WordPress-Webseite gehackt: was du jetzt tun musst, Schritt für Schritt

Wenn du das hier liest, ist die Lage vermutlich unangenehm. Deshalb vorne weg das Wichtigste: Die Reihenfolge entscheidet. Wer zuerst löscht und dann nachdenkt, macht es meistens schlimmer.

Der häufigste Fehler ist, sofort alles zu bereinigen und dabei die Zugänge offen zu lassen. Dann sitzt der Angreifer immer noch drin und legt die Hintertür ein zweites Mal an. Arbeite die Schritte unten der Reihenfolge nach ab.

Woran du erkennst, dass deine WordPress-Webseite gehackt wurde

Die eindeutigen Zeichen kommen meistens von außen:

• Neben deinem Eintrag in den Suchergebnissen steht eine Warnung, oder Besucher landen auf einer roten Zwischenseite.
• Dein Hoster hat die Webseite abgeschaltet oder dich angeschrieben.
• Jemand meldet dir, dass sein Virenscanner beim Besuch anschlägt.
• Du wirst darauf hingewiesen, dass von deiner Webseite aus andere Server angegriffen werden.

Im Backend fällt es an anderen Dingen auf: Benutzerkonten, die du nie angelegt hast. Weiterleitungen auf fremde Seiten. Neue Dateien im Verzeichnis. Eine Webseite, die plötzlich kriecht. Oder du siehst es schlicht, weil fremde Inhalte auf deiner Startseite stehen.

Ein einziges dieser Zeichen reicht, um nachzusehen. Warte nicht auf das zweite.

Die ersten Schritte, wenn WordPress gehackt wurde

Schreib auf, was du siehst. Klingt nach Bürokratie, ist aber der Schritt, den du später am dringendsten brauchst. Notiere, was dir aufgefallen ist, wann genau, und was du in den Tagen davor an der Webseite geändert hast. Ein neues Plugin? Ein Update? Ein neuer Nutzer? Wenn du die Bereinigung später abgibst, spart dieses Blatt Papier viel Zeit und damit Geld.

Lösch noch nichts. Der Reflex, die verdächtigen Dateien sofort zu entfernen, ist verständlich und hilft dir nicht. Solange du nicht weißt, wie der Angreifer hereinkam, entfernst du nur die Symptome.

Sichere den befallenen Stand. Ja, wirklich: Mach ein Backup von der infizierten Webseite, bevor du irgendetwas anfasst. Wenn beim Aufräumen etwas kaputtgeht, hast du wenigstens diesen Stand als Rückweg. Und für die Ursachensuche ist er die einzige Spur, die du hast.

Sag deinem Hoster Bescheid. Auf einem geteilten Server kann der Befall größer sein als deine Webseite. Der Hoster sieht Dinge in den Serverprotokollen, die dir im Backend verborgen bleiben, und weiß oft schon, ob mehrere Kunden betroffen sind.

Warum eine gehackte Webseite oft am eigenen Rechner beginnt

Diesen Schritt überspringen die meisten, und er ist einer der wichtigsten. Nicht jeder Angriff läuft über eine Lücke in einem Plugin. Ein Teil der Fälle beginnt damit, dass Schadsoftware auf dem Rechner des Betreibers mitliest, was er in FTP-Programm und WordPress-Login eintippt.

Wenn das bei dir der Fall ist, kannst du die Webseite dreimal bereinigen. Der Angreifer hat deine neuen Passwörter, sobald du sie eingibst.

Lass deshalb einen vollständigen Virenscan über den Rechner laufen, von dem aus du die Webseite pflegst. Das gilt für Windows, macOS und Linux gleichermaßen. Erst danach ergibt das Ändern von Passwörtern Sinn.

