Wurde meine WordPress-Website gehackt? Warnsignale und erste Schritte
Unerwartete Weiterleitungen, neue Administratoren, fremde Dateien oder plötzlicher Spam können auf Missbrauch hinweisen. Ein einzelnes Signal ist noch kein Beweis. Sichere zuerst Fakten, begrenze weitere Schäden und lösche während der Untersuchung keine wichtigen Spuren.
Was tun bei Verdacht auf einen Hack?
Erstelle zuerst eine sichere Kopie des aktuellen Zustands, beschränke Zugriffe, ändere wichtige Passwörter von einem sauberen Gerät und prüfe Benutzer, Dateien, Logs und letzte Änderungen. Spiele nicht blind irgendein altes Backup ein, ohne den Zugangsweg zu verstehen.
Häufige Warnsignale
Unbekannte Administratorkonten, geänderte Dateien, Weiterleitungen, neue Cronjobs, Pop-ups, Spam-Seiten in Suchmaschinen oder Hostingwarnungen sollten untersucht werden. Auch ungewöhnliche Serverlast oder ausgehende E-Mails können Hinweise sein.
Manche Symptome entstehen durch fehlerhafte Updates oder Plugins. Sie sind deshalb Untersuchungsanlass, nicht automatisch Beweis.
- Unbekannte Benutzer oder geänderte Rollen.
- Unerwartete PHP-Dateien im Upload-Ordner.
- Seiten oder Weiterleitungen, die du nicht angelegt hast.
- Ungewöhnlich viele ausgehende E-Mails oder Serverlast.
- Dateiänderungen außerhalb geplanter Updates.
Schaden begrenzen, ohne Beweise zu vernichten
Wenn der Shop noch erreichbar ist, sichere zuerst Dateien, Datenbank und relevante Logs. Danach Zugänge begrenzen und Hosting-, WordPress-, Datenbank- und SFTP-Zugangsdaten bei Bedarf ändern.
Passwörter möglichst von einem bekannten sauberen Gerät ändern, damit neue Zugangsdaten nicht erneut abgegriffen werden.
- Snapshot oder vollständiges Backup des aktuellen Zustands erstellen.
- Webserver-, Firewall- und Loginlogs sichern.
- Unbekannte Sitzungen beenden, Beweise aber vor dem Löschen dokumentieren.
- Möglicherweise offengelegte API-Keys und Tokens erneuern.
Zugangsweg untersuchen
Nur sichtbare Malware zu entfernen reicht nicht, wenn der ursprüngliche Einstieg offen bleibt. Prüfe Plugin-/Theme-Versionen, letzte Logins, Dateiänderungen sowie Hostingzugänge.
Vergleiche verdächtige Dateien mit sauberen Originalen und prüfe auch Datenbank, geplante Aufgaben und versteckte Benutzer.
- Core-, Plugin- und Theme-Dateien auf unerwartete Änderungen prüfen.
- Benutzer, Rollen und Loginaktivität prüfen.
- wp-config.php und Serverkonfiguration kontrollieren.
- Cronjobs, mu-plugins und Uploads untersuchen.
Wiederherstellen und härten
Stelle nur ein Backup wieder her, das wahrscheinlich vor der Kompromittierung erstellt wurde. Aktualisiere alles, entferne ungenutzte Software und ändere relevante Geheimnisse. Prüfe danach Außenansicht und interne Dateien erneut.
Bei betroffenen Kunden- oder Personendaten können rechtliche Meldepflichten bestehen. Dokumentiere deshalb Befunde und Zeitablauf.
- Checkout, E-Mail und Zahlungen nach Wiederherstellung testen.
- Neue File-Integrity-Baseline erst nach sauberer Wiederherstellung erstellen.
- 2FA und Loginbegrenzung für Administratoren aktivieren.
- Logs und Änderungen danach engmaschiger überwachen.
Was Merqivio feststellen kann
Der externe Security Check erkennt öffentlich sichtbare Signale, kann aber keine Malwarefreiheit beweisen und sieht keine Serverlogs oder Datenbankdaten.
Das Merqivio Security Plugin kann intern Dateien, Loginaktivität und verdächtige Muster kontrollieren, ersetzt aber keine forensische Untersuchung bei schweren Vorfällen.
Prüfe zuerst, was von außen sichtbar ist.
Der kostenlose Security Check zeigt deine öffentliche Angriffsfläche. Bei einem echten Vorfall brauchst du zusätzlich interne Logs, Dateien und Hostinginformationen.