www.simplify-data.de
Ihre WordPress-Website leitet plötzlich auf fremde Seiten um, Google warnt vor Schadsoftware oder es tauchen unbekannte Administratoren auf? Dann ist schnelles, aber überlegtes Handeln gefragt. Dieser Artikel zeigt Schritt für Schritt, was Sie nach einem Hack sofort tun sollten und wie Sie Ihre Website danach absichern.
Woran Sie einen Hack erkennen
Nicht jede Störung ist ein Angriff. Typische Anzeichen für eine kompromittierte Website sind:
- Besucher werden auf fremde Seiten umgeleitet, oft nur auf Mobilgeräten oder nur bei Aufruf über Google.
- Google, Browser oder Virenscanner warnen vor der Seite.
- In der Google Search Console erscheinen Sicherheitsprobleme oder fremde Seiten im Index.
- Es gibt unbekannte Benutzerkonten mit Administratorrechten.
- Ihr Hoster sperrt die Website oder meldet Spam-Versand vom Server.
- Auf der Seite erscheinen Inhalte, die Sie nicht veröffentlicht haben.
Halten Sie fest, was Sie beobachten und wann. Diese Notizen sind die Grundlage für die weitere Analyse und gegebenenfalls für Meldepflichten.
Die ersten Schritte: Schaden begrenzen
1. Ruhe bewahren und dokumentieren
Notieren Sie Symptome, Uhrzeit und die letzten Änderungen an der Website, etwa neue Plugins oder Theme-Anpassungen. Machen Sie Screenshots von Warnmeldungen. Löschen Sie nicht vorschnell Dateien, denn sie helfen später zu verstehen, wie der Angreifer eingedrungen ist.
2. Website in den Wartungsmodus versetzen oder vom Netz nehmen
Wenn die Seite Besucher auf Schadseiten umleitet oder Schadcode verteilt, sollten Sie sie vorübergehend offline nehmen oder eine statische Wartungsseite schalten. So schützen Sie Ihre Besucher und begrenzen den Schaden für Ihren Ruf. Ihr Hoster kann dabei oft helfen.
3. Hoster informieren
Bei Shared Hosting kann der Angriff auch andere Bereiche des Servers betreffen. Der Hoster kann Logdateien bereitstellen, die zeigen, wann und wie zugegriffen wurde, und hat möglicherweise eigene Backups.
4. Sicherungskopie des aktuellen Zustands anlegen
Auch wenn es paradox klingt: Sichern Sie den infizierten Zustand von Dateien und Datenbank, bevor Sie etwas ändern. Diese Kopie wird nicht wieder eingespielt, sondern dient der Analyse und als Rückfallebene, falls bei der Bereinigung etwas schiefgeht.
5. Alle Zugänge ändern
Ändern Sie sämtliche Passwörter: WordPress-Administratoren, Hosting-Kundenbereich, FTP oder SFTP, Datenbank und E-Mail-Konten, die mit der Website verbunden sind. Erneuern Sie außerdem die Sicherheitsschlüssel in der Datei wp-config.php. Dadurch werden alle aktiven Anmeldungen beendet, auch die des Angreifers. Prüfen Sie die Benutzerliste und entfernen Sie unbekannte Konten.
Wichtig: Ändern Sie die Passwörter nach der Bereinigung noch einmal. Solange noch Schadcode auf dem Server liegt, könnten neue Passwörter erneut abgegriffen werden.
6. Eigene Rechner prüfen
Manche Angriffe beginnen nicht auf dem Server, sondern auf dem Rechner eines Administrators, etwa durch Schadsoftware, die Zugangsdaten ausliest. Scannen Sie die Geräte, mit denen Sie auf die Website zugreifen.