Alle Zugänge zurücksetzen, nicht nur das WordPress-Passwort

Ein neues Passwort für dein Admin-Konto reicht nicht. Zu einer WordPress-Installation gehören mehrere Türen, und du musst jede einzelne abschließen:

• den WordPress-Login, und zwar für alle Nutzer, nicht nur für dich
• FTP und SFTP
• das Panel deines Hosters
• die Datenbank

Dazu kommt ein Schritt, den kaum jemand kennt und der viel bringt. In deiner wp-config.php stehen acht Sicherheitsschlüssel, die sogenannten Salts. Solange die gleich bleiben, bleibt jeder angemeldet, der schon angemeldet war, auch der Angreifer mit seinem gestohlenen Sitzungs-Cookie. Neue Werte bekommst du beim Schlüsselgenerator von WordPress.org. Trägst du sie in die wp-config.php ein, fliegen alle offenen Sitzungen sofort raus.

Neue Passwörter setzt du übrigens zweimal: einmal jetzt, damit sofort Ruhe ist, und ein zweites Mal, wenn die Webseite sauber ist. Alles, was du vor der Bereinigung eingibst, könnte der Angreifer noch mitgelesen haben.

Die gehackte WordPress-Webseite bereinigen

Jetzt erst geht es ans Aufräumen. Ein Scanner-Plugin wie Wordfence findet den größten Teil, verlass dich aber nicht allein darauf. Ergänze es um einen Scan von außen, der die Webseite so sieht wie ein Besucher.

Kern und Systemordner tauschst du komplett aus. Lade dir dieselbe WordPress-Version herunter, die bei dir läuft, und ersetze die Ordner wp-admin und wp-includes per FTP. Dabei ein wichtiger Punkt: Benutz dafür nicht die Neuinstallation aus dem Backend. Die überschreibt nur vorhandene Dateien, und ein Hack legt neue an. Die bleiben dann liegen.

Sieh dir die .htaccess genau an. Sie ist die am häufigsten manipulierte Datei überhaupt, egal um welchen Befall es geht. Und sie liegt nicht nur im Hauptverzeichnis. In mehreren Unterordnern kann noch eine zweite stecken.

Prüfe die vier üblichen Verdächtigen: index.php, header.php, footer.php und functions.php. Werden sie verändert, betrifft das jeden Seitenaufruf, was sie für Angreifer so attraktiv macht.

Bei Theme und Plugins gehst du gründlicher vor als beim Kern, weil dort deine eigenen Anpassungen stecken. Alles, was du nicht brauchst, fliegt raus statt aktualisiert zu werden.

Und wenn du ein sauberes Backup von vor dem Befall hast, ist das Zurückspielen der schnellere Weg. Nur bringt es den alten Stand zurück, samt der Lücke, durch die der Angreifer kam. Das Schließen dieser Lücke bleibt dir also nicht erspart.

Wie du die Google-Warnung für deine gehackte Webseite loswirst

Google sperrt jeden Tag rund 9.500 bis 10.000 Webseiten. Steht deine dabei, sehen Besucher eine Warnung, bevor sie überhaupt bei dir ankommen. Das kostet mehr Umsatz als der Hack selbst.

In der Google Search Console gibt es dafür den Bericht Sicherheitsprobleme. Er unterscheidet drei Fälle: gehackte Inhalte, Malware und unerwünschte Software, sowie Social Engineering, also Inhalte, die deine Besucher zu etwas verleiten sollen.

Ist die Webseite sauber, forderst du dort eine Überprüfung an und beschreibst, was du gemacht hast. Google nennt als Bearbeitungszeit mehrere Tage bis Wochen, in Einzelfällen länger. Wurde deine Webseite für Spam missbraucht, dauert es eher länger.

Zwei Dinge dazu: Stell den Antrag erst, wenn wirklich alles weg ist. Findet Google bei der Prüfung noch Reste, beginnt das Warten von vorne. Und wenn deine Webseite noch nicht in der Search Console registriert ist, hol das jetzt nach. Ohne sie erfährst du von einer Sperrung erst, wenn ein Kunde anruft.

