In Deutschland verzeichnen Behörden täglich schätzungsweise 30.000 Cyberangriffe. Hacker haben dabei längst nicht nur große Unternehmen, Behörden oder kritische Infrastrukturen im Visier. Auch kleine Webseiten und WordPress-Projekte werden häufig angegriffen – insbesondere dann, wenn Sicherheitslücken bestehen.
Vielleicht haben Angreifer auch deine WordPress-Webseite gehackt, oder sie ist künftig gefährdet. In diesem Artikel zeigen wir dir, wie du einen Hackerangriff frühzeitig erkennst, deine WordPress-Webseite effektiv absicherst und im Ernstfall schnell wieder online bringst.
Was ist ein Hackingangriff und wie hacken Angreifer eine WordPress-Webseite?
Ein Hackingangriff bezeichnet jeden unbefugten Versuch, in deine WordPress-Webseite einzudringen, sie zu manipulieren oder ihre Daten zu missbrauchen. Anders als viele vermuten, sitzt dahinter selten ein Mensch, der gezielt deine Seite ins Visier nimmt.
Die allermeisten Angriffe laufen vollautomatisiert über sogenannte Bots ab, die rund um die Uhr das gesamte Internet nach verwundbaren Seiten durchsuchen. Diese Programme interessieren sich nicht dafür, ob deine Webseite einem großen Konzern oder einem kleinen Handwerksbetrieb gehört. Sie suchen schlicht nach einer offenen Tür, und sobald sie eine finden, schlagen sie zu.
Der Klassiker unter den Angriffsmethoden ist der sogenannte Brute-Force-Angriff. Dabei probiert ein Bot in rasender Geschwindigkeit unzählige Kombinationen aus Benutzernamen und Passwörtern durch, bis er die richtige Anmeldung errät. Verwendest du noch den Standardbenutzernamen „admin“ in Kombination mit einem schwachen Passwort, ist deine Seite ein gefundenes Fressen.
Eine weitere verbreitete Methode nutzt Sicherheitslücken in veralteten Plugins, Themes oder der WordPress-Kernsoftware aus. Sobald jemand in einem beliebten Plugin eine Schwachstelle bekannt macht, dauert es oft nur wenige Stunden, bis automatisierte Angriffe weltweit alle Seiten abklappern, die dieses Plugin in einer ungepatchten Version einsetzen.
Woran erkennst du, dass Angreifer deine WordPress Webseite gehackt haben?
Das Tückische daran, wenn Angreifer deine WordPress-Webseite hacken: Der Angriff kündigt sich oft nicht durch ein dramatisches Zeichen an. Ein guter Angreifer hat kein Interesse daran, dass du den Einbruch bemerkst, denn je länger er unentdeckt bleibt, desto länger kann er deine Seite ausnutzen. Trotzdem hinterlässt fast jeder Angriff Spuren, wenn du weißt, worauf du achten musst.
Ein verbreitetes Warnsignal ist eine Seite, die plötzlich spürbar langsamer geworden ist, ohne dass du etwas verändert hast. Wenn im Hintergrund fremder Code Mails verschickt oder Besucher umleitet, kostet das Rechenleistung, und das merkst du an den Ladezeiten.
Ähnlich verdächtig ist es, wenn deine Seite Besucher unerwartet auf völlig fremde Adressen weiterleitet, besonders dann, wenn das nur bei Aufrufen über Google oder vom Smartphone passiert. Genau solche selektiven Weiterleitungen sind ein klassisches Muster manipulierter Seiten. Das ist ein klares Zeichen dafür, dass deine WordPress Webseite gehackt wurde.
Oft ist es auch Google selbst, das dir die schlechte Nachricht überbringt. Wenn in den Suchergebnissen plötzlich der Hinweis „Diese Website kann Ihren Computer schädigen“ auftaucht oder der Browser deine Besucher mit einer roten Warnseite abschreckt, wurde deine Domain bereits auf eine Sperrliste gesetzt.
Auch eine ungewöhnlich formulierte E-Mail deines Hosting-Anbieters, in der von Auffälligkeiten oder einer Sperrung deines Accounts die Rede ist, solltest du sehr ernst nehmen, denn Hoster reagieren, sobald von einem Server Spam oder Schadcode ausgeht.
