So stellen Sie eine Website nach einem Hack wieder her: technische Bereinigung, Ruf und SEO

• Wie man von einem Website-Hack erfährt
• Was man in den ersten Stunden nach einem Website-Hack tun sollte
  • Warum es nicht ausreicht, einfach das Passwort zu ändern
• Wie man die technische Wiederherstellung einer Website nach einem Hack durchführt
• Wie man Schwachstellen auf einer Website findet und schließt
• Wie man den Ruf nach einem Website-Hack wiederherstellt
• Wie man SEO nach einem Website-Hack wiederherstellt
• Wie man einen erneuten Hack verhindert: Checkliste

Eine gehackte WordPress-Website sieht nicht immer so aus: Sie können problemlos auf das Dashboard zugreifen, die Startseite öffnet sich, und die Kontaktformulare funktionieren. Gleichzeitig können Sie seltsame Seiten in den Suchergebnissen sehen und massenhafte Weiterleitungen zu fremden Ressourcen erhalten, Beschwerden von Besuchern bekommen und eine E-Mail vom Hosting-Support erhalten. Der erste Impuls in einer solchen Situation ist es, dringend etwas zu löschen oder zu einer alten Sicherung zurückzukehren, aber genau so verschwinden oft die Spuren, und zusammen mit der Kopie kehrt auch die Schwachstelle zurück. Daher sollte die Wiederherstellung einer WordPress-Website nach einem Hack in klarer Reihenfolge erfolgen – von der technischen Bereinigung bis zur Wiederherstellung der Positionen in den Suchergebnissen.

Wie man von einem Website-Hack erfährt

Von einem Hack wird meist der Hosting-Anbieter oder die Google Search Console informiert. Aber die endgültige Schlussfolgerung wird anhand einer Kombination von Anzeichen getroffen: von fremden Seiten in den Suchergebnissen bis hin zu unbekannten Administratoren im Dashboard.

• Was sind die häufigsten Anzeichen für einen Website-Hack
• Welche Dienste zur Überprüfung eines Website-Hacks gibt es
• Wie man einen Website-Hack mit Cityhost-Tools überprüft

Was sind die häufigsten Anzeichen für einen Website-Hack

Hosting-Anbieter haben die besten Überwachungssysteme für Webressourcen und senden schnellstmöglich Warnungen über mögliche Probleme. Allerdings können sie nicht alles physisch bemerken, daher ist es besser, regelmäßig selbst das eigene Internetprojekt zu überprüfen.

Und achten Sie unbedingt auf folgende Anzeichen eines Website-Hacks:

• Der Browser zeigt einen roten Bildschirm anstelle der Website an: «Deceptive site ahead» bei Phishing oder «The site ahead contains malware» bei einer Infektion;
• In der Google Search Console gibt es im Bericht «Sicherheitsprobleme» eine Warnung über gehackte Inhalte;
• Besucher werden auf fremde Ressourcen umgeleitet, z. B. auf Casinos oder Apotheken;
• In den Suchergebnissen gibt es Seiten, die Sie nicht erstellt haben, oft auf Japanisch oder mit Medikamentennamen;
• Der organische Traffic ist plötzlich ohne Zusammenhang mit bekannten Google-Algorithmus-Updates gefallen oder umgekehrt stark gestiegen;
• Im Dashboard sind Administratoren aufgetaucht, die Sie nicht hinzugefügt haben, oder Plugins und Themes, die Sie nicht installiert haben;
• Der Hosting-Anbieter hat über verdächtige Aktivitäten, Spam-Versand von Ihrem Konto oder die Aussetzung der Webressource informiert;
• Benutzer beschweren sich über seltsames Verhalten der Website, das Sie selbst nicht sehen – schädlicher Code wird oft nur bei Zugriffen aus der Suche aktiviert;
• Die CPU-Auslastung ist ohne ersichtlichen Grund stark gestiegen – überprüfen Sie die Grafiken im Hosting-Dashboard;
• Im Ordner wp-content/uploads sind Dateien mit der Endung .php aufgetaucht, und im wp-config.php oder .htaccess hat sich das Änderungsdatum geändert;
• Sie haben eine E-Mail erhalten, dass Ihre Website in der Search Console einen neuen Eigentümer bestätigt hat.

Gleichzeitig weist nicht jedes Problem auf einen Hack der Website hin. Fehler 500, 502, 503 sind meist mit einem Plugin-Fehler, Cache oder Überlastung des Hostings verbunden. Bei «Error establishing a database connection» ist es komplizierter: normalerweise ist das auch ein technischer Fehler, aber manchmal – die Folge einer Änderung der Zugriffsrechte zur Datenbank in wp-config.php. Wenn zusammen mit dem Fehler mindestens ein Anzeichen aus der Liste vorhanden ist – ist das bereits ein Grund, eine umfassende Überprüfung der Website auf einen Hack durchzuführen.

Lesen Sie auch: Wie man eine WordPress-Website schützt und nicht Opfer von Schwachstellen im offenen Code wird

Welche Dienste zur Überprüfung eines Website-Hacks gibt es

Das Hauptinstrument ist die Google Search Console. Aber es gibt noch einige andere Dienste, die die Website in Sekunden überprüfen und einen Bericht über Viren, die Präsenz von Domains und E-Mails in schwarzen Listen bereitstellen.

