Anzeichen gehackte Website: 18 Signale zum Prüfen
Kurz gesagt: Anzeichen gehackte Website sehen heute selten wie eine schwarze Seite mit Botschaft aus. Suchen Sie nach einem Muster kleiner Signale im Browser, in Google, in WordPress und beim Hoster, und prüfen Sie in fünfzehn Minuten ohne Änderungen.
Die meisten stellen sich einen Einbruch als schwarze Seite mit Totenkopf vor. Das gibt es noch, aber selten. Wer die Site offline nimmt, verliert das Wertvollste: den Zugang. Wer Sie in Ruhe lässt und den Server still für Spam, Medikamentenseiten oder mobile Weiterleitungen nutzt, verdient monatelang.
Deshalb erkennt man Kompromittierung öfter an langweiligen Details als an einer dramatischen Meldung: die Hosting-Rechnung steigt, Mail kommt beim Kunden nicht an, der Traffic sinkt langsam, die Seite braucht eine Sekunde länger. Jedes Signal allein hat auch harmlose Erklärungen. Das Problem ist, dass Betreiber sie einzeln betrachten und das Muster übersehen.
Dieser Text gruppiert Signale danach, wo Sie sie merken: im Browser, in der Google-Suche, in der WordPress-Administration, beim Hoster und über andere Menschen. Am Ende steht eine Prüfung in etwa fünfzehn Minuten und eine Liste von Dingen, die oft mit einem Einbruch verwechselt werden.
Warum ein Einbruch selten sofort auffällt
Der durchschnittliche Betreiber öffnet die Seite ein paar Mal pro Woche, immer vom gleichen Rechner, immer eingeloggt, immer im Browser mit Cache. Das ist die schlechteste Bedingung, um eine Infektion zu sehen, weil moderne Malware Sie gezielt umgeht.
Schädlicher Code in WordPress hat oft Bedingungen: nur Besucher aus Google, nur Mobilgeräte, nur einmal pro IP, nie den eingeloggten Administrator. Manche Muster laufen nur nachts oder am Wochenende. Andere sieht nur Googlebot, sodass die Site für Sie perfekt wirkt, in den Suchergebnissen aber Inhalte stehen, die Sie nie geschrieben haben.
Dazu kommt, dass der durchschnittliche Einbruch nicht über ein erratenes Passwort läuft, sondern über ein Plugin, das acht Monate nicht aktualisiert wurde. Die Infektion kann Wochen still arbeiten. Deshalb lohnt es sich zu wissen, wonach Sie suchen.
Signale, die Sie im Browser sehen
Das sind Zeichen, die ein normaler Besucher merkt - wenn Sie die Site wie ein Besucher ansehen, nicht als eingeloggter Administrator. Viele erste Anzeichen gehackte Website beginnen genau hier, noch vor jeder Warnung in der Suche.
1. Die Seite lädt spürbar langsamer als früher
Eine infizierte Installation führt oft bei jedem Aufruf Extra-Code aus: sie prüft, woher der Besucher kommt, holt neue Anweisungen von einem entfernten Server, schreibt in die Datenbank. Wenn eine Seite, die früher in einer Sekunde öffnete, jetzt vier braucht und Sie nichts geändert haben, lohnt die Prüfung.
Langsamkeit allein ist kein Beweis - es kann schwaches Hosting, große Bilder oder ein neues Plugin sein. Plötzliche Langsamkeit ohne Ihre Änderung ist ein Signal.
2. Weiterleitungen, die nur manchmal passieren
Das ist einer der häufigsten Anrufe. Ein Kunde sagt, die Site habe ihn auf eine Wettseite geschickt, Sie öffnen sie und alles ist in Ordnung. Sie denken, der Besucher hatte einen Virus auf dem Handy.
Die Unbeständigkeit ist hier der Beweis, nicht die Widerlegung. Weiterleitungs-Malware läuft fast immer bedingt und merkt sich den Besucher. Zwei unabhängige Meldungen sollten Sie ernst nehmen. Den Ablauf haben wir in Website leitet auf andere Seite um beschrieben.
3. Anzeigen, Banner und Pop-ups, die nicht zu Ihrem Theme gehören
Wenn Anzeigen erscheinen und Sie keine schalten, hat sie jemand eingeschleust. Dasselbe gilt für Benachrichtigungs-Pop-ups, falsche Warnungen „Ihr Gerät ist infiziert" und Download-Buttons.
