WordPress gehackt? Soforthilfe + Malware entfernen

Ihre Seite leitet plötzlich auf eine fremde Glücksspiel-Domain um. Oder Google zeigt Besuchern eine rote Warnseite: „Die Website enthält Schadsoftware.“ Oder es tauchen Spam-Seiten mit Pillen und Sneakers auf, die Sie nie angelegt haben. Das alles bedeutet dasselbe: Jemand hat Ihr WordPress übernommen. Kein Grund zur Panik, aber Grund zum Handeln, und zwar in der richtigen Reihenfolge. Hier ist sie.

Soforthilfe

Bevor Sie anfangen zu suchen, schließen Sie erst mal die Tür:

1. Seite offline nehmen. Schalten Sie einen Wartungsmodus ein oder lassen Sie den Hoster die Seite kurz sperren. Solange sie online ist, infiziert sie Besucher weiter und Google verschärft die Warnung.
2. Alle Passwörter ändern, und zwar wirklich alle: WP-Admin, FTP/SFTP, Datenbank-Nutzer (in der wp-config.php) und der Hosting-Account selbst. Ein gestohlenes Passwort ist die häufigste Eintrittstür. Nutzen Sie für jedes ein neues, langes Passwort.
3. Ein Backup vom aktuellen (infizierten) Stand ziehen. Klingt komisch, ist aber wichtig: So haben Sie Beweise und können notfalls etwas zurückholen, das Sie sonst überschreiben.

Anzeichen erkennen: Sind Sie wirklich gehackt?

Nicht jeder Aussetzer ist ein Hack. Typische Symptome einer Kompromittierung:

• Fremde Weiterleitungen: Besucher landen auf Seiten, die Sie nie verlinkt haben, oft nur vom Smartphone oder nur aus der Google-Suche, damit Sie es selbst kaum mitbekommen.
• Spam-Seiten und -Inhalte: In Google tauchen Hunderte Unterseiten Ihrer Domain mit japanischen Schriftzeichen oder Medikamenten-Werbung auf (sogenanntes „Japanese Keyword Hacking“).
• Google-Safe-Browsing-Warnung oder eine Meldung in der Search Console unter „Sicherheitsprobleme“.
• Unbekannte Admin-Nutzer unter Benutzer → Alle Benutzer. Löschen Sie sie noch nicht, notieren Sie sie erst, sie sind eine Spur.
• Plötzlicher Performance-Einbruch, weil Ihr Server für Spam-Versand oder Krypto-Mining missbraucht wird.

Trifft mindestens eines davon zu, gehen Sie von einer Infektion aus.

Scannen: das Ausmaß feststellen

Bevor Sie blind Dateien löschen, verschaffen Sie sich ein Bild. Zwei Wege, am besten beide:

• Hoster-seitiger Malware-Scan. Viele Hoster (Plesk/cPanel) haben einen Scanner wie ImunifyAV im Panel. Der läuft außerhalb von WordPress und sieht auch Dateien, die ein gekapertes WordPress Ihnen verstecken würde.
• Sicherheits-Plugin wie Wordfence oder Sucuri. Es vergleicht Ihre Core-Dateien mit den Originalen und meldet veränderte oder fremde Dateien. Installieren Sie es frisch, ein bereits vorhandenes Plugin könnte manipuliert sein.

Notieren Sie sich die als verdächtig gemeldeten Pfade. Die brauchen Sie gleich.

Der sicherste Weg: sauberes Backup vor der Infektion

Wenn Sie ein Backup haben, das nachweislich vor dem Hack entstanden ist, ist die Wiederherstellung der mit Abstand sauberste Weg. Ein bereinigter Hack lässt fast immer Reste zurück; ein sauberes Backup nicht.

So gehen Sie vor: Stellen Sie das alte Backup auf einer Staging-Umgebung wieder her, prüfen Sie es auf die oben genannten Symptome, ändern Sie danach erneut alle Passwörter und spielen Sie dann alle Updates ein (siehe unten). Wichtig: Inhalte, die nach dem Hack-Datum entstanden sind, müssen Sie sauber nachpflegen, nicht aus dem infizierten Stand kopieren.

Haben Sie kein sauberes Backup, geht es ans manuelle Bereinigen.

Malware manuell finden und entfernen

Das ist Detailarbeit. Arbeiten Sie über FTP/SFTP oder den Dateimanager, nicht nur über das WP-Backend.

1. WordPress-Core neu einspielen. Laden Sie WordPress in exakt Ihrer Version von wordpress.org herunter und überschreiben Sie per FTP die Ordner wp-admin und wp-includes komplett. Das ersetzt manipulierte Core-Dateien durch Originale. Fassen Sie wp-content dabei nicht an, dort liegen Ihre Themes, Plugins und Uploads.

2. Fremde Dateien und Backdoors suchen. Backdoors sind kleine PHP-Dateien, die dem Angreifer den Wiedereinstieg erlauben, auch nachdem Sie gesäubert haben. Sortieren Sie den Dateimanager nach Änderungsdatum: Alles, was rund um den Hack-Zeitpunkt verändert wurde und nicht von Ihnen stammt, ist verdächtig. Häufige Verstecke sind merkwürdig benannte .php-Dateien im Uploads-Ordner (wp-content/uploads enthält normalerweise keine PHP-Dateien) oder im Theme-Ordner.