Um die Effektivität dieser Dienste zu analysieren, habe ich meine Website bei jedem überprüft:

• Google Search Console – im Seitenmenü gehen Sie zu Sicherheit & manuelle Maßnahmen («Sicherheit und manuelle Maßnahmen») → Sicherheitsprobleme («Sicherheitsprobleme»). Wenn alles gut ist, sehen Sie ein grünes Häkchen «Keine Probleme festgestellt», andernfalls – die Kategorie des Problems und Beispiele für infizierte Seiten.

• Sucuri SiteCheck – geben Sie den Domainnamen ein und klicken Sie auf Submit. Nach 5-10 Sekunden erhalten Sie einen Bericht über den Sicherheitsstatus und gefundene Probleme.

Darunter sehen Sie, ob Malware auf der Webressource vorhanden ist und ob das Online-Projekt selbst auf schwarzen Listen steht.

• Google Safe Browsing – gehen Sie zu Transparency Report, geben Sie den Link zur Website ein und klicken Sie auf das Suchsymbol. Zum Beispiel zeigte das System in meinem Fall «Kein gefährlicher Inhalt gefunden».

Auf Safe Browsing können Sie auch sehen, wie Benutzer die Webressource sehen würden, auf der ein Hack festgestellt wurde.

• VirusTotal – gehen Sie zur Startseite, geben Sie die Adresse der Website ein und klicken Sie auf Search. Der Dienst überprüft sie mit mehr als 70 Antiviren-Engines und schwarzen Listen und zeigt den Status Ihres Projekts in jeder von ihnen an.

• MXToolbox – gehen Sie zum Abschnitt Schwarze Listen, geben Sie die Domain ein und klicken Sie auf Blacklist Check. Wenn Hacker Ihre E-Mail für Spam-Versand verwendet haben, werden anstelle grüner Häkchen rote mit einer Erklärung des Grundes angezeigt.
• Google-Suche – öffnen Sie den Browser im «Inkognito»-Modus, geben Sie site:ihredomain ein und sehen Sie sich die Suchergebnisse an. Suchen Sie nach Seiten, die Sie nicht veröffentlicht haben: unbekannte Verzeichnisse, Hieroglyphen, Medikamentennamen, Glücksspiele. Gehen Sie zusätzlich auf einige Ihrer eigenen Seiten, um sicherzustellen, dass keine Weiterleitungen zu verdächtigen Webressourcen vorhanden sind.

Wichtig! Externe Scanner sehen nur das, was von der Sicht des Besuchers sichtbar ist. Sucuri warnt ausdrücklich, dass SiteCheck auf Browser-Ebene arbeitet und nichts auf der Serverseite erkennt – Backdoors, Mail-Skripte und Phishing-Seiten werden bereits durch serverseitige Scans gefunden. Daher ist «SiteCheck hat nichts gefunden» keine Garantie für Sauberkeit, sondern nur ein wichtiges Signal.

Wie man einen Website-Hack mit Cityhost-Tools überprüft

Cityhost-Kunden können die Protokolle im Dashboard selbst überprüfen. Gehen Sie dazu zu «Hosting 2.0» → «Ressourcen» – «Anfragen». Oder verwenden Sie einen FTP-Client wie FileZilla und suchen Sie den Ordner logs.

Im Tab «Anfragen (HTTP)» können Sie nicht die Protokolldateien selbst, sondern eine zusammenfassende Statistik auf deren Grundlage anzeigen. Klicken Sie dazu auf «+» neben dem gewünschten Abschnitt:

• nach den Serverantwortcodes – hilft, Fehler zu finden: 200 bedeutet erfolgreiches Laden, 404 – Seite nicht gefunden, 500, 502 oder 503 – es gab ein Problem mit der Website oder dem Server;
• nach Seiten (URI) – zeigt, auf welche Seiten und Dateien am häufigsten zugegriffen wurde;
• nach IP-Adressen – ermöglicht es, übermäßige Aktivität von Bots oder verdächtigen Besuchern zu bemerken;
• nach Anfragetypen – zeigt die Anzahl der GET-, POST- und anderen Anfragen an die Website an.

Ein Verdacht auf einen Hack der Website kann auch durch ungewöhnliche Änderungen in der Ressourcennutzung geweckt werden. Im Abschnitt «Hosting 2.0» → «Verwaltung» → «Ressourcen» sollten Sie die Grafiken zur CPU-, RAM-, Disk-, Prozess- und MySQL-Auslastung überprüfen.

Ein plötzlicher und langanhaltender Anstieg der CPU-Nutzung ohne merklichen Anstieg des Traffics kann bedeuten, dass auf der Website ein schädliches Skript ausgeführt wird, ein versteckter Miner arbeitet oder eine große Anzahl automatischer Anfragen eingeht.

Gleichzeitig weist eine hohe Auslastung nicht immer auf einen Hack hin: Sie kann auch durch Updates, Backups, Plugin-Fehler oder einen normalen Ansturm von Besuchern verursacht werden.

