Eine gehackte WordPress-Seite ist selten ein Zufall und fast nie reines Pech. Meist steckt eine vernachlässigte Wartung dahinter, dazu Angreifer, die dank künstlicher Intelligenz heute schneller und automatisierter vorgehen als noch vor wenigen Jahren. Umso wichtiger ist zu wissen, wie man vorbeugt und was in den ersten Stunden nach einem Angriff wirklich zählt.
Ein ganz normaler Morgen, Sie öffnen Ihre Website, und statt der gewohnten Startseite erscheint fremde Werbung für dubiose Produkte. Oder die Seite lädt gar nicht mehr. Oder, besonders unangenehm, Google warnt Ihre Besucher bereits vor Ihrer eigenen Adresse. So beginnt für viele Betreiberinnen und Betreiber der Moment, in dem klar wird: Hier war jemand, der nicht eingeladen war.
Das Ärgerliche daran ist, dass es fast immer vermeidbar gewesen wäre. WordPress selbst ist nicht unsicher. Unsicher wird eine Seite erst, wenn sie monatelang niemand pflegt, wenn Aktualisierungen liegen bleiben und niemand hinschaut. Und genau das ist heute gefährlicher als früher.
Warum heute jede Seite ein Ziel ist
Lange galt die beruhigende Annahme, die eigene kleine Vereins- oder Firmenseite sei für Angreifer zu unbedeutend. Diese Rechnung geht nicht mehr auf. Angriffe laufen längst nicht mehr von Hand, sondern automatisiert. Programme durchsuchen das Netz rund um die Uhr nach Websites mit bekannten Schwachstellen und schlagen zu, sobald sie eine finden. Ob dahinter ein Weltkonzern oder der Turnverein steht, interessiert diese Maschinen nicht.
Künstliche Intelligenz hat diese Entwicklung noch einmal beschleunigt. Wo ein Angreifer früher Fachwissen und Tage an Arbeit brauchte, entstehen Angriffswerkzeuge heute in Minuten. Sobald eine neue Sicherheitslücke öffentlich wird, kursiert oft schon wenige Stunden später ein fertiges Skript, um sie auszunutzen. Das Zeitfenster zwischen «Lücke bekannt» und «Lücke wird angegriffen» ist von Wochen auf Stunden geschrumpft. Auch Betrugsmails, mit denen Zugangsdaten abgefischt werden, wirken durch KI heute überzeugender und fehlerfreier als noch vor Kurzem.
Kurz gesagt: Wer wartet, bis etwas passiert, wartet zu lange.
Vorbeugen ist einfacher, als Sie denken
Der wichtigste Schutz ist zugleich der unspektakulärste: alles aktuell halten. WordPress selbst, die Erweiterungen (Plugins) und das Design (Theme) bekommen regelmässig Aktualisierungen, und ein grosser Teil davon schliesst genau solche Sicherheitslücken. Eine Seite, die zeitnah aktualisiert wird, ist für die automatisierten Angreifer schlicht kein lohnendes Ziel, weil die bekannten Einfallstore bereits verschlossen sind.
Daneben gilt: Weniger ist mehr. Jedes Plugin und jedes Theme, das Sie nicht wirklich brauchen, vergrössert die Angriffsfläche und sollte weg. Starke, für jeden Dienst unterschiedliche Passwörter gehören ebenso dazu wie eine Zwei-Faktor-Anmeldung, bei der zusätzlich zum Passwort ein zweiter Bestätigungsschritt nötig ist. Ein solider Webhoster, der seinerseits auf Sicherheit achtet, und eine vorgelagerte Firewall, die verdächtige Anfragen abfängt, runden das Bild ab. Und ganz wichtig, auch wenn es niemand gerne hört: regelmässige, automatische Sicherungskopien, die an einem separaten Ort liegen. Sie sind im Ernstfall oft der Unterschied zwischen einem Schrecken und einer Katastrophe.
