Es beginnt mit einem Anruf
Eine Kundin meldet sich, weil mit ihrer Website etwas nicht stimmt: Ein Browser-Tab, der sich nicht mehr schließen lässt, und im Hintergrund das ungute Gefühl, dass hier etwas nicht in Ordnung ist. Wenige Minuten später ist klar — die Seite wurde gehackt.
Was folgte, war ein Einsatz über mehrere Stunden und einer der hartnäckigsten Fälle, die uns bislang untergekommen sind. Und weil daraus einiges zu lernen ist, das jeden Website-Betreiber betrifft, erzählen wir ihn hier — anonymisiert, versteht sich.
Eines vorweg, damit kein falscher Eindruck entsteht: Das Problem war nicht WordPress. WordPress betreibt weltweit rund vier von zehn Websites — und ist gerade deshalb das häufigste Ziel automatisierter Angriffe. Nicht, weil es schlechter wäre als andere Systeme, sondern weil es sich für Angreifer schlicht am meisten lohnt. Ein Einbrecher klappert die Straße mit den meisten Häusern ab. Entscheidend ist nicht, welches System Sie nutzen, sondern ob es gepflegt wird. Und genau da lag in diesem Fall das Problem.
Der Schädling, den man nicht sieht
Das Tückische an modernem Schadcode ist, dass er sich versteckt. Der Betreiberin selbst fiel kaum etwas auf. Der Grund: Die Schadsoftware war so programmiert, dass sie sich vor angemeldeten Administratoren unsichtbar machte. Nur normale Besucher der Seite bekamen etwas ab — im Hintergrund, ohne dass es jemand bemerkte.
Diese Art von Angriff hat ein klares Ziel: Geld. Nicht durch Erpressung, sondern indem die Besucher der Website unbemerkt weitergeleitet oder mit gefälschten Meldungen konfrontiert werden. Je länger das unentdeckt läuft, desto besser für die Angreifer. Deshalb die Tarnung.
Erschwerend kam hinzu: Der Schädling stellte sich immer wieder selbst her. Man konnte die schädliche Datei löschen — Sekunden später war sie zurück. An mehreren Stellen im System hatten sich die Angreifer eingenistet, jede einzelne fähig, die anderen wiederherzustellen. Ein Kampf gegen etwas, das schneller nachwuchs, als man es entfernen konnte.
Warum Aufräumen nicht reicht
An diesem Punkt trafen wir eine Entscheidung, die auf den ersten Blick nach mehr Arbeit aussieht, unterm Strich aber der einzig saubere Weg ist: Die Website wurde nicht repariert, sondern komplett neu aufgebaut.
Der Grund ist einfach. Bei einem derart tief verankerten Befall kann man nie mit Sicherheit sagen, dass man wirklich alles erwischt hat. Und genau diese Sicherheit schuldet man einem Kunden. Also: alles Alte restlos entfernt, das System frisch installiert, und die Inhalte aus einer geprüften Sicherung zurückgespielt — nachdem wir diese Sicherung in einer abgeschotteten Umgebung Zeile für Zeile auf Schädlinge untersucht hatten.
Am Ende des Tages lief die Website wieder. Sauber, aktuell, abgesichert. Und die Betreiberin konnte weiterarbeiten, als wäre nichts gewesen.
Die eigentliche Lehre: Es war nichts Persönliches
Hier kommt der Punkt, der für Sie als Leser am wichtigsten ist.
Viele Menschen denken: „Meine Website ist doch klein und unbedeutend — wer sollte die schon angreifen?" Genau dieser Gedanke ist der gefährlichste.
Denn niemand hatte es persönlich auf diese Kundin abgesehen. Der Angriff lief vollautomatisch. Programme durchsuchen das Internet rund um die Uhr nach Websites mit veralteter Software — und schlagen zu, wo sie eine Lücke finden. Ob dahinter ein Weltkonzern steht oder ein kleiner Handwerksbetrieb, ist den Angreifern völlig gleich. Sie suchen keine bestimmten Opfer. Sie suchen offene Türen.
Und die offene Tür war in diesem Fall eindeutig: Die Website lief noch mit einer Software-Version von 2023. Zwei Jahre ohne Updates. Das ist die Einladung, auf die solche Programme warten.
Woran Sie erkennen, dass etwas nicht stimmt
Weil der beste Schutz das frühe Erkennen ist, hier die häufigsten Warnzeichen — gerade weil ein Befall oft unsichtbar bleibt:
- Besucher berichten von seltsamen Weiterleitungen. Sie selbst sehen nichts, aber jemand erzählt Ihnen, dass er beim Aufruf Ihrer Seite plötzlich woanders landete. Nehmen Sie das ernst — viele Schädlinge verstecken sich genau vor Ihnen und zeigen sich nur fremden Besuchern.
- Google warnt vor Ihrer Seite. Erscheint in den Suchergebnissen ein Warnhinweis oder werden Besucher von ihrem Browser gebremst, ist das ein deutliches Signal.