Was man in den ersten Stunden nach einem Website-Hack tun sollte

In den ersten Stunden besteht die Hauptaufgabe darin, die Website nicht zu reinigen, sondern die Verbreitung zu stoppen und den Zustand zu dokumentieren. Sie müssen den Wartungsmodus aktivieren, Beweise sichern, Passwörter ändern und fremde Sitzungen beenden. Erst danach kann die technische Bereinigung durchgeführt werden.

Wichtig! Bei einem Hack der Website besteht nicht immer die Möglichkeit, sich im WordPress-Admin-Panel anzumelden, daher müssen die Arbeiten auf der Seite des Hostings durchgeführt werden. Sie können dorthin über den Dateimanager im Hosting-Dashboard (Abschnitt «Dateien» oder File Manager) oder über einen FTP-Client wie FileZilla mit den vom Anbieter bereitgestellten Zugangsdaten gelangen. Die Projektdateien, einschließlich wp-config.php, .htaccess und des Ordners wp-content, befinden sich im Verzeichnis public_html oder www.

Eine Schritt-für-Schritt-Anleitung, wie man in den ersten Stunden nach einem Hack handelt, hilft Ihnen, chaotische Handlungen, neue Probleme und eine Vertiefung bestehender Probleme zu vermeiden:

1. Sammeln Sie Fakten. Sie könnten von dem Hack durch eine Markierung in den Suchergebnissen, einen Bericht über «Sicherheitsprobleme», eine E-Mail des Hosters oder durch das Auffinden fremder Seiten erfahren haben – machen Sie Screenshots von allem. Dokumentieren Sie unbedingt Datum und Uhrzeit jeder Entdeckung, um später eine Analyse durchzuführen und eine korrekte Anfrage an den Anbieter und Google zu stellen.
2. Isolieren Sie die Webressource. Versetzen Sie die Website in den Wartungsmodus mit dem Code 503. Genau 503 Service Unavailable schützt gleichzeitig die Besucher vor einer Infektion und informiert die Suchmaschinen, dass die Website vorübergehend nicht verfügbar ist, sodass sie keinen schädlichen Inhalt indexieren und die Positionen nicht dafür abwerten. Wenn der Zugang zum Admin-Panel erhalten bleibt, verwenden Sie das Plugin SeedProd oder WP Maintenance, wenn nicht – im persönlichen Bereich des Hosting-Anbieters.
3. Erstellen Sie ein Backup. Es klingt seltsam für eine bereits gehackte Website, aber dieses Backup wird den Zustand zum Zeitpunkt des Hacks dokumentieren. Am einfachsten ist es, dies im Hosting-Dashboard zu tun: Archivieren Sie das Website-Verzeichnis und exportieren Sie die Datenbank separat über phpMyAdmin (wählen Sie die Datenbank → Tab «Export» → «Exportieren»).
4. Ändern Sie die Passwörter. Zuerst das Passwort des Hosting-Kontos und die FTP/SSH-Zugänge. Dann ändern Sie den Zugang zur Datenbank: Im Hosting-Dashboard finden Sie den Abschnitt zur Verwaltung der MySQL-Datenbank, ändern Sie das Passwort des Benutzers und öffnen Sie dann sofort wp-config.php und tragen Sie das neue Passwort in die Zeile DB_PASSWORD ein. Ändern Sie dann die Passwörter aller WordPress-Administratoren und zuletzt die E-Mail, die mit diesen Konten verknüpft ist.
5. Ändern Sie die Authentifizierungsschlüssel. In wp-config.php gibt es acht Zeilen mit langen Zeichenfolgen – daran erkennt WordPress alle, die auf die Website zugegriffen haben. Nehmen Sie neue Zeilen aus dem offiziellen Schlüsselgenerator und ersetzen Sie die alten. Danach wird die Website niemanden mehr erkennen, bis die Person sich erneut mit Benutzername und Passwort anmeldet.
6. Wenden Sie sich an den Anbieter. Der technische Support sieht alle Zugriffsprotokolle, serverseitige Scans, die Historie der Dateiänderungen. Sie können sagen, ob Ihre anderen Projekte auf demselben Konto betroffen sind.

Handeln Sie genau nach dieser Anleitung und vermeiden Sie chaotische, unüberlegte Entscheidungen wie das sofortige Löschen verdächtiger Dateien oder die Neuinstallation der Website. Sie wissen noch nicht, ob diese Dateien tatsächlich die Ursache der Infektion sind und wie groß das Ausmaß des Hacks ist. Jetzt ist es wichtig, die Verbreitung des Problems zu vermeiden und die Daten zu dokumentieren.

In der Praxis wird der sechste Punkt am häufigsten ignoriert, während man versucht, alles selbst zu erledigen. Aber das Unternehmen, bei dem Sie virtuelles Hosting, VPS-Server oder dedizierte Server mieten, sieht Dinge, die kein externer Scanner zeigt: Zugriffsprotokolle zur genauen Feststellung der Zeit und Methode des Eindringens, serverseitige Antivirenprüfungen zur Erkennung von Weiterleitungen, die Historie der Dateiänderungen auf der Ebene des Dateisystems. Schreiben Sie den Support, beschreiben Sie die Anzeichen eines Hacks, geben Sie die Entdeckungszeit an und bitten Sie um die Zugriffsprotokolle – das spart Stunden der eigenen Suche und hilft, genauer zu bestimmen, wie der Angreifer auf die Website gelangt ist.

