WordPress-Website gehackt, was tun?

Eine der unangenehmsten Situationen für Betreiber von WordPress-Websites:

• Beim Besuch der Website stellt man fest, dass Inhalte veröffentlicht wurden, die man dort nicht veröffentlicht hatte.
• Beim Anklicken von Links findet eine unvorhersehbare Umleitung auf eine unbekannte Website statt.
• Der Browser zeigt eine Betrugswarnung an, sobald man seine Website betreten möchte.

Und wenn man Pech hat, wird beim Betreten der Website eine Wartung angezeigt. Das ist besonders für die Besucher der Website frustrierend.

Dies sind häufige Anzeichen dafür, dass eine Website kompromittiert wurde. Jährlich werden Millionen von WordPress-Websites gehackt und zu unterschiedlichen Zwecken missbraucht.

Wenn deine Website betroffen ist, solltest du besonnen und strukturiert vorgehen. Auch wenn die Situation zunächst schwerwiegend erscheint, ist ein ruhiges und systematisches Vorgehen entscheidend.

Wie wird eine WordPress-Website gehackt?

Es gibt viele Wege, wie eine WordPress-Website gehackt werden kann, und oft nutzen Angreifer Sicherheitslücken, ungesicherte Einstellungen oder menschliches Verhalten aus.

1. Exploit von Sicherheitslücken

WordPress selbst, Themes oder Plugins können Schwachstellen aufweisen. Das passiert sehr häufig, wenn WordPress-Updates nicht regelmäßig durchgeführt werden.

• Veraltete WordPress-Versionen: Hacker nutzen bekannte Sicherheitslücken aus, die in älteren Versionen bestehen.
• Unsichere Plugins/Themes: Plugins mit schlecht programmiertem Code können Einfallstore für SQL-Injections, Remote Code Execution oder Cross-Site Scripting (XSS) sein.
• Zero-Day-Lücken: Neue, noch nicht gepatchte Sicherheitslücken werden gezielt ausgenutzt.

2. Brute-Force-Angriffe

Angreifer versuchen, das Admin-Passwort zu erraten. Das kann bereits deutlich erschwert werden, indem man eine sichere Kombination aus Benutzername und Passwort verwendet.

• Standard-Benutzernamen wie admin erleichtern den Zugriff
• Schwache Passwörter werden automatisiert ausprobiert
• Tools wie Hydra oder WPScan werden dafür häufig eingesetzt

3. Malware & Hintertüren

Hintertüren im WordPress-Ökosystem werden gezielt ausgenutzt, um Schadcode auf der Website einzuschleusen. Ist die Malware erst einmal eingeschleust, kann sie auf der Website Schäden verursachen.

• Backdoors ermöglichen dauerhaften Zugriff, selbst nach Updates.
• Drive-by-Downloads infizieren Besucher der Website mit Viren.
• Spam-Injektionen nutzen die Seite zum Versand von Spam-Mails oder zur SEO-Manipulation.

4. Server- und Hosting-Schwachstellen

Nicht nur WordPress selbst kann Ziel sein.

Das Hacking kann auch aufgrund fehlhaft konfigurierter Server oder Sicherheitsmängel auf dem Server verursacht werden. In diesem Fall müssen die Angreifer nicht einmal WordPress hacken, sondern greifen direkt die darunterliegende technische Basis an.

• FTP/SSH-Zugang mit schwachen Passwörtern kann missbraucht werden.
• Fehlkonfigurierte Server oder veraltete PHP-Versionen öffnen Angreifern Tür und Tor.
• Lücke in PHP oder im Webserver kann den Zugriff auf die Serverdaten ermöglichen.

Eine gehackte WordPress-Website entsteht in der Regel durch eine Kombination aus veralteter Software, schwachen Passwörtern, unsicheren Plugins und menschlichen Fehlern. Manchmal liegt die Ursache auch beim Server, der nicht richtig konfiguriert ist oder nicht regelmäßig aktualisiert wird.

WordPress nach einem Hacking-Angriff bereinigen

In den meisten Fällen lässt sich feststellen, dass eine Sicherheitslücke in WordPress selbst, einem Plugin oder einem Theme ausgenutzt wurde, um Zugriff auf die Website zu erlangen. Dabei werden häufig Dateien mit Schadcode versehen, der unterschiedliche Funktionen erfüllen kann, beispielsweise:

• Hintertüren installieren, um den Angreifern dauerhaften Zugriff zu ermöglichen.
• Datenbanken manipulieren oder auslesen.
• Spam oder bösartige Inhalte verbreiten.
• Besucher auf andere, gefährliche Seiten weiterleiten.

