Kurz gesagt: Setze bei sichtbarer Manipulation den öffentlichen Betrieb aus und informiere deinen Hoster. Sichere den aktuellen Zustand für die Untersuchung. Ein Passwortwechsel oder ein grüner Malware-Scan allein belegt noch keine erfolgreiche Bereinigung.
Bevor du anfängst
- Notiere betroffene URLs, sichtbare Meldungen und den Zeitpunkt der ersten Auffälligkeit.
- Prüfe, ob Besucher weitergeleitet werden oder weiterhin Daten in Formulare eingeben können.
- Öffne den Hosting-Zugang über eine bekannte Adresse und einen vertrauenswürdigen Computer.
1. Ist es ein Hack oder ein anderer Fehler?
Eine kaputte Seite beweist noch keinen Einbruch. Ein kritischer Fehler nach einem Update kann beispielsweise ein normaler Softwarekonflikt sein. Deutlich verdächtiger sind Inhalte, Benutzer oder Weiterleitungen, die niemand aus deinem Team eingerichtet hat. Auch eine Warnung des Hosters solltest du anhand der konkret genannten Dateien oder Vorgänge prüfen lassen.
Halte fest, was du tatsächlich beobachtest: Welche Adresse wird aufgerufen, welche erscheint anschließend in der Adresszeile und tritt das Problem auf dem Smartphone ebenfalls auf? Teste höchstens wenige bekannte Seiten. Öffne keine angebotenen Downloads und melde dich nicht auf einer fremden Zielseite an. Manche Manipulationen erscheinen nur ausgeloggten Besuchern oder nach dem Aufruf aus einer Suchmaschine.
- Nur eine Fehlermeldung nach einem Update: zuerst den letzten technischen Eingriff und das Fehlerprotokoll untersuchen.
- Fremde Inhalte oder zusätzliche Administratoren: von einem Sicherheitsvorfall ausgehen und den Zugriff begrenzen.
- Nur ein Warnhinweis in der Suche: betroffene URL und aktuellen Seiteninhalt prüfen; Suchergebnisse können verzögert aktualisiert werden.
2. Besucher schützen und Beweise erhalten
Wenn deine Seite schädliche Inhalte ausliefert, sollte sie bis zur Klärung nicht öffentlich weiterlaufen. Bitte deinen Hoster um eine Zugriffssperre oder eine saubere Wartungsseite außerhalb der betroffenen WordPress-Installation. Ein Wartungsplugin innerhalb des möglicherweise manipulierten Systems ist dafür keine verlässliche Sicherheitsgrenze.
Sichere vor der Bereinigung Dateien, Datenbank und verfügbare Zugriffs- sowie Fehlerprotokolle getrennt vom laufenden Hosting. Diese Kopie ist Untersuchungsmaterial und darf später nicht versehentlich als saubere Sicherung zurückgespielt werden. Dokumentiere auch, wer bisher Änderungen vorgenommen hat. Wenn der Hoster bereits Dateien isoliert hat, lass dir die Fundstellen nennen, statt die Sperre einfach aufheben zu lassen.
Bei laufenden Bestellungen: Pausiere den betroffenen Bestellweg und kläre offene Zahlungen anhand der vorhandenen Bestellungen und des Zahlungsanbieters. Spiele kein altes Backup über neue Bestellungen, bevor deren Erhalt geklärt ist.
3. Alle betroffenen Zugänge berücksichtigen
Ein Angreifer kann über WordPress, ein Plugin, einen Hosting-Zugang oder einen anderen kompromittierten Zugang eingedrungen sein. Prüfe deshalb gemeinsam mit dem Hoster, welche Zugänge zur Installation gehören. Dazu zählen Administratoren, SFTP beziehungsweise SSH, Hosting-Verwaltung und gegebenenfalls angebundene Dienste.
Sichere die kontrollierenden Konten von einem vertrauenswürdigen Gerät aus mit neuen, einzigartigen Passwörtern. Prüfe unbekannte Benutzer und zusätzliche Zugriffsschlüssel, bevor du sie gezielt sperrst. Erneuere nach der vollständigen Bereinigung die betroffenen Passwörter und Schlüssel abschließend noch einmal: Solange Schadcode vorhanden war, könnte er auch neue Geheimnisse mitgelesen haben. Danach müssen auch bestehende WordPress-Sitzungen ungültig werden; ein neues Passwort für nur einen Administrator beendet nicht automatisch jeden anderen Zugangsweg. Bei Verdacht auf ein kompromittiertes E-Mail-Konto muss dessen Schutz in die Wiederherstellung einbezogen werden.
Zugangsdaten gehören nicht in Screenshots: Für eine erste Anfrage reichen die Website-Adresse, die Symptome und geschwärzte Fehlermeldungen. Passwörter und Zugangsschlüssel übermittelst du ausschließlich über den dafür vorgesehenen geschützten Weg.
