Meine Website wurde gehackt: Schritt-für-Schritt-Anleitung

Eine gehackte Website ist ärgerlich, aber mit einem festen Stufenplan bekommen Sie sie wieder sauber und verhindern, dass es erneut passiert. Das Wichtigste: Nur eine Sicherung zurückzusetzen, reicht nicht aus. Wenn Sie nicht wissen, wie der Eindringling hineinkam, steht die Tür noch offen.

Woran erkennen Sie, dass Ihre Website gehackt wurde?

• Besucher landen auf einer anderen Website, oft nur über Google oder nur auf einem Smartphone.
• Google zeigt bei Ihrer Website Diese Website wurde eventuell gehackt an, oder es erscheinen fremde Seiten Ihrer Domain in den Suchergebnissen.
• Ihr Browser oder Virenscanner warnt vor Ihrer eigenen Website.
• Es gibt Dateien oder Administratoren in WordPress, die Sie nicht kennen.
• Sie erhalten eine Meldung von uns, oder Imunify360 hat Malware gefunden.
• Ihr Postfach versendet Spam, oder Sie erreichen plötzlich das Versandlimit (siehe Was tun, wenn Ihre E-Mail-Adresse missbraucht wird).

Schritt 1: Ruhe bewahren und dokumentieren

Löschen Sie nicht sofort alles. Notieren Sie, was Sie sehen, wann es begann, und machen Sie Screenshots. Diese Informationen benötigen Sie später, um die Ursache zu finden, und wir ebenfalls, wenn Sie uns um Hilfe bitten.

Schritt 2: Alle Passwörter ändern

Gehen Sie davon aus, dass ein Eindringling ein Passwort kennt. Ändern Sie alle Passwörter, vorzugsweise von einem anderen Computer aus als dem, den Sie normalerweise verwenden, falls dieser infiziert ist:

1. Das Passwort von Mein WebOké. Der zusätzliche Code beim Anmelden ist dort immer aktiviert. Möchten Sie statt des Codes per E-Mail eine Authenticator-App verwenden, richten Sie diese unter Meine Verwaltung und Zugangsdaten ein.
2. Ihr DA-Passwort (siehe Ihr DA-Passwort einrichten oder ändern). Das gilt auch für das Standard-FTP-Konto.
3. Die Passwörter zusätzlicher FTP-Konten (siehe FTP-Konten erstellen und verwalten). Entfernen Sie Konten, die Sie nicht mehr verwenden.
4. Alle Administratoren in WordPress oder Ihrem anderen CMS. Entfernen Sie Administratoren, die Sie nicht kennen.
5. Das Passwort des Datenbankbenutzers (siehe Datenbank-Benutzer, Berechtigungen und Passwörter). Passen Sie es anschliessend auch in der Konfigurationsdatei Ihrer Website an, wie wp-config.php.
6. Versendet ein Postfach Spam? Ändern Sie dann auch dieses Passwort (siehe Das Passwort einer E-Mail-Adresse ändern).

Schalten Sie anschliessend in DirectAdmin die Zwei-Schritt-Authentifizierung ein (siehe Zwei-Schritt-Authentifizierung einrichten).

Schritt 3: Scannen mit Imunify360

Öffnen Sie in DirectAdmin unter Zusatzfunktionen das Imunify360 Plugin. Dort sehen Sie, welche Dateien als infiziert erkannt wurden, und können Ihr Paket erneut scannen lassen. Wie das funktioniert und was die Meldungen bedeuten, lesen Sie in Imunify360: Ihre Website auf Malware scannen.

Schritt 4: Finden Sie heraus, wie der Eindringling hineinkam

Die häufigsten Ursachen, von häufig bis selten:

1. Veraltete Software. Eine alte Version von WordPress, ein Plugin oder ein Theme mit einer bekannten Sicherheitslücke. Prüfen Sie in Installatron oder in WordPress, welche Komponenten veraltet sind (siehe Updates und automatische Updates).
2. Ein Plugin oder Theme aus einer unzuverlässigen Quelle. Kostenlose Versionen kostenpflichtiger Plugins (nulled) enthalten oft absichtlich eine Hintertür.
3. Ein durchgesickertes oder schwaches Passwort. Prüfen Sie unter Anmeldeverlauf, wer wann in DirectAdmin angemeldet war (siehe Anmeldeverlauf: Wer hat sich wann angemeldet?).
4. Ein infizierter Computer, auf dem FTP-Passwörter gespeichert sind.

Nützliche Stellen zum Nachforschen:

• Im Dateimanager sortieren Sie nach Änderungsdatum. Dateien, die zum gleichen Zeitpunkt geändert wurden, besonders in Upload-Ordnern, verdienen Aufmerksamkeit.
• Im Zugriffsprotokoll unter Website-Übersicht & Protokolle sehen Sie, welche Adressen häufig aufgerufen werden, oft mit POST-Anfragen an eine einzelne Datei (siehe Website-Übersicht und Protokolle: das Fehler-Protokoll und das Zugriffsprotokoll).

Schritt 5: Bereinigen oder eine saubere Sicherung zurücksetzen

Sie haben zwei Möglichkeiten:

• Eine Sicherung von vor dem Hack zurücksetzen. Mit WebOké Backups in Mein WebOké wählen Sie selbst einen Zeitpunkt aus den vergangenen 30 Tagen (siehe Geht das auch in Mein WebOké? WebOké Backups). Wählen Sie einen Zeitpunkt, bevor die ersten fremden Dateien erschienen. Aktualisieren Sie danach sofort alles (Schritt 6), denn die Sicherheitslücke befindet sich auch in der Sicherung.
• Selbst bereinigen. Lassen Sie Imunify360 die infizierten Dateien bereinigen, entfernen Sie unbekannte Dateien und setzen Sie WordPress und alle Plugins neu aus der offiziellen Quelle auf.

Hinweis: Wählen Sie bei WebOké Backups im Zweifelsfall zunächst Als Kopie neben dem aktuellen Stand. Dann ändert sich nichts an dem aktuellen Stand, und Sie können in Ruhe vergleichen.

Schritt 6: Alles aktualisieren und aufräumen

• Aktualisieren Sie WordPress (oder Ihr anderes CMS), alle Plugins und Themes auf die neueste Version.
• Entfernen Sie Plugins und Themes, die Sie nicht verwenden. Auch deaktivierte Plugins können eine Sicherheitslücke enthalten.
• Entfernen Sie alte Kopien und Testinstallationen in Unterordnern.
• Verwenden Sie eine aktuelle PHP-Version (siehe Die PHP-Version auswählen (Select PHP version)).

Schritt 7: Nachsorge

• Zeigt Google eine Warnung an? Beantragen Sie nach der Bereinigung eine neue Überprüfung in der Google Search Console.
• Hat Ihr Postfach Spam versendet? Lesen Sie Was tun, wenn Ihre E-Mail-Adresse missbraucht wird und Verzenden geweigerd: blacklists en limieten.
• Lassen Sie die Web Application Firewall aktiviert (siehe Web Application Firewall).
• Kontrollieren Sie in den kommenden Wochen gelegentlich Imunify360 und Ihre Liste der WordPress-Administratoren.

Hilfe benötigt?

Kommen Sie nicht weiter, oder handelt es sich um einen Webshop mit Kundendaten? Erstellen Sie dann ein Ticket und beschreiben Sie, was Sie bereits unternommen haben (siehe Hilfe anfragen: was geben Sie an den Support weiter?). Handelt es sich um personenbezogene Daten, müssen Sie eine Datenschutzverletzung möglicherweise bei der zuständigen Aufsichtsbehörde melden.