4. Weißer Bildschirm, seltsame Zeichen oben oder unten
Schlecht geschriebene Malware hinterlässt Spuren: eine Zeile Zufallszeichen, eine Fehlermeldung mit unbekanntem Pfad oder ein weißer Bildschirm auf einzelnen Seiten. Besonders auffällig ist eine lange kodierte Zeile im Quelltext mit eval( oder base64_decode(.
5. Inhalt, den Sie nicht sehen, andere aber schon
Öffnen Sie die Site vom Handy ohne Ihr WLAN, im privaten Fenster, ohne Login. Überraschend oft sieht die Seite von außen anders aus.
Signale in der Google-Suche
Google sieht Ihre Site öfter und gründlicher als Sie. Deshalb zeigt sich ein großer Teil der Infektionen zuerst in den Suchergebnissen. Fremde Sprache oder Seiten, die es nicht geben darf, sind klare Anzeichen gehackte Website, selbst wenn die Startseite für Sie ordentlich wirkt.
6. Eine Beschreibung in einer Sprache, die Sie nie genutzt haben
Suchen Sie site:ihredomain.de und sehen Sie, was erscheint. Titel und Snippets auf Japanisch, Chinesisch, Russisch oder mit Medikamentennamen sind klassischer SEO-Spam. Der Angreifer nutzt die Autorität Ihrer Domain.
7. Indexierte Seiten, die es bei Ihnen nicht gibt
Dieselbe site:-Suche findet auch URLs wie /wp-content/uploads/2019/cheap-meds/. Wenn die Zahl indexierter Seiten weit über dem liegt, was Sie veröffentlicht haben, liegt generierter Inhalt auf dem Server.
8. Google-Warnung, die Website könne gehackt sein
Wenn Google kompromittierten Inhalt erkennt, erscheint eine Warnung unter dem Titel. In schwereren Fällen sehen Besucher eine rote Zwischenseite. Dann verlieren Sie fast den gesamten Traffic, bis das Problem gelöst und eine Prüfung beantragt ist.
9. Plötzlicher, unerklärlicher Einbruch beim organischen Traffic
Wenn Klicks in wenigen Tagen um 40 oder 60 Prozent fallen und Sie nichts geändert haben, prüfen Sie in der Search Console den Bereich Sicherheitsprobleme. Das ist die schnellste Bestätigung oder Entkräftung.
Signale in der WordPress-Administration
Hier suchen Sie Spuren, die der Angreifer gelegt hat, um Zugang zu behalten. Sie sind am leichtesten zu prüfen und am schwersten anders zu erklären. Ein unbekannter Administrator oder PHP in Uploads gehören zu den klarsten Anzeichen gehackte Website.
10. Ein Administratorkonto, das Sie nicht angelegt haben
Öffnen Sie Benutzer, Alle Benutzer und filtern Sie nach Administrator. Jedes Konto, das Sie nicht kennen, besonders mit Zufallsnamen oder unbekannter Mail-Domain, ist ein ernstes Zeichen. Vergleichen Sie das Registrierungsdatum mit dem Beginn der Probleme.
Es gibt eine stillere Variante: Der Angreifer legt kein neues Konto an, sondern hebt einem bestehenden Abonnenten leise die Rolle auf Administrator. Prüfen Sie die ganze Liste, nicht nur die neuesten Zeilen.
11. Ein Plugin oder Theme, das Sie nicht installiert haben
Besonders wenn das Plugin inaktiv ist, ohne Beschreibung, ohne Autor und ohne Projektlink. Angreifer lassen ein „legitimes" Plugin als Reserve, weil Betreiber inaktive Plugins selten löschen.
12. Dateien, die geändert wurden, als niemand arbeitete
Im File Manager oder per FTP nach Änderungsdatum sortieren. Wenn index.php, wp-config.php, .htaccess oder Theme-Dateien um drei Uhr nachts vor zwei Wochen geändert wurden und Sie nicht gearbeitet haben, ist das eines der zuverlässigsten Signale.
Schauen Sie genau in wp-content/uploads. Dort sollten Bilder und Dokumente liegen. Jede .php-Datei dort ist fast sicher ein Problem. Wie man sie findet, steht in WordPress-Backdoor finden.
13. Sie kommen nicht rein oder werden rausgeworfen
Wenn das Passwort plötzlich nicht mehr gilt und Sie es nicht geändert haben, hat es vielleicht jemand anderes geändert. Zusammen mit anderen Signalen hat das Gewicht.
