Freitag, später Nachmittag
Vor einiger Zeit wurde eine Sicherheitslücke in einem verbreiteten WordPress-Plugin aktiv ausgenutzt. Eines, das auch auf Websites lief, die ich betreue.
Solche Nachrichten kommen nie dienstags um zehn. Sie kommen freitags am späten Nachmittag.
Wenn Ihre erste Frage jetzt „Woran merke ich überhaupt, ob meine WordPress-Website gehackt wurde?" lautet — genau darum geht es in diesem Beitrag. Ich nehme Sie mit durch einen echten Vorfall: was passiert ist, wie die Bereinigung ablief und was Sie daraus für Ihre eigene Website mitnehmen können.
Was dann passiert ist
Das Wochenende sah anders aus als geplant: jede betroffene Website geprüft, Spuren gesichert, bereinigt. Der Plugin-Entwickler reagierte vorbildlich schnell und veröffentlichte kurzfristig eine abgesicherte Version — die habe ich umgehend überall eingespielt, dazu sämtliche Zugangsdaten und Sicherheitsschlüssel erneuert. Sonntagabend war die letzte Seite durch.
Am Montag hatten alle Kund:innen einen klaren Bericht: Was wurde geprüft, was wurde gefunden, was wurde getan. Alle haben überhaupt erst dadurch von dem Vorfall erfahren — und nicht durch eine kaputte Website, eine Google-Warnung oder eine Abmahnung.
Wie so ein Angriff technisch abläuft
Ohne zu tief in die Details des konkreten Falls zu gehen (die Lücke ist inzwischen geschlossen), läuft das Muster fast immer gleich ab — und es hilft, dieses Muster zu kennen:
- Die Lücke wird bekannt. Ein Sicherheitsforscher oder der Entwickler selbst veröffentlicht die Schwachstelle. Ab diesem Moment läuft ein Wettrennen.
- Automatisierte Scanner schwärmen aus. Angreifer klappern innerhalb von Stunden Millionen von Websites ab und prüfen, ob das verwundbare Plugin installiert ist. Ihre Website ist dabei kein persönliches Ziel — sie ist einfach eine IP-Adresse in einer Liste.
- Der Schädling zieht ein. Über die Lücke wird eine sogenannte Webshell abgelegt — eine kleine Datei, über die der Angreifer die Website fernsteuern kann. Dazu kommen typischerweise: ein heimlich angelegter Administrator-Account mit unauffälligem Namen, versteckte Hintertüren in Systemverzeichnissen und manipulierte Plugin-Dateien. Alles darauf ausgelegt, ein Update zu überleben.
- Die eigentliche Nutzung folgt später. Spam-Versand, Weiterleitungen auf Betrugsseiten, Erpressung oder schlicht der Weiterverkauf des Zugangs. Oft liegen zwischen Einbruch und sichtbarem Schaden Wochen.
Und genau dieses Muster wiederholt sich gerade wieder: Erst diese Woche warnte das BSI vor der „wp2shell"-Schwachstellenkette in WordPress selbst — Risikoeinstufung „kritisch", aktive Angriffe wenige Stunden nach Bekanntwerden. Die Zeit zwischen Veröffentlichung einer Lücke und ihrem Missbrauch schrumpft von Jahr zu Jahr. Wer erst am Montag von einer Freitags-Lücke erfährt, ist im Zweifel schon zu spät.
Woran Sie erkennen, dass Ihre Website betroffen sein könnte
Ein paar Warnsignale, die Sie auch ohne technisches Spezialwissen prüfen können:
- Unbekannte Administratoren: Schauen Sie unter „Benutzer" nach Accounts, die Sie nicht angelegt haben. Angreifer wählen unauffällige Namen und setzen das Anlegedatum zurück.
- PHP-Dateien im Uploads-Ordner: Im Verzeichnis
wp-content/uploadsgehören Bilder und Dokumente hin — keine .php-Dateien. Jede PHP-Datei dort ist verdächtig. - Google-Warnungen: Meldungen in der Search Console („Diese Website wurde möglicherweise gehackt") oder plötzlich einbrechende Rankings.
- Seltsame Weiterleitungen: Besucher landen auf fremden Seiten, aber nur manchmal — Angreifer leiten oft nur Suchmaschinen-Besucher um, damit der Betreiber nichts merkt.
- Verändertes Verhalten: Die Website wird langsam, verschickt E-Mails, die niemand geschrieben hat, oder der Hoster meldet auffälligen Traffic.
Wichtig
Das Fehlen dieser Symptome ist kein Beweis für eine saubere Website. Gute Angreifer sind unsichtbar — deshalb braucht es im Verdachtsfall eine echte Prüfung der Dateien und Logfiles.
