WordPress gehackt: was jetzt zu tun ist

Ihre Website leitet Besucher plötzlich auf fremde Seiten weiter, zeigt Werbung für Dinge, die Sie nicht verkaufen, oder Google warnt vor dem Besuch. Vielleicht hat Ihr Hoster die Seite gesperrt, weil sie Spam verschickt. Das ist unangenehm, aber kein Grund für Panik. Wichtig ist, in der richtigen Reihenfolge vorzugehen. Diese Anleitung hilft Ihnen dabei, auch wenn Sie die Arbeit am Ende jemandem übergeben.

Typische Anzeichen

Weiterleitungen auf fremde Seiten, oft nur am Handy oder nur beim ersten Besuch
fremde Texte, Links oder Seiten, die Sie nicht angelegt haben (häufig sichtbar, wenn Sie bei Google nach site:ihre-firma.at suchen)
Warnung im Browser oder in den Google-Suchergebnissen („Diese Website wurde möglicherweise gehackt“)
unbekannte Administratoren in WordPress, oder Sie kommen selbst nicht mehr hinein
Ihr Hoster meldet auffälligen Mailversand oder hohe Last

Ein einzelnes Anzeichen ist noch kein Beweis. Weiterleitungen können auch eine Fehlkonfiguration sein. Aber jedes davon verdient eine Prüfung noch am selben Tag.

Die erste Stunde

Ruhe bewahren und nichts löschen. Spontanes Löschen verdächtiger Dateien zerstört Hinweise darauf, wie der Angreifer hereingekommen ist, und beseitigt selten alles.
Den Zustand festhalten. Bildschirmfotos der Auffälligkeiten, Uhrzeit, wer es bemerkt hat. Das brauchen Sie später für die Bereinigung und gegebenenfalls für eine Meldung.
Hoster oder Betreuer verständigen. Sie können die Website vorübergehend sperren oder eine Wartungsseite schalten, damit Besucher nicht auf schädliche Seiten geraten, und eine Kopie des befallenen Zustands sichern.
Passwörter ändern, und zwar von einem sauberen Gerät aus: Hosting-Zugang, FTP/SFTP, Datenbank, alle WordPress-Administratoren, und das E-Mail-Postfach, an das die Passwort-Rücksetzungen gehen.
Prüfen, ob eine saubere Sicherung existiert. Wann wurde der Befall vermutlich eingeschleust? Gibt es eine Sicherung von davor? Diese Frage entscheidet über den weiteren Weg.

Bestandsaufnahme: was ist betroffen?

Bevor bereinigt wird, sollte klar sein, wie weit der Befall reicht.

Benutzer: Gibt es Administratoren, die niemand kennt? Mit welchen E-Mail-Adressen?
Dateien: Welche Dateien wurden in den letzten Tagen oder Wochen geändert? Auffällig sind PHP-Dateien im Upload-Ordner, wo eigentlich nur Bilder liegen sollten.
Plugins und Theme: Gibt es bekannte Sicherheitslücken in den eingesetzten Versionen? Gibt es Plugins, die Sie nicht installiert haben?
Datenbank: Eingeschleuste Skripte stehen oft in Beiträgen, Widgets oder Einstellungen.
Personenbezogene Daten: Speichert die Website Formulareinträge, Kundenkonten, Bestellungen oder Bewerbungen? Das ist wichtig für die Frage der Meldepflicht weiter unten.

Bereinigen oder zurückspielen?

Weg A: Saubere Sicherung zurückspielen

Wenn es eine Sicherung gibt, die sicher vor dem Befall entstanden ist, ist das meist der schnellste und gründlichste Weg. Aber Achtung: Die Lücke, durch die der Angreifer hereinkam, ist in der Sicherung noch enthalten. Deshalb gehört zum Zurückspielen unbedingt dazu:

sofort alle Updates einspielen (WordPress, Plugins, Theme),
nicht benötigte Plugins und Themes löschen,
alle Passwörter erneut ändern und die Sicherheitsschlüssel in der wp-config.php neu setzen (damit alle bestehenden Anmeldungen ungültig werden),
Inhalte nachtragen, die seit der Sicherung dazugekommen sind, etwa Formulareinträge oder Bestellungen, sofern sie getrennt vorliegen.

Weg B: Bereinigen

Gibt es keine saubere Sicherung, muss die Website von Hand bereinigt werden. Bewährt hat sich, nicht einzelne Dateien zu „reparieren“, sondern neu aufzubauen:

WordPress selbst aus einer frischen, offiziellen Kopie neu einspielen.
Plugins und Theme ebenfalls frisch aus der Originalquelle installieren, nicht aus dem befallenen Bestand übernehmen.
Aus dem alten Bestand nur übernehmen, was nicht neu zu holen ist: den Upload-Ordner (vorher auf PHP- und andere ausführbare Dateien prüfen) und die Datenbank (vorher auf eingeschleuste Skripte und fremde Benutzer prüfen).
wp-config.php neu anlegen, mit neuen Datenbank-Zugangsdaten und neuen Sicherheitsschlüsseln.

