Gehackte WordPress-Seite wiederherstellen: Schritt für Schritt

Zu entdecken, dass Ihre WordPress-Seite gehackt wurde, ist stressig, doch mit einem klaren Plan ist es beherrschbar. Ziel ist es, den Schaden einzudämmen, den schädlichen Code zu entfernen, die Lücke zu schließen, durch die der Angreifer hereingekommen ist, und dann zu bestätigen, dass die Website sauber ist. Den dritten Schritt zu überspringen, ist der häufigste Grund, warum Websites innerhalb weniger Tage erneut gehackt werden.

Anzeichen, dass Ihre Website kompromittiert sein könnte

• Besucher werden auf fremde oder verdächtige Websites weitergeleitet, besonders auf Mobilgeräten oder aus Suchergebnissen.
• Suchergebnisse zeigen unter Ihrer Domain japanischsprachige oder Pharma-Spam-Seiten.
• Ihr Browser oder Google warnt, dass die Website gefährlich ist.
• Neue Administratorkonten, die Sie nicht angelegt haben.
• Ihr Hoster sperrt das Konto oder meldet ausgehenden Spam.
• Dateien mit zufälligen Namen oder kürzlich geänderte Dateien, die Sie nicht angefasst haben.

Einige davon haben harmlose Erklärungen; bestätigen Sie also, bevor Sie vom Schlimmsten ausgehen, handeln Sie aber schnell, wenn Sie echte Hinweise finden.

Sofortmaßnahmen: sichern und eindämmen

Bevor Sie etwas ändern, erstellen Sie eine vollständige Kopie von Dateien und Datenbank, auch wenn sie infiziert ist. Sie bewahrt Beweise, um herauszufinden, wie der Angreifer hineingekommen ist, und gibt Ihnen einen Rückfall, falls ein Bereinigungsschritt schiefgeht. Bewahren Sie sie offline auf und spielen Sie sie später nicht versehentlich zurück.

Das Problem eindämmen

Wenn die Website Malware oder Spam ausliefert, schalten Sie eine einfache Wartungsseite vor oder beschränken Sie den Zugriff, während Sie arbeiten. Kontaktieren Sie Ihren Hosting-Anbieter; er sieht oft, was auf dem Server geschieht, und kann helfen, das Konto zu isolieren. Ändern Sie zugleich die wichtigen Passwörter: das Hosting-Kontrollpanel, FTP- oder SFTP-Konten, den Datenbankbenutzer und die WordPress-Administratorkonten. Tun Sie das von einem sauberen Computer aus.

Wiederherstellen oder bereinigen

Sie haben zwei grundsätzliche Möglichkeiten.

• Aus einem sauberen Backup wiederherstellen. Wenn Sie ein Backup aus der Zeit vor der Kompromittierung haben, ist das meist am schnellsten. Stellen Sie wieder her, aktualisieren Sie dann sofort alles und beheben Sie den Einstiegspunkt, sonst kehrt der Angreifer zurück.
• Manuell bereinigen. Wenn kein sauberes Backup existiert, müssen Sie schädliche Dateien und Datenbankeinträge von Hand oder mit Scan-Werkzeugen entfernen.

Seien Sie vorsichtig, wie weit Sie zurückgehen. Angreifer verhalten sich mitunter wochenlang ruhig, bevor sie handeln.

Checkliste für die manuelle Bereinigung

1. Ersetzen Sie die WordPress-Core-Dateien durch einen frischen Download derselben oder einer neueren Version. Lassen Sie wp-config.php und wp-content vorerst unangetastet.
2. Löschen Sie jedes Plugin und Theme und installieren Sie sie frisch aus vertrauenswürdigen Quellen neu. Verwerfen Sie alles, was Sie nicht brauchen.
3. Prüfen Sie den Ordner wp-content/uploads. Er sollte Medien enthalten, keine PHP-Dateien.
4. Prüfen Sie wp-config.php und .htaccess auf Code, den Sie nicht kennen.
5. Kontrollieren Sie die Benutzer und entfernen Sie unbekannte Administratoren.
6. Durchsuchen Sie die Datenbank nach eingeschleusten Skripten in Beiträgen, Optionen und Widgets.
7. Erzeugen Sie neue geheime Schlüssel und Salts in wp-config.php, wodurch alle abgemeldet werden.
8. Prüfen Sie geplante Aufgaben auf unbekannte Einträge, denn Angreifer nutzen sie oft, um erneut zu infizieren.

