Besucher werden auf seltsame Webseiten umgeleitet. Google zeigt japanischen oder Apotheken-Spam unter Ihrer Domain an. Ihr Host hat das Konto gesperrt. Chrome zeigt eine rote Warnung an. Dies sind typische Anzeichen für eine gehackte WordPress-Seite.
Es ist stressig, aber es kann behoben werden. Dieser Leitfaden führt durch die Schritte in der richtigen Reihenfolge: eingrenzen, untersuchen, reinigen, wiederherstellen und absichern.
Anzeichen dafür, dass Ihre WordPress-Website gehackt wurde
- Leitet auf Spam-, Wett- oder Betrugsseiten um (manchmal nur mobil oder nur von Google)
- Unbekannte Seiten in den Google-Ergebnissen (
site:yourdomain.comzeigt Spam) - Neue Admin-Benutzer, die Sie nicht erstellt haben
- Unbekannte Dateien in
wp-content/uploads, oder PHP-Dateien, wo nur Bilder sein sollten - Eine „Diese Seite könnte gehackt sein“ oder „Irreführende Seite voraus“ Warnung
- Ihr Host meldet Malware oder hohe Ressourcennutzung
- Für WooCommerce: Kunden berichten von Kreditkartenbetrug nach dem Einkauf bei Ihnen (ein Zeichen für einen Zahlungs-Skimmer)
Schritt 1: Den Schaden begrenzen
- Setzen Sie die Website in den Wartungsmodus oder blockieren Sie vorübergehend den öffentlichen Zugang, wenn sie aktiv Besucher schädigt oder Zahlungsdaten erfasst.
- Erstellen Sie ein vollständiges Backup der infizierten Seite (Dateien und Datenbank). Sie benötigen es für die Untersuchung; überschreiben Sie Ihre sauberen Backups nicht damit.
- Passwörter ändern: Hosting-Panel, SFTP/SSH, Datenbank, alle WordPress-Administratoren und E-Mail-Konten, die mit der Seite verbunden sind.
- Wenn Sie ein Geschäft betreiben und einen Kartenleser vermuten, informieren Sie Ihren Zahlungsanbieter.
Schritt 2: Finde heraus, wie sie hineingekommen sind
Typische Einstiegspunkte:
- Veraltete oder anfällige Plugins und Themes (die häufigste Ursache)
- Nulled (piratierte) Themes oder Plugins mit eingebauten Hintertüren
- Schwache oder wiederverwendete Admin-Passwörter
- Komprimierte Hosting-Konten oder andere Seiten auf demselben Konto
- Gestohlene Anmeldeinformationen von einem Computer eines Entwicklers
Überprüfen Sie die Serverzugriffsprotokolle zu dem Zeitpunkt, als die Probleme begannen, sehen Sie sich kürzlich modifizierte Dateien an und überprüfen Sie die Liste der Administratorbenutzer. Wenn Sie den Einstiegspunkt nicht finden, wird der Angreifer wahrscheinlich zurückkehren.
Schritt 3: Dateien bereinigen
Der sicherste Ansatz ist ersetzen, nicht reparieren:
- WordPress-Kern: Ersetzen Sie
wp-adminundwp-includesdurch frische Kopien derselben Version von wordpress.org. Mit WP-CLI können Sie die Kern-Dateien überprüfen:
wp core verify-checksums
wp plugin verify-checksums --all
- Plugins und Themes: Löschen und neu installieren von offiziellen Quellen. Entfernen Sie alles, was Sie nicht verwenden.
- Uploads-Ordner: Es sollten keine PHP-Dateien in
wp-content/uploadsvorhanden sein. Finde sie:
find wp-content/uploads -name "*.php"
- Überprüfen Sie
wp-config.phpund.htaccessauf injizierten Code, unbekannte Includes oder Weiterleitungsregeln. - Nach kürzlich modifizierten Dateien suchen:
find . -type f -mtime -7 -name "*.php"
- Suchen Sie nach häufigen bösartigen Mustern wie
eval(base64_decode(,gzinflate(oder langen obfuskierten Zeichenfolgen, aber denken Sie daran, dass einige legitime Plugins ähnliche Funktionen verwenden.