14. Updates, die „nicht halten", oder Dateien, die zurückkehren
Wenn Sie WordPress oder ein Plugin aktualisieren und später wieder die alte Version sehen, oder eine gelöschte Datei nach Stunden zurückkommt, gibt es Code, der sich selbst wiederherstellt. Deshalb kehrt die Infektion nach der Bereinigung zurück.
Signale auf Hosting- und Serverebene
Der Hoster sieht, was WordPress nicht zeigt. Das Control Panel ist oft der schnellste Ort für die Bestätigung.
15. Plötzlicher Sprung beim Ressourcenverbrauch
Wenn CPU, Prozesszahl oder Traffic ohne passenden Besuchsanstieg springen, nutzt jemand den Server für etwas anderes - meist ausgehende Mail, Angriffe auf andere Sites oder Mining.
16. Ausgehende Post, die Sie nicht geschickt haben
Prüfen Sie die Versandstatistik im cPanel. Tausende Nachrichten von einem ungenutzten Postfach sind eindeutig. Legitime Mail landet dann im Spam, weil die Domain auf Schwarze Listen kommt. Den Ablauf beschreibt Website sendet Spam-E-Mails.
17. Hinweis oder Sperre durch den Hoster
Das ist das direkteste Signal. Wenn Sie eine Abuse-Meldung bekommen haben oder der Account schon gesperrt ist, behandeln Sie es als bestätigten Vorfall. Die Reihenfolge in der ersten Stunde steht in Hoster sperrte Account wegen Missbrauch.
18. Zufällige Datei- und Ordnernamen im Site-Root
wp-conflg.php, class-wp-cache.php am falschen Ort, radio.php, PHP in wp-includes/fonts/. Angreifer benennen Dateien so, dass sie nach WordPress aussehen. Alles, was Sie im Root nicht erkennen, verdient einen Blick.
Signale, die von anderen Menschen kommen
Kunden und Kollegen merken das Problem oft zuerst und erwähnen es nebenbei. Wenn ein Käufer sagt, Antivirus habe Sie blockiert, wenn jemand Mail „von Ihnen" bekommt, die Sie nicht geschickt haben - notieren Sie es. Eine Meldung kann Zufall sein. Zwei in derselben Woche meist nicht.
Nehmen Sie einen Screenshot vom Kunden besonders ernst. Das ist Beweis außerhalb Ihres Geräts, Netzes und Logins.
Was kein Zeichen für einen Einbruch ist, aber oft verwechselt wird
Panik ist so teuer wie Nachlässigkeit, deshalb lohnt es sich zu wissen, was Sie nicht erschrecken sollte.
Abgelaufenes SSL-Zertifikat. Die Browserwarnung wirkt dramatisch, ist aber meist eine verpasste Verlängerung und in Minuten gelöst.
Anmeldeversuche in den Logs. Jede öffentliche WordPress-Site sieht automatisierte Versuche, oft hunderte am Tag. Das heißt, jemand versucht es, nicht dass er Erfolg hatte.
„Error establishing a database connection". In den meisten Fällen ein Server- oder Limitproblem, kein Angriff.
Weißer Bildschirm nach einem Plugin-Update. Klassischer Versionskonflikt. Wenn er direkt nach „Aktualisieren" kam, ist die Ursache fast sicher harmlos.
Traffic-Einbruch nach einem Google-Update. Das passiert saisonal und trifft ganze Nischen. Prüfen Sie, ob der Einbruch an einem bekannten Update-Tag begann.
Unerwünschte Kommentare. Kommentar-Spam ist lästig und normal. Es bedeutet nicht, dass jemand drin ist.
Wie Sie den Verdacht in etwa fünfzehn Minuten prüfen
Wenn zwei oder mehr Signale zusammenpassen, gibt diese Reihenfolge eine klare Antwort ohne Risiko für die Site. Das sind Prüfungen, keine Änderungen. Ziel ist, in fünfzehn Minuten zu wissen, ob die Anzeichen gehackte Website stark genug für eine Bereinigung sind, oder ob eine andere Erklärung passt.
Schritt 1: Sehen Sie die Site als Fremder
Privates Fenster, abmelden, WLAN am Handy aus, mobile Daten. Gehen Sie Startseite, eine Kategorie und einen Artikel durch. Notieren Sie Abweichungen.
Schritt 2: Prüfen Sie, was Google sieht
Suchen Sie site:ihredomain.de und blättern Sie die Ergebnisse. Öffnen Sie dann die Search Console und den Bereich Sicherheit und manuelle Maßnahmen. Steht dort ein Problem, ist die Diagnose fertig.
