WordPress gehackt: Anzeichen erkennen, richtig reagieren, sauber bereinigen

Woran erkennen Sie, dass Ihre WordPress-Website gehackt wurde?

Eine Website ist gehackt, wenn jemand ohne Ihre Erlaubnis Inhalte oder Code darauf abgelegt hat. Google nennt solche Inhalte ausdrücklich „gehackte Inhalte“. Diese Anzeichen sollten Sie ernst nehmen:

• Weiterleitungen: Besucher landen auf fremden Seiten, etwa mit Gewinnspielen, Arzneimitteln oder Glücksspiel. Manchmal passiert das nur, wenn man über Google kommt oder das Handy nutzt, während die Seite bei Ihnen am Rechner normal aussieht.
• Fremde Benutzer: Unter Benutzer → Alle Benutzer stehen Administratoren, die niemand angelegt hat, oder Ihr eigenes Passwort funktioniert plötzlich nicht mehr.
• Spam-Seiten: Bei Google tauchen unter Ihrer Domain Seiten auf, die Sie nie geschrieben haben, etwa in fremder Sprache oder mit Werbung für Produkte, die mit Ihrem Angebot nichts zu tun haben. Eine Suche nach site:ihredomain.de zeigt, was Google von Ihrer Website kennt.
• Warnungen: Der Browser zeigt vor Ihrer Website eine rote Warnseite, Google kennzeichnet sie in den Suchergebnissen als möglicherweise gehackt, oder die Search Console, Googles kostenloses Werkzeug für Website-Betreiber, meldet etwas im Bericht „Sicherheitsprobleme“.
• Hoster sperrt: Ihr Hoster, also die Firma, auf deren Server die Website liegt, schaltet sie ab oder schreibt Ihnen, dass von Ihrem Paket Spam oder Schadsoftware ausgeht.

Nicht jeder Fehler ist ein Hack. Eine weiße Seite oder die Meldung „Auf dieser Website ist ein kritischer Fehler aufgetreten.“ (im Admin: „Es gab einen kritischen Fehler auf dieser Website.“) kann eine harmlose Ursache haben: ein Update oder ein Plugin, also eine Erweiterung für WordPress, das nicht mehr zum Rest passt. Das begegnet uns immer wieder. Rufen Sie verdächtige Seiten nicht immer wieder in Ihrem normalen Browser auf, und klicken Sie auf keine fremden Links darin.

Was tun Sie als Erstes, wenn WordPress gehackt wurde?

Zuerst schützen Sie Ihre Besucher, sichern den Ist-Zustand und sperren die Angreifer aus, erst danach wird aufgeräumt. Wer sofort Dateien und Plugins löscht, vernichtet die Spuren, an denen man erkennt, wie der Angreifer hineinkam, und übersieht leicht versteckte Hintertüren. Halten Sie diese Reihenfolge ein:

