Website gehackt: Anzeichen und Wiederherstellung

Eine gehackte Website sieht selten aus wie im Film. Kein Totenkopf auf dem Bildschirm — dafür seltsame Links in den Google-Ergebnissen, unerklärliche Langsamkeit und E-Mails, die Sie nie versendet haben. So erkennen Sie es und so handeln Sie.

Acht Anzeichen für eine Kompromittierung

• In den Google-Ergebnissen erscheinen unter Ihrer Domain Seiten zu Medikamenten, Glücksspiel oder Uhrenrepliken
• Chrome zeigt die rote Warnseite „Diese Website ist möglicherweise gefährlich"
• Die Seite wird ohne Grund langsam — der Code des Angreifers verbraucht Ressourcen
• In WordPress existiert ein Administrator, den Sie nicht angelegt haben
• Mobile Besucher werden umgeleitet, auf dem Desktop wirkt alles normal
• Ihr Hoster meldet, dass der Server Spam versendet
• Es tauchen Dateien wie wp-conflg.php, class-wp-cache.php oder zufällige Buchstabenfolgen auf
• Die Search Console meldet „gehackte Inhalte"

Die erste Stunde, der Reihe nach

1. Löschen Sie zunächst nichts. Erstellen Sie eine vollständige Kopie des aktuellen Zustands — Dateien und Datenbank. Sie dient als Beweis und hilft, den Einstiegspunkt zu finden.
2. Aktivieren Sie den Wartungsmodus oder nehmen Sie die Seite offline, falls sie Schadcode an Besucher ausliefert.
3. Ändern Sie sämtliche Passwörter — Hosting-Panel, FTP/SFTP, Datenbank, alle WordPress-Administratoren. Alle, nicht nur einzelne.
4. Prüfen Sie die Benutzerliste in WordPress und entfernen Sie unbekannte Konten.
5. Informieren Sie Ihren Hoster. Bei uns genügt ein Ticket; wir können die Zugriffsprotokolle auswerten, die den Einstiegspunkt oft sofort zeigen.

Bereinigung

Der schnellste und zuverlässigste Weg ist die Wiederherstellung eines Backups von vor dem Angriff. Genau deshalb ist das tägliche Backup, das in allen unseren Paketen enthalten ist, der eine Punkt, der aus einer Katastrophe eine Unannehmlichkeit macht.

Falls kein sauberes Backup existiert:

• WordPress-Kern durch frische Dateien von wordpress.org ersetzen — wp-admin und wp-includes löschen und neu kopieren
• Alle Plugins und das Theme mit sauberen Kopien aus offiziellen Quellen überschreiben
• wp-content/uploads nach .php-Dateien durchsuchen — dort gehören sie nicht hin, es sind fast immer Backdoors
• wp-config.php und .htaccess auf fremde Zeilen prüfen
• In der Datenbank die Tabellen wp_posts und wp_options nach <script und base64_decode durchsuchen
• Mit Wordfence oder Sucuri scannen und nach der Bereinigung erneut scannen

Entscheidend: die Backdoor ist wichtiger als der sichtbare Schaden. Wenn Sie die Spam-Seiten entfernen, aber eine versteckte Datei übersehen, ist in einer Woche alles zurück.

Ansehen bei Google wiederherstellen

Wenn die Seite sicher sauber ist, beantragen Sie in der Search Console unter „Sicherheitsprobleme" eine erneute Überprüfung. Google antwortet meist innerhalb von drei bis sieben Tagen, danach verschwindet die Chrome-Warnung automatisch. Wurden Spam-Seiten indexiert, beantragen Sie deren Entfernung und liefern für diese Pfade den Status 410 aus.

Wie der Angreifer hereinkam

In der Praxis sind die Ursachen fast immer dieselben:

• Ein veraltetes Plugin — mit Abstand der häufigste Fall. Eine Lücke wird veröffentlicht, Sie haben nicht aktualisiert, Bots scannen binnen eines Tages das gesamte Netz.
• Ein schwaches Passwort — Benutzername „admin" plus etwas, das sich per Brute Force knacken lässt.
• Ein infizierter Arbeitsrechner — gestohlene FTP-Zugangsdaten aus Software auf Ihrem PC.
• Nulled Themes oder Plugins — raubkopierte Premium-Erweiterungen enthalten praktisch regelmäßig eine eingebaute Backdoor.

Damit es sich nicht wiederholt

• WordPress, Themes und Plugins mindestens wöchentlich aktualisieren
• Zwei-Faktor-Authentifizierung für alle Administratoren
• Anmeldeversuche begrenzen und die Standard-Login-URL ändern
• Ungenutzte Plugins entfernen — ein deaktiviertes Plugin ist weiterhin Code auf dem Server
• Hosting mit WAF wählen, die bekannte Angriffe abfängt, bevor sie WordPress erreichen
• Prüfen, ob Backups tatsächlich existieren und wiederherstellbar sind — ein ungetestetes Backup ist kein Backup

Unsere Server enthalten WAF und DDoS-Schutz im Preis, dazu tägliche Backups mit Vorversionen. Details finden Sie auf der Seite WordPress-Hosting.