Die WordPress-Website zeigt plötzlich fremde Inhalte, leitet Besucher auf unbekannte Seiten weiter oder das Backend ist nicht mehr erreichbar? Dann besteht der Verdacht, dass die Website kompromittiert wurde.
Ein solcher Sicherheitsvorfall ist ernst, aber unkoordinierte Schnellschüsse können die Situation zusätzlich verschlimmern. Entscheidend ist jetzt ein strukturiertes Vorgehen: Schaden begrenzen, Ursache ermitteln, Website bereinigen und Zugänge absichern.
Dieser Leitfaden zeigt, woran Sie eine gehackte WordPress-Website erkennen, welche Sofortmassnahmen sinnvoll sind und was vor der Wiederinbetriebnahme geprüft werden sollte.
Woran erkennt man eine gehackte WordPress-Website?
Eine kompromittierte Website ist nicht immer sofort offensichtlich. Manche Angriffe sollen möglichst lange unentdeckt bleiben.
Typische Warnzeichen sind:
- Weiterleitungen auf unbekannte oder unseriöse Websites
- fremde Inhalte, Links oder neue Seiten
- unbekannte Administrator- oder Benutzerkonten
- Warnmeldungen von Browsern oder Suchmaschinen
- ungewöhnliche Dateien im WordPress-Verzeichnis
- unerklärliche Änderungen an Plugins oder Themes
- ungewöhnlich hohe Serverlast oder stark gestiegener Traffic
- Spam-E-Mails, die offenbar über die Website versendet werden
Auch eine scheinbar normal funktionierende Website kann kompromittiert sein. Deshalb sollte bei konkreten Hinweisen nicht nur die sichtbare Oberfläche kontrolliert werden.
WordPress gehackt: Was sollte ich zuerst tun?
Bei einem vermuteten Sicherheitsvorfall sollten Änderungen nicht wahllos vorgenommen werden.
Ein sinnvolles Vorgehen besteht aus mehreren Schritten.
1. Schaden begrenzen
Wenn die Website Schadsoftware verteilt, Besucher umleitet oder sensible Daten gefährdet sein könnten, sollte der öffentliche Zugriff gegebenenfalls vorübergehend eingeschränkt werden.
Das bedeutet nicht zwingend, sofort sämtliche Dateien zu löschen. Zunächst sollte verhindert werden, dass sich der Schaden weiter ausbreitet oder Besucher gefährdet werden.
2. Bestehenden Zustand sichern
Bevor Dateien verändert oder entfernt werden, kann es sinnvoll sein, den aktuellen Zustand zu sichern.
Diese Kopie dient nicht als sauberes Backup, sondern kann bei der späteren Analyse helfen, veränderte Dateien und mögliche Eintrittspunkte zu identifizieren.
3. Zugangsdaten absichern
Bei einem Sicherheitsvorfall sollte davon ausgegangen werden, dass Zugangsdaten betroffen sein könnten.
Zu prüfen beziehungsweise zu ändern sind insbesondere:
- WordPress-Administratorkonten
- Hosting- und cPanel-Zugänge
- FTP- oder SFTP-Zugänge
- Datenbank-Zugangsdaten
- geschäftliche E-Mail-Konten
Neue Passwörter sollten einzigartig sein und nicht bereits für andere Dienste verwendet werden. Wo verfügbar, sollte zusätzlich Zwei-Faktor-Authentifizierung aktiviert werden.
Die Ursache finden – nicht nur Schadcode löschen
Eine gehackte WordPress-Website einfach auf den ersten Blick zu „säubern“ reicht häufig nicht aus.
Wird nur sichtbarer Schadcode entfernt, bleibt möglicherweise die ursprüngliche Schwachstelle bestehen. Angreifer können dann erneut Zugriff erhalten.
Mögliche Eintrittspunkte sind beispielsweise:
- veraltete Plugins
- veraltete Themes
- kompromittierte Administrator-Zugangsdaten
- unsichere oder nicht mehr gepflegte Erweiterungen
- kompromittierte FTP- oder Hosting-Zugänge
- Schadsoftware auf einem verwendeten Endgerät
Deshalb müssen bei der Bereinigung sowohl der Schadcode als auch dessen mögliche Ursache untersucht werden.
Veraltete Plugins und Themes als Risiko
WordPress selbst wird laufend weiterentwickelt und Sicherheitslücken werden regelmässig geschlossen. Das Gleiche gilt für viele Themes und Plugins.
Problematisch wird es, wenn bekannte Schwachstellen bereits dokumentiert sind, die entsprechende Aktualisierung aber nicht installiert wurde. Automatisierte Systeme können das Internet gezielt nach verwundbaren WordPress-Installationen durchsuchen.
Warum Updates ein zentraler Bestandteil der WordPress-Sicherheit sind, erklären wir ausführlicher im Beitrag Warum WordPress regelmässige Updates benötigt .
Welche Rolle spielen Backups nach einem WordPress-Hack?
Ein funktionierendes Backup kann die Wiederherstellung erheblich erleichtern. Entscheidend ist allerdings, von wann das Backup stammt.
Ein Backup ist nur dann hilfreich, wenn es aus einem Zeitpunkt stammt, zu dem die Website noch nicht kompromittiert war.