Warum es nicht ausreicht, einfach das Passwort zu ändern

Die Änderung Ihres Passworts betrifft den Angreifer nicht, der sich einen eigenen Administrator erstellt hat. Ich habe dies auf einer Testwebsite überprüft: Ich habe einen zweiten Administrator mit dem Benutzernamen hacker-test erstellt, mich in einem anderen Browser unter diesem angemeldet und dann das Passwort in meinem Hauptkonto geändert.

Auf dem Screenshot ist der Abschnitt Benutzer mit zwei Administratoren zu sehen: meinem Konto und dem für den Test erstellten hacker-test.

Auf dem Screenshot ist dasselbe Dashboard zu sehen, das in einem anderen Browser unter dem Konto hacker-test bereits nach der Änderung meines Passworts geöffnet wurde. Die Sitzung hacker-test funktionierte danach weiter, als wäre nichts passiert – es wurde keine erneute Anmeldung verlangt.

Danach habe ich die acht Zeilen mit Schlüsseln in wp-config.php geändert. Direkter Zugriff auf die Dateien von TasteWP ist nicht möglich, daher habe ich das Plugin WP File Manager verwendet: Ich habe den Stammordner der Website darin geöffnet, wp-config.php gefunden und den benötigten Block direkt im Browser bearbeitet.

Sobald ich die Datei gespeichert habe, wurden beide Konten aus dem Dashboard abgemeldet: sowohl hacker-test als auch ich selbst. Das ist also eine effektive Methode, um den Angreifer loszuwerden, der sich bereits als Administrator Ihres Internetprojekts im WordPress-Admin-Panel hinzugefügt hat.

Wie man die technische Wiederherstellung einer Website nach einem Hack durchführt

Das allgemeine Prinzip: Ersetzen Sie alles, was ersetzt werden kann, durch saubere Kopien aus offiziellen Quellen, und überprüfen Sie manuell nur das, was nicht ersetzt werden kann – Inhalte, Einstellungen, Datenbank. Und achten Sie unbedingt darauf, auch nach einer erfolgreichen technischen Bereinigung separat nach Backdoors zu suchen, da diese am häufigsten die Infektion zurückbringen.

• Umfassende Scans mit verschiedenen Methoden
• Manuelle und automatische Bereinigung der Website
• Wie man Backdoors auf der Website schließt

Umfassende Scans mit verschiedenen Methoden

Führen Sie einen erneuten externen Scan mit Sucuri SiteCheck und VirusTotal durch. Diese sehen die Website durch die Augen der Besucher, daher finden sie Weiterleitungen und manipulierte Seiten. Aber sie sehen nichts in den Dateien auf dem Server selbst.

Führen Sie daher einen zweiten Scan von innen durch. Installieren Sie Wordfence oder MalCare: Beide Plugins scannen kostenlos die Dateien direkt auf dem Server und zeigen, welche von ihnen von den offiziellen Versionen abweichen. So werden versteckte Codefragmente gefunden, die externe Dienste übersehen.

Die Scan-Geschwindigkeit habe ich auf einer Testwebsite überprüft: Das kostenlose Wordfence hat 5.713 Dateien, sechs Plugins, ein Template und 1.362 Adressen in 59 Sekunden durchlaufen.

Berücksichtigen Sie sofort die Einschränkungen der kostenlosen Version: Scans auf Spam-Versand, Spam-Inhalte und die Präsenz auf schwarzen Listen sind nur im kostenpflichtigen Tarif verfügbar, und die Datenbanken schädlicher Signaturen werden mit einer Verzögerung von 30 Tagen aktualisiert. Für eine einmalige Bereinigung nach einem Hack reicht das aus, für einen dauerhaften Schutz jedoch nur als zusätzliche Methode.

Führen Sie zusätzlich einen Antiviren-Scan im Hosting-Dashboard durch – dieser arbeitet auf der Ebene des gesamten Kontos und nicht einer einzelnen Website. Wenn Ihre Website bei Cityhost gehostet wird, gehen Sie zu «Hosting 2.0» → «Verwaltung» → «AiBolit» → «Scan starten».

Manuelle und automatische Bereinigung der Website

Automatische Bereinigung sieht verlockend aus, hat aber ihre Nuancen. Ich habe es mit dem Plugin Wordfence überprüft: Ich habe eine fremde Zeile in die Kern-Datei wp-blog-header.php eingefügt und einen erneuten Scan gestartet. Das Plugin hat die Datei sofort als geändert markiert und eine Schaltfläche zur Reparatur angeboten, die Wiederherstellung dauerte eine Sekunde, die hinzugefügte Zeile verschwand.

Auf dem Screenshot – das Ergebnis des erneuten Scans, bei dem Wordfence eine geänderte Kern-Datei gefunden hat.

