Warum deine WordPress-Seite gehackt wurde, obwohl du nichts gemacht hast

„Wer sollte denn ausgerechnet uns hacken?“ Diesen Satz höre ich fast jedes Mal, wenn ich zu einer gehackten Seite gerufen werde. Ein Friseur, eine Kanzlei, eine kleine Praxis. Keine Geheimnisse, kein Shop, nichts zu holen. Und trotzdem Werbung für Potenzmittel in den Google-Ergebnissen.

Die Antwort ist unangenehm einfach: Niemand hat euch gehackt. Ein Programm hat eure Seite gefunden.

Es war kein Mensch

Angriffe auf kleine WordPress-Seiten laufen automatisch. Ein Scanner klappert Millionen Adressen ab und prüft bei jeder dasselbe: Welche Plugins sind installiert, in welcher Version, und ist für eine davon eine Sicherheitslücke bekannt? Findet er eine, nutzt er sie sofort aus. Ohne dass jemand die Seite je angesehen hätte.

Für den Scanner ist deine Seite keine Praxis und keine Kanzlei. Sie ist ein Server mit Rechenleistung, einer sauberen Domain und einem guten Ruf bei Google. Genau das wird verwertet: für Spam-Versand, für versteckte Werbelinks, für Weiterleitungen auf fremde Seiten, manchmal als Zwischenstation für den nächsten Angriff. Die Inhalte deiner Seite interessieren dabei niemanden.

Warum „nichts gemacht“ das Problem ist

WordPress selbst ist nicht unsicher. Die Lücken stecken fast immer in Plugins und Themes und dort werden sie laufend gefunden und geschlossen. Jede Woche erscheinen Sicherheitsupdates. Wer sie einspielt, ist für den Scanner uninteressant. Wer sie nicht einspielt, steht auf seiner Liste.

Eine Seite, die vor zwei Jahren von einer Agentur gebaut wurde und seitdem läuft, hat heute mit hoher Wahrscheinlichkeit mehrere bekannte Lücken. Nicht, weil die Agentur schlecht gearbeitet hat, sondern weil seitdem niemand mehr hingeschaut hat. Genau diese Seiten findet der Scanner. Deshalb trifft es so oft die, die „nichts gemacht“ haben. Nichts machen ist die Ursache.

Die vier üblichen Einfallstore

In meinen Fällen der letzten Jahre lag es so gut wie immer an einem dieser vier Punkte.

Ein veraltetes Plugin mit bekannter Lücke. Das ist der Normalfall. Oft ein Plugin, das nicht einmal mehr benutzt wird, aber noch installiert ist.

Ein schwaches oder wiederverwendetes Passwort für den WordPress-Zugang. Wenn dasselbe Passwort irgendwo anders in einem Datenleck aufgetaucht ist, probieren die Scanner es aus.

Ein Theme oder Plugin aus zweifelhafter Quelle, „kostenlos“ heruntergeladen statt gekauft. Solche Kopien bringen die Hintertür gleich mit.

Ein alter Nutzer, der nie gelöscht wurde. Der Praktikant von damals, die frühere Agentur, der Bekannte, der mal geholfen hat. Jeder Zugang, der nicht mehr gebraucht wird, ist eine Tür, die niemand mehr bewacht.

Was fast nie die Ursache ist: der Server. Der Hoster wird gern beschuldigt, ist aber selten schuld. Ein Umzug zu einem anderen Hoster löst deshalb auch nichts, wenn die Lücke in der Seite selbst sitzt.

Woran du es erkennst

Das Fiese ist, dass ein Hack oft wochenlang unsichtbar bleibt. Die Seite sieht für dich normal aus. Erst über Umwege fällt es auf: Google warnt vor deiner Seite. Ein Kunde ruft an, weil er auf einer komischen Seite gelandet ist. Deine E-Mails kommen als Spam zurück, weil dein Server auf einer schwarzen Liste steht. Oder du kommst nicht mehr in dein WordPress, weil jemand das Passwort geändert hat.

Wenn dir eines davon passiert, ist das Erste, was du nicht tun solltest: selbst „reparieren“. Kein Plugin löschen, kein Backup zurückspielen, keinen Cleaner installieren. Das verwischt Spuren und macht es meist schlimmer. Was hilft, steht auf der Notfallseite, kurz gefasst: Screenshots machen, Passwörter von einem anderen Gerät ändern, mich anschreiben.

Was dich wirklich schützt

Kein Sicherheitsplugin und keine Firewall ersetzt das Eine, worauf es ankommt: dass jemand die Seite regelmäßig anfasst. Updates einspielen, ungenutzte Plugins löschen, alte Zugänge entfernen, Passwörter ordentlich wählen, und das jede Woche, nicht einmal im Jahr.

Dazu ein Backup, das getrennt von der Seite liegt und von dem man weiß, dass es sich zurückspielen lässt. Nicht, weil es den Hack verhindert, sondern weil es den Schaden begrenzt.

Du kannst das selbst machen. Es dauert vielleicht eine Stunde im Monat und es muss verlässlich passieren, auch im Urlaub, auch wenn gerade viel los ist. Wenn du weißt, dass du das nicht durchhalten wirst, dann lass es jemanden machen, der es jede Nacht automatisch tut. Genau dafür gibt es die Sorglos-Wartung. Der Scanner sucht Seiten, an denen niemand war. Sorg dafür, dass deine nicht dazugehört.

Häufige Fragen

Meine Seite hat ein Sicherheitsplugin. Reicht das nicht?

Ein Sicherheitsplugin bremst Angriffe auf das Login und meldet Auffälligkeiten. Eine bekannte Lücke in einem veralteten Plugin schließt es nicht. Updates ersetzt es nicht.

Ich habe keine Kundendaten auf der Seite. Warum ist der Hack trotzdem ein Problem?

Weil deine Domain und dein Server missbraucht werden. Google warnt Besucher, deine Mails landen im Spam, Kunden werden auf fremde Seiten geleitet. Der Schaden trifft deinen Ruf, nicht deine Daten.

Reicht es, die Seite zu einem besseren Hoster umzuziehen?

Nein. Die Lücke zieht mit um. Erst bereinigen, dann entscheiden, wo die Seite künftig liegt.

Kann ich einfach das Backup von letzter Woche einspielen?

Meist nicht. Der Angriff liegt oft Wochen zurück, das Backup enthält die Hintertür dann schon und die Lücke bleibt offen. Ein Backup ist ein Teil der Bereinigung, nicht die Bereinigung.