Start / Kurze Tipps

WordPress gehackt: was jetzt zu tun ist

Ihre Website leitet auf fremde Seiten um, Google warnt vor ihr oder der Hoster hat sie gesperrt? Löschen Sie noch nichts und sichern Sie zuerst den aktuellen Zustand. Gehen Sie dann in dieser Reihenfolge vor, sonst kommt die Infektion bald zurück.

So erkennen Sie einen Hack

• Weiterleitungen auf fremde Websites, oft nur auf dem Smartphone oder beim Aufruf über Google.
• Eine Warnung im Browser oder in der Search Console unter Sicherheitsprobleme.
• Fremde Seiten in den Suchergebnissen, wenn Sie site:ihredomain.de eingeben.
• Ein unbekannter Administrator, unbekannte Dateien oder eine E-Mail des Hosters wegen Spamversand.

Was zu tun ist

1. Sichern Sie Dateien und Datenbank so, wie sie sind. Das Backup dient der Analyse und als Rückweg, falls die Bereinigung misslingt.
2. Ändern Sie alle Passwörter: WordPress-Administratoren, Hosting, FTP oder SFTP, Datenbank. Nutzen Sie dafür einen Computer, dem Sie vertrauen.
3. Löschen Sie unbekannte Administratoren und tauschen Sie die Sicherheitsschlüssel in der wp-config.php aus. So werden alle aktiven Sitzungen abgemeldet.
4. Ersetzen Sie Dateien durch Originale: WordPress-Core, Plugins und Themes. Löschen Sie nicht genutzte Plugins und Themes.
5. Prüfen Sie, was Originale nicht ersetzen: PHP-Dateien in wp-content/uploads, den Ordner mu-plugins, .htaccess-Dateien, die wp-config.php, die Einträge siteurl und home in der Tabelle wp_options sowie fremde Skripte im Inhalt.
6. Finden Sie das Einfallstor. Meist ist es ein veraltetes Plugin, ein Raubkopie-Theme oder ein abgeflossenes Passwort. Solange die Lücke offen ist, kommt der Angreifer wieder.
7. Beantragen Sie eine Überprüfung. Nach der Bereinigung beantragen Sie sie in der Search Console unter Sicherheitsprobleme, damit die Warnung verschwindet.

Reicht es, ein Backup einzuspielen?

Nur wenn Sie wissen, wann der Hack passiert ist, und das Backup älter ist. Auch dann müssen Sie die Lücke schließen, durch die der Angreifer kam. Eine Infektion steckt oft wochenlang in der Website, bevor sie auffällt, daher können auch die letzten Backups infiziert sein.

Woran Sie denken sollten

Konnte der Angreifer auf personenbezogene Daten Ihrer Kunden zugreifen? Dann kann eine Meldepflicht an die Behörde innerhalb von 72 Stunden bestehen. Aktivieren Sie nach der Bereinigung die Zwei-Faktor-Anmeldung und regelmäßige Updates.

Möchten Sie das nicht selbst erledigen? Ich bereinige Ihre gehackte Website und finde das Einfallstor, die Erstdiagnose ist kostenlos.