Auf dem Screenshot – die Nachricht über die erfolgreiche Wiederherstellung der Datei.

Aber es gibt zwei Grenzen bei der automatischen Bereinigung. Die erste – finanzielle: Bei MalCare funktioniert die Entfernung von Infektionen nur mit einem kostenpflichtigen Tarif, der kostenlose Plan informiert nur über Funde.

Die zweite, ernstere – der Scanner weiß nicht, welcher Code auf der Website Ihr eigener ist. Auf einer neu erstellten Testwebsite, auf der ich noch nichts gemacht habe, hat Wordfence zwei Kern-Dateien als geändert mit einem Gefahrenlevel von Hoch markiert – update-core.php und wp-settings.php. Das ist keine Infektion: Höchstwahrscheinlich wurden sie von der Sandbox-Plattform selbst für ihre Bedürfnisse angepasst. Aber ein Eigentümer, der auf «alle Dateien wiederherstellen» klickt, kann die Website beschädigen, ohne zu verstehen, was er getan hat.

Deshalb ist es sinnvoll, die automatische Bereinigung punktuell anzuwenden: auf eine bestimmte Datei, bei der Sie sich sicher sind. Die Schaltfläche, die alles auf einmal wiederherstellt, sollten Sie besser ganz in Ruhe lassen.

In den meisten Fällen ist es zuverlässiger, alles selbst zu erledigen:

1. Ersetzen Sie den WordPress-Kern. Überprüfen Sie Ihre Version im Abschnitt «Dashboard» → «Updates», laden Sie das Archiv der gleichen Version von wordpress.org herunter und entpacken Sie es auf Ihrem Computer. Löschen Sie dann im Dateimanager des Hostings die Verzeichnisse wp-admin und wp-includes und laden Sie neue aus dem Archiv an deren Stelle hoch. Lassen Sie den Ordner wp-content in Ruhe, da sich dort Ihre Bilder, Themes und Plugins befinden.
2. Überprüfen Sie die Dateien im Stammverzeichnis der Website. In einem sauberen WordPress zeigt mein Dateimanager genau 24 Elemente, einschließlich der Ordner, und fast alle beginnen mit wp-, außer index.php, xmlrpc.php, license.txt, readme.html und .htaccess. Obwohl einige Plugins manchmal auch ihre Daten hier hinzufügen, sollte eine Datei mit einem zufälligen Namen zusätzlich überprüft werden. Öffnen Sie wp-config.php separat: Sie sollte mit <?php beginnen und nur Einstellungen enthalten, ohne lange, unverständliche Zeilen.
3. Generieren Sie .htaccess neu. Der einfachste Weg, eine saubere Datei zu erhalten, besteht darin, die vorhandene zu löschen und zu «Einstellungen» → «Permalinks» → «Änderungen speichern» zu gehen. WordPress wird sie neu erstellen. Überprüfen Sie auch die Unterverzeichnisse: Kopien von .htaccess mit fremdem Code liegen oft nicht nur im Stammverzeichnis.
4. Installieren Sie Plugins und Themes neu. Versuchen Sie nicht, deren Dateien manuell zu bereinigen: Löschen Sie die Plugins vollständig und installieren Sie sie neu aus dem offiziellen Katalog. Was Sie lange nicht verwendet haben, löschen Sie einfach.

Besondere Aufmerksamkeit sollten Sie der Datenbank schenken. Machen Sie zuerst eine Kopie über phpMyAdmin («Export» → «Exportieren»), denn jeder Fehler hier kann die Website vollständig beschädigen. Verwenden Sie dann die Suche in den Tabellen und überprüfen Sie Fragmente, die fast immer auf ein fremdes Eindringen hinweisen: <script, <iframe, eval(, base64_decode, gzinflate sowie unbekannte Domainnamen. Achten Sie insbesondere auf die Tabellen wp_posts, wp_options und wp_users. Wenn Sie schädlichen Code innerhalb Ihres eigenen Artikels gefunden haben – löschen Sie nur das fremde Fragment, nicht den gesamten Eintrag. Wenn Sie sich nicht sicher sind, was genau Sie vor sich haben, berühren Sie besser nichts und zeigen Sie den Fund dem technischen Support.

Lesen Sie auch: Was ist eine Datenbank und wofür wird sie benötigt

Wie man Backdoors auf der Website schließt

Backdoor (Hintertür) – das ist ein verstecktes Codefragment, manchmal nur ein paar Zeilen, das dem Angreifer wiederholt Zugriff auf Dateien und die Datenbank gewährt, selbst nachdem alle Passwörter geändert wurden. Es ist die Hauptursache für wiederholte Infektionen, daher sollte die Suche nach Backdoors sofort nach dem Scannen und der ersten Bereinigung erfolgen.

Um Backdoors auf der Website zu finden, führen Sie die folgenden Schritte aus:

1. Überprüfen Sie die Liste der Benutzer im Dashboard und löschen Sie alle Administratoren, die Sie nicht erkennen.
2. Suchen Sie nach Dateien, die in den letzten zwei Wochen geändert wurden: sortieren Sie den Inhalt im Dateimanager des Hostings nach Änderungsdatum.
3. Suchen Sie in den Dateien nach typischen Markern für versteckten Code: base64_decode, eval, gzinflate, str_rot13.
4. Überprüfen Sie, ob fremde Sitemaps aufgetaucht sind.
5. Öffnen Sie in der Search Console den Abschnitt Einstellungen → Benutzer und Berechtigungen und löschen Sie Eigentümer und Benutzer, die Sie nicht hinzugefügt haben.

