Wenn Ihre WordPress-Website gehackt wurde und jetzt Pharma-Spam ausliefert, Besucher auf zweifelhafte Ziele umleitet oder von Google als betrügerisch markiert wird, beginnen Sie hier und nicht bei einem Plugin. Der erste Reflex ist, einen Sicherheitsscanner zu installieren und auf „Bereinigen" zu klicken. Das entfernt das sichtbare Symptom und lässt den Weg hinein offen, weshalb so viele Seiten binnen weniger Tage erneut infiziert sind und ihre Betreiber daraus schließen, WordPress sei schlicht unsicher.

Ist es nicht. Nahezu jede Kompromittierung kommt über ein veraltetes Plugin herein, und nahezu jede gescheiterte Bereinigung scheitert daran, dass jemand die Schadsoftware entfernt hat, aber nicht den Zugang.

Erste Stunde: Nehmen Sie die Website offline oder in den Wartungsmodus. Ändern Sie das Passwort des Hosting-Kontrollpanels, das Datenbankpasswort, sämtliche Administratorpasswörter und die FTP- oder SSH-Zugangsdaten. Spielen Sie noch kein Backup ein und löschen Sie noch nichts. Sie brauchen den aktuellen Zustand, um zu rekonstruieren, wie die Angreifer hereingekommen sind, und eine Wiederherstellung zerstört genau diese Spuren, während sie die gleiche Schwachstelle sehr wahrscheinlich wieder mitbringt.

Was in der ersten Stunde zu tun ist

Die Reihenfolge zählt hier, und die üblichen Fehler entstehen alle aus Ungeduld.

Nehmen Sie die Seite vom Netz. Eine Wartungsseite oder eine vorübergehende Sperre auf Hosting- oder CDN-Ebene schützt Besucher und verhindert, dass die Website während Ihrer Arbeit weiter Schadsoftware verteilt. Liefert die Seite bösartige Weiterleitungen aus, vergrößert jede weitere Stunde online den Reputationsschaden.

Wechseln Sie sämtliche Zugangsdaten, nicht nur das WordPress-Administratorpasswort. Gemeint sind das Hosting-Panel, der Datenbankbenutzer, FTP- und SSH-Schlüssel sowie alle API-Schlüssel, die in der Konfiguration der Website liegen. Angreifer legen routinemäßig ein zweites Administratorkonto an oder hinterlassen einen Schlüssel, weshalb das Ändern eines einzigen Passworts nichts bringt.

Sichern Sie die Spuren, bevor Sie irgendetwas verändern. Ziehen Sie eine vollständige Kopie der Dateien und der Datenbank im aktuellen Zustand und laden Sie die Server-Zugriffsprotokolle von mindestens den letzten dreißig Tagen herunter. Über diese Protokolle finden Sie den Einstiegspunkt, und viele Hoster rotieren sie binnen weniger Tage.

Erst dann klären Sie, was tatsächlich passiert ist.

Wie Ihre WordPress-Website gehackt wurde: den Einstiegspunkt finden

Bereinigen ohne Diagnose ist der Grund, warum Reinfektionen so häufig sind. Vier Prüfungen finden die Ursache in den meisten Fällen.

Gleichen Sie Plugin- und Theme-Versionen mit bekannten Schwachstellen ab. Veraltete Plugins sind mit Abstand die häufigste Ursache. Notieren Sie jedes Plugin, dessen Version und ob es eine Sicherheitsveröffentlichung gibt, die Sie noch nicht eingespielt haben. Achten Sie besonders auf alles mit abgelaufener Lizenz, denn Premium-Plugins erhalten nach dem Ablauf keine Aktualisierungen mehr, erscheinen aber weiterhin installiert und aktiv.

Lesen Sie die Zugriffsprotokolle rund um das erste Anzeichen von Ärger. Sie suchen POST-Anfragen an ungewöhnliche Pfade, Aufrufe von Dateien, die es gar nicht geben dürfte, und einen Aktivitätsschub von einer einzelnen Adresse kurz vor der Verunstaltung. Dort steht meistens die Antwort.

