WordPress gehackt? So erkennen Sie es

Kurz gesagt: Eine gehackte WordPress-Seite erkennen Sie oft nicht im Browser, sondern an Nebenwirkungen: fremde Seiten in der Google-Suche, Weiterleitungen nur auf dem Handy, unbekannte Administratoren, PHP-Dateien im Ordner uploads, eine Warnung in der Search Console oder seltsame E-Mails. Wenn Sie eines davon sehen: zuerst Sicherung, dann Passwörter ändern – und nicht wahllos Dateien löschen.

Die meisten Angriffe auf WordPress sind nicht darauf ausgelegt, dass Sie sie bemerken. Die Startseite sieht aus wie immer. Der Angreifer will Ihre Domain für Spam, Weiterleitungen oder den Versand von E-Mails nutzen – und das möglichst lange. Deshalb müssen Sie gezielt nachsehen.

Anzeichen 1: Fremde Seiten in der Google-Suche

Geben Sie bei Google site:ihre-domain.de ein. Sie sehen dann die Seiten, die Google von Ihrer Domain kennt. Achten Sie auf:

• Titel mit japanischen oder chinesischen Schriftzeichen,
• Seiten über Markenuhren, Medikamente, Glücksspiel oder Kredite,
• URLs, die es auf Ihrer Website nie gab, oft mit langen Zahlen oder Zufallswörtern.

Dieses Muster ist als „Japanese Keyword Hack“ bekannt. Die Spam-Seiten werden häufig nur Google angezeigt. Wenn Sie die URL selbst aufrufen, sehen Sie eine Fehlerseite oder Ihre normale Startseite. Ein unauffälliger Test im Browser beweist also nichts.

Anzeichen 2: Weiterleitungen nur auf dem Handy oder nur von Google

Kunden sagen: „Ich bin auf Ihrer Seite gelandet und plötzlich bei einem Gewinnspiel.“ Sie selbst können das nicht nachstellen. Das ist typisch. Schadcode leitet oft nur unter bestimmten Bedingungen weiter:

• nur auf Smartphones,
• nur, wenn der Besucher aus der Google-Suche kommt,
• nur beim ersten Besuch, danach wird ein Cookie gesetzt,
• nie für eingeloggte Administratoren.

Testen Sie deshalb mit dem Handy im mobilen Netz, in einem privaten Fenster und über einen Klick aus der Google-Suche. Bekommen Sie solche Hinweise von Kunden, nehmen Sie sie ernst – auch wenn bei Ihnen alles normal aussieht.

Anzeichen 3: Unbekannte Administratoren

Öffnen Sie im Backend Benutzer → Alle Benutzer und filtern Sie nach der Rolle „Administrator“. Jeder Eintrag, den Sie nicht zuordnen können, ist ein Alarmsignal. Angreifer legen gern Konten mit harmlosen Namen an, etwa „wpadmin“, „support“ oder einen Namen, der einem echten Mitarbeiter ähnelt.

Es gibt auch Schadcode, der einen Administrator in der Benutzerliste ausblendet. Wenn Sie Zugriff auf WP-CLI haben, ist diese Abfrage zuverlässiger:

wp user list --role=administrator

Alternativ hilft ein Blick in die Datenbank, Tabelle wp_users (das Präfix kann bei Ihnen anders lauten).

Anzeichen 4: Neue PHP-Dateien im Ordner uploads

In wp-content/uploads gehören Bilder, PDFs und ähnliche Dateien. PHP-Dateien haben dort in aller Regel nichts zu suchen. Per SSH finden Sie sie so:

find wp-content/uploads -type f -name "*.php"

Hilfreich ist auch die Suche nach kürzlich geänderten PHP-Dateien im ganzen WordPress-Verzeichnis:

find . -type f -name "*.php" -mtime -14

Haben Sie nur FTP, sortieren Sie im FTP-Programm nach Änderungsdatum. Achten Sie auf Dateinamen wie wp-confg.php, about.php oder zufällige Zeichenketten. Ob die WordPress-Kerndateien verändert wurden, prüft WP-CLI mit wp core verify-checksums.

Anzeichen 5: Warnung in der Google Search Console

Google meldet Probleme in der Search Console unter Sicherheit und manuelle Maßnahmen. Dort finden Sie Hinweise wie „Gehackte Inhalte“ oder „Malware“. Zusätzlich bekommen die eingetragenen Nutzer meist eine E-Mail. Im schlimmsten Fall zeigt Chrome Besuchern eine rote Warnseite – dann bricht der Traffic sofort ein.