- Ihr Postfach quillt über oder Ihre Seite ist plötzlich langsam. Gekaperte Websites werden oft für den Versand von Spam missbraucht. Ungewöhnliche Langsamkeit kann ein Hinweis sein.
- Sie können sich nicht mehr normal einloggen oder finden unbekannte Benutzerkonten. Wenn im Verwaltungsbereich plötzlich Konten auftauchen, die Sie nicht angelegt haben, ist Vorsicht geboten.
- Ihr Sicherheits-Plugin verschwindet oder meldet sich nicht mehr. Manche Schädlinge schalten gezielt genau die Werkzeuge aus, die sie entdecken würden.
Wichtig
Das Fehlen dieser Anzeichen ist keine Garantie, dass alles in Ordnung ist. Die gefährlichsten Befälle sind gerade die, die man nicht bemerkt.
Was wirklich schützt
Der ganze aufwendige Rettungseinsatz hätte sich vermeiden lassen. Nicht durch teure Spezialsoftware, sondern durch etwas Unspektakuläres: regelmäßige Updates und eine laufende Überwachung.
Software wird nicht aus Spaß aktualisiert. Jede Aktualisierung schließt Lücken, die sonst zur offenen Tür werden. Eine Website, die kontinuierlich gepflegt wird, ist für die automatischen Suchprogramme schlicht uninteressant — sie finden keine Angriffsfläche und ziehen weiter. Das gilt übrigens nicht nur für WordPress, sondern für jedes System: Onlineshop, Homepage-Baukasten, Server. Ungepflegt wird alles zum Risiko, gepflegt bleibt alles beherrschbar.
Genau deshalb bieten wir Wartungspakete an: Damit Sie sich um Ihre Website keine Gedanken machen müssen, während wir im Hintergrund dafür sorgen, dass sie aktuell und geschützt bleibt. Es ist der Unterschied zwischen einem ruhigen Arbeitstag und einem unerwarteten Notfalleinsatz.
Die gute Nachricht zum Schluss: Ein Fall wie dieser ist kein Grund, an WordPress zu zweifeln. Er ist ein Grund, die Pflege ernst zu nehmen. Absolute Sicherheit kann Ihnen im Internet niemand versprechen — aber die allermeisten Angriffe zielen auf veraltete Systeme, und davor schützt kontinuierliche Wartung zuverlässig. Eine gut betreute WordPress-Website ist eine sichere WordPress-Website.
Häufige Fragen
Moderner Schadcode ist häufig so programmiert, dass er sich vor angemeldeten Administratoren unsichtbar macht. Nur normale Besucher bekommen die Weiterleitungen oder gefälschten Meldungen zu sehen. Je länger ein Befall unentdeckt bleibt, desto mehr verdienen die Angreifer daran — deshalb die Tarnung.
Nein. WordPress betreibt rund vier von zehn Websites weltweit und ist deshalb das häufigste Ziel automatisierter Angriffe — nicht, weil es schlechter wäre als andere Systeme, sondern weil es sich für Angreifer am meisten lohnt. Entscheidend ist nicht das System, sondern seine Pflege: Eine gut betreute WordPress-Website ist eine sichere WordPress-Website.
Bei einem oberflächlichen Befall reicht eine Bereinigung. Wenn sich der Schädling jedoch an mehreren Stellen eingenistet hat und sich selbst wiederherstellt, ist ein kompletter Neuaufbau der einzig saubere Weg: System frisch installieren und die Inhalte aus einer zuvor geprüften Sicherung zurückspielen. Nur so lässt sich mit Sicherheit sagen, dass nichts zurückbleibt.
Sie wird es nicht persönlich. Angriffe laufen vollautomatisch: Programme durchsuchen das Internet rund um die Uhr nach Websites mit veralteter Software und schlagen zu, wo sie eine Lücke finden. Ob dahinter ein Weltkonzern oder ein Handwerksbetrieb steht, ist den Angreifern gleich — sie suchen keine Opfer, sondern offene Türen.
Sicherheitsrelevante Updates sollten zeitnah eingespielt werden, im Idealfall innerhalb weniger Tage. Zwischen der Veröffentlichung einer Sicherheitslücke und den ersten automatisierten Angriffen liegen oft nur Stunden. Eine Website, die zwei Jahre lang keine Updates gesehen hat, ist praktisch eine offene Tür.
Regelmäßige Updates von System, Erweiterungen und Design, geprüfte Backups außerhalb des Servers, laufende Überwachung auf Auffälligkeiten — und eine zuständige Person, die Sicherheitswarnungen verfolgt und im Ernstfall reagiert, bevor Schaden entsteht. Mehr dazu auf der Seite zur WordPress-Wartung.
Sie sind unsicher, ob Ihre Website auf dem aktuellen Stand ist?
Sprechen Sie uns an — wir schauen gemeinsam drauf. Eine erste Einschätzung kostet Sie nichts außer fünf Minuten.
Unverbindlich anfragen