Der Anruf kommt meistens unerwartet: „Unsere Website leitet auf eine Glücksspielseite weiter.“ Oder: „Google zeigt eine Warnung, dass die Seite gefährlich ist.“ Oder: „Der Hoster hat unser Paket gesperrt.“ Ist Ihr WordPress gehackt, ist die erste Reaktion oft Panik. Verständlich, aber nicht hilfreich. Mit einem ruhigen, geordneten Vorgehen lässt sich der Schaden in den meisten Fällen begrenzen. Hier ist unsere Erste-Hilfe-Anleitung.
Woran Sie einen Hack erkennen
Nicht jeder Angriff ist sofort sichtbar. Typische Anzeichen sind:
- Weiterleitungen auf fremde Seiten, oft nur für Besucher vom Smartphone oder aus der Google-Suche
- Unbekannte Seiten, Beiträge oder Links in Ihrer Website, etwa zu Arzneimitteln oder Glücksspiel
- Neue Administrator-Konten, die niemand angelegt hat
- Warnhinweise in Browsern oder in den Suchergebnissen
- Hinweise des Hosters auf verdächtige Dateien, Spam-Versand oder hohe Last
- Plötzlich verschwundene Inhalte oder eine veränderte Startseite
WordPress gehackt: Erste Hilfe in zehn Schritten
1. Ruhe bewahren und dokumentieren
Notieren Sie, was Sie wann bemerkt haben, und machen Sie Screenshots. Das hilft später bei der Analyse und gegebenenfalls gegenüber Versicherung oder Behörden.
2. Schaden begrenzen
Schalten Sie die Website in den Wartungsmodus oder lassen Sie sie vom Hoster vorübergehend sperren, wenn Besucher gefährdet sind, etwa durch Schadcode oder Weiterleitungen. Eine Stunde offline ist besser, als Kunden auf eine Betrugsseite zu schicken.
3. Aktuellen Zustand sichern
Bevor Sie etwas löschen: Sichern Sie Dateien und Datenbank im jetzigen Zustand. Klingt paradox, ist aber wichtig, um später nachvollziehen zu können, wie der Angreifer hereingekommen ist und was er verändert hat.
4. Zugangsdaten ändern
Und zwar alle: Hosting-Kundenkonto, FTP/SFTP, Datenbank, alle WordPress-Administratoren und am besten auch die E-Mail-Postfächer, die mit der Website verknüpft sind. Nutzen Sie dafür einen Rechner, von dem Sie sicher sind, dass er nicht selbst infiziert ist.
5. Benutzerkonten prüfen
Löschen Sie unbekannte Benutzer mit Administratorrechten und prüfen Sie die Rollen der übrigen Konten.
6. Bereinigen oder wiederherstellen
Wenn ein sauberes Backup aus der Zeit vor dem Angriff existiert, ist die Wiederherstellung meist der schnellste Weg. Achtung: Das Backup muss wirklich vor dem Einbruch entstanden sein, und die Lücke, durch die der Angreifer kam, muss danach sofort geschlossen werden. Sonst sind Sie in ein paar Tagen wieder an der gleichen Stelle. Ohne sauberes Backup müssen die Dateien manuell bereinigt werden: WordPress-Kern neu einspielen, Plugins und Themes aus offiziellen Quellen neu installieren, Upload-Ordner und Datenbank auf Schadcode prüfen.
7. Alles aktualisieren
WordPress, alle Plugins und Themes auf den aktuellen Stand bringen. Nicht mehr genutzte Plugins und Themes vollständig löschen, nicht nur deaktivieren. Plugins, die seit Jahren keine Updates bekommen haben, ersetzen.
8. Versteckte Hintertüren suchen
Angreifer hinterlassen gerne Hintertüren: zusätzliche PHP-Dateien im Upload-Verzeichnis, Änderungen in der .htaccess oder der wp-config.php, geplante Aufgaben, die den Schadcode neu einspielen. Ein Sicherheitsscanner hilft, ersetzt aber keinen erfahrenen Blick.
9. Google und Besucher informieren
Wenn Google Ihre Seite als gefährlich markiert hat, beantragen Sie nach der Bereinigung in der Google Search Console unter „Sicherheitsprobleme“ eine Überprüfung. Prüfen Sie auch, ob Spam-Seiten im Index gelandet sind, und lassen Sie diese entfernen.
10. Datenschutz prüfen
Hatte der Angreifer möglicherweise Zugriff auf personenbezogene Daten, etwa Kundenkonten im Shop, Kontaktformular-Einträge oder Newsletter-Listen? Dann kann eine Meldepflicht an die Datenschutzaufsicht bestehen, nach Artikel 33 DSGVO grundsätzlich innerhalb von 72 Stunden, nachdem Ihnen die Verletzung bekannt wurde. Binden Sie Ihren Datenschutzbeauftragten sofort ein.
Was Sie besser nicht tun sollten
- Einfach nur die sichtbaren Spam-Seiten löschen. Die Ursache bleibt, und der Schadcode kommt zurück.
- Die Website komplett löschen, ohne Sicherung. Damit sind auch alle Spuren weg, die erklären könnten, was passiert ist.
- Mit dem Lösegeld- oder Kontaktangebot des Angreifers reagieren. Es gibt keine Garantie, und Sie markieren sich als zahlungswilliges Ziel.
- Den Vorfall verschweigen. Wenn Kundendaten betroffen sein könnten, ist Offenheit gegenüber Aufsichtsbehörde und Betroffenen nicht nur Pflicht, sondern auf Dauer auch die bessere Strategie.
Wie kommen Angreifer überhaupt rein?
| Einfallstor | Gegenmaßnahme |
|---|---|
| Veraltete Plugins und Themes mit bekannten Sicherheitslücken | Regelmäßige Updates, ungenutzte Erweiterungen löschen |
| Schwache oder mehrfach verwendete Passwörter | Starke, einzigartige Passwörter und Zwei-Faktor-Anmeldung |
| „Kostenlose“ Kopien von Premium-Plugins aus inoffiziellen Quellen | Nur aus offiziellen Quellen installieren |
| Zu viele Administrator-Konten | Rechte nach Bedarf vergeben |
| Kompromittierter Rechner eines Redakteurs | Virenschutz, aktuelle Systeme, Vorsicht bei E-Mail-Anhängen |
Vorbeugen ist günstiger als Aufräumen
Ein Hack kostet Zeit, Nerven, manchmal Umsatz und fast immer Vertrauen. Die wichtigsten vorbeugenden Maßnahmen sind dagegen überschaubar:
- Automatische oder regelmäßige Updates mit kurzer Kontrolle danach
- Tägliche Backups, außerhalb des Webservers gespeichert, mit getesteter Wiederherstellung
- Zwei-Faktor-Anmeldung für alle Administratoren
- Begrenzte Anmeldeversuche und ein geschützter Login-Bereich
- Überwachung der Website auf Veränderungen und Erreichbarkeit
- Ein Wartungsvertrag oder eine feste Person, die sich verantwortlich kümmert
Wir helfen Ihnen gerne
Ihre WordPress-Seite wurde gehackt, oder Sie wollen verhindern, dass es so weit kommt? Das IT-Team der Mittelstandsoptimierer hilft im Notfall schnell bei Analyse, Bereinigung und Wiederherstellung und übernimmt danach auf Wunsch Updates, Backups und Überwachung, damit Sie sich wieder um Ihr Geschäft kümmern können. Rufen Sie uns an: 06131 144928-0.
Herzliche Grüße aus Mainz
