Website gehackt · WordPress
WordPress gehackt: erkennen, säubern, absichern
WordPress betreibt einen großen Teil aller Websites und ist deshalb das häufigste Ziel automatisierter Angriffe. Fast immer kommt der Angreifer nicht über WordPress selbst, sondern über ein Plugin oder Theme.
Einfallstore
Wie WordPress-Seiten gehackt werden
Der WordPress-Kern ist gut gepflegt und bekommt Sicherheitsupdates oft automatisch. Der weitaus größte Teil der bekannt gewordenen Lücken steckt nach den Auswertungen von Sicherheitsanbietern wie Patchstack und Wordfence in Plugins und Themes. Eine typische Firmenwebsite hat zwanzig bis vierzig davon, darunter Seitenbaukästen, Formulare, Slider, SEO- und Cookie-Plugins. Jedes ist Software eines anderen Herstellers mit eigenem Update-Rhythmus, und manche werden irgendwann gar nicht mehr gepflegt.
Wird eine Lücke veröffentlicht, suchen Bots innerhalb von Stunden nach Seiten mit der betroffenen Version. Ob Ihre Firma bekannt ist, spielt dabei keine Rolle. Weitere häufige Wege: schwache oder wiederverwendete Administrator-Passwörter, Premium-Plugins aus inoffiziellen Quellen mit eingebautem Schadcode, und mehrere Websites im selben Hosting-Konto, die sich gegenseitig anstecken.
Typische Muster
Was Angreifer mit WordPress-Seiten machen
Spam-Weiterleitungen
Code in der .htaccess, in wp-config.php oder in der Datenbank leitet Besucher von Google oder vom Handy auf fremde Seiten. Eingeloggte Administratoren sehen davon nichts.
Spam-Seiten bei Google
Tausende neue Seiten mit japanischen Zeichen, Markenware oder Arzneimitteln, nur für Suchmaschinen sichtbar. Ihre Rankings leiden, Google warnt vor der Seite.
Hintertüren und fremde Admins
PHP-Dateien mit unauffälligen Namen in wp-content/uploads, zusätzliche Administratoren, manipulierte Plugin-Dateien. Damit kommt der Angreifer nach jeder Bereinigung wieder.
Spam-Versand
Der Server verschickt massenhaft E-Mails. Der Hoster sperrt den Versand, und plötzlich kommen auch Ihre normalen Mails nicht mehr an.
Skripte im Bezahlvorgang
Bei WooCommerce-Shops wird Code eingeschleust, der Zahlungsdaten im Bestellformular mitliest. Dann ist das ein Datenschutzvorfall.
Defacement
Die Startseite wird durch eine Botschaft ersetzt. Selten geworden, weil unauffällige Angriffe sich mehr lohnen.
Bereinigung
So wird eine WordPress-Seite wieder sauber
- Sichern und offline nehmen. Kopie aller Dateien und der Datenbank für die Analyse, dann Wartungsmodus.
- Zugänge ändern. Hosting, FTP, Datenbank, alle WordPress-Administratoren, Salts in
wp-config.phpneu erzeugen, damit alle Sitzungen ungültig werden. - Kern, Plugins und Themes ersetzen. Nicht reparieren, sondern frisch aus offiziellen Quellen installieren. Nicht mehr gepflegte Plugins ersetzen oder entfernen.
- Uploads und Datenbank durchsuchen. PHP-Dateien im Upload-Ordner, fremde Benutzer, eingeschleuste Skripte in Beiträgen, Widgets und Optionen.
- Einfallstor bestimmen. Server-Protokolle und Dateizeiten zeigen meist, welches Plugin oder welcher Zugang der Weg war. Ohne diesen Schritt bleibt die Bereinigung Glückssache.
- Wieder online, Google informieren. Überprüfung in der Search Console beantragen, Hoster-Sperre aufheben lassen.
Sicherheits-Plugins helfen beim Finden, ersetzen aber nicht den Blick auf die Ursache. Sie sind selbst Plugins und brauchen ebenfalls Updates.
Danach
Wartung oder neue Basis?
Wer bei WordPress bleibt, braucht danach eine verbindliche Wartung: Updates zeitnah einspielen, vorher auf einer Kopie testen, Plugins regelmäßig ausdünnen, Backups prüfen. Das kostet jeden Monat Zeit oder Geld, und es reicht ein verpasstes Update.
Die Alternative ist, die Ursache wegzunehmen. Die meisten Firmenwebsites brauchen kein CMS mit Datenbank und Plugins, sie brauchen schnelle Seiten und eine einfache Möglichkeit, Texte zu ändern. Genau das macht Phönix: Die bestehende WordPress-Seite wird übernommen und ohne CMS neu aufgebaut, Adressen bleiben erhalten, gepflegt wird per Chat. Auch diese Website lief bis Oktober 2026 auf WordPress.
Soforthilfe
Website gehackt? Wir helfen sofort.
- Erste Einschätzung am Telefon: was jetzt zu tun ist und was warten kann
- Schadcode entfernen, Einfallstor finden und schließen
- Passwörter, Zugänge und Backups prüfen
- Google-Warnung entfernen lassen, Hoster-Sperre aufheben
- Unterlagen für die Datenschutzprüfung, falls Daten betroffen sein könnten
Danach
Aufräumen oder neu aufbauen?
Aufräumen hilft heute. Wenn die Website aber auf einem CMS mit vielen Plugins läuft, bleibt das Risiko beim nächsten verpassten Update dasselbe. Mit Phönix bauen wir die bestehende Website ohne CMS, Datenbank und Plugins neu auf: Inhalte und Adressen bleiben, gepflegt wird per Chat, Pflichtupdates gibt es nicht mehr.
Das macht eine Website nicht unangreifbar, aber die Angriffsfläche wird sehr viel kleiner.
Weiterlesen