Warum WordPress-Websites gehackt werden und wie Sie Ihre Website absichern

Was ich bei Website-Analysen regelmäßig sehe

Wenn ich für einen Betrieb in Hamm die bestehende Website prüfe, finde ich bei WordPress-Seiten fast immer dieselbe Kombination: letztes Update vor über einem Jahr, 20 bis 40 Plugins, davon mehrere verwaist, PHP-Version aus dem Jahr 2019, Admin-Benutzer heißt „admin“. Das ist kein Vorwurf an die Inhaber. Niemand hat ihnen gesagt, dass eine WordPress-Seite wie ein Auto regelmäßig in die Werkstatt muss.

Ich habe mich in der Sicherheitsforschung damit beschäftigt, wie solche Seiten übernommen werden. Das Ergebnis ist ernüchternd: Es braucht weder Talent noch Zeit. Es braucht nur eine Liste bekannter Lücken und ein Skript, das Millionen Seiten durchprobiert.

Warum gerade WordPress

Drei Gründe, die zusammenkommen:

Masse. Über 40 Prozent aller Websites laufen auf WordPress. Für einen Angreifer lohnt sich jede Lücke tausendfach, weil sie auf Hunderttausenden Seiten gleichzeitig funktioniert.

Plugins. Der WordPress-Kern wird professionell gepflegt. Aber die Funktionen, die man im Alltag braucht, kommen aus Plugins von Drittanbietern: Kontaktformular, Galerie, SEO, Backup, Seitenbaukasten. Laut den Jahresberichten von Patchstack stammen über 90 Prozent der gemeldeten WordPress-Sicherheitslücken aus Plugins und Themes, nicht aus dem Kern. Ein Plugin, dessen Entwickler aufgehört hat, bleibt mit seiner Lücke auf der Seite.

Angriffsfläche. Jede WordPress-Seite hat einen Login unter /wp-login.php, eine Datenbank, eine Upload-Funktion und ausführbaren PHP-Code auf dem Server. Jedes dieser Elemente ist eine Tür. Automatisierte Scanner klopfen an alle, rund um die Uhr.

Wie ein Angriff typischerweise abläuft

1. Scannen. Ein Bot ruft Ihre Seite auf und liest aus Quelltext und Dateipfaden, welche WordPress-Version und welche Plugins laufen. Das dauert Sekunden.
2. Abgleichen. Die gefundenen Versionen werden mit Datenbanken bekannter Lücken verglichen. Für ein Plugin von 2022 gibt es oft mehrere.
3. Einschleusen. Über die Lücke lädt der Bot eine kleine PHP-Datei hoch, eine sogenannte Web-Shell. Ab jetzt kann er auf dem Server Befehle ausführen, als wäre er Sie.
4. Ausnutzen. Je nach Ziel: versteckte Links für Spam-SEO, Weiterleitungen auf Betrugsseiten, Phishing-Seiten in Unterordnern, Versand von Spam-Mails über Ihren Hoster, Erpressung.

Das Tückische: Die Seite sieht für Sie weiter normal aus. Google merkt es zuerst, warnt Besucher und wirft die Seite aus dem Index. Dann rufen Kunden an und fragen, warum Chrome vor Ihnen warnt.

Woran Sie einen Befall erkennen

• Google zeigt „Diese Website wurde möglicherweise gehackt“ oder Chrome warnt rot.
• In den Suchergebnissen erscheinen fremde Texte zu Ihrer Domain, oft Medikamente, Casinos, Replika-Uhren.
• Die Seite leitet manchmal auf fremde Domains weiter, vor allem vom Handy.
• Ihr Hoster schreibt, dass von Ihrem Konto Spam verschickt wird.
• Im WordPress-Backend gibt es Benutzer, die Sie nicht angelegt haben.
• Die Seite wird plötzlich sehr langsam.

Einmal pro Monat site:ihre-domain.de googeln und die Ergebnisse überfliegen ist der einfachste Frühwarntest.

Sieben Maßnahmen, die eine Website wirklich absichern

Egal welche Technik, in dieser Reihenfolge:

1. Keine Angriffsfläche haben. Die sicherste Tür ist die, die es nicht gibt. Eine statische Website ohne Datenbank, ohne PHP, ohne Admin-Login auf dem Server kann auf diesem Weg nicht übernommen werden. Das ist der Hauptgrund, warum ich Kundenseiten mit Astro statt WordPress baue.
2. Updates im Wochenrhythmus, wenn es WordPress sein muss. Kern, Plugins, Theme, PHP-Version. Verwaiste Plugins löschen, nicht nur deaktivieren.
3. Login härten. Kein Benutzer „admin“, lange Passwörter, Zwei-Faktor-Anmeldung, Login-Versuche begrenzen, Backend nur für bekannte IP-Adressen oder über einen zweiten Passwortschutz.
4. Backups, die Sie getestet haben. Täglich, an einem anderen Ort als dem Server, mindestens 30 Tage Verlauf. Ein Backup, das nie zurückgespielt wurde, ist eine Hoffnung.
5. HTTPS überall und Sicherheits-Header (Content-Security-Policy, HSTS). Kostet nichts, verhindert ganze Angriffsklassen.
6. Formulare absichern. Spam-Schutz ohne Captcha-Qual, Begrenzung der Anfragen, keine Datei-Uploads ohne Prüfung.
7. Monitoring. Jemand muss merken, wenn etwas kippt: Erreichbarkeit, Ladezeit, Google-Warnungen, veränderte Dateien.

Was das in der Praxis bedeutet

Für die Seiten, die ich baue und betreue, gilt: statische Technik, Hosting mit automatischen Zertifikaten, Formulare über einen abgesicherten Dienst, tägliche Backups, Monitoring. Die Punkte 1, 5, 6 und 7 sind damit erledigt, bevor die Seite online geht. Die Betreuung ab 75 Euro im Monat hält das dauerhaft so.

Wenn Sie bei WordPress bleiben wollen oder müssen, etwa wegen eines bestehenden Shops: Dann brauchen Sie jemanden, der die Punkte 2 bis 4 jede Woche erledigt. Das ist Arbeit, die in einer Betreuung drin sein muss, nicht ein Haken im Angebot.

Wenn es schon passiert ist

Nicht löschen, nicht einfach „Backup einspielen“, wenn das Backup die Lücke mitbringt. Reihenfolge: Seite vom Netz nehmen, Zugangsdaten überall ändern, Ursache finden, sauber neu aufsetzen, dann bei Google die Überprüfung beantragen. In den meisten Fällen, die ich gesehen habe, war der Neubau als statische Seite günstiger als die Bereinigung und hat das Problem dauerhaft gelöst.