WordPress gehackt: Was tun, wenn die Website kompromittiert wurde?

Eine gehackte WordPress-Website ist nicht immer sofort erkennbar. Besucher werden plötzlich weitergeleitet, unbekannte Administratoren tauchen auf, Dateien verändern sich oder Browser und Suchmaschinen warnen vor schädlichen Inhalten. Je schneller Sie reagieren, desto geringer ist das Risiko, dass Schadcode weitere Bereiche infiziert oder Zugangsdaten ausgespäht werden. Entscheidend ist jedoch, nicht nur das sichtbare Symptom zu entfernen, sondern auch das Einfallstor des Angriffs zu finden.

Woran erkennen Sie eine gehackte WordPress-Website?

Typische Hinweise auf eine kompromittierte WordPress-Installation sind unerwartete Weiterleitungen, Browser- oder Suchmaschinenwarnungen, unbekannte Inhalte, neue Administratoren oder Dateien, die ohne erkennbaren Grund verändert wurden. Besonders tückisch sind Weiterleitungen, die nur bestimmte Besucher betreffen. Beispielsweise können nur mobile Nutzer, Besucher über Suchmaschinen oder nicht eingeloggte Benutzer auf fremde Seiten weitergeleitet werden. Für den Administrator selbst sieht die Website dann möglicherweise weiterhin normal aus.

Kontrollieren Sie außerdem unter Benutzer → Alle Benutzer, ob unbekannte Konten mit Administratorrechten vorhanden sind. Ein fremder Administrator sollte nicht nur gelöscht werden – gleichzeitig muss geprüft werden, wie dieses Konto angelegt werden konnte.

WordPress gehackt: Die wichtigsten Sofortmaßnahmen

1. Aktuellen Zustand sichern

Bevor Plugins gelöscht, Updates durchgeführt oder Dateien ersetzt werden, sollten Dateien, Datenbank und wichtige Logs gesichert werden. Dadurch lässt sich später nachvollziehen, welche Änderungen vorgenommen wurden. Sichern Sie die Kopie möglichst außerhalb des betroffenen Webspaces und verändern Sie die Originaldaten bis zur Analyse nicht. Notieren Sie außerdem Zeitpunkt, Symptome und zuletzt durchgeführte Änderungen. Diese Informationen helfen dabei, einen zeitlichen Zusammenhang zwischen Update, Login-Ereignis und erster Auffälligkeit herzustellen.

• Dateien sichern
• Datenbank sichern
• Installierte Plugins und Themes dokumentieren
• WordPress-Benutzer prüfen
• PHP- und Server-Logs sichern

2. Zugangsdaten absichern

Ändern Sie alle sicherheitsrelevanten Zugangsdaten. Dazu gehören WordPress-Administratoren, Hosting, SFTP/FTP, SSH und Datenbankzugänge. Wurden Passwörter auch bei anderen Diensten verwendet, sollten diese ebenfalls ersetzt werden. Aktivieren Sie nach Möglichkeit Zwei-Faktor-Authentifizierung für administrative Konten. Verwenden Sie für jeden Zugang ein eigenes, zufällig erzeugtes Passwort und beenden Sie aktive Sitzungen, sofern Ihr Hosting oder WordPress diese Funktion anbietet. Prüfen Sie auch API-Schlüssel und gespeicherte Zugangsdaten in Deployment- oder Backup-Diensten.

3. Website bei aktiver Malware gegebenenfalls sperren

Wenn Besucher bereits auf schädliche Websites weitergeleitet werden oder Malware ausgeliefert wird, sollte die Website gegebenenfalls vorübergehend deaktiviert werden. Damit verhindern Sie, dass weitere Besucher betroffen sind.

WordPress-Dateien auf Manipulationen prüfen

Wenn SSH und WP-CLI verfügbar sind, lassen sich die offiziellen WordPress-Core-Dateien gegen die Prüfsummen von WordPress.org vergleichen.

wp core verify-checksums

Auch Plugins aus dem offiziellen WordPress-Verzeichnis können geprüft werden:

wp plugin verify-checksums --all

Premium-Plugins oder Erweiterungen aus externen Quellen unterstützen diese Prüfung nicht immer. Vergleichen Sie diese Komponenten deshalb mit einer vertrauenswürdigen Originalversion des Herstellers und prüfen Sie, ob Dateien nachträglich verändert wurden. Bei unbekannten Dateien sollte vor dem Entfernen geklärt werden, ob sie zu einem Plugin, Theme oder einer legitimen Serverkonfiguration gehören.