3. wp-config.php und .htaccess prüfen. Beide werden gern für injizierten Code missbraucht. Öffnen Sie sie und vergleichen Sie mit dem Original. In der .htaccess haben fremde RewriteRule-Zeilen oder auto_prepend_file-Einträge nichts verloren. Die wp-config.php sollte am Ende nur die Standard-Konstanten enthalten, kein base64_decode, kein eval, keine kryptischen Code-Blöcke:

// Saubere wp-config.php endet etwa hier, nichts dahinter:
define( 'WP_DEBUG', false );

/* Das war's. Bearbeite nichts unterhalb dieser Zeile. */
require_once ABSPATH . 'wp-settings.php';

Finden Sie Zeilen mit eval(base64_decode(...)), gzinflate oder langen Buchstaben-Zahlen-Ketten, raus damit, aber notieren Sie vorher, was Sie entfernen.

4. Datenbank prüfen. Spam wird oft direkt in die Tabellen wp_posts und wp_options geschrieben. Suchen Sie in der Datenbank (z. B. per phpMyAdmin) nach verdächtigen <script>-Tags oder fremden URLs.

Nach der Bereinigung: absichern und Google informieren

Sauber heißt noch nicht sicher. Jetzt schließen Sie die Lücke, durch die der Angreifer kam:

• Alles updaten: WordPress-Core, alle Themes, alle Plugins. Veraltete Plugins sind das mit Abstand häufigste Einfallstor.
• Ungenutzte Plugins und Themes löschen, nicht nur deaktivieren. Inaktiver Code kann trotzdem angegriffen werden.
• Zwei-Faktor-Authentifizierung für alle Admin-Logins aktivieren.
• Datei-Editor im Backend abschalten, damit ein gekapertes Login nicht direkt Code ändern kann, in der wp-config.php: define('DISALLOW_FILE_EDIT', true);.
• Bei Google entwarnen: Ist Ihre Seite in der Search Console unter „Sicherheitsprobleme“ markiert, beantragen Sie dort nach der Bereinigung eine Überprüfung. Erst danach verschwindet die rote Warnung.

Wann Sie besser zum Profi gehen

Wenn die Seite Umsatz bringt, wenn der Hack tief sitzt (Reinfektion nach jedem Säubern), oder wenn Sie sich bei wp-config.php und Datenbank unsicher sind: Lassen Sie jemanden ran, der das täglich macht. Ein übersehener Backdoor bringt die Infektion in Tagen zurück, dann fangen Sie von vorn an. Wer die Seite behalten will, kann Updates, Backups und Überwachung laufend abgeben: Das Angebot dazu steht auf WordPress-Wartung.

Warum trifft es so oft WordPress?

WordPress läuft auf rund 43 % aller Websites, das macht es zum lohnendsten Ziel für automatisierte Angriffe. Der eigentliche Grund ist aber die Bauweise: Eine WordPress-Seite besteht aus einem PHP-Kern plus oft Dutzenden Plugins von Dritt-Anbietern, jedes mit eigenem Code und eigener Update-Disziplin. Jedes dieser Plugins ist eine mögliche Lücke. Diese große Angriffsfläche, nicht eine Schwäche von WordPress selbst, ist der Hauptweg, über den Seiten kompromittiert werden.

So vermeiden Sie das künftig

• Updates zeitnah einspielen, am besten automatisiert für Sicherheits-Releases. Die meisten Hacks nutzen Lücken, für die längst ein Patch existiert.
• Plugin-Diät: Je weniger Plugins, desto kleiner die Angriffsfläche. Löschen Sie alles, was Sie nicht aktiv brauchen.
• Tägliche, externe Backups, auf einem Speicher, den ein gekaperter Server nicht löschen kann.
• Starke Passwörter plus 2FA und einen Login-Schutz gegen automatisiertes Durchprobieren.
• Ein Monitoring, das Sie beim ersten Anzeichen warnt, nicht erst, wenn der Kunde anruft.

Oder: Schluss mit WordPress-Bränden

Seien Sie ehrlich zu sich selbst: Hack, Bereinigung, Absicherung, der nächste Hack, das ist ein Kreislauf, solange die Angriffsfläche dieselbe bleibt. Und die hängt an der Bauweise. Eine mit Astro gebaute Seite hat schlicht keine: kein PHP, keine Plugins, keine Live-Datenbank und kein Login-Backend, das im Frontend erreichbar wäre. Die Seite wird als fertiges HTML ausgeliefert, es gibt keinen Code-Ausführungspunkt, über den sich Malware injizieren ließe. Genau der Mechanismus, über den WordPress fast immer kompromittiert wird, existiert dort nicht. Wie eine Website mit möglichst wenig Angriffsfläche aufgebaut ist, steht unter Sichere Website. Wenn Sie genug davon haben, Ihre Website abzusichern statt sie zu nutzen: webAION migriert WordPress zu Astro zum Festpreis und übernimmt Ihre Inhalte → WordPress zu Astro migrieren. Und wenn Sie gerade einen ganz anderen WordPress-Brand löschen, finden Sie hier alle WordPress-Fehler im Überblick.

Weiterlesen: Wie Sie sich künftig besser schützen, steht in der IT-Sicherheits-Checkliste für KMU, und der Ratgeber Datensicherung für KMU erklärt die Backup-Regeln.