Drei Dinge, die ich aus dem Vorfall mitnehme
1. Die Lücke ist selten das Problem. Die Reaktionszeit ist es.
Sicherheitslücken in Plugins sind Alltag — jede Woche werden neue veröffentlicht. Entscheidend ist, wie schnell jemand davon erfährt und handelt. Eine Website ohne zuständige Person hat im Ernstfall niemanden, der reagiert. Der Unterschied zwischen „Freitagabend gepatcht" und „irgendwann nächste Woche" ist der Unterschied zwischen einem 20-Minuten-Update und einem Wochenende Forensik.
2. „Updates laufen automatisch" ist keine Sicherheitsstrategie.
Automatische Updates sind gut und richtig — aber sie prüfen nicht, ob vor dem Update schon etwas passiert ist. Wer nur updatet, versiegelt im schlimmsten Fall den Schädling gleich mit ein: Die Lücke ist zu, die Hintertür bleibt drin. Nach jeder aktiv ausgenutzten Lücke gehört deshalb eine Kompromittierungsprüfung dazu — ein Abgleich der Dateien gegen die Originale, ein Blick in die Benutzerliste, ein Blick in die Server-Logs.
3. Jedes Plugin ist ein Mitbewohner.
Es wohnt in Ihrer Website, hat einen Schlüssel — und bringt seine eigenen Schwächen mit. Die ehrlichste Sicherheitsmaßnahme kostet nichts: regelmäßig ausmisten. Jedes deaktivierte, verwaiste oder „das brauchen wir vielleicht nochmal"-Plugin vergrößert die Angriffsfläche. Jede Zeile Code, die nicht da ist, kann nicht angegriffen werden.
Die unbequeme Frage
Wenn heute Nacht ein Plugin auf Ihrer Website zur Zielscheibe würde: Wer würde es morgen früh bemerken?
Wenn die ehrliche Antwort „niemand" lautet, ist das kein Vorwurf — aber ein guter Anlass, das zu ändern. Ob mit mir oder mit jemand anderem: Ihre Website braucht eine Person, die zuständig ist. Eine, die Sicherheitswarnungen liest, bevor sie in der Tagesschau landen, und die im Ernstfall weiß, was zu tun ist.
Genau das ist der Kern meiner WordPress-Wartung: Updates mit Augenmaß, Monitoring, und im Ernstfall jemand, der reagiert — bevor Sie überhaupt merken, dass es einen Ernstfall gab.
Häufige Fragen zu gehackten WordPress-Websites
Typische Anzeichen sind unbekannte Administrator-Konten, PHP-Dateien im Uploads-Ordner, Warnungen in der Google Search Console, seltsame Weiterleitungen und ungewöhnlich langsame Ladezeiten. Viele Infektionen bleiben jedoch bewusst unsichtbar — im Verdachtsfall hilft nur eine Prüfung der Dateien und Server-Logs.
Nein. Ein Update schließt die Lücke, entfernt aber keine Schadsoftware, die vor dem Update bereits eingeschleust wurde. Wenn eine Lücke aktiv ausgenutzt wurde, gehört zur Bereinigung immer eine Kompromittierungsprüfung: Dateiabgleich, Benutzerkontrolle, Log-Analyse und das Erneuern aller Zugangsdaten.
Nur bedingt. Ein Backup hilft, wenn es nachweislich aus der Zeit vor dem Einbruch stammt und die Lücke nach dem Einspielen sofort geschlossen wird — sonst ist die wiederhergestellte Website in Minuten erneut infiziert. Da Angreifer oft wochenlang unbemerkt bleiben, sind auch Backups häufig bereits verseucht.
Das hängt vom Umfang der Infektion ab — von wenigen Stunden bei einem früh erkannten Einzelfall bis zu mehreren Tagen, wenn Hintertüren auf mehreren Ebenen verankert sind. Deutlich günstiger als jede Bereinigung ist Vorsorge: regelmäßige Wartung mit zeitnahen Updates und Monitoring.
Die wirksamsten Maßnahmen: zeitnahe Updates von Core, Plugins und Themes, so wenige Plugins wie möglich, starke und einzigartige Passwörter mit Zwei-Faktor-Authentifizierung, regelmäßige externe Backups — und eine zuständige Person, die Sicherheitswarnungen verfolgt und im Ernstfall reagiert.
Sie sind unsicher, ob Ihre Website sauber ist?
Schreiben Sie mir — eine erste Einschätzung kostet Sie nichts außer fünf Minuten.
Unverbindlich anfragen