Schritt 4: Bereinigen Sie die Datenbank
Malware lebt oft in der Datenbank:
- Unbekannte Admin-Benutzer: Entfernen Sie sie
wp_options: überprüfen Siesiteurl,homeund verdächtige automatisch geladene Optionen- Beiträge und Seiten: suchen Sie nach injizierten
<script>-Tags oder versteckten Links - Spam-Seiten: generierte Spam-Beiträge entfernen
wp user list --role=administrator
wp db search "<script" --all-tables
Schritt 5: Alle Geheimnisse zurücksetzen
- Generiere neue Salze und Schlüssel in
wp-config.php(dies meldet jeden Benutzer ab) - Ändern Sie das Datenbankpasswort und aktualisieren Sie
wp-config.php - Drehen Sie API-Schlüssel, die von Plugins verwendet werden (Zahlung, E-Mail, Versand)
Schritt 6: Aktualisieren Sie alles und scannen Sie erneut
Aktualisieren Sie WordPress, PHP, alle Plugins und Themes. Führen Sie dann einen Scan mit einem seriösen Sicherheits-Plugin oder einem externen Scanner durch und überprüfen Sie die Seite von einem sauberen Browser und von einem Mobilgerät aus.
Schritt 7: Beheben Sie Google-Warnungen und Spam-Seiten
- Überprüfen Sie Sicherheitsprobleme in der Google Search Console
- Bitten Sie um eine Bewertung, nachdem die Seite sauber ist.
- Für Spam-Seiten stellen Sie sicher, dass sie 404 oder 410 zurückgeben und entfernen Sie die Spam-Sitemaps, die der Angreifer hinzugefügt hat.
- Überprüfen Sie die Seiten und Sitemaps Berichte auf unbekannte Einträge.
Spam-URLs können eine Weile sichtbar in Google bleiben, nachdem sie entfernt wurden. Sie verschwinden, wenn Google sie erneut crawlt.
Schritt 8: Härtung der Website
- Automatische Updates für kleinere Versionen und vertrauenswürdige Plugins
- Zwei-Faktor-Authentifizierung für alle Administratoren
- Minimalrechte: Gewähren Sie Administratorrechte nur an Personen, die sie wirklich benötigen.
- Deaktivieren Sie die Dateibearbeitung im Dashboard:
define( 'DISALLOW_FILE_EDIT', true );
- Blockiere die PHP-Ausführung in
wp-content/uploads - Webanwendungsfirewall (auf Host-, CDN- oder Plugin-Ebene)
- Off-Site, versionierte Backups mit getesteten Wiederherstellungen (siehe meinen Leitfaden zur Server-Backup-Strategie)
- Überwachung: Verfügbarkeit, Dateiänderungen und Warnungen der Search Console
Wann man stattdessen aus einem Backup wiederherstellen sollte
Wenn Sie ein sauberes Backup von vor der Infektion haben und der Shop seitdem keine wichtigen neuen Bestellungen erhalten hat, kann die Wiederherstellung schneller sein. Aber Sie müssen trotzdem den Einstiegspunkt beheben und alles aktualisieren, sonst wird die Seite erneut infiziert.
Häufig gestellte Fragen
Kann ein Sicherheits-Plugin meine Seite automatisch reinigen?
Es kann viele bekannte Infektionen finden und entfernen, aber Hintertüren und Datenbankinjektionen werden oft übersehen. Eine manuelle Überprüfung ist weiterhin erforderlich für eine zuverlässige Bereinigung.
Warum wird meine Seite nach der Bereinigung erneut gehackt?
In der Regel, weil eine Hintertür übersehen wurde oder die ursprüngliche Schwachstelle (ein veraltetes Plugin, ein schwaches Passwort) nicht behoben wurde.
Schadet ein Hack meinem SEO?
Es kann, insbesondere bei Spam-Seiten und Google-Warnungen. Eine schnelle Bereinigung und eine Überprüfungsanfrage begrenzen in der Regel den Schaden.
Ist WooCommerce-Daten in Gefahr?
Möglicherweise. Wenn Sie vermuten, dass Kundendaten oder Zahlungsdaten zugegriffen wurden, holen Sie sich professionelle Hilfe und überprüfen Sie Ihre rechtlichen Verpflichtungen, wie z. B. die Regeln zur Benachrichtigung bei Datenverletzungen gemäß der DSGVO.
Brauchen Sie dringend Hilfe mit einer gehackten Website?
Ich reinige und sichere gehackte WordPress- und WooCommerce-Seiten, finde den Einstiegspunkt und richte Backups sowie Überwachungen ein, damit es nicht wieder passiert. Siehe meinen WordPress- und WooCommerce-Service oder fordere jetzt Hilfe an.