Erste Schritte: Ruhe bewahren und den Schaden begrenzen
Die erste und wichtigste Regel, sobald sich der Verdacht erhärtet hat dass deine WordPress Webseite gehackt wurde, klingt fast zu schlicht: keine Panik. Wer überstürzt und kopflos Dateien löscht, richtet im Zweifel mehr Schaden an als die Angreifer selbst und vernichtet nebenbei die Spuren, die du später zur Ursachensuche brauchst. Geh stattdessen ruhig und in einer festen Reihenfolge vor.
Nehme deine Webseite vorerst offline
Zunächst solltest du deine Seite vom Netz nehmen oder zumindest in den Wartungsmodus versetzen. Das schützt deine Besucher davor, sich an deiner Seite mit Schadsoftware zu infizieren, und es verhindert, dass deine Domain während der Bereinigung noch tiefer auf den Sperrlisten der Suchmaschinen rutscht.
Ändere alle deine Kennwörter
Im selben Atemzug änderst du alle relevanten Passwörter, und zwar nicht nur das deines WordPress-Logins, sondern auch die Zugänge
- zu deinem Hosting-Account
- zur Datenbank
- zu deinem FTP- beziehungsweise SFTP-Zugang.
Solange auch nur ein Zugang in fremden Händen ist, sperrst du den Angreifer nicht wirklich aus.
Mache eine Sicherung und beginne mit den Aufräumarbeiten
Bevor du nun anfängst aufzuräumen, sicherst du den aktuellen, kompromittierten Zustand deiner Seite vollständig, also sowohl die Dateien als auch die Datenbank.
Das mag widersinnig wirken, weil du genau diesen Stand ja loswerden willst. Aber dieses Abbild ist deine Versicherung. Es erlaubt dir, im Notfall etwas zurückzuholen, das du voreilig gelöscht hast, und es hilft dir oder einem Fachmann später dabei, den Einstiegspunkt der Angreifer zu rekonstruieren.
Informiere deinen Hosting-Anbieter
Und schließlich solltest du frühzeitig deinen Hosting-Anbieter informieren. Viele Hoster verfügen über eigene Werkzeuge zur Schadcode-Erkennung, können dir saubere Backups bereitstellen oder den betroffenen Account vorübergehend isolieren, damit von ihm kein weiterer Schaden ausgeht.
So bereinigst du deine WordPress-Seite Schritt für Schritt
Ist der erste Schaden eingedämmt, beginnt die eigentliche Bereinigung. Sie verlangt etwas Geduld, folgt aber einer klaren Logik, die du Schritt für Schritt abarbeiten kannst.
Schritt 1: Sicherheits-Scan
Der Einstieg führt über einen gründlichen Sicherheits-Scan. Spezialisierte Plugins wie Wordfence oder die Werkzeuge von Sucuri durchsuchen deine Installation nach bekannten Schadcode-Mustern und nach Dateien, die nachträglich verändert wurden.
Damit verschaffst du dir einen ersten Überblick, wie weit sich der Befall ausgebreitet hat, auch wenn ein automatischer Scan niemals jeden gut versteckten Schädling findet.
Im Anschluss bringst du konsequent alles auf den neuesten Stand: den WordPress-Kern selbst, sämtliche Plugins und alle Themes. Da veraltete Erweiterungen die mit Abstand häufigste Eintrittspforte sind, schließt allein dieser Schritt oft genau die Lücke, durch die der Angriff überhaupt erst möglich wurde.
Schritt 2: Durchsuche Verzeichnisse nach schadhaften Dateien
Anschließend nimmst du dir deine Dateien direkt vor. Besonders genau hinschauen solltest du im Verzeichnis wp-content/uploads, denn dort gehören eigentlich nur Bilder und Dokumente hin. Findest du dort ausführbare PHP-Dateien, ist das ein sehr deutliches Alarmzeichen, weil in einem Bilderordner schlicht kein Programmcode etwas zu suchen hat.
Wirf außerdem einen kritischen Blick in deine .htaccess-Datei und in die zentrale wp-config.php, weil Angreifer dort gern Weiterleitungen oder eigene Befehle einschmuggeln.
Den saubersten Schnitt machst du, indem du den WordPress-Kern sowie deine Plugins und Themes komplett löschst und aus den offiziellen, unveränderten Originalquellen frisch installierst. Deine eigentlichen Inhalte liegen in der Datenbank und im Uploads-Ordner und bleiben dabei erhalten, sodass dir dieser radikalere Weg deine Texte und Bilder nicht zerstört.
