftsmodell dahinter.
4. Der Server selbst. Bei billigem Shared Hosting liegen viele Kunden auf derselben Maschine. Ist eine andere Installation befallen, kann der Schadcode auf benachbarte Verzeichnisse übergreifen.

Die Lücke zu kennen ist kein akademisches Detail: Wer nur bereinigt, ohne den Einbruchsweg zu schließen, hat das Problem in wenigen Wochen erneut.

Was ich dann mache — WordPress bereinigen, Schritt für Schritt

1. Bestandsaufnahme, ohne etwas zu verändern. Ich sehe mir an, was befallen ist, seit wann, und über welchen Weg. Erst danach sage ich dir, was zu tun ist und was es kostet.
2. Sicherung des befallenen Zustands. Bevor irgendetwas entfernt wird — falls sich später herausstellt, dass Daten abgeflossen sind, brauchst du diesen Stand.
3. Bereinigung. Schadcode raus, Kern und Erweiterungen aus sauberen Quellen ersetzt, Datenbank auf eingeschleuste Einträge geprüft. Das ist der Teil, bei dem Gründlichkeit über alles geht: Eine übersehene Hintertür heißt, dass in zwei Wochen alles von vorn beginnt. Deshalb wird jede Datei des WordPress-Kerns gegen das Original abgeglichen, statt sie nur zu überfliegen — und die Datenbank auf eingeschleuste Skripte und unbekannte Benutzer durchsucht.
4. Die Lücke schließen. Bereinigen allein reicht nicht. Veraltete Erweiterungen, schwache Passwörter, offene Schreibrechte — was den Einbruch möglich gemacht hat, muss weg. Dazu gehört auch, alle Zugänge neu zu vergeben und Benutzerkonten zu entfernen, die niemand mehr braucht.
5. Wieder in den Suchergebnissen ankommen. Falls Google gewarnt hat, beantrage ich die erneute Prüfung und sage dir, wie lange das erfahrungsgemäß dauert.

Wie lange das dauert, hängt vom Umfang ab. Ein einzelnes befallenes Plugin ist meist am selben Tag erledigt. Sitzt der Schadcode über Monate verteilt in Kern, Themes und Datenbank, wird daraus ein bis zwei Tage Arbeit — die Seite kann in dieser Zeit erreichbar bleiben.

Warum ich

Ich bin Fachinformatiker für Anwendungsentwicklung und baue seit Jahren WordPress-Seiten — für Handwerksbetriebe, Praxen und Kanzleien im Raum Bonn und deutschlandweit. Du schreibst mir, und ich antworte dir. Kein Ticketsystem, keine Warteschleife.

Ich nehme nur an, was ich auch zuverlässig zu Ende bringe. Ist dein Fall zu groß für mich, sage ich es dir gleich — und nicht erst nach drei Wochen.

Was ich nicht mache: dir erzählen, dass alles ganz schlimm ist, um die Rechnung zu erhöhen. Ist es eine Kleinigkeit, sage ich das.