WordPress bei STRATO gehackt: Was du jetzt tun solltest

Zuerst: Panik vermeiden, Spuren sichern

Der Reflex ist verständlich: alles löschen, Backup einspielen, fertig. Genau das macht die Bereinigung aber schwerer. Im infizierten Stand steckt die Information, wie der Angreifer hereingekommen ist. Wenn du ihn überschreibst, ist das Einfallstor weiter offen und unbekannt.

Deshalb gilt in den ersten Minuten:

• Nichts löschen, auch keine verdächtigen Dateien.
• Den aktuellen Stand sichern, Dateien und Datenbank, auch wenn er infiziert ist.
• Notieren, was dir aufgefallen ist und seit wann: Weiterleitungen, fremde Benutzer, Warnungen von STRATO oder Google.

Diese Passwörter änderst du bei STRATO

STRATO nennt unsichere FTP-Passwörter und eingeschleusten PHP-Code als häufigste Wege für Angriffe. Ändere deshalb alle Zugänge, am besten von einem Gerät, von dem du sicher weißt, dass es sauber ist:

1. Kunden- bzw. Master-Passwort für den STRATO-Kundenlogin.
2. Paketpasswort deines Hosting-Pakets.
3. FTP- bzw. SFTP-Zugänge. Lösche Zugänge, die du nicht mehr brauchst.
4. Datenbank-Passwort. Danach muss es auch in der wp-config.php angepasst werden, sonst ist die Seite offline.
5. WordPress-Passwörter aller Administratoren, und zwar erst, nachdem du fremde Benutzer gefunden und notiert hast.

Für neue Passwörter empfiehlt STRATO mindestens 12 Zeichen mit Groß- und Kleinbuchstaben und Zahlen, keine Wörter aus dem Wörterbuch, gespeichert in einem Passwort-Tresor statt im Browser.

STRATO BackupControl: hilfreich, aber nicht die Lösung

STRATO empfiehlt bei einem Hack, mit BackupControl eine ältere Sicherung zurückzuspielen. Die Funktion ist nicht in jedem Paket enthalten. Prüfe also zuerst in deinem Kundenlogin, ob du sie hast und wie weit die Sicherungen zurückreichen.

Ein Backup ist ein gutes Werkzeug, mit zwei Einschränkungen:

• Das Einfallstor kommt mit zurück. Wenn der Angreifer über ein veraltetes Plugin oder ein schwaches Passwort kam, steht diese Lücke im alten Stand genauso offen. Viele Seiten sind nach einem reinen Backup innerhalb weniger Tage wieder betroffen.
• Du weißt oft nicht, seit wann der Hack läuft. Viele Angriffe bleiben wochenlang unbemerkt. Ist auch die älteste Sicherung schon infiziert, spielst du den Schadcode einfach wieder ein.

Meine Reihenfolge ist deshalb: erst den infizierten Stand sichern und das Einfallstor finden, dann entscheiden, ob ein Backup der schnellste saubere Weg ist oder eine manuelle Bereinigung.

Woran du erkennst, wie tief der Befall sitzt

STRATO beschreibt zwei typische Muster: eine ausgetauschte Startseite (Defacing) und versteckten Code, der im Hintergrund fremde Inhalte nachlädt (Hijacking). Bei WordPress kommen zwei weitere häufig dazu:

• SEO-Spam: Hunderte fremde Unterseiten unter deiner Domain, oft auf Japanisch oder mit Pharma-Begriffen. Mehr dazu: Japanese Keyword Hack entfernen.
• Fremde Zugänge: neue Administratoren in WordPress oder ein fremder Inhaber in deiner Google Search Console.

Wie du das systematisch prüfst, steht im Ratgeber Website gehackt? So überprüfst du es.

STRATO SiteGuard und weitere Schutzfunktionen

STRATO bietet mit SiteGuard eine Funktion, die Zugriffsversuche von Skripten auf deinen Webspace meldet und verhindern kann, dass Skripte in deine Verzeichnisse schreiben. Dazu rät STRATO zur aktuellen PHP-Version. Beides ist sinnvoll, ersetzt aber keine Bereinigung: Schadcode, der schon auf dem Server liegt, und fremde WordPress-Benutzer entfernt keine Hosting-Einstellung.

Und was ist mit Google?

Ist der Code entfernt, ist der Schaden nur zur Hälfte behoben. Spam-Seiten können weiter im Google-Index stehen, und unter deinem Suchergebnis steht womöglich „Diese Website wurde möglicherweise gehackt“. Das verschwindet erst, wenn du in der Search Console eine Überprüfung anforderst und Google die Seite als sauber einstuft. Mehr dazu: Google-Warnung „Diese Website wurde möglicherweise gehackt“.

Wann du dir Hilfe holen solltest

Selbst machen kannst du die Sofortmaßnahmen oben. Spätestens wenn einer dieser Punkte zutrifft, lohnt sich ein Fachmann:

• Du findest das Einfallstor nicht.
• Der Hack kommt nach dem Aufräumen zurück.
• Google zeigt eine Warnung oder fremde Seiten unter deiner Domain.
• Deine Seite ist dein wichtigster Anfragekanal und muss schnell wieder sauber laufen.

Ich bereinige gehackte WordPress-Seiten unabhängig vom Hoster, also auch bei STRATO, und kümmere mich danach um die Sichtbarkeit bei Google. Mehr dazu: Hack-Bereinigung für WordPress.