Verdächtige Dateien und Backdoors finden

Bei einer kompromittierten Website lohnt sich ein Blick auf kürzlich veränderte PHP-Dateien. Besonders ungewöhnlich sind PHP-Dateien innerhalb des Upload-Verzeichnisses.

find wp-content -type f -name "*.php" -mtime -7 -print

Zusätzlich können bestimmte PHP-Funktionen helfen, verdächtige Dateien für eine manuelle Analyse einzugrenzen.

grep -R -nE "base64_decode|eval\(|gzinflate|shell_exec|system\(" wp-content/

Malware nicht nur oberflächlich entfernen

Eine einzelne infizierte Datei zu löschen reicht häufig nicht aus. Angreifer können mehrere Backdoors hinterlassen, über die Schadcode erneut eingeschleust wird. Prüfen Sie deshalb die gesamte Installation – insbesondere WordPress-Core, Plugins, Themes, Uploads, wp-config.php, .htaccess, Benutzerkonten, Cronjobs und Datenbank. Manipulierte WordPress-Core-Dateien sollten nach Möglichkeit durch saubere Originaldateien ersetzt werden. Anschließend sollte die Integrität erneut geprüft werden.

wp core verify-checksums

Erst wenn die Ursache bekannt und die Installation bereinigt ist, sollten WordPress, Plugins und Themes auf kompatible aktuelle Versionen gebracht werden.

Datenbank und Google überprüfen

Angriffe beschränken sich nicht immer auf Dateien. Auch die Datenbank kann manipuliert worden sein. Typische Beispiele sind Spam-Links, neue Administratoren, veränderte Einstellungen, SEO-Spam oder schädliche geplante Aufgaben. Wenn Google oder ein Browser die Website als gefährlich markiert hat, sollten nach der Bereinigung zusätzlich die Google Search Console, Sicherheitsprobleme, indexierte Spam-Seiten und die Sitemap kontrolliert werden. Prüfen Sie außerdem, ob Weiterleitungen aus Cache, Datenbank oder JavaScript noch ausgeliefert werden. Erst wenn die Website wieder sauber erreichbar ist und keine neuen Auffälligkeiten auftreten, sollte eine erneute Prüfung durch Suchmaschinen beantragt werden.

So verhindern Sie eine erneute Infektion

Nach der Bereinigung muss das ursprüngliche Einfallstor geschlossen werden. Andernfalls kann die Website erneut kompromittiert werden. Zu den wichtigsten Maßnahmen gehören aktuelle WordPress-, Plugin- und Theme-Versionen, starke individuelle Passwörter, Zwei-Faktor-Authentifizierung, regelmäßige Backups, Monitoring und das Entfernen nicht mehr benötigter Erweiterungen. Das Löschen einer Backdoor allein reicht nicht aus, wenn beispielsweise ein verwundbares Plugin weiterhin installiert bleibt. Erstellen Sie deshalb nach der Bereinigung einen aktuellen Patch- und Backup-Plan. Entfernen Sie nicht benötigte Erweiterungen vollständig, beschränken Sie Schreibrechte und richten Sie eine Kontrolle für neue Benutzer, Dateiänderungen und auffällige Logins ein.

Wann professionelle Hilfe sinnvoll ist

Professionelle Unterstützung ist besonders sinnvoll, wenn mehrere Backdoors gefunden werden, die Website nach einer Bereinigung erneut infiziert wird, der WordPress-Admin nicht mehr erreichbar ist, der Hoster die Website gesperrt hat oder die Ursache des Angriffs nicht eindeutig ermittelt werden kann. In diesen Fällen sollte nicht nur Schadcode entfernt werden. Eine belastbare Bereinigung umfasst die Sicherung des Ausgangszustands, die Suche nach dem ursprünglichen Einfallstor und die Kontrolle aller Zugänge. Danach sollten die wichtigsten Funktionen auf einer kontrollierten Umgebung getestet werden, bevor die Website wieder vollständig freigegeben wird. Wichtig ist auch eine nachvollziehbare Dokumentation: Welche Dateien waren betroffen, welche Konten wurden geändert, welche Komponenten wurden ersetzt und welche Prüfungen waren erfolgreich? So lassen sich spätere Auffälligkeiten schneller einordnen. Bei geschäftskritischen Websites sollte zusätzlich festgelegt werden, wer im Notfall entscheidet, wie Backups zurückgespielt werden und wie Kunden oder Suchmaschinen über eine Störung informiert werden. Entscheidend ist herauszufinden, wie der Angriff erfolgt ist und ob weiterhin Zugriffsmöglichkeiten bestehen. Planen Sie nach der Bereinigung außerdem eine kurze Nachkontrolle ein. Prüfen Sie einige Tage später erneut Benutzerkonten, Dateiänderungen, Weiterleitungen und Serverlogs. So erkennen Sie schneller, ob eine Backdoor über einen noch offenen Zugang wieder aktiv geworden ist. Prüfen Sie dabei auch geplante Aufgaben und externe Integrationen, die oft übersehen werden. Eine kurze Dokumentation der Ergebnisse erleichtert spätere Wartung und Sicherheitsprüfungen. Weitere Informationen finden Sie bei WordPress Malware professionell entfernen oder bei unserer Hilfe für gehackte Websites.