Den Einstiegspunkt finden und verifizieren

Häufige Einstiegspunkte sind ein veraltetes Plugin oder Theme, eine raubkopierte Erweiterung, ein schwaches oder wiederverwendetes Passwort oder eine andere kompromittierte Website im selben Konto. Prüfen Sie Ihre Zugriffsprotokolle auf verdächtige Anfragen rund um den Zeitpunkt der ersten Änderung. Aktualisieren Sie alles, entfernen Sie Verwaistes und aktivieren Sie die Zwei-Faktor-Authentifizierung. Wenn Sie mehrere Websites in einem Konto hosten, prüfen Sie jede davon, denn Malware kann sich seitwärts ausbreiten.

Verifizieren und Überprüfungen beantragen

Scannen Sie die Website erneut mit einem Malware-Scanner, rufen Sie sie von verschiedenen Geräten auf und prüfen Sie, dass Weiterleitungen und Spam-Seiten verschwunden sind. Wurde die Website von Google oder einem Browser markiert, beantragen Sie in der Google Search Console eine Überprüfung, sobald Sie sicher sind, dass sie sauber ist. Prüfen Sie auch, dass Ihre E-Mail-Domain nicht zum Versand von Spam missbraucht wurde.

Absichern, damit es nicht wieder passiert

Arbeiten Sie eine Härtungsliste ab: Software aktuell halten, Rollen mit minimalen Rechten verwenden, Anmeldeversuche begrenzen, die Dateibearbeitung im Dashboard deaktivieren und getestete Backups außerhalb des Servers führen. Unsere Checkliste zur WordPress-Sicherheitshärtung behandelt jeden dieser Punkte. Erwägen Sie auch eine Web Application Firewall, da sie viele Exploit-Versuche blockieren kann, bevor sie WordPress erreichen.

Fehler, die Sie vermeiden sollten, und wann Sie Hilfe holen

• Löschen Sie nicht nur das sichtbare Symptom und hoffen Sie das Beste. Hintertüren verstecken sich meist anderswo.
• Installieren Sie nicht über die infizierten Dateien, ohne die alten zu entfernen.
• Zahlen Sie niemandem, der Sie unaufgefordert kontaktiert und anbietet, Ihre Website zu reparieren.
• Ignorieren Sie nicht die anderen Websites im selben Hosting-Konto.

Wann Sie professionelle Hilfe holen sollten

Wenn die Website für Ihr Geschäft entscheidend ist, wenn Sie Kundendaten verarbeiten oder wenn die Bereinigung immer wieder scheitert, holen Sie einen Profi. Überlegen Sie auch, ob personenbezogene Daten offengelegt wurden; je nachdem, wo Sie tätig sind, können Meldepflichten bestehen. Prüfen Sie die für Sie geltenden Vorschriften oder fragen Sie einen qualifizierten Berater.

Beobachten Sie die Website nach der Wiederherstellung mehrere Wochen lang. Achten Sie auf neue Dateien, unerwartete Benutzer und ungewöhnlichen Traffic und bewahren Sie Ihre Protokolle auf. Erneute Infektionen zeigen sich meist innerhalb weniger Tage, wenn eine Hintertür übersehen wurde, daher zahlt sich frühes Monitoring aus.

Wie wir helfen können

Hosting mit Plesk, Cloudflare CDN und kostenlosem SSL bietet Ihnen einen stärkeren Ausgangspunkt, und unser Team beantwortet Fragen zur Wiederherstellung und Absicherung einer Website. Wenn Sie einen frischen, sauberen Neustart brauchen, kann unser WordPress-Umzugsservice Ihre bereinigte Website kostenlos auf WordPress-Hosting umziehen.