Die meisten gehackten WordPress-Seiten sehen nicht gehackt aus. Kein Totenkopf auf der Startseite, keine Erpressernachricht. Die Seite lädt, die Texte stimmen, das Kontaktformular funktioniert. Der Angriff läuft im Hintergrund, und sichtbar ist er oft nur für Google.
Deshalb fängt dieser Ratgeber nicht mit „WordPress gehackt – was tun?" an, sondern eine Stufe früher: Woran erkennst du überhaupt, dass deine Seite gehackt wurde? Danach kommt Schritt für Schritt, was du tust, wenn es so ist. Und zum Schluss, wie du die Tür danach wirklich zubekommst.
Die kurze Antwort
Gib bei Google site:deinedomain.de ein. Siehst du dort Seiten, die du nie angelegt hast, ist deine Seite gehackt. Dann gilt:
- Erst sichern, dann löschen. Die Kopie ist dein Beweisstück.
- Alle Türen schließen, nicht nur eine. Passwörter, Konten, Anwendungspasswörter, Plugins.
- Dateien und Datenbank bereinigen. Der Schadcode liegt nicht immer in Dateien.
- Die Ursache finden. Sonst ist die Seite in ein paar Wochen wieder dort, wo sie war.
Woran erkenne ich, dass meine WordPress-Seite gehackt wurde?
Es gibt zwei Sorten Hacks. Die sichtbaren merkst du selbst: Deine Seite leitet auf fremde Angebote um, der Browser zeigt eine rote Warnung, du kommst nicht mehr in die Verwaltung. Die unsichtbaren sind heute die häufigeren. Sie nutzen deine Seite, um Spam-Seiten und Links bei Google unterzubringen, und sind extra so gebaut, dass du im Browser nichts davon siehst.
Die acht Schritte unten gehen vom Schnellsten zum Gründlichsten. Die ersten vier schaffst du in zehn Minuten ohne jeden Zugang. Für die anderen brauchst du die WordPress-Verwaltung und für einen davon den Zugang zu deinem Webspace.
Schritt 1: Deine Seite bei Google suchen
Gib site:deinedomain.de in die Google-Suche ein, mit deiner eigenen Adresse. Google zeigt dann alle Seiten, die es von deiner Website kennt. Scroll ein paar Ergebnisseiten durch und achte auf:
- Seiten, die du nie angelegt hast,
- Themen wie Casino, Wetten, Potenzmittel, Kredite oder Dating,
- Titel in fremden Sprachen oder Schriften,
- und eine Trefferzahl, die viel höher ist, als deine Seite Unterseiten hat.
Das ist der wichtigste Test in diesem Artikel. Er dauert zwei Minuten und findet genau die Art von Hack, die du im Browser nie sehen würdest.
Schritt 2: Deine Seite so aufrufen wie ein Fremder
Viele Hacks leiten Besucher auf fremde Seiten um, aber nicht jeden. Oft trifft es nur Besucher, die über Google kommen, nur Handys oder nur den ersten Besuch. Wer seine Adresse direkt eintippt und eingeloggt ist, sieht nichts.
Deshalb: Nimm dein Handy, schalte das WLAN aus, öffne ein privates Fenster, such bei Google nach deinem Firmennamen und klick auf dein Ergebnis. Landest du woanders, ist die Sache klar.
Schritt 3: In die Google Search Console schauen
Wenn deine Seite in der Search Console angemeldet ist, dem kostenlosen Werkzeug von Google für Website-Betreiber, sieh dir drei Stellen an:
- Sicherheitsprobleme und Manuelle Maßnahmen. Hier meldet Google selbst, wenn es gehackte Inhalte gefunden hat.
- Den Bericht Seiten. Steigt die Zahl der bekannten Seiten plötzlich stark an, obwohl du nichts veröffentlicht hast, ist das ein Warnsignal.
- Unter Einstellungen die Nutzer und Berechtigungen. Angreifer tragen sich dort gern als Inhaber ein, um die Seite in Google zu steuern.
Schritt 4: Auf Warnungen von außen achten
Manchmal merken es andere zuerst. Typische Hinweise sind eine rote Warnseite im Browser („Gefährliche Website"), eine Mail deines Hosters über Schadsoftware oder ungewöhnlich viele versendete Mails, oder deine eigenen Mails landen plötzlich bei Kunden im Spam. Jeder dieser Hinweise ist ein Grund, die übrigen Schritte sofort durchzugehen.
Schritt 5: Die Benutzerliste prüfen
In der WordPress-Verwaltung unter Benutzer, gefiltert nach Administrator. Kennst du jede Person? Gehört jede E-Mail-Adresse wirklich ihr? Ein zusätzlicher Admin mit einem unauffälligen Namen wie „wpadmin" oder „support" ist ein typischer Fund.
