Wie Websites gehackt werden

Modul 7: Sicherheit · Lesezeit: 8 Minuten

Lernziel: Nach dieser Lektion können Sie realistisch erklären, wie WordPress-Websites meistens gehackt werden, warum auch kleine Websites Ziel sind und was Einbrecher damit erreichen wollen.

Kernbegriffe: Sicherheitslücke, Schwachstelle in Plugin oder Theme, automatische Scans, Credential Stuffing, Brute Force, Nulled Software, infizierter Computer, Folgen (Spam, Weiterleitung, Phishing, Malware), Angriffsfläche

„Meine Website ist zu klein, um interessant zu sein"

Das ist der am häufigsten gehörte Irrglaube. Fast kein WordPress-Hack richtet sich gegen eine bestimmte Website. Einbrecher nutzen Programme, die automatisch Tausende Websites pro Stunde durchsuchen und nach einer Sache suchen: einer bekannten Schwachstelle. Findet das Programm diese, bricht es ein, egal ob die Website einem Grosskonzern oder dem örtlichen Fussballverein gehört.

Was sie wollen, ist nicht Ihre Website, sondern das, was Ihre Website kann:

• Spam und Suchmaschinenmissbrauch: Tausende versteckte Seiten oder Links für Medikamente, Glücksspiel oder gefälschte Shops, die vom guten Ruf Ihrer Domain bei Google profitieren.
• Weiterleitung: Besucher (oft nur die von Google oder auf einem Smartphone) werden auf eine gefälschte Website oder Betrugsseite geleitet. Sie selbst sehen nichts, weil Sie über ein Lesezeichen kommen.
• Phishing: eine nachgebaute Login-Seite einer Bank oder eines Lieferdienstes, versteckt in Ihrem Ordner uploads, mit Ihrem Domainnamen im Link.
• Malware verbreiten an Besucher.
• E-Mails versenden: Ihr Server versendet Spam, und danach kommt Ihre eigene E-Mail nicht mehr an.
• Rechenleistung: Ihr Paket wird für Angriffe auf andere Websites oder zum Schürfen von Kryptowährungen genutzt.
• Daten: bei einem Webshop oder einer Mitgliederseite die Daten Ihrer Kunden.

Eingang 1: eine Schwachstelle in einem Plugin oder Theme

Das ist bei Weitem der wichtigste Eingang. Laut dem Jahresbericht von Patchstack, einem Unternehmen, das WordPress-Sicherheitslücken verfolgt, wurden 2024 7.966 neue Schwachstellen im WordPress-Ökosystem gefunden. 96 % davon in Plugins, 4 % in Themes, und in WordPress selbst nur sieben. Die meisten Schwachstellen lassen sich nicht ohne Weiteres ausnutzen, aber ein Teil schon, und diese werden innerhalb von Stunden oder Tagen nach Bekanntwerden massenhaft gescannt.

Das Muster ist fast immer dasselbe:

1. Es wird eine Schwachstelle in Version 3.2 eines beliebten Plugins gefunden.
2. Der Entwickler veröffentlicht Version 3.2.1 mit einer Reparatur. Die Schwachstelle wird öffentlich bekannt.
3. Innerhalb kurzer Zeit scannen Programme das Internet nach Websites mit Version 3.2 oder älter.
4. Wer noch nicht aktualisiert hat, wird angegriffen.

Die Gefahr liegt also nicht in einer geheimen Schwachstelle, die niemand kennt, sondern in einer bekannten Schwachstelle, für die bereits ein Update existiert, das nicht installiert wurde. Deshalb sind Updates (Lektion 7.2) die allerwichtigste Massnahme, und entfernen Sie, was Sie nicht nutzen (Lektion 5.4): Jedes vorhandene Plugin, auch deaktiviert, vergrössert Ihre Angriffsfläche.

Ein besonderer Fall sind verlassene Plugins: Der Entwickler hat aufgehört, es gibt keine Reparaturen mehr. Und Nulled Software (Lektion 5.3): eine gestohlene Kopie eines kostenpflichtigen Plugins, oft mit eingebauter Hintertür.

Eingang 2: Passwörter

Der zweite grosse Eingang ist das Einloggen mit einem gültigen Passwort:

• Credential Stuffing: Bei einem Datenleck eines anderen Dienstes sind Millionen Kombinationen aus E-Mail-Adresse und Passwort durchgesickert. Programme probieren diese Kombinationen auf allen möglichen Websites aus, darunter WordPress-Login-Seiten. Verwenden Sie dasselbe Passwort wie bei diesem betroffenen Dienst, sind sie drin.
• Brute Force: Ein Programm probiert einfach sehr viele Passwörter aus, oft mit gängigen Benutzernamen wie admin. Mit einem langen, einzigartigen Passwort ist das chancenlos, aber es kostet Ihren Server trotzdem Rechenleistung.
• Phishing: eine gefälschte E-Mail „Ihr WordPress muss aktualisiert werden, loggen Sie sich hier ein" mit einem Link zu einer nachgebauten Login-Seite.

Lektion 7.3 behandelt die Verteidigung: Passwort-Manager, Zwei-Faktor-Authentifizierung und die Begrenzung von Login-Versuchen.

