WordPress gehackt: Ablauf für Bereinigung

Ist Ihre WordPress-Website kompromittiert? Dann arbeiten Sie in dieser Reihenfolge: Seite isolieren, zuerst eine Sicherung des befallenen Zustands anlegen, danach bereinigen, also Kerndateien, Erweiterungen, Themes und unbekannte Konten, auf einen sauberen Stand zurückkehren und erst am Ende neu absichern.

Beginnen Sie niemals damit, verdächtigen Code zu entfernen, bis es wieder läuft. Dann übersehen Sie die Hintertür, über die der Angreifer zurückkommt, und Sie stehen in zwei Wochen wieder hier.

In diesem Artikel steht der vollständige Ablauf, wie Sie die Warnung in der Suche wieder loswerden, was in der EU an Meldepflichten dazukommt und wie Sie verhindern, dass es erneut passiert.

Eine Vorbemerkung zur Plattform: Dieser Artikel behandelt WordPress, weil die Systeme dort am weitesten verbreitet und die Angriffe am besten dokumentiert sind. Der Ablauf ist aber weitgehend übertragbar. Jedes selbst betriebene System hat dieselbe Schwachstelle, nämlich liegengebliebene Aktualisierungen, wie Gehosteter Baukasten, offenes CMS oder Eigenbau beschreibt.

Woran Sie sicher erkennen, dass es passiert ist

Ein Einbruch zeigt sich meist an wenigen wiederkehrenden Anzeichen:

Besucher werden auf Glücksspiel-, Spam- oder dubiose Seiten weitergeleitet
Ihre Startseite ist sichtbar verändert
Im Verwaltungsbereich tauchen unbekannte Administratorkonten auf
Die Search Console meldet gehackte Inhalte
Ihre Seite ist plötzlich langsam, ohne dass sich etwas geändert hat
Ihr Hoster warnt vor auffälligem Datenverkehr oder Massenversand von E-Mails
Ihre Rankings brechen ein, weil versteckte Spamseiten gefunden wurden

Der letzte Punkt ist der tückischste. Ein erheblicher Teil der Einbrüche ist für Besucher unsichtbar und richtet sich ausschließlich an Suchmaschinen. Sie merken es dann nicht am Aussehen, sondern an der Sichtbarkeit.

Ein schneller Test: Suchen Sie in Google nach Ihrer Domain mit dem Operator für Seitenabfragen und sehen Sie sich an, welche Seiten indexiert sind. Tauchen dort Seiten auf, die Sie nie erstellt haben, ist die Sache eindeutig. Prüfen Sie außerdem, wie Ihre Seite für einen Suchmaschinen-Crawler aussieht, denn manche Angriffe zeigen Besuchern und Crawlern Unterschiedliches.

Schritt 1: Isolieren

Nehmen Sie die Seite aus dem Verkehr, bevor Sie etwas anderes tun. Ziel ist, den Schaden zu begrenzen: keine weiteren Besucher, die auf Schadseiten geleitet werden, kein weiterer Spamversand über Ihren Server, keine weitere Ausbreitung.

Konkret:

Wartungsmodus aktivieren oder die Seite über den Hoster offline nehmen. Eine schlichte Wartungsseite genügt, sie sollte aber nicht selbst aus dem befallenen System kommen.
Ihren Hoster informieren. Die meisten haben dafür einen definierten Ablauf und sehen in ihren Protokollen mehr als Sie. Häufig ist Ihre Seite außerdem nicht die einzige betroffene auf demselben Server.
Alle Passwörter ändern, aber von einem Rechner aus, der nicht selbst betroffen ist: Verwaltungszugang, Datenbank, Dateizugang, Hosting-Konto und die E-Mail-Adresse, mit der diese Konten verknüpft sind. Die letzte wird regelmäßig vergessen und ist der Weg zurück in alles andere.
Alle angemeldeten Sitzungen beenden, damit gestohlene Sitzungsdaten nutzlos werden.

Schritt 2: Sichern Sie den befallenen Zustand

Das klingt widersinnig und ist der wichtigste Schritt, den die meisten auslassen.

Legen Sie eine vollständige Kopie an, Dateien und Datenbank, im aktuellen, befallenen Zustand. Drei Gründe:

Sie brauchen sie zur Untersuchung. Nur darin steht, wie der Angreifer hereinkam. Bereinigen Sie ohne diese Kopie, schließen Sie die Lücke nie.

Sie brauchen sie als Rückfallebene. Wenn die Bereinigung schiefgeht, ist eine befallene Seite immer noch besser als eine zerstörte.

Sie brauchen sie möglicherweise als Nachweis. Wenn personenbezogene Daten betroffen sind, müssen Sie dokumentieren können, was passiert ist. Dazu gleich mehr.

Beschriften Sie diese Kopie eindeutig und lagern Sie sie getrennt, damit sie nicht versehentlich zurückgespielt wird.

Schritt 3: Bereinigen

Jetzt beginnt die eigentliche Arbeit. Das Prinzip: ersetzen statt reparieren.