Schritt 6: Die Anwendungspasswörter ansehen
Diese Stelle kennt kaum jemand. Seit Version 5.6 hat WordPress Anwendungspasswörter (Application Passwords): zusätzliche Passwörter für Programme, die von außen mit deiner Seite sprechen. Du findest sie unter Benutzer, Profil, ganz unten, und zwar für jedes Konto einzeln.
Das Tückische: Sie überleben einen Passwortwechsel und das Abmelden aller Sitzungen. Ein Angreifer, der sich hier eines angelegt hat, bleibt drin, auch wenn du alles andere richtig machst. Alles, was du nicht zuordnen kannst, gehört widerrufen.
Schritt 7: Plugins prüfen, auch die unsichtbaren
Unter Plugins: Hast du jedes davon selbst installiert, und weißt du, wofür es da ist? Achte besonders auf Plugins, die Code-Schnipsel ausführen. Die sind an sich harmlos und weit verbreitet, eignen sich aber gut als Versteck, weil der Code dann in der Datenbank liegt und nicht in einer Datei.
Zwei Stellen siehst du in der normalen Liste nicht. Manche Schad-Plugins blenden sich dort aus, deshalb lohnt der Blick per FTP oder Dateimanager in den Ordner wp-content/plugins/. Und der Ordner wp-content/mu-plugins/: Dateien dort laufen automatisch und lassen sich in der Verwaltung nicht abschalten. Von jeder Datei dort solltest du wissen, woher sie kommt.
Schritt 8: Beiträge, Menü und Quelltext ansehen
Sortier die Beiträge nach Datum. Stehen dort Einträge, die du nicht geschrieben hast? Prüf das Hauptmenü auf fremde Einträge. Und dann öffne deine Startseite, drück Strg + U (am Mac Cmd + Option + U) und such im Quelltext mit Strg + F nach Wörtern wie „casino", „bet" oder „viagra". Versteckte Links sind für Besucher unsichtbar, im Quelltext stehen sie trotzdem.
Warum ein Malware-Scanner allein nicht reicht
Sicherheits-Plugins mit Scanner sind nützlich, aber die meisten prüfen vor allem Dateien: Weicht eine WordPress-Datei vom Original ab? Liegt ein Skript dort, wo nur Bilder hingehören? Ein Angriff, der seinen Code in der Datenbank ablegt, fällt da durch. Ein grünes Häkchen im Scanner heißt also nicht, dass alles in Ordnung ist. Die acht Schritte oben ersetzt es nicht.
WordPress gehackt – was tun? Schritt für Schritt
Wenn mindestens einer der Tests oben angeschlagen hat: kein Grund zur Panik, aber ein Grund, es richtig zu machen. Die Reihenfolge ist dabei wichtiger als die Geschwindigkeit.
1. Nichts löschen, erst sichern
Zieh eine vollständige Sicherung von Dateien und Datenbank, bevor du irgendetwas änderst. Das klingt paradox, weil du ja gerade den Schadcode sicherst. Aber diese Kopie ist dein Beweisstück. WordPress hält zum Beispiel zu jeder aktiven Anmeldung fest, von welcher IP-Adresse und mit welchem Browser sie kam. Wer als Erstes „überall abmelden" klickt, löscht genau diese Spuren.
2. Entscheiden, ob die Seite offline muss
Werden Besucher auf fremde oder gefährliche Seiten umgeleitet, nimm die Seite sofort vom Netz, über den Wartungsmodus oder beim Hoster. Geht es „nur" um Spam-Seiten für Google, ist es weniger eilig, dann hat die saubere Sicherung aus Schritt 1 Vorrang.
3. Den Hoster informieren
Sag deinem Hoster Bescheid und frag nach den Server-Logs, also den Protokollen, wer wann auf deine Seite zugegriffen hat. Viele Hoster heben sie nur ein paar Tage auf, manche haben sie gar nicht eingeschaltet. Je früher du fragst, desto mehr ist noch da.
4. Alle Türen gleichzeitig schließen
Das ist der Schritt, an dem die meisten Bereinigungen scheitern. Wer nur das WordPress-Passwort ändert, lässt die anderen Zugänge offen. Deshalb alles in einem Durchgang:
- unbekannte Benutzerkonten löschen,
- alle Anwendungspasswörter widerrufen,
- Passwörter für WordPress, Hosting, FTP und Datenbank ändern,
- die Salts erneuern, also die geheimen Schlüssel in der
wp-config.php, die alle Anmeldungen ungültig machen, - und das Postfach absichern, an das die Passwort-Zurücksetzen-Mails gehen.
