WordPress gehackt: Was du in 30 Minuten tun solltest

Deine WordPress-Seite ist gehackt? Erst mal durchatmen. In den ersten 30 Minuten geht es darum, nichts schlimmer zu machen. Nichts löschen, Zugänge ändern, Hoster informieren und den Zustand festhalten. Die eigentliche Reparatur kommt danach.

Woran erkenne ich einen Hack?

Typische Anzeichen:

• Deine Seite leitet auf fremde Shops oder Gewinnspiele um
• Google oder der Browser zeigt eine rote Warnung
• In WordPress tauchen Benutzer auf, die du nicht kennst
• Es gibt Beiträge oder Seiten, die du nie geschrieben hast
• Dein Hoster hat die Seite gesperrt oder dir eine Malware-Warnung geschickt
• Deine Seite verschickt plötzlich Spam-Mails

Ein einzelnes Anzeichen kann auch harmlos sein. Mehrere zusammen sind ein deutliches Signal.

Die ersten 30 Minuten

1. Nichts löschen (Minute 0 bis 5)

Der erste Reflex ist oft: alles weg, Sicherung drauf. Das ist riskant.

Ältere Sicherungen können den Schadcode schon enthalten. Und wer jetzt löscht, löscht auch die Spuren, die zeigen, wie der Angreifer reingekommen ist. Ohne diese Spuren passiert es wieder.

2. Zustand festhalten (Minute 5 bis 10)

Mach Screenshots von allem, was dir auffällt. Notiere:

• Wann ist es dir aufgefallen?
• Was genau passiert?
• Hast du in den letzten Tagen etwas geändert, ein Plugin installiert oder ein Update gemacht?

Das spart später viel Zeit.

3. Passwörter ändern (Minute 10 bis 20)

Ändere alle Zugänge. Und zwar von einem Gerät, auf dem du keine Schadsoftware vermutest.

• WordPress-Administratoren
• Hosting-Kundenkonto
• FTP oder SFTP
• Datenbank, wenn du Zugriff hast
• E-Mail-Postfach, das mit WordPress verbunden ist

Nutze lange, zufällige Passwörter aus einem Passwortmanager. Und schalte die Zwei-Faktor-Anmeldung ein, wo es geht.

4. Hoster informieren (Minute 20 bis 25)

Schreib deinem Hoster kurz, was passiert ist. Viele Hoster haben Protokolle, die bei der Suche helfen. Manche können die Seite vorübergehend sperren, damit keine Besucher geschädigt werden.

5. Hilfe holen (Minute 25 bis 30)

Eine gehackte Seite sauber zu reparieren, ist Facharbeit. Es reicht nicht, die sichtbaren Spuren zu entfernen. Angreifer hinterlassen oft Hintertüren, über die sie wiederkommen.

Was du nicht tun solltest

• Passwörter oder Zugänge per E-Mail verschicken
• Wahllos Sicherheits-Plugins installieren und „scannen lassen“
• Die Seite einfach neu installieren und alte Dateien zurückkopieren
• Abwarten und hoffen

Wie geht es nach den 30 Minuten weiter?

Die Reparatur läuft in vier Schritten:

1. Diagnose: Wie kam der Angreifer rein? Was wurde verändert?
2. Bereinigung: Schadcode, fremde Benutzer und Hintertüren entfernen
3. Absicherung: Lücke schließen, alles aktualisieren, Zugänge härten
4. Nachkontrolle: Prüfen, ob Google-Warnungen verschwinden und nichts zurückkommt

Für Technikinteressierte

• Prüfe die Server-Zugriffsprotokolle auf auffällige POST-Anfragen, etwa an xmlrpc.php oder unbekannte PHP-Dateien in wp-content/uploads
• Vergleiche Core-Dateien mit den Prüfsummen von WordPress.org (wp core verify-checksums)
• Suche in der Datenbank nach unbekannten Administratoren und nach eingeschleusten Skripten in wp_options und wp_posts
• Erneuere die Salts in wp-config.php, damit alle Sitzungen ungültig werden

Quellen

• WordPress.org: FAQ My site was hacked
• BSI: Sichere Passwörter