Suchen Sie nach Dateien, die nicht dazugehören. Kürzlich veränderte PHP-Dateien im Upload-Verzeichnis sind ein starkes Signal, denn dort sollte niemals etwas ausgeführt werden. Ebenso Dateien mit bewusst plausibel klingenden Namen sowie Änderungen an wp-config.php oder .htaccess.

Prüfen Sie auf zusätzliche Administratorkonten und geplante Aufgaben. Angreifer legen häufig einen Benutzer an, über den sie zurückkommen, und registrieren eine geplante Aufgabe, die die Schadfunktion nach Ihrer Bereinigung neu installiert. Eine Seite, die sich in regelmäßigen Abständen erneut infiziert, hat fast immer eine geplante Aufgabe, nach der niemand gesehen hat.

Warum „einfach ein Backup einspielen" meist scheitert

Es ist der erste Ratschlag, den alle bekommen, und er trifft in etwa einem Drittel der Fälle zu.

Eine Wiederherstellung funktioniert, wenn Sie das Datum der Kompromittierung kennen, ein Backup von davor haben und die Schwachstelle gefunden und geschlossen haben. Ohne alle drei scheitert sie berechenbar. Spielen Sie ein Backup von letzter Woche ein, stellen Sie womöglich eine Website wieder her, die schon vor zwei Wochen kompromittiert war und sich nur ruhig verhalten hat. Spielen Sie es ein, ohne das verwundbare Plugin zu aktualisieren, haben Sie genau die Tür wieder aufgebaut, durch die man Sie ausgesperrt hat.

Dazu kommt, was eine Wiederherstellung Sie kostet. In einem Shop oder auf einer Mitgliederseite bedeutet das Zurückrollen den Verlust jeder Bestellung, jeder Registrierung und jedes Kommentars seit dem Backup. Das ist oft nicht hinnehmbar und drängt Sie dazu, die Live-Website zu bereinigen, statt sie zu ersetzen.

Verlässlich ist ein Neuaufbau statt einer Wiederherstellung. Installieren Sie den WordPress-Kern frisch, installieren Sie saubere Kopien aller Plugins und Themes aus den offiziellen Quellen statt von der kompromittierten Seite, und übernehmen Sie nur das Upload-Verzeichnis und die Datenbank, beide vorher geprüft. Damit ist der ausführbare Code garantiert sauber, was eine Reinigung Datei für Datei nie ganz erreicht.

Die Datenbank bereinigen

In der Datenbank bleibt bei unvollständigen Bereinigungen etwas zurück, weil Scanner sich auf Dateien konzentrieren.

Eingeschleuste Inhalte tauchen meist in Beitragsinhalten als versteckte Links oder iframes auf, in der Options-Tabelle, wo Weiterleitungsskripte abgelegt werden, und in den Benutzer-Metadaten. Suchen Sie in den Content- und Options-Tabellen nach Script-Tags, base64-codierten Blöcken und unbekannten Domains.

Prüfen Sie die Benutzertabelle von Hand. Sehen Sie sich jedes Konto mit Administratorrechten an, bestätigen Sie, dass Sie jedes einzelne kennen, und gleichen Sie anschließend die Registrierungsdaten mit Ihren eigenen Aufzeichnungen ab.

Sehen Sie sich die geplanten Aufgaben an, die in WordPress ebenfalls in der Options-Tabelle liegen. Ein Eintrag, der auf eine Funktion zeigt, die Sie nicht kennen, ist der Weg, auf dem sich eine Seite lange nach der Dateibereinigung planmäßig selbst neu infiziert.

Seien Sie besonders vorsichtig bei allem Codierten. Angreifer verschleiern ihre Schadfunktionen gezielt so, dass eine Suche nach offensichtlichen Zeichenketten sie übersieht. Decodieren Sie deshalb alles Verdächtige, statt anzunehmen, dort mache ein legitimes Plugin einfach etwas Cleveres.

Warnungen loswerden und Rankings zurückholen

Mit der Bereinigung ist es nicht getan, denn die Warnungen bleiben bestehen, bis Sie eine Überprüfung beantragen.

Hat Google die Seite markiert, zeigt der Bericht zu Sicherheitsproblemen in der Search Console, was erkannt wurde, und erlaubt es Ihnen, nach der Behebung eine Überprüfung anzufordern. Beantragen Sie diese erst, wenn die Website wirklich sauber ist, denn eine gescheiterte Überprüfung verlängert das Verfahren.

