Anfänger-Leitfaden zur Behebung Ihrer gehackten WordPress-Website

Ihre WordPress-Seite wurde gehackt. Besucher sehen möglicherweise Warnungen, Seiten werden zu Spam weitergeleitet, und Ihr Unternehmen verliert möglicherweise mit jeder Minute Traffic und Umsatz.

Die gute Nachricht ist, dass Sie sie wiederherstellen können. Der Schlüssel liegt darin, die richtige Reihenfolge einzuhalten: den Einbruch eindämmen, die Malware entfernen, Ihre Seite wiederherstellen und sie vor einem weiteren Angriff sichern.

Wir haben Hunderten von WordPress-Benutzern geholfen, gehackte Seiten wiederherzustellen, und wir haben uns auch um Sicherheitsprobleme auf unseren eigenen Seiten gekümmert.

Heute nutzen Angreifer zunehmend KI, um neu gepatchte Schwachstellen von WordPress-Plugins zu finden und auszunutzen, wodurch schnelles Handeln wichtiger denn je ist.

In diesem Leitfaden zeigen wir Ihnen Schritt für Schritt, wie Sie Ihre gehackte WordPress-Seite reparieren, auch wenn Sie noch nie zuvor eine Hacking-Bereinigung durchgeführt haben.

Schnelle Antwort: Dämmen Sie zuerst den Schaden von außerhalb von WordPress ein, beauftragen Sie dann entweder einen Bereinigungsdienst oder löschen Sie den Server und bauen Sie ihn mit sauberen Dateien neu auf.

Hier ist die vollständige Abfolge mit jeder erklärten Schritt:

Schritt 1. Schaden eindämmen

Bevor Sie etwas bereinigen, verhindern Sie, dass die Seite Ihren Besuchern und Ihrem Ruf weiteren Schaden zufügt.

Schalten Sie Ihre Seite mit einem „Coming Soon“-Bildschirm von außerhalb von WordPress ab. Der einfachste Weg ist der kostenlose „Under Attack Mode“ von Cloudflare, der jeden Besucher herausfordert, bevor er Ihre Seite erreicht.

Sie können auch den Wartungsmodus des Control Panels Ihres Hosters verwenden oder Ihre DNS vorübergehend umleiten.

Ändern Sie als Nächstes sofort Ihr WordPress-Admin-Passwort und Ihr Hosting-Konto-Passwort. Wenn Sie sich überhaupt nicht anmelden können, lesen Sie unsere Anleitung, was zu tun ist, wenn Sie aus dem WordPress-Admin ausgesperrt sind.

Kontaktieren Sie dann Ihren Hosting-Anbieter, bevor Sie Dateien löschen, ein Backup wiederherstellen oder andere größere Änderungen an Ihrer Website vornehmen. Ihr Hosting-Anbieter kann Ihnen möglicherweise zeigen, wie der Angreifer eingedrungen ist, und Ihre Website nach Malware scannen.

Stellen Sie ihnen zwei Fragen: „Wie denken Sie, dass der Angreifer Zugriff auf die Website erhalten hat?“ und „Haben Sie ein aktuelles sauberes Backup?“ Die erste kann Ihnen helfen, die zu behebende Schwachstelle zu identifizieren, während die zweite Ihnen sagt, ob Sie einen sicheren Wiederherstellungspunkt haben, falls die Website zurückgerollt werden muss.

Dokumentieren Sie schließlich alles. Machen Sie Screenshots von den Symptomen und notieren Sie Datum, Uhrzeit und genau das, was Sie sehen.

Sie benötigen diese Aufzeichnung für Ihren Hoster, für einen Sicherheitsexperten, falls Sie einen beauftragen, und um zu bestätigen, dass dasselbe Symptom nach der Bereinigung verschwunden ist.

Schritt 2. Entscheiden: Eine gehackte Seite selbst bereinigen oder einen Sicherheitsexperten beauftragen?

Hier gibt es keine falsche Antwort.