Der erste und letzte Punkt erscheinen zu offensichtlich, aber genau darum geht es. Eigentümer überprüfen selten die Liste der Administratoren und bestätigten Eigentümer in der Search Console, und darauf rechnen die Angreifer: Der Zugang zu Ihrer Website bleibt ihnen, selbst wenn alle Dateien bereits sauber sind.

Wie man Schwachstellen auf einer Website findet und schließt

Beginnen Sie mit der Überprüfung von Plugins und Themes. Öffnen Sie den Abschnitt «Plugins» → «Installierte», notieren Sie sich die Namen zusammen mit den Versionsnummern, machen Sie dasselbe für die Themes im Abschnitt «Design». Überprüfen Sie dann jeden Namen in kostenlosen Schwachdatenbanken:

• WPScan Vulnerability Database – die größte Datenbank für WordPress-Plugins und -Themes;
• Patchstack Database – bequeme Suche mit Entdeckungsdaten und Status der Behebung;
• Wordfence Intelligence – bietet eine Beschreibung, in welchen Versionen das Problem behoben wurde.

Sie müssen auf zwei Bedingungen achten: In Ihrer Version des Plugins/Themes gibt es eine bekannte Schwachstelle, und sie wurde veröffentlicht, bevor die Website gehackt wurde. Dafür sind das Datum und die Uhrzeit, die Sie in den ersten Stunden dokumentiert haben, sowie die Protokolle des Anbieters wichtig.

Die Lösung hängt dann von der Entdeckung ab:

1. Die Schwachstelle ist vorhanden, ein Update ist erschienen – aktualisieren Sie das Plugin auf die neueste Version und stellen Sie sicher, dass die automatischen Updates dafür aktiviert sind.
2. Die Schwachstelle ist vorhanden, ein Update gibt es nicht – löschen Sie die Erweiterung und suchen Sie nach einer Alternative. Ein Plugin, das monatelang keine Updates erhält, ist das Risiko nicht wert.
3. Das Plugin ist nicht mehr im offiziellen Katalog – das ist das schlimmste Szenario, da es normalerweise wegen eines ungepatchten Sicherheitsproblems entfernt wird. Löschen Sie es ohne Zögern.

Wenn die Liste jedoch sauber ist, liegt die Ursache außerhalb der Plugins und Themes. Die häufigsten Optionen:

• gestohlenes oder erratenes Passwort des Administrators, insbesondere wenn es auf anderen Diensten wiederholt wurde;
• eine infizierte Nachbar-Website auf demselben Hosting-Konto, von wo der Angreifer zu Ihrer gewechselt ist;
• eine veraltete PHP-Version, die lange nicht aktualisiert wurde.

Die ersten beiden Fälle sind in den Zugriffsprotokollen sichtbar, der dritte kann in einer Minute im Hosting-Dashboard überprüft werden.

Wie man den Ruf nach einem Website-Hack wiederherstellt

Der wichtigste Rat ist, ehrlich und proaktiv mit dem Publikum zu kommunizieren. Informieren Sie alle, die direkt von dem Hack betroffen sind, und tun Sie dies, bevor sie von anderen Quellen von dem Problem erfahren. Technische Vorfälle passieren selbst bei Unternehmen mit großen IT-Abteilungen, und die Menschen sind bereit, ihnen zu vergeben. Aber sie werden nicht vergeben, wenn sie von Betrügern und nicht von Ihnen über den Datenleck erfahren.

• Muss überhaupt jemand informiert werden?
• Müssen alle Besucher informiert werden?
• Was und wo nach einem Website-Hack geschrieben werden sollte

Muss überhaupt jemand informiert werden?

Das geltende Gesetz der Ukraine «Über den Schutz personenbezogener Daten» enthält keine direkte Verpflichtung zur Meldung eines Lecks nach dem Vorbild der europäischen DSGVO – die strenge Regel «72 Stunden» gibt es im ukrainischen Recht nicht. Stattdessen legt das Gesetz eine allgemeine Verpflichtung fest, personenbezogene Daten zu schützen, den Beauftragten der Werchowna Rada für Menschenrechte über die Verarbeitung von Daten mit erhöhtem Risiko zu informieren und die betroffene Person über die Tatsache der Erhebung ihrer Daten zu informieren.

Wenn Ihre Website jedoch Waren oder Dienstleistungen für EU-Bürger anbietet oder deren Verhalten über Analytik und Werbe-Cookies verfolgt, unterliegen Sie der DSGVO, unabhängig davon, wo das Unternehmen registriert ist. Diese verlangt, dass die Aufsichtsbehörde innerhalb von 72 Stunden nach Kenntnisnahme des Lecks informiert wird, und wenn das Risiko für die Menschen hoch ist – auch die betroffenen Personen. Die Strafen können bis zu 10 Millionen Euro oder 2% des weltweiten Jahresumsatzes betragen – je nachdem, welcher Betrag höher ist.