Darüber hinaus können gehackte Dateien die Website verlangsamen, Suchmaschinenrankings beeinträchtigen oder sogar dazu führen, dass die Seite von Sicherheitsdiensten als unsicher markiert wird (Browserwarnung von oben). Daher ist es wichtig, nach einem Angriff schnell zu reagieren, die betroffenen Dateien zu identifizieren und Sicherheitslücken zu schließen.

An dieser Stelle sollte jedem Betreiber einer WordPress-Website klar sein, dass ein ernstzunehmendes Problem vorliegt. Dennoch besteht kein Grund zur Panik. WordPress lässt sich wiederherstellen und der unbefugte Zugriff kann wirksam unterbunden werden.

Es muss eine Reinigung stattfinden.

Der Angreifer hat mit Sicherheit irgendwo einen Schadcode versteckt. Bei jedem Aufruf der Seite wird dieser Schadcode ausgeführt, um noch mehr Schaden anzurichten.

Ohne eine vollständige Überprüfung sämtlicher Dateien der Website lässt sich in der Regel nicht zuverlässig feststellen, welche Inhalte betroffen sind. Ein umfassender Malware- oder Virenscan steht jedoch nicht bei jedem Hosting-Angebot zur Verfügung und ist häufig nur in erweiterten Tarifen oder speziellen Sicherheitslösungen enthalten.

Ich nutze All-Inkl.com als Webhoster, der seine Server täglich auf Schadsoftware überprüft. Diese zusätzliche Sicherheitsmaßnahme erleichtert die frühzeitige Erkennung und Bereinigung von Schadcode auf Websites. Weitere Informationen und Erfahrungen mit All-Inkl.com gehen etwas ins Detail.

Für die Bereinigung der WordPress-Website stehen grundsätzlich zwei Vorgehensweisen zur Verfügung:

1. Die Website wird mithilfe des aktuellsten Backups wiederhergestellt. Dabei ist sicherzustellen, dass die wiederhergestellte Version frei von Schadcode ist. Dieser Weg stellt die schnellste und einfachste Methode dar; in vielen Fällen genügt ein Backup, das etwa eine Woche alt ist.
2. Die komplette Bereinigung muss manuell erfolgen. Dieser Prozess ist zwar aufwendig, stellt jedoch in vielen Fällen die einzige Möglichkeit dar, die Website vollständig zu säubern und wieder in einen funktionsfähigen Zustand zu versetzen.

Wenn möglich, sollte die Website sofort deaktiviert oder in den Wartungsmodus versetzt werden. Anschließend sind die folgenden Schritte in der angegebenen Reihenfolge durchzuführen:

1. Sichere zuerst die Datenbank deiner Website.
2. Greife per FTP auf deinen Webspace zu und sichere den kompletten Ordner wp-content. Dort liegen alle Plugins, Themes und deine hochgeladenen Dateien.
3. Wenn du Backups vom Hoster oder eigene Sicherungen hast, stelle sie direkt wieder her. Prüfe vorher sorgfältig, ob sie frei von Schadcode sind und keine aktuellen Inhalte fehlen.
4. Falls keine Backups vorhanden sind, lösche alle WordPress-Dateien. Eine Infektion einzelner Dateien kann nicht ausgeschlossen werden.
5. Lade eine frische WordPress-Installation herunter und spiele sie auf deinen Webspace.
6. Aktiviere die Website wieder bzw. deaktiviere den Wartungsmodus.
7. Rufe deine Domain auf und führe die Installation durch. Gib die korrekten Datenbankzugangsdaten ein und vergebe neue, sichere Admin-Zugangsdaten.
8. Prüfe nach der Installation, ob deine Website fehlerfrei läuft.
9. Spiele Inhalte aus dem Ordner wp-content schrittweise zurück. Prüfe jede Datei vorher auf Schadcode, um eine erneute Infektion zu verhindern.
10. Lass die Website abschließend von einer Fachstelle auf Schadcode prüfen.

Wenn diese Schritte in der angegebenen Reihenfolge durchgeführt werden, sollte eine neu installierte WordPress-Website entstehen, die weiterhin die bestehende Datenbank verwendet. Idealerweise können auch die Medien wie Bilder und Dokumente wiederhergestellt werden.

Im Erfolgsfall ist umgehend der Adminbereich aufzurufen und die Zugangsdaten sind unverzüglich zu ändern. Außerdem muss die Website in den nächsten Stunden aktiv beobachtet werden, um sicherzustellen, dass sie keiner Gefahr mehr ausgesetzt ist.