Kerndateien austauschen. Laden Sie eine saubere Version des Systems in der aktuellen Fassung und ersetzen Sie alle Kerndateien vollständig. Nicht einzelne verdächtige Zeilen entfernen. Ersetzen.

Erweiterungen und Themes ersetzen. Löschen Sie alle und installieren Sie sie aus der offiziellen Quelle neu. Alles, was Sie nicht aus einer sauberen Quelle nachinstallieren können, etwa eine Erweiterung, die es nicht mehr gibt oder die von einem früheren Dienstleister stammt, wird nicht wiederhergestellt. Genau dort sitzt die Ursache besonders häufig.

Das Verzeichnis für Uploads durchsuchen. Ausführbarer Code hat dort nichts zu suchen. Dateien mit Skriptendungen in Bildverzeichnissen sind ein eindeutiges Zeichen.

Alle Benutzerkonten prüfen. Jedes Administratorkonto, das Sie nicht zuordnen können, wird gelöscht. Prüfen Sie außerdem, ob bestehende Konten heimlich zu Administratoren erhoben wurden.

Die Datenbank prüfen. Angreifer legen dort gern Einträge ab, die bei jedem Seitenaufruf ausgeführt werden. Suchen Sie in den Optionstabellen und in den Inhalten nach eingebetteten Skripten und nach verschleiertem Code.

Geplante Aufgaben prüfen. Eine wiederkehrend geplante Aufgabe, die den Schadcode nach Ihrer Bereinigung wieder einspielt, ist ein klassisches Muster. Wer sie übersieht, bereinigt zweimal.

Dateiberechtigungen und Konfigurationsdatei prüfen. Zu weit gesetzte Rechte und Einträge in der zentralen Konfigurationsdatei, die dort nicht hingehören.

Wann ein Neuaufbau die bessere Wahl ist: wenn Sie den Einstiegsweg nicht finden, wenn der Befall über Monate unbemerkt lief, wenn mehrere Seiten auf demselben Konto betroffen sind, oder wenn Sie keine saubere Sicherung von vor dem Befall haben.

Schritt 4: Wiederherstellen und die Warnung loswerden

Aus einer sauberen Sicherung zurückkehren, wenn Sie eine haben. Entscheidend ist der Zeitpunkt: Er muss vor dem Befall liegen, und das ist häufig früher, als man annimmt. Prüfen Sie den Zeitpunkt anhand der Protokolle, nicht anhand des Zeitpunkts, an dem Ihnen etwas aufgefallen ist.

Danach sofort alles aktualisieren. Kern, Erweiterungen, Themes. Eine wiederhergestellte alte Sicherung enthält die Lücke, über die der Angriff lief.

Prüfen, ob die Seite tatsächlich sauber ist. Aus mehreren Richtungen: als normaler Besucher, aus einer anderen Verbindung, mobil, und mit Blick auf die Ansicht, die ein Suchmaschinen-Crawler bekommt.

Erst dann die Sicherheitsprüfung beantragen. Wenn Google Ihre Seite als gehackt markiert hat, beantragen Sie in der Search Console eine Überprüfung. Beschreiben Sie dabei, was Sie gefunden und getan haben. Ein Antrag, der gestellt wird, bevor die Seite wirklich sauber ist, wird abgelehnt und verlängert die Warnung, statt sie zu verkürzen.

Danach die Sichtbarkeit beobachten. Sind Spamseiten indexiert worden, brauchen Sie einige Wochen, bis diese wieder aus dem Index fallen. Sorgen Sie dafür, dass diese URLs einen eindeutigen Fehlerstatus zurückgeben, statt weiterzuleiten. Wie Sie die Erholung verfolgen, beschreibt Rank-Tracking einrichten.

Was in der EU zusätzlich zu tun ist

Dieser Teil fehlt in fast allen Anleitungen und ist im deutschsprachigen Raum der Teil mit den härtesten Fristen.

Prüfen Sie zuerst, ob personenbezogene Daten betroffen waren. Auf einer B2B-Website ist das schneller der Fall, als man denkt: Formulareingänge, Kommentare, Newsletter-Empfänger, Kundenkonten, Serverprotokolle mit IP-Adressen. Eine Seite ohne Kundenkonten ist nicht automatisch eine Seite ohne personenbezogene Daten.

Wenn ja, läuft eine Frist. Eine Verletzung des Schutzes personenbezogener Daten ist der zuständigen Aufsichtsbehörde grundsätzlich innerhalb von 72 Stunden zu melden, sofern nicht voraussichtlich kein Risiko besteht. Diese Uhr beginnt mit der Kenntnis von dem Vorfall, nicht mit dem Abschluss Ihrer Bereinigung. Wer erst aufräumt und dann prüft, hat die Frist häufig bereits überschritten.

Bei hohem Risiko kommt die Benachrichtigung der Betroffenen dazu. Also der Menschen, deren Daten betroffen sind.

Dokumentieren Sie den Vorfall in jedem Fall. Was passiert ist, wann Sie es bemerkt haben, was betroffen war, was Sie getan haben. Diese Dokumentation ist unabhängig von der Meldepflicht zu führen.

