--- title: "WordPress gehackt?" url: "https://contegus.com/wordpress-gehackt/" description: "WordPress gehackt? Ich suche Hintertüren, die ein Scanner übersieht, bereinige Dateien und Datenbank, schließe die Ursache und prüfe das Ergebnis." --- # WordPress gehackt? Fremde Inhalte, Weiterleitungen, unbekannte Administratoren oder eine Sperre beim Hoster: Ich suche den Befall von Hand, auch dort, wo ein Scanner nichts findet, bereinige die Installation und schließe die Ursache. [Befall schildern](https://contegus.com/kontakt/?anliegen=technisches-problem) [Was du jetzt tun kannst →](https://contegus.com/wordpress-gehackt/#sofortmassnahmen) Kosten 90 € netto/Stunde Einschätzung nach dem ersten Blick Ergebnis Bereinigung und Nachprüfung Befund, Maßnahmen und verbleibende Risiken erklärt Danach Betreuung separat Keine Bedingung für die Bereinigung Anzeichen ## Woran du einen Hack erkennst. ### Fremde Inhalte Spam-Seiten, Werbung oder Texte, die du nie geschrieben hast. In der Google-Suche tauchen Seiten auf, die es bei dir nicht gibt. ### Weiterleitungen Besucher landen auf fremden Seiten, oft nur vom Handy oder nur aus der Google-Suche. Dir selbst fällt es deshalb nicht auf. ### Unbekannte Administratoren Im Backend steht ein Benutzer, den niemand angelegt hat. Oder ein bekanntes Konto hat plötzlich andere Rechte. ### Warnung oder Sperre Der Browser oder Google warnt vor der Seite. Der Hoster sperrt sie wegen verdächtiger Aktivität. ### Fremder Mailversand Von deiner Domain gehen Mails raus, die du nicht kennst, oder deine eigenen Mails landen auf einmal im Spam. ### Dateien, die niemand kennt Neue Dateien in Uploads oder Plugin-Ordnern, Cronjobs ohne Besitzer oder ein plötzlich langsamer Server. Sofortmaßnahmen ## Was du jetzt tun kannst. Schilder mir kurz, was du siehst. Zugangsdaten schickst du nicht per Mail, die klären wir über einen sicheren Weg. 1. Auffälligkeiten und Zeitpunkt festhalten. Warnungen vom Hoster und von Google aufbewahren. 2. Vom aktuellen Stand eine Kopie von Dateien und Datenbank ziehen oder beim Hoster anfordern, bevor etwas geändert wird. 3. Prüfen, ob es Backups von vor dem Befall gibt und wo sie liegen. Ein Backup kann ebenfalls infiziert sein. 4. Zugänge erneuern, aber nicht nur das WordPress-Passwort: auch Hosting, FTP/SSH, Datenbank und Mail. Nicht über die betroffene Seite und nicht per Mail verschicken. 5. Läuft die Seite aktiv Schadcode aus, mit dem Hoster klären, sie vorübergehend offline zu nehmen. Besser nicht ## Was du nicht tun solltest. ### Ein Backup einspielen Ohne zu wissen, wann der Befall begann und wie er hereinkam, spielst du womöglich den Schadcode mit ein. Oder den Zugang, durch den er kam. ### Auf Verdacht löschen Wer einzelne Dateien oder Benutzer entfernt, zerstört Spuren und übersieht die Hintertür. Dann kommt der Befall zurück. ### Nur updaten Ein Update schließt eine bekannte Lücke, aber keine Hintertür, die schon drin ist. Es kann den Befall sogar verdecken. ### Dem Scanner-Ergebnis glauben „Keine Funde“ heißt nur, dass der Scanner nichts kennt. Gut getarnter Schadcode fällt dabei durch. Befall → bereinigte Installation ## So läuft die Bereinigung. ### Sichern und von Hand suchen Befall Unklar, was verändert wurde und seit wann. Schadcode versteckt sich in Themes, Plugins, Uploads, der Datenbank und in geplanten Aufgaben. Danach Dateien und Datenbank gesichert, Zeitpunkt und Umfang eingegrenzt. Core, Plugins und Themes mit den Originalen