Eingang 3: alles rund um WordPress

Nicht jeder Hack beginnt in WordPress:

• Ein infizierter Computer von Ihnen oder Ihrem Webentwickler, mit einem Programm, das Passwörter stiehlt, zum Beispiel die Passwörter, die in einem FTP-Programm gespeichert sind.
• Gewöhnliches FTP ohne Verschlüsselung, in einem öffentlichen Netzwerk.
• Eine andere Website im selben Paket: eine vergessene alte Testinstallation, ein altes Joomla in einem Unterordner. Alle Websites in einem Paket teilen sich meistens denselben Benutzer auf dem Server. Wird die alte Website gehackt, kann der Einbrecher auch auf Ihr WordPress zugreifen.
• Ein durchgesickertes Datenbankpasswort, zum Beispiel über eine Kopie von wp-config.php im Webverzeichnis (Lektion 1.3).
• Formulare ohne Kontrolle, die missbraucht werden, um Spam zu versenden.

Bei einem guten Hoster ist Ihr Paket von dem anderer Kunden auf demselben Server abgeschirmt (bei DirectAdmin-Servern mit CloudLinux zum Beispiel mit CageFS). Was innerhalb Ihres eigenen Pakets passiert, bleibt dennoch Ihre Angelegenheit.

Was Sie davon merken (und was nicht)

Einen guten Hack bemerken Sie zunächst nicht. Einbrecher wollen Ihre Website möglichst lange nutzen. Anzeichen (Lektion 7.5 geht darauf ein):

• Google meldet „Diese Website wurde möglicherweise gehackt", oder Sie sehen merkwürdige Seiten Ihrer Domain in den Suchergebnissen (suchen Sie einmal nach site:example.com);
• Besucher melden, dass sie woanders landen;
• es gibt Administratoren oder Dateien, die Sie nicht kennen;
• Ihr Hoster oder ein Malware-Scanner meldet etwas;
• Ihre E-Mail kommt plötzlich nicht mehr an, oder Ihr Paket ist voll oder langsam.

Verteidigung in Schichten

Keine einzelne Massnahme ist wasserdicht. Sicherheit ist eine Schichtung von Ebenen, sodass ein Fehler in einer Schicht nicht gleich alles öffnet:

1. Aktualisieren (Lektion 7.2): schliesst die bekannten Schwachstellen. Bei Weitem das Wichtigste.
2. Wenige Komponenten (Lektion 5.3 und 5.4): weniger zu aktualisieren, weniger Schwachstellen.
3. Login absichern (Lektion 7.3): lange, einzigartige Passwörter, Zwei-Faktor-Authentifizierung, minimale Rechte (Lektion 3.3).
4. Härten (Lektion 7.4): Rechte, Einstellungen und Header, die Schäden begrenzen.
5. Backups (Lektion 8.1): Geht trotzdem etwas schief, können Sie zurück.
6. Wissen, was zu tun ist, wenn es schiefgeht (Lektion 7.5).

Zusammenfassung

• Fast alle Hacks sind automatisiert und nicht gezielt; kleine Websites sind genauso Ziel.
• Einbrecher wollen das, was Ihre Website kann: Spam, Weiterleitung, Phishing, E-Mail, Rechenleistung, Daten.
• Der grösste Eingang ist eine bekannte Schwachstelle in einem Plugin oder Theme, für die bereits ein Update existierte (2024 lagen 96 % der neuen Schwachstellen in Plugins).
• Der zweite Eingang sind Passwörter: wiederverwendet, erraten oder abgefischt.
• Auch ein infizierter Computer, gewöhnliches FTP oder eine vergessene alte Website im selben Paket können der Eingang sein. Verteidigen Sie in Schichten.

Quiz

Aufgabe

Aufgabe D7.1: Ihre eigene Risikoliste. Erstellen Sie eine Liste von allem in Ihrem Hostingpaket, das ein Eingang sein kann: jede WordPress-Installation (auch Test- und alte Websites), jedes Plugin und jedes Theme (auch inaktive), jedes Konto mit Administratorrechten (WordPress, FTP, das Hosting-Panel), und die Computer, von denen aus eingeloggt wird. Notieren Sie bei jedem Punkt: wann zuletzt aktualisiert, noch benötigt (ja/nein), und wer verantwortlich ist. Markieren Sie, welche drei Dinge Sie diese Woche aufräumen oder aktualisieren, und notieren Sie, warum gerade diese.

Weiterführende Informationen

Diese Artikel beschreiben die Schritte in den Paneelen von WebOké; in anderen Paneelen funktionieren sie ähnlich.

• Hilfe! Meine Website wurde gehackt. Wie kann ich das beheben/verhindern?
• DirectAdmin Anleitung 18.2: Meine Website wurde gehackt: Schritt-für-Schritt-Anleitung
• State of WordPress Security in 2025 (Patchstack, Englisch): https://patchstack.com/whitepaper/state-of-wordpress-security-in-2025/
• Sicherheit von WordPress (developer.wordpress.org, Englisch): https://developer.wordpress.org/advanced-administration/security/hardening/