Das ist Arbeit für jemanden mit Erfahrung, weil Schadcode oft gut versteckt ist und an mehreren Stellen gleichzeitig steckt. Bleibt eine Hintertür übrig, ist die Website nach wenigen Tagen wieder befallen.

Danach: Google, Hoster, Besucher

Google: Wenn Google eine Warnung anzeigt, beantragen Sie nach der Bereinigung in der Google Search Console unter „Sicherheitsprobleme“ eine Überprüfung. Das geht nur, wenn Ihre Website dort eingetragen ist; das lohnt sich ohnehin.
Fremde Seiten aus dem Suchindex: Eingeschleuste Spam-Seiten verschwinden nach der Bereinigung mit der Zeit von selbst; über die Search Console lässt sich das beschleunigen.
Hoster: Geben Sie Bescheid, wenn die Website gesperrt war, damit die Sperre aufgehoben wird.
E-Mail: Hat die Website Spam verschickt, kann Ihre Domain auf Sperrlisten gelandet sein. Dann kommen auch Ihre normalen Mails schlechter an. Prüfen lassen.

Meldepflicht nach der DSGVO

Wenn bei dem Einbruch personenbezogene Daten betroffen sein könnten, etwa Einträge aus Kontaktformularen, Kundenkonten oder Bestellungen, ist das eine Verletzung des Schutzes personenbezogener Daten im Sinn der Datenschutz-Grundverordnung. Dann gilt:

Meldung an die Datenschutzbehörde unverzüglich und möglichst binnen 72 Stunden, nachdem Sie davon erfahren haben (Art. 33 DSGVO). Wer später meldet, muss die Verzögerung begründen. Keine Meldung ist nötig, wenn die Verletzung voraussichtlich nicht zu einem Risiko für die Betroffenen führt. Diese Einschätzung müssen Sie aber begründen können. Die österreichische Datenschutzbehörde stellt dafür auf ihrer Seite Meldung Data Breach ein Online- und ein PDF-Formular bereit; eine Meldung per E-Mail oder Brief ist ebenfalls möglich.
Benachrichtigung der Betroffenen, wenn voraussichtlich ein hohes Risiko für sie besteht (Art. 34 DSGVO), etwa wenn Passwörter oder sensible Daten abgeflossen sein könnten.
Dokumentation jeder Verletzung, auch wenn Sie nicht melden müssen (Art. 33 Abs. 5 DSGVO): was passiert ist, welche Folgen, welche Maßnahmen.

Die 72 Stunden laufen auch am Wochenende. Eine Meldung kann zunächst unvollständig sein und später ergänzt werden. Im Zweifel fragen Sie Ihre Rechtsberatung oder die Wirtschaftskammer. Dieser Abschnitt ist eine allgemeine Information und keine Rechtsberatung.

Bei größeren Vorfällen können Sie sich zusätzlich an CERT.at wenden, das österreichische Computer-Notfallteam.

Vorbeugen: damit es nicht wieder passiert

Updates regelmäßig einspielen, vor allem für Plugins. Die meisten Lücken stecken dort.
Weniger ist mehr: Jedes Plugin, das Sie nicht brauchen, ist eines weniger, das angegriffen werden kann.
Starke, eigene Passwörter für jeden Zugang und für Administratoren ein zweiter Faktor bei der Anmeldung.
Sicherungen außer Haus, lange genug aufbewahrt, und regelmäßig geprüft. Wie das geht, steht in unserem Ratgeber Backup ist nicht gleich Wiederherstellung.
Überwachung, die unerwartete Änderungen an WordPress-Dateien meldet. Je früher ein Befall bemerkt wird, desto einfacher die Bereinigung.

Eine vollständige Liste finden Sie im Ratgeber WordPress-Wartung: was wirklich dazugehört.

Kurz zusammengefasst

Nichts löschen, Zustand festhalten, Hoster verständigen, Passwörter ändern.
Klären, wie weit der Befall reicht und ob es eine saubere Sicherung gibt.
Sicherung zurückspielen und sofort aktualisieren, oder von Grund auf neu aufbauen.
Bei personenbezogenen Daten an die 72 Stunden denken.
Vorbeugen, damit es nicht wieder passiert.

Wenn Ihre WordPress-Website befallen ist und Sie Hilfe brauchen: Rufen Sie uns an oder fordern Sie einen Rückruf an. Wir sehen uns die Lage an und nennen Ihnen einen Festpreis für die Bereinigung, bevor wir anfangen. Damit es gar nicht so weit kommt, gibt es Betreut: Updates mit Testkopie, tägliche Sicherung außer Haus, monatlicher Rücksicherungstest und Überwachung, die uns bei unerwarteten Änderungen alarmiert.