Die Beauftragung eines Profis ist die bessere Wahl, wenn Sie sich nicht wohl dabei fühlen, mit Dateien und Datenbanken zu arbeiten, oder wenn Sie möchten, dass es beim ersten Mal richtig gemacht wird. Hacker verstecken Hintertüren, geheime Zugangspunkte, die es ihnen später ermöglichen, wieder einzudringen, an Orten, an die Anfänger selten denken.

Eine übersehene Hintertür bedeutet, dass der Hack zurückkommt.

Für professionelle Bereinigungen bieten sowohl Wordfence als auch MalCare solide Bereinigungsdienste an. Eine weitere Option, die wir empfehlen, ist We Watch Your Website, das eine gründliche WordPress-Sicherheitsbereinigung durchführt.

Sie können in unserer Anleitung wie man einen WordPress-Sicherheitsexperten beauftragt mehr erfahren.

Wenn Sie sich entscheiden, es selbst zu bereinigen, folgen Sie dem Rest dieser Anleitung.

Schritt 3. Finden Sie heraus, wo sich die Malware versteckt

Beginnen Sie mit einem kostenlosen Remote-Malware-Scan, um schnell Dateien oder Code zu identifizieren, die möglicherweise genauer untersucht werden müssen. Wir empfehlen das kostenlose Wordfence-Plugin dafür, aber behandeln Sie den Scanner als Assistenten, nicht als Urteil.

Überprüfen Sie dann diese gängigen Stellen, an denen sich WordPress-Malware verstecken kann:

• Gefälschte Dateien, die WordPress-Core imitieren. Eine einzelne wp-something.php-Datei in einem Ordner, wo sie nicht hingehört, oder eine zweite Kopie von wp-load.php.
• PHP-Dateien in /wp-content/uploads/. Der Upload-Ordner wird normalerweise für Bilder, Dokumente und andere Medien verwendet. PHP-Dateien in diesem Verzeichnis verdienen daher sofortige Aufmerksamkeit.
• Unbekannte Must-Use-Plugins in /wp-content/mu-plugins/. Diese Plugins werden automatisch mit WordPress geladen und erscheinen nicht auf der regulären Plugin-Seite, was sie zu einem attraktiven Ort für Angreifer macht, um bösartigen Code zu verstecken.
• Kürzlich geänderte Dateien. Öffnen Sie den Dateimanager Ihres Hosters und sortieren Sie nach dem Datum der letzten Änderung. Achten Sie besonders auf Dateien, die um die Zeit geändert wurden, als das Problem begann, insbesondere wenn Sie diese Änderungen nicht selbst vorgenommen haben.
• Bösartiger Code in der Datenbank. Eingefügte Zeilen können zu Weiterleitungen, Spam-Seiten und wiederholten Infektionen führen, selbst nachdem die Dateien bereinigt sind.
• Eine manipulierte .htaccess-Datei. Achten Sie auf Weiterleitungsregeln, die Sie nicht hinzugefügt haben.
• Unbekannte Admin- oder FTP-Benutzer. Löschen Sie alle Konten, die Sie nicht kennen. Ein unbekanntes Konto könnte einem Angreifer einen weiteren Weg geben, auf Ihre Website zuzugreifen, nachdem Sie die Dateien bereinigt haben.
• Dienstprogramme-Plugins, die Sie nicht installiert haben. Plugins wie WPCode, Code Snippets oder File Manager sind für sich genommen sicher, aber Hacker installieren sie manchmal, um Code einzuschleusen. Wenn ein Plugin ohne Ihre Installation erschien, ist das ein Warnsignal.
• Verdächtige geplante Aufgaben. Hacker nutzen WordPress Cronjobs, um eine Website zeitgesteuert erneut zu infizieren.
• Ihr CDN-Konto. Viele Websites speichern ihre CDN-API-Schlüssel in WordPress. Ein Hacker kann diese Schlüssel verwenden, um Dateien auf CDN-Ebene zu ändern und Karten-Skimmer oder anderen bösartigen Code hinzuzufügen. Überprüfen Sie daher Ihr CDN-Dashboard auf Änderungen, die Sie nicht vorgenommen haben.

