WordPress gehackt? Der Notfallplan in acht Schritten

Eine gehackte Website ist ein unangenehmer Moment – aber kein Grund für Panik. Wer in der
richtigen Reihenfolge vorgeht, hat die Sache meist innerhalb eines Tages im Griff. Wer
hektisch das erste Backup einspielt, das er findet, hat das Problem in einer Woche wieder.
Dieser Plan beschreibt die Reihenfolge, die sich in der Praxis bewährt hat.

Woran Sie erkennen, dass etwas nicht stimmt

Nicht jeder Angriff ist sofort sichtbar. Typische Anzeichen sind:

• Der Browser zeigt eine Warnseite („Diese Website enthält Schadprogramme“).
• In den Google-Suchergebnissen erscheinen fremde Texte, oft auf Japanisch oder zu
  Medikamenten und Glücksspiel.
• Besucher werden auf andere Seiten weitergeleitet – manchmal nur vom Smartphone aus
  oder nur beim ersten Aufruf.
• Im Backend tauchen Benutzerkonten auf, die Sie nicht angelegt haben.
• Die Website ist plötzlich sehr langsam oder der Server meldet ungewöhnlich hohe Last.
• Ihr Hoster sperrt das Postfach, weil über Ihre Domain Massenmails verschickt wurden.

Auch wenn nur eines dieser Anzeichen zutrifft: Gehen Sie davon aus, dass die Website
kompromittiert ist, bis das Gegenteil bewiesen ist.

Schritt 1: Ruhe bewahren und nichts überschreiben

Der häufigste Fehler ist, sofort das letzte Backup einzuspielen. Damit vernichten Sie die
Spuren, die zeigen, wie die Angreifer hereingekommen sind – und spielen im
Zweifel einen Stand ein, der bereits infiziert war. Ändern Sie in diesem Moment noch nichts
an den Dateien.

Schritt 2: Website vom Netz nehmen

Schalten Sie die Website in den Wartungsmodus oder sperren Sie den Zugriff auf Serverebene.
Das schützt Ihre Besucher vor Schadcode und verhindert, dass Google weitere infizierte Seiten
in den Index aufnimmt. Wenn Sie Kundendaten verarbeiten, ist das außerdem Ihre Pflicht aus
Artikel 32 DSGVO.

Schritt 3: Alle Zugangsdaten ändern

Und zwar wirklich alle: WordPress-Administratoren, FTP- und SFTP-Zugänge, den
Datenbankbenutzer, das Hosting-Kundenkonto und alle E-Mail-Postfächer der Domain. Melden Sie
anschließend alle aktiven Sitzungen ab, indem Sie die Sicherheitsschlüssel in der Datei
wp-config.php neu setzen. Solange ein Zugang offen bleibt, ist jede Bereinigung
sinnlos.

Schritt 4: Den infizierten Stand sichern

Erstellen Sie eine vollständige Kopie von Dateien und Datenbank – nicht zum
Wiederherstellen, sondern als Beweismittel. Sie brauchen sie für die Ursachensuche, und im
Fall einer meldepflichtigen Datenschutzverletzung nach Artikel 33 DSGVO müssen Sie
nachvollziehen können, was passiert ist.

Schritt 5: Schadcode finden und entfernen

Der zuverlässigste Weg ist nicht das Suchen, sondern das Ersetzen:

• WordPress-Kern komplett durch eine frische Version von wordpress.org ersetzen – bis auf
  wp-config.php und den Ordner wp-content.
• Alle Plugins und Themes löschen und aus offiziellen Quellen neu installieren. Nicht
  überschreiben, sondern wirklich löschen: Angreifer legen gern zusätzliche Dateien in
  bestehenden Ordnern ab.
• Den Ordner wp-content/uploads auf ausführbare Dateien prüfen. Dort haben
  PHP-Dateien nichts zu suchen.
• Die Datenbank auf eingeschleuste Inhalte prüfen: unbekannte Administratorkonten,
  verdächtige Einträge in wp_options, versteckte Skripte in Beiträgen und Seiten.

Wenn Sie ein sauberes Backup von vor dem Vorfall haben und sicher wissen, wann
der Angriff stattgefunden hat, ist das Zurückspielen dieses Stands der schnellere Weg. Nur:
Der Zeitpunkt ist ohne Protokollierung meist nicht bestimmbar – ein Grund, warum ein
Audit-Log so nützlich ist.

Schritt 6: Die Ursache schließen

Das ist der Schritt, den die meisten überspringen – und der Grund, warum viele Websites
kurz nach der Bereinigung erneut betroffen sind. Die häufigsten Ursachen:

• ein veraltetes Plugin mit dokumentierter Sicherheitslücke
• ein schwaches Administratorpasswort, das über automatisierte Anmeldeversuche erraten
  wurde
• ein Theme oder Plugin aus einer inoffiziellen Quelle („Nulled“-Versionen enthalten fast
  immer Hintertüren)
• ein kompromittierter FTP-Zugang, oft über einen infizierten Arbeitsrechner

Vergleichen Sie die Zeitstempel der veränderten Dateien mit den Zugriffsprotokollen Ihres
Hosters. Damit finden Sie in den meisten Fällen den Einstiegspunkt.

Schritt 7: Absichern, bevor Sie wieder online gehen

Bevor die Website zurück ins Netz geht, gehören diese Dinge eingerichtet: eine Firewall
mit Login-Schutz, Zwei-Faktor-Authentifizierung für alle Administratoren, deaktivierter
Dateieditor im Backend, abgeschaltetes XML-RPC, korrekte Dateirechte und ein automatisches
Backup, das außerhalb des Servers liegt. Details dazu stehen auf der Seite
WordPress absichern.

Schritt 8: Google informieren

Wenn Ihre Website als schädlich markiert wurde, beantragen Sie in der Google Search
Console unter „Sicherheitsprobleme“ eine erneute Überprüfung. Das dauert in der Regel ein bis
drei Tage. Prüfen Sie außerdem, ob in der Search Console fremde Eigentümer eingetragen sind –
Angreifer verifizieren sich gern selbst, um die Kontrolle zu behalten.

Was Sie danach anders machen sollten

Ein Vorfall ist ärgerlich, aber lehrreich. Drei Dinge verhindern die Wiederholung
zuverlässiger als alles andere: regelmäßige Updates, geprüfte Backups an einem externen Ort
und Monitoring, das Ihnen sagt, wenn sich etwas verändert. Genau das ist der Inhalt eines
Wartungsvertrags – und der Grund, warum er in der Regel
deutlich günstiger ist als eine einzige Bereinigung.