Auch ein plötzlicher Anstieg der indexierten Seiten im Bericht Seiten ist verdächtig, wenn Sie nichts Neues veröffentlicht haben.

Anzeichen 6: Unerwartete E-Mails

• Mails zum Zurücksetzen des Passworts, die Sie nicht angefordert haben – jemand probiert Ihre Zugänge aus.
• Benachrichtigungen über neue Benutzer, obwohl die Registrierung gar nicht offen sein sollte.
• Unzustellbarkeitsmeldungen zu Mails, die Sie nie geschrieben haben – Ihr Server verschickt womöglich Spam.
• Eine Nachricht Ihres Hosters wegen Spamversand oder auffälliger Dateien.
• Eine Mail von WordPress über einen schweren Fehler (Wiederherstellungsmodus). Das ist meist ein harmloses Plugin-Problem, kann aber auch durch eingeschleusten, fehlerhaften Code entstehen.

Was Sie sofort tun sollten

1. Sicherung des aktuellen Zustands. Ja, auch der infizierten Version. Dateien und Datenbank. Diese Kopie brauchen Sie, um später nachzuvollziehen, was passiert ist und welche Daten betroffen sind.
2. Passwörter ändern. Alle Administratoren in WordPress, dazu FTP/SFTP, Hosting-Kundenmenü und Datenbank. Nach der Änderung des Datenbank-Passworts muss es auch in der wp-config.php angepasst werden. Erneuern Sie außerdem die Sicherheitsschlüssel (Salts) in der wp-config.php, damit alle bestehenden Sitzungen ungültig werden.
3. Unbekannte Administratoren entfernen – aber vorher notieren, wann sie angelegt wurden. Das Datum hilft, den Zeitpunkt des Einbruchs einzugrenzen.
4. Hoster informieren, wenn Spam verschickt wird. Viele Hoster sperren sonst das Paket.
5. Eine saubere Sicherung suchen. Prüfen Sie, wie weit Ihre Backups zurückreichen und ob sie vor dem Einbruch entstanden sind.

Warum Sie nicht einfach Dateien löschen sollten

Der Reflex ist verständlich: verdächtige Datei gefunden, Datei gelöscht. Das Problem: Angreifer legen fast immer mehrere Hintertüren an. Eine sichtbare Datei, dazu Code in einer Theme-Datei, ein verstecktes Plugin, ein Eintrag in der Datenbank oder eine veränderte .htaccess. Löschen Sie nur das Offensichtliche, ist die Seite ein paar Tage später wieder befallen.

Dazu kommt: Wer wahllos löscht, legt im Zweifel die Seite lahm und vernichtet die Spuren, die zeigen, wie der Angreifer hereingekommen ist. Ohne diese Information bleibt die Lücke offen.

Warum „ein Sicherheits-Plugin“ oft nicht reicht

Sicherheits-Plugins sind nützlich, vor allem zur Vorbeugung. Nach einem Einbruch haben sie aber Grenzen:

• Sie laufen innerhalb von WordPress. Wer Schreibzugriff auf die Dateien hat, kann sie verändern oder ausschalten.
• Scanner erkennen vor allem bekannte Muster. Verschleierter oder neuer Code bleibt oft unentdeckt.
• Schadcode in der Datenbank, etwa in Beiträgen oder Optionen, wird nicht immer gefunden.
• Das Plugin beseitigt im besten Fall die Folgen, aber nicht die Ursache – meist ein veraltetes Plugin, ein ungenutztes Theme oder ein abgegriffenes Passwort.

Ich sehe es regelmäßig: Der Scanner meldet „alles sauber“, und trotzdem findet sich eine Hintertür in einer Datei, die wie ein normaler Teil eines Plugins aussieht.

Wann Sie Hilfe brauchen

Wenn Google bereits warnt, Kunden umgeleitet werden oder die Seite nach einer Bereinigung erneut befallen ist, lohnt sich eine gründliche Bereinigung durch jemanden, der Dateien, Datenbank und Server-Konfiguration zusammen prüft. Dasselbe gilt, wenn personenbezogene Daten betroffen sein könnten – etwa aus Kontaktformularen oder einem Shop.

Ich übernehme das für Sie: Analyse des Befalls, Entfernen aller Hintertüren, Schließen der Lücke und Hilfe bei der Überprüfung durch Google. Details und Preise (ab 490 €) finden Sie unter WordPress gehackt – Malware entfernen. Damit es nicht wieder passiert, kümmere ich mich auf Wunsch auch dauerhaft um Updates, Sicherungen und Kontrolle: WordPress-Wartung für 129 € im Monat.