Für einen tieferen Einblick in den häufigsten Versteckort sehen Sie sich unseren Leitfaden an, wie Sie eine Backdoor in WordPress finden und beheben.

Schritt 4. Sichern Sie die gehackte Seite zuerst

Bevor Sie mit dem Löschen von Dateien oder anderen Änderungen beginnen, erstellen Sie eine vollständige Sicherung der gehackten Website, einschließlich sowohl der Dateien als auch der Datenbank.

Dies mag kontraintuitiv erscheinen, aber diese Sicherung gibt Ihnen einen Schnappschuss der Website, bevor die Bereinigung beginnt. Wenn während des Prozesses etwas schief geht, können Sie darauf zurückgreifen, um festzustellen, was sich geändert hat. Sie kann auch nützliche Beweise für Ihren Hosting-Provider, Sicherheitsexperten oder Ihre Versicherungsgesellschaft liefern, wenn Sie den Vorfall dokumentieren müssen.

Beschriften Sie diese Sicherung deutlich als infizierte Kopie und bewahren Sie sie getrennt von jeder sauberen Sicherung auf, die Sie wiederherstellen möchten. Sie sollten sie nicht verwenden, um die Website wieder online zu schalten.

Dieser zusätzliche Schritt gibt Ihnen ein Sicherheitsnetz, bevor Sie mit dem Entfernen von Malware beginnen.

Schritt 5. Malware entfernen: Alles löschen und sauber neu aufbauen

Die einzig zuverlässige Bereinigung ist eine vollständige Löschung. Löschen Sie alles vom Server, d. h. alle WordPress-Dateien und alles andere im Hosting-Konto, und bauen Sie es dann aus bekannten sauberen Quellen wieder auf.

Eine reine WordPress-Neuinstallation reicht nicht aus. Die meisten Leute installieren WordPress im Hauptordner ihres Hosting-Kontos, aber Backdoors leben oft vollständig außerhalb davon, anderswo im Konto, im Web-Root oder in einem Cronjob.

Wenn Sie WordPress neu installieren und den Rest des Servers unberührt lassen, infiziert diese Backdoor Ihre frische Installation erneut.

Bauen Sie die saubere Version wieder auf:

• Laden Sie frische WordPress-Core-Dateien von WordPress.org herunter.
• Laden Sie frische Kopien Ihrer Plugins und Ihres Themes von deren offiziellen Quellen herunter. Verwenden Sie niemals die alten Dateien wieder.
• Erstellen Sie eine frische wp-config.php von Grund auf neu.

Erst nach der vollständigen Löschung sollten Sie aus einer Sicherung wiederherstellen, und zwar nur eine, von der Sie sicher sind, dass sie vor dem Hack existierte. Selbst dann stellen Sie nur Ihre Inhalte und Ihre Datenbank wieder her, nicht die alten ausführbaren Dateien.

Sehen Sie sich unser Tutorial zur Wiederherstellung von WordPress aus einer Sicherung an, um die Details zu erfahren.

Bringen Sie Ihre Inhalte sorgfältig zurück. Laden Sie Uploads und Medien erst wieder hoch, nachdem Sie sie auf lose PHP-Dateien überprüft haben, und bereinigen Sie manuell alle eingefügten Zeilen, wenn Sie die Datenbank wiederherstellen.

Die automatische Bereinigungsfunktion eines Sicherheit-Plugins kann helfen und entfernt bekannte Infektionen auf WordPress-Ebene gut. Aber es erfasst möglicherweise keine serverseitige Hintertür, die außerhalb von WordPress sitzt, weshalb das Löschen und Neuerstellen die sichere Standardeinstellung ist.

Führen Sie keinen Scanner aus und denken Sie, dass es erledigt ist.