Prüfen Sie, ob die Domain auf Sperrlisten von Browsern und E-Mail-Anbietern gelandet ist. Sauber zu sein genügt für sich allein nicht; jede Liste wird eigenständig gepflegt und hat ihr eigenes Entfernungsverfahren.

Sehen Sie sich dann den Schaden an. Die Sichtbarkeit in der Suche erholt sich meist, sobald die Warnungen aufgehoben sind, aber eine Seite, die wochenlang Spam-Seiten ausgeliefert hat, hat diese womöglich indexieren lassen. Suchen Sie nach indexierten URLs, die nie zu Ihnen gehörten, entfernen Sie sie und stellen Sie sicher, dass die sauberen Fassungen gecrawlt werden. Unser Leitfaden zum Website-Sicherheitsaudit beschreibt die Prüfschritte ausführlicher.

Was eine professionelle Wiederherstellung kostet

Die Preise spiegeln übliche britische Sätze wider und hängen davon ab, wie lange die Kompromittierung unbemerkt blieb.

Eine unkomplizierte Bereinigung auf einer kleinen Website, früh bemerkt und mit bekannter Ursache, liegt in der Regel zwischen 400 £ und 1.200 £ und dauert ein bis zwei Tage. Das ist der Normalfall, wenn jemand innerhalb einer Woche aufmerksam wird.

Eine vollständige Incident Response, also Protokollanalyse zur Bestimmung von Einstiegspunkt und Zeitachse, sauberer Neuaufbau, Datenbankprüfung, Wechsel aller Zugangsdaten, Härtung und Entfernung von Sperrlisten, kostet typischerweise 1.500 £ bis 5.000 £. Damit sollte ein Shop oder eine Seite mit Kundendaten rechnen, weil zusätzlich zu klären ist, ob auf Daten zugegriffen wurde.

Seiten, die monatelang kompromittiert waren, oder mehrere Websites im selben Hosting-Konto kosten mehr, weil Kreuzinfektionen zwischen Seiten auf geteiltem Hosting häufig sind und jede einzelne geprüft werden muss.

Falls auf personenbezogene Daten zugegriffen worden sein könnte, gibt es Pflichten über die technische Bereinigung hinaus. Die UK-DSGVO verlangt eine Meldung an die ICO innerhalb von 72 Stunden nach Kenntnisnahme einer meldepflichtigen Verletzung, und diese Frist beginnt mit der Kenntnis, nicht mit dem Abschluss der Bereinigung. Holen Sie früh Rat ein, nicht erst nachdem Sie aufgeräumt haben. Unser Leitfaden zur technischen DSGVO-Compliance behandelt die technische Seite davon.

Damit es nicht wieder passiert

Wiederherstellung ohne Härtung stellt nur die Uhr zurück.

Update-Disziplin ist das ganze Spiel. Die überwältigende Mehrheit der Kompromittierungen nutzt eine Schwachstelle aus, für die bereits ein Patch bereitsteht. Die Lösung ist also eine Routine, die Sicherheitsveröffentlichungen zügig einspielt, und die Regel, alles Ungepflegte zu entfernen. Premium-Plugins mit abgelaufener Lizenz gehören erneuert oder ersetzt, niemals belassen.

Verringern Sie, was überhaupt ausgeführt werden kann. Im Upload-Verzeichnis darf nie PHP laufen, die Dateibearbeitung im Adminbereich gehört abgeschaltet, und Administratorkonten sollten wenige und namentlich zugeordnet sein.

Ergänzen Sie eine Mehrfaktor-Authentifizierung für jedes Administratorkonto und begrenzen Sie die Anmeldeversuche am Login-Endpunkt. Die meisten Angriffe auf Zugangsdaten laufen automatisiert und lohnen sich in dem Moment nicht mehr, in dem ein zweiter Faktor existiert.