Das klingt nach viel, und ehrlicherweise ist es auch mehr, als man nebenbei erledigt. Deshalb ist der vernünftigste Rat meist auch der einfachste: Geben Sie die Pflege in professionelle Hände. Ein fairer Wartungsvertrag sorgt dafür, dass Aktualisierungen getestet und regelmässig eingespielt werden, dass jemand die Seite im Blick behält und dass die Sicherungen nicht nur laufen, sondern im Notfall auch wirklich funktionieren. Der Betrag dafür ist überschaubar, verglichen mit dem, was ein Angriff an Zeit, Nerven und verlorenem Vertrauen kostet. Man versichert sein Auto und sein Haus. Die Website, über die Kundschaft und Öffentlichkeit ein Unternehmen wahrnehmen, verdient dieselbe Umsicht.
Die Seite ist gehackt – der Notfall-Leitfaden
Wenn es doch passiert ist, zählt vor allem eines: nicht in Panik verfallen und nichts überstürzt löschen. Die Spuren des Angriffs sind wertvoll, um zu verstehen, was geschehen ist. Der erste sinnvolle Schritt ist, die Seite vorübergehend offline zu nehmen oder in einen Wartungsmodus zu versetzen. So verhindern Sie, dass weiterer Schaden entsteht, dass Besucher gefährdet werden oder Ihre Seite ungefragt Schadsoftware verteilt.
Danach ist der Moment, an dem eine fachkundige Person übernehmen sollte, sei es Ihr IT-Verantwortlicher oder eine Agentur. Diese Person verschafft sich als Erstes ein Bild und erneuert die Zugangsdaten, und zwar konsequent: den WordPress-Login, den Zugang beim Hoster, die Datenbank und die Dateiübertragung. Das geschieht am besten von einem Gerät aus, das garantiert sauber ist. Parallel dazu lohnt der Blick in die Protokolldateien des Servers, die oft verraten, wann und über welchen Weg jemand eingedrungen ist.
Der Kern der Aufräumarbeit dreht sich um zwei Bereiche: die Dateien und die Datenbank. In den Dateien versteckt sich häufig eingeschleuster Schadcode, in der Datenbank tauchen mitunter neue, unbekannte Administratorkonten oder manipulierte Inhalte und Links auf. Beides muss gefunden und entfernt werden, was Erfahrung verlangt, weil der Code oft geschickt getarnt ist. Sehr häufig ist der schnellste und sicherste Weg zurück eine saubere Sicherung aus der Zeit vor dem Angriff. Genau deshalb sind Backups so viel wert, und genau deshalb müssen sie regelmässig überprüft werden. Eine Sicherung, die im Ernstfall nicht funktioniert, ist keine.
Mit dem Aufräumen allein ist es nicht getan. Ebenso wichtig ist, die eigentliche Ursache zu finden, also die Lücke, durch die der Angreifer hereinkam. Wird sie nicht geschlossen, steht derselbe Besucher kurz darauf wieder vor der Tür. Zum Abschluss gehört, sämtliche Software auf den aktuellen Stand zu bringen und die Seite eine Weile aufmerksam zu beobachten.
Ein Punkt, den man in der Schweiz nicht vergessen darf: Wurden bei dem Angriff Personendaten abgegriffen, etwa Adressen oder Kontaktangaben aus Formularen, kann eine Meldepflicht bestehen. Das revidierte Datenschutzgesetz verlangt, dass schwerwiegende Verletzungen der Datensicherheit unter Umständen dem Eidgenössischen Datenschutzbeauftragten und den betroffenen Personen gemeldet werden. Im Zweifel klärt man das besser früh mit einer fachkundigen Person, als es später zu bereuen.
Am Ende führt fast jede dieser Geschichten zur selben Erkenntnis. Der Aufwand, eine gehackte Seite wieder sauber und vertrauenswürdig zu machen, ist um ein Vielfaches grösser als der Aufwand, sie von Beginn an gut zu pflegen. Wer aus dem Schrecken die richtige Lehre zieht und die Wartung künftig in verlässliche Hände legt, hat wenigstens etwas gewonnen: die Ruhe, morgens die eigene Website zu öffnen, ohne den Atem anzuhalten.
