Was wirklich passiert, wenn eine WordPress-Seite gehackt wird

Webhosting einfach erklärt: Was wirklich passiert, wenn eine WordPress-Seite gehackt wird

Drei Fälle aus unserem Support – und was sie über Website-Sicherheit verraten.

Die Seite sieht normal aus. Das heißt leider nichts.

Wenn wir Kunden mitteilen, dass ihre Website kompromittiert wurde, kommt fast immer dieselbe Reaktion: „Aber die Seite funktioniert doch ganz normal."

Genau das ist der Punkt. Schadsoftware, die eine Website lahmlegt, wäre für Angreifer wertlos. Was sie wollen, ist das Gegenteil: eine Seite, die weiterläuft wie immer – und im Hintergrund unbemerkt Spam verschickt, Besucher auf fremde Seiten umleitet oder als Einfallstor für weitere Angriffe dient. Je länger unentdeckt, desto besser.

Wir übernehmen regelmäßig die Bereinigung kompromittierter Websites. Drei Fälle aus der jüngeren Vergangenheit zeigen recht gut, warum „einmal drüberscannen" selten reicht.

Fall 1: Die Schadsoftware, die sich selbst repariert

Bei einer Kundenwebsite meldete der Scanner mehrere verdächtige Dateien. Die Bereinigung schien Routine: Dateien entfernen, Passwörter neu setzen, fertig.

Ein paar Stunden später waren die Dateien wieder da.

Was dahintersteckte, war kein Wiedereinbruch, sondern Bauart: Die Schadsoftware bestand aus mehreren Komponenten, die an unterschiedlichen Stellen der Website lagen und sich gegenseitig überwachten. Verschwand eine davon, stellten die übrigen sie wieder her. Solche Konstruktionen sind kein Einzelfall – sie sind gezielt dafür gebaut, oberflächliche Bereinigungsversuche zu überstehen.

Die Lehre: Eine kompromittierte Website ist selten „eine kaputte Datei". Wer nur entfernt, was der Scanner anzeigt, räumt oft nur einen Teil weg – und wundert sich, warum das Problem zurückkommt. Eine saubere Bereinigung heißt: erst vollständig verstehen, was da liegt, dann alles gleichzeitig entfernen.

Fall 2: Der Scanner war sauber. Die Seite war es nicht.

Ein anderer Fall begann mit einer Beschwerde: Besucher landeten über Google auf einer fremden Werbeseite statt auf der eigentlichen Website. Der Betreiber selbst konnte das nicht nachvollziehen – bei ihm funktionierte alles einwandfrei.

Das ist typisch. Viele dieser Manipulationen sind so eingestellt, dass sie eingeloggte Administratoren und direkte Zugriffe in Ruhe lassen und nur normale Besucher betreffen, die über Suchmaschinen kommen. Der Betreiber ist damit oft der Letzte, der etwas merkt.

Der Dateiscan blieb ohne Befund. Gefunden wurde der Schadcode schließlich in der Datenbank der Website – in einem Bereich, in dem WordPress eigentlich Einstellungen und zwischengespeicherte Inhalte ablegt. Dateibasierte Scanner sehen dort nicht nach. Und selbst nach dem Entfernen des eigentlichen Eintrags lief die Manipulation zunächst weiter, weil das verantwortliche Plugin eine zweite, vorkompilierte Kopie in einem Cache hielt.

Die Lehre: „Der Scan hat nichts gefunden" ist keine Entwarnung, wenn andere Anzeichen dagegensprechen. Wenn Besucher etwas anderes sehen als Sie selbst, ist das ein ernstzunehmendes Signal – unabhängig davon, was ein Scanner meldet.

Fall 3: Die Benutzerkonten, die niemand angelegt hat

Beim dritten Fall fiel bei der Durchsicht der Benutzerkonten etwas auf: mehrere Administratorzugänge, die niemand aus dem Team kannte.

Sie waren nicht besonders gut getarnt, wenn man weiß, worauf man achten muss:

• Benutzernamen aus zufälligen Buchstabenfolgen statt echter Namen – zehn Zeichen ohne erkennbares Muster.
• E-Mail-Adressen mit vertauschten oder fehlenden Buchstaben in bekannten Domains, etwa „goole.com" statt „google.com". Auf den ersten Blick unauffällig, beim zweiten Hinsehen offensichtlich.
• Adressen mit der Endung .invalid – eine technisch reservierte Endung, an die grundsätzlich keine E-Mail zugestellt werden kann. Ein echter Mensch würde so ein Konto nie anlegen; automatisierte Angriffe schon.
• Mehrere Konten mit exakt identischem Anlagezeitpunkt – ein Hinweis darauf, dass sie nicht über das normale Registrierungsformular entstanden sind.