Schritt 3: Bereinige die Datenbank
Viele Manipulationen sitzen nicht in den Dateien, sondern in der Datenbank. Hier lohnt sich die Suche nach eingeschleusten Inhalten, etwa nach versteckten Links, nach fremden Skripten in deinen Beiträgen oder nach manipulierten Einstellungen.
Zu einer vollständigen Bereinigung gehört außerdem, die sogenannten Security Keys und Salts in der wp-config.php neu zu generieren, denn dadurch werden alle bestehenden Sitzungen sofort ungültig und ein Angreifer, der noch eingeloggt ist, fliegt augenblicklich heraus.
Zum Abschluss setzt du sämtliche Passwörter ein weiteres Mal zurück und löschst kompromisslos alle Benutzerkonten, die du nicht selbst angelegt hast und denen du nicht zweifelsfrei vertraust. Erst wenn du die Seite danach erneut scannst und sie sauber bleibt, kannst du vorsichtig aufatmen.
So gewinnst du das Vertrauen von Google zurück nachdem deine WordPress Webseite gehackt wurde
Eine technisch bereinigte Seite ist die eine Sache. Eine Seite, der Google und die Browser wieder vertrauen, eine andere. Wenn deine Domain während des Angriffs auf einer Sperrliste gelandet ist, verschwindet diese Markierung nicht von selbst, nur weil der Schadcode entfernt wurde. Du musst Google aktiv mitteilen, dass das Problem behoben ist.
Der Weg dafür führt über die Google Search Console. Dort findest du im Bereich für Sicherheitsprobleme eine Übersicht über die erkannten Auffälligkeiten und die Möglichkeit, nach der Bereinigung eine erneute Überprüfung zu beantragen. Google sieht sich deine Seite dann noch einmal an und nimmt sie, sofern alles sauber ist, wieder von der Sperrliste.
Dieser Prozess kann einige Tage dauern, weshalb es sich auszahlt, ihn früh anzustoßen, statt erst zu warten und wertvolle Zeit mit eingeschränkter Sichtbarkeit zu verlieren. Solltest du noch keine Search Console für deine Seite eingerichtet haben, ist spätestens jetzt der richtige Moment dafür, denn sie ist auch unabhängig vom Ernstfall eines der wichtigsten Werkzeuge, um den Gesundheitszustand deiner Webseite im Blick zu behalten.
Wie du zukünftig Angriffe von vornherein verhinderst
So unangenehm ein Hack ist, er ist vor allem eine Lehre. Die gute Nachricht lautet, dass sich der allergrößte Teil der automatisierten Angriffe mit überschaubarem Aufwand ins Leere laufen lässt, weil die Bots auf einfache Beute aus sind und an einer gut gewarteten Seite schlicht abprallen.
Das Fundament ist und bleibt die konsequente Pflege deiner Installation. Wer den WordPress-Kern, seine Plugins und Themes zeitnah aktualisiert, schließt bekannte Lücken, bevor die Bots sie überhaupt ausnutzen können, und nimmt damit der häufigsten Angriffsform von vornherein die Grundlage. Genauso entscheidend sind starke, einzigartige Passwörter für jeden einzelnen Zugang, denn ein simples Passwort macht jeden Brute-Force-Angriff zum Kinderspiel.
Den wirksamsten zusätzlichen Schutz für deinen Login liefert die Zwei-Faktor-Authentifizierung, bei der neben dem Passwort ein zweiter Faktor abgefragt wird, etwa ein Code aus einer App auf deinem Smartphone. Selbst wenn ein Angreifer dein Passwort erraten sollte, scheitert er dann an dieser zweiten Hürde.
Brauchst du Unterstützung?
Eine gehackte Seite zu bereinigen kostet Nerven, technisches Verständnis und vor allem Zeit, die du in deinem Tagesgeschäft eigentlich nicht hast.
Wenn du dir bei der Bereinigung unsicher bist oder glaubst, dass deine WordPress Webseite gehackt wurde, musst du das nicht allein durchstehen.
Als Agentur aus Waldshut-Tiengen kümmern wir uns für Unternehmen in der Region Hochrhein um genau solche Fälle, von der Notfall-Bereinigung über die Wiederherstellung bis zur dauerhaften Absicherung deiner Webseite.
Melde dich einfach bei uns, dann schauen wir uns deine Seite gemeinsam an.