Schritt 6. Alle Passwörter, Schlüssel und API-Token zurücksetzen

Ja, Sie haben Ihre Passwörter in Schritt 1 geändert. Jetzt, da die Website sauber ist, tun Sie es erneut und gehen Sie weiter, da der Hacker möglicherweise alles mitverfolgt hat, was Sie eingegeben haben, während die Website noch infiziert war.

Setzen Sie jedes Passwort zurück: WordPress-Admin-Konten, Hosting, FTP oder SFTP, die Datenbank und jedes E-Mail-Konto, das mit der Website verbunden ist. Verwenden Sie einen Passwort-Manager, damit jedes davon stark und einzigartig ist.

Unser Leitfaden zur besten Verwaltung von Passwörtern kann helfen. Wenn Ihre Website viele Benutzer hat, können Sie einen Passwort-Reset erzwingen für alle von ihnen.

Als Nächstes generieren Sie Ihre WordPress-Geheimschlüssel neu. Diese Schlüssel, auch Salts genannt, befinden sich in wp-config.php und sichern die Login-Cookies.

Das Zurücksetzen dieser Schlüssel meldet jeden aus, der noch einen übernommenen Cookie hat, selbst nachdem die Passwörter geändert wurden. Generieren Sie einen neuen Satz Schlüssel und fügen Sie sie in Ihre wp-config.php ein. Unser Artikel über WordPress-Sicherheitsschlüssel erklärt, wo sie sich befinden.

Drehen Sie schließlich jeden API-Schlüssel und jedes Token, das die Website verwendet. Dies stellt sicher, dass Anmeldeinformationen, auf die der Angreifer möglicherweise zugegriffen hat, nicht mehr verwendet werden können, um sich mit Ihren Diensten zu verbinden.

Schritt 7. Die Warnungen „Diese Seite könnte gehackt sein“ entfernen

Ihre Website ist sauber, aber Google warnt möglicherweise immer noch davor. Diese Warnung verschwindet nicht von selbst schnell, daher müssen Sie eine Überprüfung beantragen.

Öffnen Sie Google Search Console und gehen Sie zum Bericht "Sicherheitsrisiken". Sobald Sie jedes gemeldete Problem behoben haben, wählen Sie die Probleme aus und klicken Sie auf die Schaltfläche "Überprüfung anfordern".

Beschreiben Sie, was falsch war und was Sie zur Behebung getan haben. Überprüfungen dauern normalerweise einige Tage und manchmal länger.

Während Sie warten, überprüfen Sie Ihre Website mit Google Safe Browsing, um ihren aktuellen Status zu sehen, und halten Sie die Website online und sauber. Wiederholte Überprüfungsanfragen mit einer infizierten Website verlangsamen den Prozess.

Schritt 8. WordPress härten, damit es nie wieder passiert

Ergreifen Sie nun einige zusätzliche Schritte, um zu verhindern, dass der Hacker wieder in Ihre Website eindringt. Führen Sie diese in der Reihenfolge durch, beginnend mit den Maßnahmen, die einige der häufigsten Wege blockieren, über die Angreifer wieder Zugriff erhalten.

1. Deaktivieren Sie den integrierten Dateieditor. Fügen Sie diese Zeile zu Ihrer wp-config.php hinzu:

define('DISALLOW_FILE_EDIT', true);

Dies verhindert, dass jeder mit Zugriff auf das WordPress-Dashboard direkt Theme- und Plugin-Dateien bearbeitet. Dies bietet eine wichtige Schutzschicht, falls ein Administratorkonto kompromittiert wird.

Sie können auch unserem Leitfaden folgen, wie Sie Theme- und Plugin-Editoren in WordPress deaktivieren.

2. Verhindern Sie die Ausführung von PHP in Ihrem Upload-Ordner. Selbst wenn ein Hacker eine bösartige .php-Datei in /wp-content/uploads/ einschleust, weigert sich der Server aufgrund dieser Regel, sie auszuführen.