In der Schweiz gilt ein eigener Rahmen. Meldungen gehen dort an die eigene Aufsichtsbehörde, und die Fristen und Schwellen sind anders formuliert. Wenn Sie Kunden in mehreren Ländern haben, klären Sie das vorab und nicht im Vorfall.

Zwei praktische Konsequenzen: Erstens gehört diese Prüfung in Schritt eins Ihres Ablaufs, nicht in Schritt sechs. Zweitens sollten Sie wissen, wer bei Ihnen diese Entscheidung trifft, bevor der Fall eintritt. Der häufigste Grund für eine verpasste Frist ist nicht Nachlässigkeit, sondern eine ungeklärte Zuständigkeit.

Schritt 5: Absichern, damit es nicht wieder passiert

Ein Einbruch ist selten raffiniert. In der überwiegenden Zahl der Fälle ist er die Folge einer bekannten Lücke in einer nicht aktualisierten Erweiterung oder eines schwachen Zugangs.

Maßnahme	Warum sie wirkt
Aktualisierungen in einem festen Rhythmus, mit Verantwortlichem	Schließt die Lücken, über die die meisten Angriffe laufen
Zweiter Faktor für alle Verwaltungskonten	Macht gestohlene Passwörter allein nutzlos
Nur so viele Administratoren wie nötig	Reduziert die Angriffsfläche unmittelbar
Ungenutzte Erweiterungen und Themes löschen, nicht deaktivieren	Deaktivierter Code ist trotzdem vorhanden und angreifbar
Automatische Sicherungen, getrennt vom Produktivsystem	Eine Sicherung auf demselben Server hilft im Ernstfall nicht
Wiederherstellung einmal testen	Eine ungetestete Sicherung ist eine Annahme
Anmeldeversuche begrenzen	Stoppt automatisierte Angriffe auf Zugangsdaten
Konten ausgeschiedener Personen und Dienstleister entfernen	Ein häufig übersehener Zugang

Der wichtigste Punkt daran ist der erste, und zwar nicht die Aktualisierung selbst, sondern der Verantwortliche. Wartung, für die niemand namentlich zuständig ist, findet nicht statt. Was in einen solchen Vertrag gehört, behandelt Website-Wartungsvertrag und SLA, und was laufende Pflege überhaupt umfasst, Was ist Website-Wartung.

Wenn Sie das nicht selbst leisten wollen, ist das eine legitime Entscheidung. Die Abwägung dazu steht in WordPress-Wartung auslagern.

Häufige Fragen

Wie lange dauert die Bereinigung?

Bei einem klar begrenzten Befall mit sauberer Sicherung einige Stunden. Ohne brauchbare Sicherung oder bei einem Befall, der Monate unbemerkt lief, mehrere Tage, und dann ist der Neuaufbau oft der schnellere Weg.

Verliere ich meine Rankings?

Kurzfristig meistens etwas, dauerhaft selten. Entscheidend ist die Geschwindigkeit: Je länger Spamseiten indexiert sind und eine Warnung angezeigt wird, desto länger dauert die Erholung. Nach vollständiger Bereinigung und erfolgreicher Überprüfung kehrt die Sichtbarkeit in der Regel zurück.

Reicht ein Sicherheits-Plugin zur Bereinigung?

Zum Erkennen ja, zum Bereinigen nur bedingt. Ein solches Werkzeug findet bekannte Muster und übersieht angepassten Code. Vor allem findet es selten die Hintertür. Nutzen Sie es zur Diagnose und ersetzen Sie danach trotzdem.

Muss ich meine Kunden informieren?

Wenn deren personenbezogene Daten betroffen waren und ein hohes Risiko besteht, ja. Unabhängig davon ist es bei einer B2B-Website meist die klügere Entscheidung, betroffene Kontakte aktiv zu informieren, statt zu hoffen, dass es niemandem auffällt.

Wie erkenne ich, welche Erweiterung schuld war?

Über die Zugriffsprotokolle Ihres Servers, verglichen mit dem Zeitpunkt der ersten Veränderung. Ihr Hoster kann dabei helfen. Wenn Sie keine Protokolle haben, ist das die wichtigste Lehre aus dem Vorfall.

Sollten wir die Plattform wechseln?

Nicht als Reaktion auf einen Vorfall. Jedes selbst betriebene System teilt dasselbe Risiko, und ein Wechsel ohne geregelte Wartung verschiebt das Problem nur. Wechseln Sie, wenn es andere gute Gründe gibt, wie CMS für SEO auswählen und CMS-Migration beschreiben.

Wollen Sie, dass das nicht wieder passiert?

Der Ablauf oben bringt Ihre Seite zurück. Was sie danach sicher hält, ist Wartung mit einem Namen daran. Sehen Sie sich an, wie wir Websites bauen und betreuen, oder vereinbaren Sie ein kostenloses Erstgespräch, und wir sehen uns Ihren aktuellen Stand an, bevor etwas passiert.