Bereinigen: Backup oder Neuaufbau
Es gibt zwei grundsätzliche Wege zurück zu einer sauberen Website.
| Weg | Wann sinnvoll | Zu beachten |
|---|---|---|
| Wiederherstellung aus Backup | Ein sauberes Backup aus der Zeit vor dem Angriff liegt vor | Änderungen und Bestellungen seit dem Backup gehen verloren; Sicherheitslücke muss trotzdem geschlossen werden |
| Manuelle Bereinigung | Kein sauberes Backup oder Datenverlust nicht akzeptabel | Aufwendig, erfordert Erfahrung; versteckte Hintertüren werden leicht übersehen |
Bei der manuellen Bereinigung werden WordPress-Core-Dateien, Plugins und Themes durch frische Kopien aus offiziellen Quellen ersetzt, und zwar in derselben Version wie zuvor. Danach werden der Ordner wp-content, die Datei .htaccess und die Datenbank auf eingeschleusten Code geprüft. Angreifer hinterlassen häufig sogenannte Backdoors, also versteckte Zugänge, über die sie später zurückkehren können.
Eine Wiederherstellung allein reicht nicht. Wenn die Ursache, etwa ein veraltetes Plugin mit bekannter Sicherheitslücke, nicht behoben wird, ist die Website schnell wieder kompromittiert.
Datenschutz: Meldepflichten prüfen
Wenn bei dem Angriff personenbezogene Daten betroffen sein könnten, etwa Kundendaten aus einem Onlineshop, Formulareinträge oder Benutzerkonten, greifen die Regeln der DSGVO. Nach Art. 33 DSGVO muss eine Verletzung des Schutzes personenbezogener Daten in der Regel innerhalb von 72 Stunden nach Bekanntwerden der zuständigen Datenschutzaufsichtsbehörde gemeldet werden, es sei denn, sie führt voraussichtlich nicht zu einem Risiko für die betroffenen Personen. Bei einem hohen Risiko müssen nach Art. 34 DSGVO auch die Betroffenen informiert werden.
Ob eine Meldung nötig ist, hängt vom Einzelfall ab. Binden Sie frühzeitig Ihren Datenschutzbeauftragten oder eine rechtliche Beratung ein, denn die Frist läuft ab Kenntnis des Vorfalls.
Nach der Bereinigung: zurück ins Netz
- Alles aktualisieren: WordPress, Plugins, Themes und PHP-Version auf einen unterstützten Stand bringen.
- Ungenutztes entfernen: Deaktivierte Plugins und Themes löschen, denn auch sie können angreifbar sein.
- Passwörter erneut ändern und Zwei-Faktor-Authentifizierung für Administratoren aktivieren.
- Google informieren: Wenn Google die Seite als gefährlich markiert hat, beantragen Sie in der Search Console eine Überprüfung.
- Monitoring einrichten: Erreichbarkeit und Dateiänderungen überwachen lassen.
- Backups prüfen: Automatische, externe Backups einrichten und die Wiederherstellung testen.
- Ursache dokumentieren: Halten Sie fest, wie der Angriff vermutlich ablief und welche Maßnahmen ergriffen wurden.
Vorbeugen ist günstiger
Die meisten erfolgreichen Angriffe auf WordPress nutzen bekannte Sicherheitslücken in veralteten Plugins oder Themes oder schwache Zugangsdaten. Regelmäßige Updates, wenige und gut gepflegte Plugins, starke Passwörter mit Zwei-Faktor-Anmeldung und funktionierende Backups verhindern einen großen Teil der Vorfälle. Was nicht verhindert wird, lässt sich mit einem guten Backup deutlich schneller beheben. Legen Sie außerdem fest, wer im Ernstfall zuständig ist und wo Zugangsdaten und Notfallkontakte hinterlegt sind.
Wie Simplify Data unterstützt
Simplify Data hilft Unternehmen in Kiel, Schleswig-Holstein, Hamburg und deutschlandweit dabei, gehackte WordPress-Websites zu bereinigen und dauerhaft abzusichern. Mit laufender Betreuung, Updates und Backups sinkt das Risiko, dass es überhaupt so weit kommt. WordPress-Betreuung anfragen