Für wen ist dieser Leitfaden gedacht
Wenn Sie vermuten, dass Ihre WordPress‑Seite kompromittiert wurde, richtet sich dieser Leitfaden an Seitenbetreiber, Betreiber von WooCommerce‑Shops und PrestaShop‑Administratoren. Er beschreibt pragmatische Schritte zur Eindämmung, Beweissicherung, Analyse, Bereinigung, Härtung und Überwachung sowie Hinweise, wann ein Sicherheitsdienst nötig ist.
Wir geben defensive, vorsichtige Handlungsempfehlungen und keine Angriffstechnik und versprechen keine absolute Sicherheit. Ziel ist die Risikominderung und Wiederherstellung eines vertrauenswürdigen Betriebs.
Sofortmaßnahmen: isolieren und Beweise sichern
Begrenzen Sie sofort den Schaden: schalten Sie die Seite in den Wartungsmodus, deaktivieren Sie nicht benötigte Admin‑Accounts und ändern Sie SFTP/SSH‑Zugangsdaten sowie das Hosting‑Kontrollpanel. Informieren Sie Ihren Hoster, wenn mehrere Konten betroffen sein könnten.
Erstellen Sie vor tiefgreifenden Änderungen mindestens zwei unabhängige Sicherungen: ein vollständiges Dateibackup (per SFTP oder Hosting‑Panel) und einen SQL‑Export der Datenbank. Bewahren Sie diese Backups offline und schreibgeschützt auf – sie sind essentiell für forensische Analysen und sichere Wiederherstellungen.
Art der Infektion bestimmen
Die Identifikation des Angriffsbilds steuert die Reaktion: SEO‑Spam, PHP‑Backdoors, bösartige Weiterleitungen, Admin‑Übernahmen oder Datendiebstahl sind typische Fälle. Analysieren Sie Server‑Logs (access.log, error.log), FTP‑Protokolle und vorhandene WordPress‑Logs.
Bei WooCommerce‑Installationen prüfen Sie Checkout‑ und Zahlungsseiten besonders sorgfältig. Bei PrestaShop sind Overrides und Drittanbieter‑Module häufige Einfallstore. Achten Sie auf veränderte Dateizeitstempel und ungewöhnliche Requests.
Sichere erste Bereinigungsschritte
Eine verlässliche Bereinigung kombiniert Entfernen, Ersetzen und Verifizieren. Oft ist es sicherer, Dateien aus vertrauenswürdigen Quellen wiederherzustellen, statt verdächtige Dateien direkt in der Produktion zu editieren.
-
Ersetzen Sie den WordPress‑Core durch eine saubere Kopie derselben Version von wordpress.org. Behalten Sie wp-config.php und den wp-content‑Ordner.
-
Überprüfen Sie wp-content: löschen Sie nicht verwendete oder unbekannte Themes und Plugins und installieren Sie die offiziellen Versionen neu.
-
Untersuchen Sie den uploads‑Ordner; PHP‑Dateien haben dort in der Regel nichts zu suchen. Quarantänisieren Sie verdächtige Dateien zur späteren Analyse. Bei WooCommerce validieren Sie Mediadateien von Produkten und importieren sie bei Bedarf neu.
-
Stellen Sie veränderte Systemdateien aus sauberen Backups oder offiziellen Paketen wieder her. Vermeiden Sie ad‑hoc‑Änderungen an verdächtigen Dateien auf dem Live‑System.
Datenbank und kompromittierte Accounts
Nicht jede Kompromittierung ist dateibasiert. Exportieren Sie die Datenbank und untersuchen Sie wp_options, wp_posts und wp_users auf schädlichen Inhalt (eingebettete Skripte, unbekannte iframes).
Entfernen Sie unautorisierte Administratoren, nachdem Sie bestätigt haben, dass es sich nicht um legitime technische Konten handelt. Erzwingen Sie Passwortänderungen für alle admin‑level Accounts sowie für FTP/SSH/Hosting‑Zugänge. Aktivieren Sie Multi‑Factor Authentication (MFA), wo möglich.
Scans und manuelle Audits
Automatische Scanner (Wordfence, Sucuri, ClamAV auf dem Server) helfen gegen bekannte Signaturen, ersetzen jedoch kein manuelles Audit. Prüfen Sie kritische Stellen: uploads, PHP‑includes, wp-config.php, .htaccess und Cron‑Jobs.
Auf Shared‑Hosting prüfen Sie, dass andere Konten nicht in Ihren Verzeichnissen schreiben können. Setzen Sie korrekte Dateiberechtigungen (typisch 644 für Dateien, 755 für Verzeichnisse) und entfernen Sie Welt‑schreibbare Rechte.
Härtung nach der Wiederherstellung
Bevor Sie live gehen, härten Sie die Umgebung: Prinzip der geringsten Rechte, WAF beim Hoster oder in der Cloud, HTTPS‑Erzwingung und sichere HTTP‑Header (Content‑Security‑Policy, X‑Frame‑Options). Aktivieren Sie Datei‑Integritätsüberwachung mit Hashes und Alerts bei Änderungen.
Für WooCommerce prüfen Sie Zahlungsgateway‑Konfigurationen und vermeiden die Speicherung von Kartendaten; für PrestaShop stellen Sie sicher, dass reinstallierte Module gepflegt werden.
Kommunikation und gesetzliche Pflichten
Wenn Kundendaten betroffen sein könnten, informieren Sie Betroffene und Behörden entsprechend der geltenden Gesetzgebung (z. B. DSGVO). Erstellen Sie eine klare Mitteilung: Art des Vorfalls, betroffene Daten, ergriffene Maßnahmen und empfohlene Schritte für Nutzer.
Protokollieren Sie alle Schritte der Bereinigung mit Zeitstempeln und Verantwortlichen und bewahren Sie Logs für forensische oder behördliche Zwecke auf.
Wann externe Hilfe notwendig ist
Beauftragen Sie eine Sicherheitsagentur, wenn das Problem weiterbesteht, sensible Daten betroffen sind oder intern keine Expertise vorhanden ist. Wählen Sie Dienstleister mit transparenten Untersuchungsprozessen; sie führen Forensik durch, beseitigen persistente Mechanismen und beraten zur Offenlegung.
Securantis kann in der Prävention und Überwachung unterstützen, doch bei komplexen Vorfällen ist ein spezialisiertes Incident‑Response‑Team erforderlich.
Wiederherstellungs‑Checkliste
-
Vor allen Änderungen Offline‑Backups anlegen.
-
Core ersetzen und Themes/Plugins aus vertrauenswürdigen Quellen neu installieren.
-
Passwörter zurücksetzen und MFA aktivieren.
-
DB und uploads‑Verzeichnis scannen.
-
Berechtigungen härten, WAF und Integritätschecks aktivieren.
-
Betroffene Nutzer informieren und sämtliche Schritte dokumentieren.
Fazit
Die Bereinigung eines infizierten WordPress‑Sites verlangt methodisches Vorgehen und Vorsicht, um Beweise nicht zu zerstören und die Wiederholung der Kompromittierung zu verhindern. Die Sicherung der Backups und die Isolation des Systems sind vorrangig.
Nach der Bereinigung sind Härtung und kontinuierliches Monitoring entscheidend, um erneute Angriffe zu verhindern. Bei komplexen oder datenrelevanten Vorfällen ziehen Sie ein forensisches Incident‑Response‑Team hinzu. Vorbeugung durch regelmäßige Backups, zeitnahe Updates und restriktive Zugriffssteuerung bleibt die effektivste Investition gegen künftige Zwischenfälle.