verglichen, Uploads, Datenbank, Administratoren und Cronjobs durchgesehen. ### Bereinigen Befall Malware und Hintertüren liegen verstreut, ein Backup kann mit infiziert sein. Danach Schadcode entfernt oder die Installation aus einem sauberen Stand neu aufgebaut, je nachdem, was die Suche zeigt. ### Ursache schließen Befall Das Einfallstor ist offen, alte Zugänge und Schlüssel gelten weiter. Danach Einfallstor geschlossen, soweit feststellbar. Passwörter und Schlüssel erneuert, veraltete Software aktualisiert. ### Nachprüfen Befall Website und Funktionen sind ungeprüft, Google zeigt womöglich weiter eine Warnung. Danach Seite und Formulare geprüft, Sicherheitsmeldungen in der Search Console durchgesehen und die erneute Überprüfung beantragt. Am Ende bekommst du einen Bericht: was gefunden wurde, was ich getan habe und welche Risiken bleiben. ## Ein Fall: Der Scanner sagte nichts. Bei der WordPress-Seite eines kleinen Betriebs fand ich von Hand mehrere Schaddateien, darunter eine Webshell. Für Scanner waren sie unsichtbar, die älteste lag schon lange unentdeckt auf dem Server. Die Datenbank war stark aufgebläht. Ich habe den Schadcode entfernt, den Core repariert, die Datenbank bereinigt, alle Passwörter erneuert und PHP aktualisiert. ## Was es kostet. Ich rechne nach Aufwand: 90 € netto/Stunde. Nach deiner Schilderung und einem ersten Blick sage ich dir, womit ich rechne, bevor ich weiterarbeite. Eine Pauschale gibt es erst, wenn der Umfang klar ist. Teurer wird es durch eine unklare Zugriffslage, fehlende oder infizierte Backups, viele alte Plugins, eine verseuchte Datenbank und eine Sperre beim Hoster. Manchmal ist ein sauberer Neubau günstiger als die Bereinigung. Das sage ich dir dann. ## Danach: Betreuung oder nicht. Die Bereinigung ist ein Einzelauftrag, die Betreuung keine Bedingung. Wenn die Seite danach nicht wieder verwahrlosen soll, übernimmt die [Website-Betreuung](https://contegus.com/website-betreuung/) Updates, Backups und Monitoring. Dort gilt: Ab dem zweiten Vertragsjahr ist eine Bereinigung pro Jahr enthalten. Ausgenommen sind Vorfälle durch Änderungen, die nicht mit mir abgestimmt waren. Eine Garantie gibt es nicht. ## Was sich nicht zusagen lässt. Ob bereinigt oder neu aufgebaut wird, zeigt erst die Prüfung. Dauerhafte Sicherheit und die Dauer der Arbeit kann ich nicht zusagen. Wann Google eine Warnung entfernt, liegt nicht in meiner Hand. ## Meldepflichten. Waren personenbezogene Daten betroffen, können Meldepflichten nach der DSGVO entstehen. Das bewerte ich nicht, denn Rechtsberatung gehört nicht zu meiner Arbeit. Ich liefere dir die technischen Fakten für deine Datenschutzbeauftragte oder deinen Anwalt. ## Wenn dein Fall anders liegt. Zeigt die Seite nur eine Fehlermeldung nach einem Update? Dann passt [Hilfe bei WordPress-Fehlern](https://contegus.com/wordpress-kaputt/). Willst du erst selbst durchgehen, was zu tun ist, hilft die [Checkliste im Blog](https://contegus.com/blog/wordpress-gehackt-was-tun/). Für Agenturaufträge ist [White-Label-Arbeit nach Absprache](https://contegus.com/leistungen/#partnerschaften) möglich. Kontakt ## Schilder kurz, was passiert ist. Welche Website ist betroffen, was fällt auf und seit wann? Bitte sende keine Passwörter oder vertraulichen Kundendaten. [Befall schildern](https://contegus.com/kontakt/?anliegen=technisches-problem) [Oder direkt anrufen: +49 176 14192955](tel:+4917614192955) Ich lese jede Anfrage selbst und melde mich persönlich mit dem nächsten Schritt.