1. Ruhe bewahren und aufschreiben: Was sehen Sie, seit wann, und was wurde zuletzt geändert, etwa ein neues Plugin, ein Update, ein neuer Benutzer? Das ist die Grundlage für alle weiteren Schritte, ob Sie selbst bereinigen oder Fachleute beauftragen.
2. Keine Dateien, Plugins oder Inhalte löschen, nichts neu installieren. Auch nicht „schnell mal“ alle Plugins entfernen.
3. Hoster informieren und die Website vom Netz nehmen: Solange die Website befallen ist, kann sie Besucher auf fremde Seiten umleiten oder ihnen Schadsoftware unterschieben. Bitten Sie Ihren Hoster, die Website vorübergehend abzuschalten oder eine Wartungsseite davorzuschalten. Google rät, die Website offline zu nehmen, und zwar von außerhalb der befallenen Dateien, also beim Hoster und nicht mit einem Plugin in WordPress. Fragen Sie dabei, wie Sie selbst weiter in den Admin-Bereich kommen, etwa über eine Freigabe nur für Ihren Internetanschluss. Der Hoster sieht außerdem womöglich mehr als Sie, etwa die Protokolle der Zugriffe, kann ältere Sicherungen bereitstellen und weiß, ob andere Websites im selben Paket betroffen sind.
4. Den befallenen Stand sichern: Dateien und Datenbank, also den Speicher, in dem WordPress Texte, Einstellungen und Benutzer ablegt, als Kopie herunterladen oder beim Hoster sichern lassen. Kennzeichnen Sie diese Sicherung deutlich als „befallen“. Sie dient nur der Analyse und wird nie wieder eingespielt. Mit ihr gehen auch keine Spuren verloren, wenn Sie in den nächsten Schritten fremde Konten entfernen.
5. Alle Passwörter ändern: für Ihr eigenes WordPress-Konto und jeden weiteren Administrator, den Sie kennen, für den Kundenbereich des Hosters, SFTP oder FTP (die Dateiübertragung zum Server) und die Datenbank. Ändern Sie das Datenbank-Passwort, muss es danach auch in der Datei wp-config.php stehen, der Einstellungsdatei von WordPress im Hauptordner, sonst meldet WordPress „Fehler beim Aufbau einer Datenbankverbindung“; das erledigt am einfachsten der Hoster. Nutzen Sie dafür einen Rechner, auf dem gerade ein Virenscan durchgelaufen ist, denn auch ein befallener Rechner kann Zugangsdaten verraten.
6. Fremde Zugänge entfernen: Unter Benutzer → Alle Benutzer schreiben Sie jedes Konto, das niemand von Ihnen angelegt hat, mit Namen und E-Mail-Adresse auf, vor allem Administratoren, und löschen es danach; Google rät, die Namen für die spätere Analyse zu notieren. Beim Löschen wählen Sie „Alle Inhalte einem anderen Benutzer zuordnen“, dann bleiben seine Beiträge zur Prüfung erhalten. Öffnen Sie anschließend das Profil jedes verbliebenen Administrators und widerrufen Sie im Bereich „Anwendungspasswörter“ jeden Eintrag, den Sie nicht kennen. Anwendungspasswörter sind Zugänge für Programme und gelten auch nach einem neuen Anmeldepasswort weiter, ein Angreifer käme darüber sonst weiter auf die Website.
7. Salts erneuern: Salts sind Zufallsschlüssel in der wp-config.php, mit denen WordPress Anmeldungen absichert. Neue Werte erzeugt der offizielle Schlüsselgenerator unter api.wordpress.org/secret-key/1.1/salt/, mit ihnen ersetzen Sie die vorhandenen Schlüsselzeilen in der wp-config.php oder lassen das den Hoster machen. Danach ist jeder abgemeldet, auch ein Angreifer mit gestohlener Sitzung, und Sie selbst melden sich neu an. Manche Plugins verschlüsseln mit den Salts eigene Daten, etwa Zwei-Faktor-Einstellungen oder gespeicherte Zugangsdaten für den Mailversand. Diese Daten sind danach nicht mehr lesbar. Halten Sie die Ersatzcodes Ihrer Zwei-Faktor-Anmeldung bereit, richten Sie sie danach neu ein und prüfen Sie, ob die Website noch Mails verschickt. Sperrt Sie das Zwei-Faktor-Plugin trotzdem aus, benennen Sie seinen Ordner unter wp-content/plugins per SFTP um, melden sich an, geben dem Ordner seinen Namen zurück und aktivieren das Plugin unter Plugins wieder.

Können Sie sich nicht mehr anmelden, weil der Angreifer Ihr Passwort geändert hat, hilft der Abschnitt zum Zugang ohne E-Mail im Artikel WordPress-Login. Trauen Sie sich die Schritte 5 bis 7 nicht zu, übernehmen sie der Hoster oder Fachleute. Wichtig ist, dass sie vor der Bereinigung passieren.

Wie bereinigen Sie eine gehackte WordPress-Website?

Es gibt zwei saubere Wege: eine Sicherung aus der Zeit vor dem Befall zurückspielen oder WordPress, Themes und Plugins frisch aus offiziellen Quellen neu aufsetzen. Ein Theme ist die Designvorlage, die das Aussehen der Website bestimmt.