Wird ein bereits infiziertes Backup eingespielt, wird möglicherweise auch der Schadcode wiederhergestellt.
Deshalb sind mehrere Sicherungsstände sinnvoll. So kann bei Bedarf auf einen älteren, nachweislich sauberen Stand zurückgegriffen werden.
Mehr zum Aufbau einer sinnvollen Sicherungsstrategie erfahren Sie unter Backup-Strategien für KMU .
WordPress aus einem Backup wiederherstellen
Ist ein sauberer Sicherungsstand vorhanden, kann dieser eine gute Grundlage für die Wiederherstellung sein. Damit ist der Sicherheitsvorfall allerdings noch nicht automatisch erledigt.
Vor der erneuten Freigabe der Website sollten unter anderem:
- WordPress auf einen aktuellen Stand gebracht werden
- Plugins und Themes aktualisiert werden
- nicht benötigte Erweiterungen entfernt werden
- Benutzerkonten überprüft werden
- Zugangsdaten geändert werden
- die ursprüngliche Schwachstelle möglichst identifiziert werden
Andernfalls besteht die Gefahr, dass dieselbe Sicherheitslücke unmittelbar erneut ausgenutzt wird.
Was tun, wenn kein sauberes Backup vorhanden ist?
Ist kein geeigneter Sicherungsstand vorhanden, muss die bestehende Installation genauer untersucht und bereinigt werden.
Dabei können unter anderem WordPress-Core-Dateien mit sauberen Originaldateien verglichen, Plugins und Themes überprüft und verdächtige Dateien analysiert werden.
Bei einer geschäftlich wichtigen Website sollte eine solche Bereinigung nicht nach dem Prinzip „verdächtige Datei gefunden und gelöscht“ erfolgen.
Schadcode kann sich an mehreren Stellen befinden oder Angreifern über sogenannte Backdoors einen erneuten Zugang ermöglichen.
Warum Hosting bei WordPress-Sicherheit eine Rolle spielt
WordPress-Sicherheit endet nicht bei WordPress. Auch die Hosting-Umgebung ist Teil des Sicherheitskonzepts.
Relevant sind beispielsweise:
- saubere Trennung einzelner Hosting-Konten
- aktuelle PHP-Versionen
- Firewall- und Sicherheitsmechanismen
- regelmässige Backups
- Monitoring
- schnelle Reaktionsmöglichkeiten bei Störungen
CURIAWEB setzt unter anderem auf CloudLinux mit CageFS, wodurch Hosting-Konten voneinander isoliert werden, sowie auf weitere Sicherheitsmechanismen der Serverumgebung.
Weitere Informationen zur technischen Umgebung finden Sie unter WordPress Hosting bei CURIAWEB .
Wie lässt sich das Risiko eines WordPress-Hacks reduzieren?
Eine vollständige Garantie gegen Angriffe gibt es nicht. Das Risiko lässt sich mit konsequenter Pflege und mehreren aufeinander abgestimmten Schutzmassnahmen jedoch deutlich reduzieren.
Dazu gehören insbesondere:
- WordPress, Plugins und Themes aktuell halten
- nicht benötigte Plugins und Themes entfernen
- starke und einzigartige Passwörter verwenden
- Zwei-Faktor-Authentifizierung einsetzen, wo sinnvoll
- regelmässige Backups mit mehreren Wiederherstellungspunkten erstellen
- Administratorrechte nur vergeben, wenn sie tatsächlich benötigt werden
- Website und Hosting regelmässig überwachen
Gerade bei Unternehmenswebsites sollten diese Aufgaben nicht dem Zufall überlassen werden.
Mehr zum laufenden Betrieb erfahren Sie im Ratgeber WordPress Wartung & Support für KMU .
Nach einem Hack auch E-Mail und Domain prüfen
Je nach Art des Angriffs kann ein Sicherheitsvorfall über WordPress hinausgehen.
Wurden beispielsweise Hosting-Zugangsdaten kompromittiert, sollten auch E-Mail-Konten, DNS-Einstellungen und weitere Dienste überprüft werden.
Das gilt insbesondere dann, wenn ungewöhnliche E-Mails versendet wurden oder Änderungen an der Domain-Konfiguration festgestellt werden.
Grundlagen zum Zusammenspiel von Domain und E-Mail finden Sie unter Domain & E-Mail – warum beides zusammengehört .
Fazit: Nach einem WordPress-Hack zählt systematisches Vorgehen
Eine gehackte WordPress-Website ist ein ernstzunehmender Sicherheitsvorfall. Sie muss jedoch nicht automatisch bedeuten, dass die komplette Website verloren ist.
Entscheidend ist, den Schaden zunächst zu begrenzen, die Ursache zu untersuchen und die Website aus einem sauberen Zustand wiederherzustellen.
Einfach nur sichtbaren Schadcode zu entfernen, reicht nicht aus. Erst wenn Schwachstellen geschlossen, Zugangsdaten abgesichert und WordPress sowie seine Erweiterungen aktualisiert wurden, sollte die Website wieder regulär betrieben werden.
Langfristig bilden regelmässige Updates, funktionierende Backups, eine sichere Hosting-Umgebung und laufende Wartung die Grundlage für einen zuverlässigeren WordPress-Betrieb.