Und sichern Sie richtig und testen Sie es. Ein Backup, das Sie nie zurückgespielt haben, ist nur eine Vermutung. Halten Sie mehrere Generationen vor, denn die neueste kann die Kompromittierung bereits enthalten. Unsere Checkliste zur WordPress-Sicherheitshärtung beschreibt die vollständige Konfiguration, und unser Leitfaden zum WordPress-Performance-Audit behandelt die Plugin-Disziplin, die nebenbei die Angriffsfläche verkleinert.

Lassen Sie es richtig bereinigen

Mecanik bietet WordPress-Sicherheitsaudits und Wiederherstellung nach Vorfällen: klären, wie die Kompromittierung zustande kam, sauber neu aufbauen statt darüber zu flicken, die Datenbank prüfen und die Website so härten, dass sich derselbe Weg hinter Ihnen schließt.

Wir arbeiten mit den Serverprotokollen statt mit der Ausgabe eines Scanners, denn ein Scanner nennt Ihnen, was er wiedererkennt, und die Protokolle nennen Ihnen, was tatsächlich geschehen ist. Verarbeitet die Website Kundendaten, sagen wir Ihnen außerdem klar, ob eine meldepflichtige Verletzung vorzuliegen scheint, statt Sie das später entdecken zu lassen. Laufende Wartung gibt es über unseren WordPress-Entwicklungsservice , was in aller Regel günstiger ist als ein zweiter Vorfall.

Ist Ihre Website gerade jetzt kompromittiert, nehmen Sie sie offline, wechseln Sie die Zugangsdaten, bewahren Sie die Protokolle auf und melden Sie sich bei uns.

Siehe auch: OWASP Top 10 verständlich für Unternehmer erklärt , Server-Security-Audit-Checkliste: Was geprüft wird und Leitfaden zur Website-Sicherheitsprüfung für britische Unternehmen .

Häufig gestellte Fragen

Was soll ich zuerst tun, wenn meine WordPress-Website gehackt wurde? Nehmen Sie die Website offline, wechseln Sie sämtliche Zugangsdaten einschließlich Hosting, Datenbank, FTP und aller Administratorkonten, und sichern Sie eine Kopie der aktuellen Dateien, der Datenbank und der Serverprotokolle. Spielen Sie noch kein Backup ein und löschen Sie noch keine Dateien, denn das zerstört die Spuren, die Sie zum Auffinden des Einstiegspunkts brauchen.

Warum wird meine WordPress-Website immer wieder neu infiziert? Fast immer deshalb, weil die Bereinigung die Schadsoftware entfernt hat, aber nicht den Zugang. Suchen Sie nach Administratorkonten, die Sie nicht kennen, nach Hintertüren im Upload-Verzeichnis und nach geplanten Aufgaben in der Options-Tabelle, die die Schadfunktion neu installieren. Eine Reinfektion in regelmäßigen Abständen deutet meist auf eine geplante Aufgabe hin.

Kann ich eine gehackte Website einfach über ein Backup reparieren? Nur wenn Sie wissen, wann die Kompromittierung stattfand, ein Backup von davor haben und die zugrunde liegende Schwachstelle geschlossen haben. Ohne alle drei riskieren Sie, eine bereits kompromittierte Website wiederherzustellen oder dasselbe Loch erneut zu öffnen. Ein sauberer Neuaufbau mit frischem Kern, frischen Plugins und Themes ist verlässlicher.

Was kostet die Entfernung von WordPress-Schadsoftware? Eine unkomplizierte Bereinigung auf einer kleinen, früh entdeckten Website kostet typischerweise 400 £ bis 1.200 £. Eine vollständige Incident Response mit Protokollanalyse, sauberem Neuaufbau, Datenbankprüfung und Härtung liegt in der Regel bei 1.500 £ bis 5.000 £, und lang laufende oder mehrere betroffene Websites kosten mehr.

Wie bekomme ich die Google-Warnung für meine Website wieder weg? Bereinigen Sie die Website vollständig und fordern Sie dann über den Bericht zu Sicherheitsproblemen in der Search Console eine Überprüfung an. Stellen Sie den Antrag erst, wenn die Seite wirklich sauber ist, da eine gescheiterte Überprüfung das Verfahren verlängert. Prüfen Sie zusätzlich die Sperrlisten von Browsern und E-Mail-Anbietern, die jeweils ein eigenes Entfernungsverfahren haben.