Weg 1: saubere Sicherung zurückspielen. Das geht am schnellsten, wenn es eine Sicherung gibt, die sicher vor dem Hack entstand. Der Haken: Man weiß nicht immer genau, wann der Angreifer hineinkam. Die Search Console nennt im Bericht „Sicherheitsprobleme“ das Datum, an dem Google das Problem zuerst bemerkt hat, das hilft beim Einordnen. Was Sie seit der Sicherung geändert haben, geht verloren. Übernehmen Sie aus der befallenen Kopie nur Texte und geprüfte Bilder, keine Programmdateien, denn mit ihnen kann der Schadcode zurückkommen. Und die Lücke, durch die der Angreifer kam, ist in der alten Sicherung noch offen. Spielen Sie deshalb gleich danach alle Updates ein. Die zurückgespielte wp-config.php bringt außerdem das alte Datenbank-Passwort und die alten Salts mit: Tragen Sie das neue Datenbank-Passwort ein, sonst meldet WordPress „Fehler beim Aufbau einer Datenbankverbindung“, und tauschen Sie die Salts noch einmal.

Weg 2: neu aufsetzen. Den WordPress-Kern ersetzen Sie per SFTP durch eine frische Kopie von wordpress.org in derselben Version: die Ordner wp-admin und wp-includes vollständig, also alte Ordner entfernen und frische hochladen, dazu die Dateien im Hauptordner wie index.php und wp-login.php, nur wp-config.php nicht. Liegen im Hauptordner zusätzliche PHP-Dateien, die in der frischen Kopie fehlen, lassen Sie sie prüfen. Die WordPress-Dokumentation rät dabei von den Neuinstallations-Knöpfen im Admin ab, weil sie nur vorhandene Dateien überschreiben, Angreifer aber oft neue Dateien hinzufügen. Themes und Plugins laden Sie neu aus dem offiziellen Verzeichnis auf wordpress.org oder direkt vom Hersteller, nie aus inoffiziellen Quellen. Prüfen Sie außerdem wp-config.php und alle Dateien namens .htaccess, auch in Unterordnern. Die .htaccess ist eine Steuerdatei des Servers, etwa für Weiterleitungen, und laut WordPress-Dokumentation eine der Dateien, die Angreifer besonders oft verändern. Sehen Sie auch in den Ordner wp-content/uploads, in dem WordPress hochgeladene Bilder und Dokumente ablegt. Programmdateien mit der Endung .php haben dort nach unserer Erfahrung nichts zu suchen; finden Sie welche, lassen Sie sie prüfen.

Bei beiden Wegen gehören diese Schritte dazu:

• Benutzer noch einmal prüfen: Ist unter Benutzer → Alle Benutzer ein fremdes Konto oder im Profil unter „Anwendungspasswörter“ ein unbekannter Eintrag wieder da, ist noch eine Hintertür offen.
• Salts noch einmal erneuern: Nach dem Zurückspielen einer Sicherung oder dem Neuaufsetzen tauschen Sie die Salts erneut, wie in den ersten Schritten beschrieben. Eine zurückgespielte wp-config.php bringt sonst die alten Werte zurück.
• Datenbank durchsehen: Angreifer verstecken Links und Code auch in Beiträgen, Seiten und Einstellungen. Hier wird es schnell technisch.
• Danach alles aktualisieren und die Passwörter noch einmal ändern. Die WordPress-Dokumentation empfiehlt ausdrücklich ein zweites Ändern, wenn die Website sauber ist.

Sicherheits-Plugins mit Prüfung auf Schadsoftware helfen beim Suchen, die WordPress-Dokumentation nennt mehrere als Beispiele. Ein Scan, der nichts findet, beweist aber nicht, dass die Website sauber ist.

Was tun Sie nach der Bereinigung?

Wenn die Website sauber ist, lassen Sie sie vom Hoster wieder freischalten, beantragen bei Google die Überprüfung und schließen die Lücke, durch die der Angreifer kam. Prüfung und Ursache gehören zusammen, sonst kommt der Befall wieder.

