WordPress gehackt? Was in den ersten 24 Stunden zu tun ist

Was es ist

Eine Kompromittierung von WordPress bedeutet in der Regel, dass jemand die Möglichkeit erlangt hat, Dateien, die Datenbank oder Benutzerkonten zu verändern. Häufige Anzeichen sind unbekannte Administratorkonten, fremde Plugins oder Dateien, eingeschleustes JavaScript, von Suchmaschinen indexierte Spam-Seiten, Weiterleitungen, die nur manche Besucher betreffen, ausgehende Spam-E-Mails oder Warnungen eines Browsers oder einer Suchmaschine. Häufige Einstiegspunkte sind veraltete oder aufgegebene Plugins und Themes, wiederverwendete oder schwache Passwörter, kompromittierte Hosting- oder FTP-Zugangsdaten und unsichere Dateiberechtigungen. In den ersten 24 Stunden geht es darum, zu bestätigen, was passiert, weiteren Schaden zu begrenzen, alles festzuhalten und eine ordentliche Bereinigung vorzubereiten. Die detaillierte Bereinigung Datei für Datei folgt als eigener Schritt.

Für wen es gedacht ist

Diese Checkliste richtet sich an:

• Geschäftsinhaber und Marketingteams, die eine WordPress-Website ohne eigenes Sicherheitsteam betreuen
• Agenturen, die eine Kundenwebsite betreuen, die gerade als kompromittiert gemeldet wurde
• Interne IT-Mitarbeitende, die eine Sperrmitteilung des Hosters oder eine Browserwarnung erhalten haben
• Alle, die einen Dienstleister vor Beginn der Bereinigung klar informieren müssen

Was es zu klären hilft

Die Checkliste hilft zu klären:

• ob die Website tatsächlich kompromittiert ist oder einen Konfigurations- oder Plugin-Fehler zeigt
• was sich wann geändert hat und welche Konten betroffen sein könnten
• wem Hosting, Domain, DNS und Backups gehören und wer Änderungen freigeben kann
• ob Kundendaten oder Zahlungsabläufe betroffen sein könnten und gesonderte Aufmerksamkeit brauchen

Was ist enthalten

• Stunde 0–2: notieren, was wann und von wem bemerkt wurde; Screenshots von Warnungen, Weiterleitungen und unbekannten Seiten anfertigen
• Stunde 0–2: feststellen, wer Hosting, Domain-Registrar, DNS, CDN und den WordPress-Adminbereich kontrolliert
• Stunde 1–4: eine vollständige Kopie der Dateien und der Datenbank im aktuellen Zustand erstellen und getrennt aufbewahren; ältere Backups nicht überschreiben
• Stunde 1–4: erwägen, die Website in den Wartungsmodus zu versetzen oder den Hoster zu bitten, den Zugriff einzuschränken, wenn Besucher geschädigt werden
• Stunde 2–6: von einem sauberen Gerät aus die Passwörter für Hosting, FTP/SFTP, Datenbank und WordPress-Administratoren ändern; MFA aktivieren, wo verfügbar
• Stunde 2–6: WordPress-Benutzer prüfen und Konten, die Sie nicht kennen, entfernen oder deaktivieren und dabei notieren, was Sie entfernt haben
• Stunde 4–12: verfügbare Server-Zugriffsprotokolle und Sicherheitsmitteilungen des Hosters sammeln
• Stunde 6–24: einen qualifizierten Dienstleister mit Ihren Notizen, Protokollen und der Backup-Kopie informieren und einen Scope für die Bereinigung vereinbaren

Was nicht enthalten ist

• Befehle zur Malware-Entfernung oder Anleitungen, Core-Dateien ohne Backup zu bearbeiten
• Rechtsberatung dazu, ob eine Meldung einer Datenpanne erforderlich ist
• Die Behauptung, dass das Ändern von Passwörtern allein die Kompromittierung behebt
• Ratschläge, den Angreifer zu kontaktieren oder Vergeltung zu üben

Wann man es wählt

Nutzen Sie diese Checkliste, sobald Sie eine Kompromittierung vermuten, und bevor Sie Dateien löschen oder Backups einspielen. Wenn die Website Zahlungen verarbeitet oder personenbezogene Kundendaten speichert, beziehen Sie frühzeitig die für Datenschutz und rechtliche Pflichten verantwortliche Person ein; Meldepflichten hängen vom Sachverhalt und der Rechtsordnung ab, und dieser Artikel ist keine Rechtsberatung. Hat der Hoster das Konto gesperrt, fragen Sie, was er von Ihnen benötigt, um den Zugang wiederherzustellen, und ob er Protokolle vorhält, die Sie nutzen können.

Unser Ansatz

Priorisieren Sie Eindämmung und Dokumentation vor einer schnellen optischen Bereinigung. Eine Website, die wieder normal aussieht, kann dennoch eine Hintertür enthalten, über die der Angreifer innerhalb weniger Tage zurückkehrt. Ein altes Backup einzuspielen, ohne den Einstiegspunkt zu schließen, führt oft zu einer erneuten Infektion. Sind die ersten Schritte abgeschlossen, sollte die Bereinigung Dateien, Datenbank, Benutzer, geplante Aufgaben und die Serverkonfiguration umfassen, gefolgt vom Schließen des Einstiegspunkts und der Härtung. Unser Service Incident Recovery umfasst eine erste Prüfung und Einordnung eines vereinbarten Website- oder WordPress-Problems, praktische Eindämmung, die Bereinigung von Schadcode, Hintertüren und unbefugten Benutzern, eine sichere Wiederherstellung, das Schließen des festgestellten Einstiegspunkts und einen schriftlichen Bericht mit Empfehlungen zur Härtung. Es handelt sich um abgegrenzte Arbeit für die bestätigte Website; rechtliche Bewertungen übernimmt Ihre Rechtsberatung. Wer Ihnen auch hilft: Lassen Sie sich erklären, was gefunden und geändert wurde, und bewahren Sie diesen Bericht zusammen mit Ihren Notizen auf.

Incident Recovery

Häufig gestellte Fragen

Verwandte Artikel