Schritt 3: Zählen Sie Administratoren
Benutzer, Alle Benutzer, Filter Administrator. Vergleichen Sie die Liste mit den Personen, die vollen Zugang brauchen. Löschen Sie noch nichts, nur notieren.
Schritt 4: Änderungsdaten der Dateien
Im File Manager den Root absteigend nach Datum sortieren. Dann dasselbe in wp-content/themes und wp-content/uploads. Suchen Sie PHP am falschen Ort und Änderungen in Zeiten, in denen Sie nicht gearbeitet haben.
Schritt 5: Ausgehende Mail und Ressourcen
Im Hosting-Panel Versandstatistik und Lastgraph der letzten dreißig Tage. Ein Sprung, der nicht zum Traffic passt, ist starker Beweis.
Schritt 6: Access-Logs überfliegen
Suchen Sie wiederholte Anfragen zu unbekannten Dateien, besonders POST zu einer PHP-Datei in uploads. Das ist die Signatur eines aktiven Backdoors.
Wenn nach diesen sechs Schritten kein Treffer da ist, ist die Infektionswahrscheinlichkeit klein. Bei mindestens zwei klaren Treffern behandeln Sie die Site als kompromittiert: das sind ausreichend Anzeichen gehackte Website, um der Reihe nach vorzugehen, nicht auf gut Glück.
Verdacht bestätigt: was als Nächstes und in welcher Reihenfolge
Die Reihenfolge ist wichtig, weil der falsche erste Schritt Beweise zerstört oder neuen Schaden macht. Zuerst eine volle Kopie von Dateien und Datenbank im vorgefundenen Zustand, auch infiziert. Dann Passwörter der Reihe nach: Hoster, FTP und SSH, Datenbank, WordPress-Administratoren, Mailkonten. Zwei-Faktor überall, wo es geht.
Erst dann beginnt die Bereinigung. Die Schrittfolge steht in Website gehackt, was zuerst tun, ein Praxisbeispiel ist der gehackte WooCommerce-Shop.
Was Sie nicht tun sollten
Löschen Sie Dateien nicht auf gut Glück vor einer Kopie. Spielen Sie kein altes Backup ohne Prüfung zurück. Installieren Sie nicht fünf Sicherheitsplugins in der Hoffnung, eines helfe. Und schreiben Sie dem Hoster nicht „alles erledigt", bevor es wirklich so ist.
Wie schnell Sie reagieren sollten
Bei den meisten Infektionen entsteht der Schaden nicht im Moment des Einbruchs, er sammelt sich. Die ersten Tage bedeuten meist nur Code. Nach einer Woche beginnt die Indexierung von Spam-Seiten. Nach zwei bis drei Wochen landet die Domain auf Mail-Blacklists. In diesem Fenster reagiert meist auch der Hoster.
Der Unterschied zwischen Reaktion in den ersten 24 Stunden und Reaktion nach einem Monat ist nicht vor allem der Preis der Bereinigung, sondern wie lange Ranking und Ruf brauchen. Wovon der Umfang abhängt, steht in Kosten der Bereinigung einer gehackten Website.
Wie Sie die Chance senken, dass es wieder passiert
Die meisten Einbrüche, die wir sehen, laufen über veraltete Plugins und Themes, besonders aufgegebene oder von illegalen Quellen. Regelmäßige Updates schließen den Großteil, das Entfernen ungenutzter Teile den Rest - jedes inaktive Plugin ist weiter Code auf dem Server.
Starke unterschiedliche Passwörter, Zwei-Faktor für Administratoren, wenige Personen mit vollem Zugang, ein Backup außerhalb des Servers, das Sie einmal wirklich zurückgespielt haben, und ein grundlegendes Monitoring helfen. Nichts davon ist teuer. Teuer ist nur das Szenario ohne all das.
Der erste Schritt, den Sie sofort tun können
Wenn Sie in diesem Text zwei oder mehr Signale auf Ihrer Site erkannt haben, starten Sie mit der kostenlosen Prüfung des öffentlichen Inhalts auf hakovansajt.com - sie dauert unter einer Minute und zeigt, ob bekannte Malware, Weiterleitungen oder eingeschleuste Links im öffentlichen Code sichtbar sind.
Wenn es eilig ist, der Hoster den Account schon gesperrt hat oder jede Stunde Ausfall Geld kostet, melden Sie sich unter 065 402 5000 (Viber und WhatsApp) oder helpdesk@hakovansajt.com. Wir arbeiten jeden Tag von 8 bis 21 Uhr.