Wenn die Bereinigung keinen Erfolg gebracht hat und weiterhin erkennbar ist, dass unbefugte Zugriffe stattfinden, kann es sinnvoll sein, den Webhoster zu kontaktieren. Alternativ kannst du mich gerne kontaktieren, damit ich dich bei der Bereinigung und Wiederherstellung der Website unterstützen kann.

Schutzmaßnahmen, um WordPress-Hacking zu erschweren

Sobald die Website wieder sicher ist, sollten präventive Maßnahmen umgesetzt werden, um zukünftige Sicherheitsvorfälle zu minimieren:

1. WordPress, Themes und Plugins aktuell halten
   Regelmäßige Updates schließen bekannte Sicherheitslücken. Veraltete Plugins oder Themes sind häufig Einfallstore für Hacker.
2. Starke Passwörter nutzen
   Verwende für alle Konten komplexe, eindeutige Passwörter und aktiviere zusätzlich die Zwei-Faktor-Authentifizierung (2FA) für mehr Schutz.
3. Backups regelmäßig erstellen
   Automatische Backups sichern Website und Datenbank. Im Notfall stellst du die Website so schnell wieder her.
4. Nur vertrauenswürdige Plugins und Themes nutzen
   Installiere Erweiterungen nur aus offiziellen Quellen oder von seriösen Entwicklern. Lösche nicht genutzte Plugins und Themes, um die Angriffsfläche zu reduzieren.
5. Sicherheits-Plugins einsetzen
   Firewall, Malware-Scanner und Login-Schutz erkennen Angriffe früh und blockieren sie.
6. Datei- und Serverrechte korrekt setzen
   Gib nur den nötigen Dateien Schreibrechte. Zu offene Rechte erleichtern das Einschleusen von Schadcode.
7. SSL/TLS aktivieren
   HTTPS schützt die Datenübertragung und stärkt das Vertrauen deiner Besucher. Unverschlüsselte Verbindungen sind heute ein Sicherheitsrisiko.
8. Datenbank absichern
   Ändere das Standard-Präfix der Datenbanktabellen. Nutze starke Datenbankpasswörter und beschränke den Zugriff auf vertrauenswürdige IPs.
9. Überwachen und protokollieren
   Logge Login-Versuche, Dateiänderungen und Systemaktivitäten, um verdächtige Vorgänge frühzeitig zu erkennen.
10. Regelmäßig auf Sicherheitslücken prüfen
    Führe regelmäßig Sicherheitschecks und Malware-Scans durch, um Schwachstellen zu schließen, bevor sie von Angreifern ausgenutzt werden.

Von all den oben genannten Maßnahmen sind das Erstellen kompletter und regelmäßiger Backups sowie eine regelmäßige Sichtprüfung der Website die Basis. Diese helfen im Notfall, die Website sofort zu bereinigen und in erster Linie schnell einen Angriff auf die Website zu erkennen.

Die regelmäßige Aktualisierung von WordPress, Plugins und Themes gehört zu den wichtigsten Wartungsmaßnahmen. Prüfe zusätzlich regelmäßig, ob ungenutzte Plugins installiert sind. Deaktiviere oder entferne diese, da sie Sicherheitsrisiken darstellen und die Angriffsfläche vergrößern.

Fazit

Obwohl man darauf hofft, niemals Ziel eines Hackerangriffs auf die eigene WordPress-Website zu werden, kommt es immer wieder vor. In einem solchen Fall ist ein systematisches Vorgehen erforderlich. Die Ursache des Angriffs muss identifiziert und gleichzeitig eine wirksame Lösung umgesetzt werden, um die Website wieder vollständig abzusichern.

Die überwiegende Mehrheit der Sicherheitsprobleme resultiert aus unzureichender Wartung der Website. Je länger eine Website nicht aktiv gewartet und gepflegt wird, desto höher ist das Risiko für Fehler und Sicherheitsvorfälle, einschließlich einer möglichen Kompromittierung der Website.

Fehlt dir die notwendige Zeit oder das erforderliche Fachwissen, solltest du einen professionellen Wartungsservice in Anspruch nehmen. Die Sicherheit einer Website ist nicht optional, sondern eine Verantwortung und ein grundlegendes Erfordernis.

Die Kosten kann man schnell wieder hereinholen — nicht nur durch eine rundum besser laufende Website, sondern auch durch das Sparen der Kosten für Notfälle. Ein Wartungsservice kostet bereits unter 100 € pro Monat. Eine eilige Wiederherstellung und Absicherung der Website plus Umsatzschaden gehen in die Tausende!