Wann eine gehackte Webseite meldepflichtig ist

Sind bei dem Vorfall personenbezogene Daten betroffen, wird aus dem technischen Problem ein rechtliches. Artikel 33 DSGVO verlangt eine Meldung an die Aufsichtsbehörde unverzüglich und möglichst binnen 72 Stunden, nachdem dir die Verletzung bekannt wurde.

Drei Punkte, die dabei oft falsch verstanden werden:

• Die Frist läuft ab deiner Kenntnis, nicht ab dem Angriff. Wer wochenlang nichts merkt, hat deswegen keine 72 Stunden verloren.
• Die Meldepflicht entfällt, wenn die Verletzung voraussichtlich kein Risiko für die Rechte und Freiheiten der Betroffenen bedeutet.
• Meldest du später als 72 Stunden, ist das nicht automatisch ein Verstoß. Du musst die Verzögerung dann aber begründen.

Ob dein Fall darunter fällt, hängt daran, was auf deiner Webseite überhaupt an Daten liegt. Ein Kontaktformular, dessen Einträge gespeichert werden, zählt dazu. Ein Shop mit Kundenkonten erst recht. Das hier ist keine Rechtsberatung, und im Zweifel fragst du besser jemanden, der das darf.

Wann du die Bereinigung der gehackten Webseite abgeben solltest

Selbst aufräumen ist machbar, wenn die Webseite überschaubar ist, du dich mit FTP auskennst und der Befall offensichtlich an einer Stelle sitzt.

Gib es ab, sobald einer dieser Punkte zutrifft:

• Über die Webseite laufen Bestellungen oder Zahlungen.
• Es liegen Kundendaten in der Datenbank.
• Der Befall kommt nach der Bereinigung zurück. Dann steckt irgendwo noch eine Hintertür, die du nicht gefunden hast.
• Du weißt nicht, wie der Angreifer hereingekommen ist.

Der letzte Punkt ist der wichtigste. Eine Webseite sauber zu bekommen ist die kleinere Aufgabe. Herauszufinden, warum sie schmutzig wurde, ist die eigentliche Arbeit, und ohne diese Antwort passiert es wieder.

Damit deine WordPress-Webseite nicht wieder gehackt wird

Nach dem Aufräumen kommt der Teil, der das nächste Mal verhindert. Was konkret hilft, habe ich in fünf Maßnahmen für WordPress-Sicherheit aufgeschrieben, dort geht es um Dinge jenseits von Updates und starken Passwörtern.

Das Muster dahinter ist in fast allen Fällen dasselbe: Eine Installation, die niemand regelmäßig anfasst, sammelt über Monate bekannte Lücken an. Angegriffen wird sie dann nicht persönlich, sondern von einem Skript, das das halbe Internet nach genau dieser Lücke absucht. Deshalb hilft regelmäßige Wartung mehr als jede einzelne Maßnahme: Sie sorgt dafür, dass die Lücke gar nicht erst monatelang offen steht.

Und die Rechnung dahinter ist einfach. Was eine Reparatur nach einem Hack kostet, kann dir vorher niemand sagen, weil niemand weiß, wie viele Stunden es werden. Ein Wartungsvertrag kostet einen Betrag, den du vorher kennst.

Mein Fazit zur gehackten WordPress-Webseite

Zwei Dinge nimm mit. Erstens: Zugänge zuerst, Bereinigung danach. Wer in der falschen Reihenfolge arbeitet, räumt zweimal auf. Zweitens: Die Webseite ist erst sauber, wenn du weißt, wodurch sie schmutzig wurde.

Alles andere ist Handwerk und dauert, wie es dauert. Die Google-Warnung geht wieder weg, die Webseite läuft wieder, und in ein paar Wochen erinnert daran nur noch der Wartungsvertrag, den du inzwischen abgeschlossen hast.

Wenn du gerade mittendrin steckst und nicht weiterkommst: Schreib mir, ich sehe mir das an.