Fügen Sie dies auf Apache in eine neue .htaccess-Datei im Upload-Ordner ein:

<Files *.php>
deny from all
</Files>

Bitten Sie auf Nginx Ihren Hoster, die entsprechende Location-Regel hinzuzufügen. Unser Tutorial, wie Sie die PHP-Ausführung in bestimmten WordPress-Verzeichnissen deaktivieren, führt Sie durch den Prozess.

3. Entfernen Sie Plugin-Installationen vollständig aus dem Dashboard. Dies ist die erweiterte Steuerung, die wir auf unseren eigenen Websites verwenden.

Wenn Ihre Änderungen eine Deployment-Pipeline wie Git durchlaufen, müssen Sie Plugins überhaupt nicht aus wp-admin installieren. Sperren Sie es, indem Sie define('DISALLOW_FILE_MODS', true); zu wp-config.php hinzufügen und alle Codeänderungen über die Pipeline pushen.

Schließen Sie dann die Liste ab:

• Richten Sie automatisierte, externe Backups mit einem Plugin wie Duplicator ein. Wenn Sie in Schritt 5 ein sauberes Backup hatten, dauerte der Wiederaufbau Minuten statt Tage, also richten Sie dies noch heute ein. Hier ist eine Anleitung, wie Sie Ihre WordPress-Website sichern.
• Installieren Sie eine Firewall oder ein Sicherheit-Plugin mit fortlaufender Malware-Scan.
• Aktivieren Sie starke Passwörter und Zwei-Faktor-Authentifizierung für jedes Konto.
• Begrenzen Sie Anmeldeversuche und schützen Sie Ihren wp-admin-Bereich.
• Stellen Sie die korrekten Datei- und Ordnerberechtigungen ein.
• Aktualisieren Sie WordPress-Core, Plugins und Themes in der richtigen Update-Reihenfolge und löschen Sie alles, was Sie nicht verwenden.
• Führen Sie nur Plugins und Themes aus vertrauenswürdigen Quellen aus. Verwenden Sie niemals genullte oder raubkopierte Versionen, da diese oft versteckte Malware enthalten.

Häufig gestellte Fragen

Woher weiß ich, ob meine WordPress-Seite gehackt wurde?

Die häufigsten Anzeichen sind eine Browser- oder Google-Warnung auf Ihrer Website, Ihre Website leitet Besucher auf seltsame Websites um, Spam-Links oder Seiten, die Sie nicht erstellt haben, Admin-Benutzer, die Sie nicht erkennen, ein plötzlicher Traffic-Einbruch oder Ihr Hoster sperrt das Konto.

Wie kann ich meine WordPress-Seite komplett löschen?

Sichern Sie zuerst die infizierte Seite, löschen Sie dann alles im Hosting-Konto, nicht nur den WordPress-Ordner. Bauen Sie mit frischen WordPress-Core-, Plugin- und Theme-Dateien aus offiziellen Quellen sowie einer neuen wp-config.php neu auf und stellen Sie nur Inhalte aus einem Backup wieder her, das vor dem Hack erstellt wurde.

Entfernt Wordfence Malware?

Das kostenlose Wordfence-Plugin scannt auf Malware und kann geänderte Core-Dateien reparieren, und der kostenpflichtige Dienst beinhaltet eine persönliche Bereinigung. Wie jeder Scanner arbeitet es auf der WordPress-Ebene, sodass eine Backdoor anderswo auf dem Server überleben kann. Deshalb empfehlen wir bei ernsthaften Infektionen immer eine vollständige Löschung.

Wir hoffen, dieser Leitfaden hat Ihnen geholfen, Ihre gehackte WordPress-Website zu reparieren und sie dauerhaft zu sichern. Um darauf aufzubauen, sehen Sie sich unseren vollständigen WordPress-Sicherheitsleitfaden an, oder wenn die Bereinigung zu viel erscheint, finden Sie hier unsere Tipps zur Beauftragung eines WordPress-Sicherheitsexperten.