Erschwerend kam hinzu, dass die offene Benutzerregistrierung aktiviert war – eine Einstellung, die viele WordPress-Installationen mitbringen, ohne dass sie je gebraucht wird. Neben den Administratorkonten hatten sich dadurch auch Hunderte automatisierte Fake-Anmeldungen angesammelt.

Die Lehre: Ein Blick in die Benutzerliste kostet zwei Minuten und gehört zu den wirksamsten Kontrollen überhaupt. Wenn Sie dort einen Namen finden, den Sie nicht zuordnen können, ist das kein „vielleicht ein alter Testaccount" – dem sollte man nachgehen.

Was diese Fälle gemeinsam haben

So unterschiedlich die drei Fälle sind, drei Muster wiederholen sich:

Die Website funktionierte in allen drei Fällen normal. Kein Ausfall, keine Fehlermeldung, nichts, was einem Betreiber im Alltag auffallen würde.

Der erste Hinweis kam jeweils von außen – über eine Suchmaschinen-Warnung, eine Kundenbeschwerde oder unsere eigene Serverüberwachung. Nicht vom Betreiber selbst.

Die eigentliche Ursache lag tiefer als der erste Fund. In jedem Fall war das, was zuerst auffiel, nur ein Symptom. Die Bereinigung dauerte jedes Mal deutlich länger als das Auffinden.

Was Sie selbst tun können

Sie müssen dafür kein Technikexperte sein. Vier Dinge bringen bereits sehr viel:

1. Updates zeitnah einspielen. Die überwiegende Mehrheit der Kompromittierungen nutzt bekannte Sicherheitslücken in veralteten Plugins oder Themes – nicht ausgeklügelte Neuentdeckungen. Wer Updates einspielt, fällt aus dem Raster der automatisierten Massenangriffe heraus.
2. Nicht genutzte Plugins und Themes löschen, nicht nur deaktivieren. Deaktivierter Code liegt weiterhin auf dem Server und kann weiterhin angreifbar sein.
3. Regelmäßig in die Benutzerliste schauen. Ein Konto, das Sie nicht zuordnen können, ist immer eine Nachfrage wert.
4. Prüfen, ob die offene Registrierung wirklich gebraucht wird. In den meisten Fällen lautet die Antwort: nein. Dann sollte sie auch deaktiviert sein.

Wenn der Verdacht besteht

Falls Sie eines der beschriebenen Anzeichen bemerken – Warnmeldungen bei Google, Besucher, die woanders landen, unbekannte Benutzerkonten oder ein Hinweis Ihres Hosters:

Löschen Sie nicht vorschnell selbst. Was auf den ersten Blick wie Aufräumen wirkt, zerstört häufig genau die Spuren, die zur eigentlichen Ursache führen würden. Und wie Fall 1 zeigt: Teilweises Entfernen kann die Lage sogar verschlechtern.

Ändern Sie zunächst die Zugangsdaten – WordPress-Administration, FTP-Zugang und Hosting-Login.

Melden Sie sich anschließend bei uns. Wir schauen uns die Situation an, sagen Ihnen ehrlich, was wir finden, und besprechen mit Ihnen das weitere Vorgehen. Auch dann, wenn sich der Verdacht am Ende nicht bestätigt.

Sie erreichen uns jederzeit über unser Kontaktformular oder per E-Mail.

Zusätzlich erhalten Sie weitere Domains (.de, .com, .eu und .net) mit bis zu 40% Rabatt.

Zu den aktuellen Angeboten

Werden auch Sie noch heute ein zufriedener Kunde und profitieren Sie von unseren über 20 Jahre Erfahrung und Know-How. Die Zufriedenheit unserer Kunden zeigt die ständige Präsenz in den Top10 der besten Hosting Unternehmen bei hosttest.de und unsere vielen positiven Bewertungen (z.B. bei Trustpilot , Hosttest oder Google ).

Ihr Team von Rainbow-Web.com