4. Ursache schließen und sauber wiederherstellen
Eine Bereinigung braucht zwei Ergebnisse: Die Manipulation muss weg sein, und der ursprüngliche Eintrittsweg darf nicht offen bleiben. Nur die sichtbare Spam-Seite zu löschen reicht deshalb nicht. Untersucht werden müssen auch ausführbare Dateien, ungewöhnliche Erweiterungen, Benutzer, Datenbankinhalte und Mechanismen, die Schadcode erneut anlegen können.
Ein bekannt sauberes Backup kann die Wiederherstellung erleichtern. Sein Alter allein macht es aber nicht vertrauenswürdig: Der Einbruch kann vor dem ersten sichtbaren Symptom stattgefunden haben. Bei einer Wiederherstellung müssen außerdem neue Inhalte, Anfragen und Bestellungen erhalten bleiben. Wo möglich werden ausführbare Programmdateien durch unveränderte Pakete aus vertrauenswürdigen Quellen ersetzt. Individuelle Anpassungen und Mediendateien brauchen eine gesonderte Prüfung.
- Die ausgenutzte Erweiterung aktualisieren, ersetzen oder entfernen, bevor die Seite wieder öffentlich wird.
- Weitere Websites im selben Hosting auf einen gemeinsamen Zugangsweg untersuchen lassen.
- Fundstellen und durchgeführte Maßnahmen dokumentieren, damit ein erneuter Vorfall vergleichbar bleibt.
5. Die Freigabe ist ein eigener Prüfschritt
Teste die bereinigte Seite ausgeloggt, mobil und über die zuvor betroffenen Adressen. Prüfe Navigation, Formulare, Anmeldung und gegebenenfalls den Bestellablauf. Kontrolliere anschließend neue Dateien, Benutzer und Protokolle auf wiederkehrende Auffälligkeiten. Ein Scanner ist dabei ein Hilfsmittel, keine vollständige Bestätigung der Sicherheit.
Bestehen Warnungen bei Suchmaschinen oder Browserdiensten weiter, müssen sie nach der tatsächlichen Bereinigung über den jeweiligen Prüfprozess behandelt werden. Für die Freigabe brauchst du eine nachvollziehbare Antwort auf drei Fragen: Was war betroffen, welcher Zugangsweg wurde geschlossen und woran wurde die erfolgreiche Wiederherstellung geprüft? Wenn eine dieser Antworten fehlt, ist weitere Untersuchung sinnvoll.
6. Den nächsten Vorfall früher bemerken
Halte Erweiterungen überschaubar, entferne ungenutzte Software und vergib nur die tatsächlich benötigten Rechte. Ein Backup ist erst dann eine brauchbare Absicherung, wenn es außerhalb der Installation verfügbar ist und sich wiederherstellen lässt. Ergänze eine einfache Zuständigkeit: Wer prüft Aktualisierungen, Warnmeldungen und auslaufende Zugänge?
Für eine gezielte Untersuchung helfen die erste auffällige URL, der ungefähre Beginn, Hinweise des Hosters und die letzten Änderungen. Schicke keine komplette Datenbank oder ungeschwärzten Protokolle über ein normales Kontaktformular. So kann der nächste Schritt schnell eingegrenzt werden, ohne unnötig vertrauliche Informationen zu verteilen.
Häufige Fragen
Reicht es, mein WordPress-Passwort zu ändern?
Nein. Das schützt den betroffenen Zugang, entfernt aber weder manipulierte Dateien noch zusätzliche Benutzer oder andere Hintertüren. Der Einstiegspunkt und der Umfang des Vorfalls müssen ebenfalls untersucht werden.
Kann ich einfach das letzte Backup einspielen?
Nur wenn es nachweislich vor der Kompromittierung liegt und neuere Geschäftsdaten gesichert sind. Ein Backup kann dieselbe Schwachstelle enthalten. Deshalb gehört das Schließen des Eintrittswegs zur Wiederherstellung.
Warum sehe ich selbst keine Weiterleitung, meine Kunden aber schon?
Manipulationen können von Anmeldung, Gerät oder Zugriffsweg abhängen. Dokumentiere die Beobachtung deiner Kunden und prüfe bekannte Seiten ausgeloggt. Ein unauffälliger Aufruf im Admin-Browser schließt einen Hack nicht aus.
Wie schnell lässt sich eine gehackte Seite reparieren?
Das hängt vom Umfang, verfügbaren Sicherungen und dem Zugangsweg ab. Eine erste Eingrenzung ist etwas anderes als eine vollständig geprüfte Bereinigung. Eine seriöse Einschätzung benötigt konkrete Befunde.