• Überprüfung bei Google beantragen: In der Search Console im Bericht „Sicherheitsprobleme“ auf „Überprüfung anfordern“ klicken und beschreiben, was das Problem war, was Sie getan haben und woran man den Erfolg sieht. Google nennt dafür mehrere Tage oder Wochen; bei Schadsoftware eher Tage, bei Spam-Befall bis zu mehreren Wochen. Fordern Sie die Prüfung erst an, wenn wirklich alles bereinigt ist, ein verfrühter Antrag verlängert die Warnung.
• Spam-Seiten verschwinden lassen: Die Seiten des Angreifers sollen nicht mehr existieren und eine Fehlerseite (404) liefern. Die bereinigten echten Seiten können Sie in der Search Console mit dem URL-Prüftool erneut von Google abrufen lassen.
• Ursache schließen: Als Einfallstor begegnen uns immer wieder veraltete Plugins oder Themes, schwache oder mehrfach genutzte Passwörter und Erweiterungen aus inoffiziellen Quellen. Entfernen Sie Plugins und Themes, die Sie nicht nutzen, und schalten Sie die Zwei-Faktor-Anmeldung für alle Administratoren ein.
• Einige Wochen beobachten: Benutzerliste, Search Console und die Suche nach site:ihredomain.de regelmäßig ansehen, ob etwas wiederkommt.

Müssen Sie einen Hack melden? Hinweis zum Datenschutz

Wenn bei dem Hack personenbezogene Daten betroffen sein können, kann eine Meldepflicht bei der Datenschutz-Aufsichtsbehörde bestehen. Das ist ein Überblick, keine Rechtsberatung. Personenbezogene Daten auf einer WordPress-Website sind zum Beispiel gespeicherte Anfragen aus dem Kontaktformular, Kundenkonten und Bestellungen im Shop, Newsletter-Adressen oder Kommentare.

Art. 33 der Datenschutz-Grundverordnung (DSGVO) verlangt, dass der Verantwortliche eine Verletzung des Schutzes personenbezogener Daten der zuständigen Aufsichtsbehörde unverzüglich und möglichst binnen 72 Stunden meldet, nachdem sie ihm bekannt wurde, es sei denn, sie führt voraussichtlich nicht zu einem Risiko für die betroffenen Personen. Jede solche Verletzung ist außerdem zu dokumentieren (Art. 33 Abs. 5). Bei voraussichtlich hohem Risiko müssen nach Art. 34 auch die Betroffenen selbst benachrichtigt werden. Ob das bei Ihnen zutrifft, lässt sich nur im Einzelfall beurteilen. Halten Sie Ihre Notizen aus dem ersten Schritt bereit und fragen Sie im Zweifel Ihre Datenschutzbeauftragte oder Ihren Datenschutzbeauftragten, eine Anwältin oder einen Anwalt, Ihre Kammer oder Ihren Verband.

Wann brauchen Sie Fachleute für eine gehackte WordPress-Website?

Holen Sie sich Hilfe, sobald Kundendaten im Spiel sind oder Sie nach dem ersten Schritt nicht sicher wissen, was zu tun ist. Ein unvollständig bereinigter Hack kommt erfahrungsgemäß zurück. Fachleute sind besonders sinnvoll, wenn:

• über die Website Bestellungen, Kundenkonten oder Formulardaten laufen,
• der Befall nach einer Bereinigung wiederkommt,
• es keine Sicherung aus der Zeit vor dem Hack gibt,
• Google oder der Browser warnen oder der Hoster die Website gesperrt hat,
• Ihre Mails plötzlich als Spam abgewiesen werden, weil der Server Spam verschickt hat,
• Sie mit SFTP, Datenbank oder wp-config.php noch nie gearbeitet haben.

Sinnvolle Ansprechpartner sind Ihr Hoster und ein auf WordPress-Sicherheit spezialisierter Dienstleister. Die Bereinigung selbst bieten wir nicht an. Löschen Sie bis dahin nichts und geben Sie Ihre Notizen und die Sicherung des befallenen Stands weiter.

Wie beugen Sie einem neuen Hack vor?

Vorbeugen heißt: regelmäßig aktualisieren, vorher sichern, Zugänge schützen. Updates für WordPress, Themes und Plugins schließen bekannte Lücken, Sicherungen machen einen Befall zu einem Ärgernis statt zur Katastrophe, und eine Zwei-Faktor-Anmeldung sorgt dafür, dass ein gestohlenes WordPress-Passwort allein nicht zum Anmelden reicht. Welche Plugins dafür reichen, steht im Kapitel Plugins, die Pflege nach dem Start im Kapitel Livegang. Wer das nicht selbst im Blick behalten möchte, gibt es an eine WordPress-Wartung ab.