Müssen alle Besucher informiert werden?

Personenbezogene Daten sind Namen, Telefonnummern, Adressen, E-Mail-Adressen und Zahlungsdaten. Wenn Angreifer Zugang zu ihnen erhalten haben, informieren Sie alle betroffenen Personen so schnell wie möglich. Aber zuerst stoppen Sie das Leck und sammeln Sie Fakten: Eine Mitteilung, die Sie am nächsten Tag präzisieren müssen, schadet mehr als das Schweigen für einige Stunden. Auch das Hinauszögern der Faktensammlung auf Wochen ist nicht möglich.

Was und wo nach einem Website-Hack geschrieben werden sollte

Der Text sollte in klarer Reihenfolge auf fünf Fragen antworten: Was ist passiert, welche Daten sind betroffen, was haben Sie bereits getan, was sollte der Benutzer tun und wohin kann er sich mit Fragen wenden. Zum Beispiel könnte für einen Online-Shop folgende Mitteilung so aussehen:

«Sehr geehrte Kunden! Am 14. Juli haben wir unbefugten Zugriff auf unsere Website festgestellt. Der Angreifer konnte Namen, Telefonnummern und E-Mail-Adressen erhalten, die Sie bei der Bestellung angegeben haben. Zahlungsdaten werden auf der Website nicht gespeichert, daher sind sie nicht betroffen.

Wir haben bereits die Schwachstelle geschlossen, die Website bereinigt, alle Passwörter geändert und die Protokolle an den Hosting-Anbieter zur Überprüfung weitergeleitet.

Wir empfehlen, Ihr Passwort zu ändern, wenn Sie dasselbe auch bei anderen Diensten verwendet haben, und keine Links aus E-Mails zu folgen, die angeblich von unserem Shop stammen.

Fragen – an die E-Mail support@example.com oder telefonisch. Wir werden diese Seite aktualisieren, während wir die Details klären.»

Platzieren Sie die Mitteilung als auffälliges Banner oder auf einer separaten Seite auf der Website, senden Sie direkte E-Mails an die Betroffenen und veröffentlichen Sie in sozialen Netzwerken einen kurzen Beitrag mit einem Link zur vollständigen Version.

Wie man SEO nach einem Website-Hack wiederherstellt

Die Wiederherstellung erfolgt in drei Phasen: Zuerst werden die Warnungen über Gefahren entfernt, dann werden die Indizes von Spam-Seiten bereinigt, und erst danach werden die Positionen selbst wiederhergestellt. Die Zeit für die Wiederherstellung hängt davon ab, wie Google Ihre Website erneut crawlt.

• Wie man Google-Warnungen entfernt
• Wie man Spam-Seiten aus dem Index entfernt
• Wie lange dauert die Wiederherstellung der Positionen?

Wie man Google-Warnungen entfernt

Stellen Sie zunächst sicher, dass die Website vollständig bereinigt und die Schwachstelle geschlossen ist. Google warnt ausdrücklich: Eine Anfrage, die gesendet wird, bevor das Problem behoben ist, verlängert die Prüfung der nächsten, und die Webressource kann die Markierung als wiederholter Verstoß erhalten.

Wenn Sie die technische Bereinigung der Website nach dem Hack bereits durchgeführt haben, tun Sie Folgendes:

1. Öffnen Sie «Sicherheit und manuelle Maßnahmen» → «Sicherheitsprobleme» und überprüfen Sie alle festgestellten Probleme und Beispiele für URLs.
2. Klicken Sie auf Anfrage zur Überprüfung und beschreiben Sie für jeden Typ von Problemen, was genau Sie gefunden und wie Sie es behoben haben. Eine gute Anfrage beantwortet drei Fragen: Was war das Problem, welche Schritte haben Sie unternommen und welches Ergebnis haben Sie erzielt.
3. Warten Sie auf die Antwort, ohne wiederholte Anfragen zu senden. Die Überprüfung von Phishing-Seiten dauert etwa einen Tag, die Infektion mit schädlichem Code – einige Tage, und Spam-Hacks können mehrere Wochen in Anspruch nehmen, da sie eine manuelle Analyse erfordern.

So könnte der Text der Anfrage aussehen:

«Im Abschnitt "Sicherheitsprobleme" wurde eingefügter Spam-Inhalt festgestellt. Wir haben festgestellt, dass der Angreifer über eine veraltete Version des Plugins [Name] Zugriff erhalten hat und 340 Seiten mit pharmazeutischen Schlüsselwörtern im Verzeichnis /wp-content/uploads/ generiert hat.

Was wurde getan: Das Plugin wurde entfernt und ersetzt, die Verzeichnisse wp-admin und wp-includes wurden durch saubere Kopien der offiziellen Version ersetzt, zwei versteckte Dateien mit Backdoors wurden gefunden und entfernt, alle Passwörter und Authentifizierungsschlüssel wurden geändert, drei unbekannte Administratoren wurden gelöscht.