5. Den Schadcode entfernen, in Dateien und Datenbank
WordPress selbst, alle Plugins und das Theme frisch aus der offiziellen Quelle neu einspielen, statt einzelne Dateien zu reparieren. Unbekannte Plugins und Dateien in mu-plugins entfernen. Dann die Datenbank: Code-Schnipsel in entsprechenden Plugins prüfen, fremde Beiträge und Menüeinträge löschen.
Ein Backup einzuspielen geht schneller, hat aber einen Haken: Es muss von vor dem Angriff stammen. Und der Angriff ist oft älter, als man denkt. Im Fall oben lagen zwischen dem ersten Spam-Beitrag und der Entdeckung zehn Wochen.
6. Die Ursache finden
Ohne Ursache ist jede Bereinigung ein Provisorium. Die üblichen Verdächtigen:
- veraltete Plugins, Themes oder ein veraltetes WordPress,
- Plugins, die der Hersteller nicht mehr pflegt,
- schwache Passwörter ohne zweiten Faktor beim Anmelden,
- weitere, vergessene Websites im selben Webspace,
- und Reste früherer Umzüge oder alter Hoster.
Der letzte Punkt wird unterschätzt. Im Fall oben hatte eine Datei des vorherigen Hosters, beim Umzug mitgewandert, die automatischen Sicherheitsupdates abgeschaltet und die Warnung dazu gleich mit unterdrückt. Elf Monate ohne Updates, ohne dass es irgendwo sichtbar war. Prüf deshalb nicht nur, ob Updates eingeschaltet sind, sondern ob deine WordPress-Version wirklich die aktuelle ist.
7. Bei Google aufräumen
Die Spam-Seiten sind jetzt gelöscht, aber Google kennt sie noch. Sie sollten beim Aufruf die Meldung „nicht gefunden" liefern, dann verschwinden sie nach und nach aus dem Index. Schneller geht es mit dem Werkzeug Entfernen in der Search Console. Hat Google ein Sicherheitsproblem gemeldet, beantragst du dort nach der Bereinigung eine Überprüfung.
8. Zwei bis vier Wochen genau hinsehen
Wiederhol Schritt 1, 5 und 6 aus dem ersten Teil jede Woche. Kommt der Spam zurück oder taucht ein neues Konto auf, ist noch eine Tür offen. Das ist ärgerlich, aber normal: Angreifer legen bewusst mehrere Zugänge an, damit einer übrig bleibt, wenn jemand aufräumt.
Wann du dir Hilfe holen solltest
Vieles davon kannst du selbst. Hilfe lohnt sich, wenn Besucher auf gefährliche Seiten umgeleitet werden, wenn über die Seite Kundendaten laufen, wenn du keine saubere Sicherung hast, oder wenn der Spam nach dem ersten Aufräumen zurückkommt. Dann ist fast immer eine Tür übersehen worden, und die zu finden braucht Erfahrung mit der Datenbank.
So schützt du deine Seite danach
- Updates, die wirklich laufen. Nicht nur eingeschaltet, sondern regelmäßig kontrolliert.
- Wenige Administratoren und für jeden ein zweiter Faktor beim Anmelden.
- Sicherungen außerhalb des Servers, damit du im Ernstfall eine saubere Version hast.
- Server-Logging einschalten, bevor du es brauchst. Die Logs von letzter Woche kann niemand nachträglich einschalten.
- Aufräumen nach jedem Umzug: alte Konfigurationsdateien, Plugins des früheren Anbieters, Testinstallationen.
Genau diese Punkte gehören zu einer regelmäßigen WordPress-Wartung. Nicht, weil sie kompliziert sind, sondern weil sie ohne festen Termin niemand macht. Womit du dafür rechnen musst, steht im Ratgeber was WordPress-Wartung kostet. Steht deine Seite schon ein paar Jahre und hat mehrere Umzüge hinter sich, ist es oft der kleinere Schritt, deine Website optimieren zu lassen, als sie komplett neu zu bauen.
Fazit
Eine gehackte WordPress-Seite erkennst du selten im Browser, aber fast immer bei Google. Der wichtigste Test dauert zwei Minuten: site:deinedomain.de. Und wenn er anschlägt, gilt: erst sichern, dann alle Türen gleichzeitig schließen, dann die Ursache suchen. Wer nur eine Tür schließt, hat nichts geschlossen.
Mach den Test am besten jetzt, solange du den Artikel noch offen hast. Findest du etwas, das du nicht zuordnen kannst, lösch noch nichts. Sichere zuerst, und dann schreib mir.