Ergebnis: Alle 340 Spam-Seiten geben den Code 410 zurück, ein erneuter Scan mit Wordfence und Sucuri SiteCheck zeigt keine Infektionen, automatische Updates sind aktiviert.»

Wenn die Website auf anderen schwarzen Listen gelandet ist, einschließlich McAfee, Norton und Bing, reichen Sie separate Überprüfungsanfragen bei jedem von ihnen ein.

Wie man Spam-Seiten aus dem Index entfernt

1. Löschen Sie alle Spam-Adressen und stellen Sie sicher, dass sie den Code 404 oder 410 zurückgeben. Der Status 410 Gone sagt der Suchmaschine direkt, dass die Seite dauerhaft gelöscht wurde, sodass der Index schneller bereinigt wird. Sie können dies über SEO-Plugins einrichten, z. B. Rank Math.
2. Für eine dringende Ausblendung verwenden Sie das Tool Removals in der Search Console – es entfernt vorübergehend Adressen aus den Ergebnissen, während Google die Webressource erneut crawlt.
3. Entfernen Sie fremde Sitemap-Dateien, die der Angreifer möglicherweise hinzugefügt hat, und überprüfen Sie erneut die Liste der Eigentümer der Ressource in der Search Console.
4. Senden Sie nicht manuell eine Anfrage zur Indizierung jeder Adresse. Lassen Sie Google die Website auf natürliche Weise erneut crawlen, und überprüfen Sie nur die priorisierten Seiten über die URL-Inspektion.
5. Wenn die gelöschten Spam-Seiten bereits Traffic oder Backlinks gesammelt haben, richten Sie 301-Weiterleitungen zu relevanten legitimen Seiten ein.

Lesen Sie auch: Die wichtigsten Unterschiede zwischen 301- und 302-Weiterleitungen

Wie lange dauert die Wiederherstellung der Positionen?

Die Entfernung der Warnung ist der schnellste Teil, und der Traffic kann teilweise sofort nach einer erfolgreichen Prüfung zurückkehren. Die vollständige Wiederherstellung der Positionen dauert in der Regel Wochen, in komplizierten Fällen länger. Komplizierte Fälle sind Tausende von Spam-Seiten im Index, manuelle Sanktionen oder Infektionen, die monatelang unbemerkt geblieben sind.

Den Prozess beschleunigen regelmäßige Veröffentlichungen frischer, qualitativ hochwertiger Inhalte, die Google zeigen, dass die Website aktiv und unter Kontrolle ist, sowie die Rückkehr verlorener Backlinks durch 301-Weiterleitungen. Künstliche Manipulationen wie der massenhafte Kauf von Links sind in dieser Zeit besonders gefährlich, da das Projekt unter genauer Beobachtung der Algorithmen steht.

Wie man einen erneuten Hack verhindert: Checkliste

Der beste Wiederherstellungsplan ist der, den Sie nie wieder verwenden müssen. Aber die Statistik ist hier ernüchternd: Bereits 2016 berichtete Google darüber, dass 12% der bereinigten Websites innerhalb von 30 Tagen erneut gehackt werden. Genau weil die Eigentümer die Folgen beseitigt haben, aber die wahre Ursache nicht gefunden haben.

Deshalb sollten Sie nach der Wiederherstellung einige dauerhafte Regeln festlegen:

• Aktualisieren Sie den Kern, die Plugins und die Themes wöchentlich, und installieren Sie kritische Sicherheitsupdates sofort, ohne sie aufzuschieben;
• Halten Sie nur die minimal erforderliche Anzahl an Erweiterungen: Jedes zusätzliche Plugin ist eine weitere potenzielle Schwachstelle;
• Lassen Sie die Zwei-Faktor-Authentifizierung aktiviert und überprüfen Sie monatlich die Liste der Administratoren der Website und der Benutzer in der Search Console;
• Überprüfen Sie, ob automatische Backups erstellt werden, außerhalb des Serverstandorts gespeichert werden und eine Tiefe von mindestens 30 Tagen haben – genau diese Tiefe rettet, wenn ein Hack verspätet bemerkt wird, da frische Kopien bereits Infektionen enthalten können;
• Halten Sie eine Firewall aktiv, die Angriffe blockiert, bevor sie die Website erreichen. In der kostenlosen Version von Wordfence funktioniert sie, aber neue Regeln kommen mit einer Verzögerung von 30 Tagen, sodass für Websites mit Zahlungen kostenpflichtige Lösungen gewählt werden sollten.

Speichern Sie diese Checkliste separat, um im Notfall sofort und ohne Panik zu handeln.

Eine Website, die nach einer klaren Reihenfolge wiederhergestellt wurde, kommt fast immer sicherer aus der Krise heraus, als sie vor dem Angriff war: mit aktuellen Updates, einem minimalen Satz an Plugins, funktionierenden Backups und dem Verständnis, woher das Problem kam. Danach bleibt nur noch das Einfachste und gleichzeitig das Schwierigste – die Updates nicht auf später zu verschieben und einmal im Monat zehn Minuten für die Überprüfung des gesamten Projekts zu investieren. Das ist die Prävention, die das Risiko eines erneuten Hacks der Website minimiert.