Website leitet auf andere Seite um: Ursache und Lösung

Der Anruf klingt meist gleich. Ein Kunde, ein Freund oder jemand, der Ihre Seite öffnen wollte, sagt den Satz, den Sie nie hören wollten: „Ich habe auf deine Seite geklickt, und es hat sich eine Wettseite geöffnet.“ Sie öffnen sofort Ihre Website zur Kontrolle, und alles wirkt vollkommen normal. Die Startseite lädt, das Menü funktioniert, das Kontaktformular steht an seinem Platz. Nichts Ungewöhnliches.

Kurz gesagt: wenn andere eine Weiterleitung sehen und Sie nicht, prüfen Sie wie ein Fremder (Inkognito/anderes Gerät), finden Sie den eingeschleusten Code, bereinigen Sie und beantragen Sie dann erst die Prüfung in der Search Console.

Wenn Ihnen jemand sagt, dass Ihre Website auf eine andere Seite umleitet, und Sie das nicht nachvollziehen können, sind Sie weder der Erste noch der Letzte. Das ist eines der häufigsten Szenarien, mit denen man sich an uns wendet, und es sorgt fast immer für dieselbe Verwirrung. In diesem Text erklären wir, warum die Weiterleitung nur manche Besucher trifft, wie Sie sie selbst auslösen, wo sie physisch in einer WordPress-Installation steckt und in welcher Reihenfolge Sie das Problem lösen.

Warum die Weiterleitung nicht erscheint, wenn Sie die Seite öffnen

Wenn die Website nur manche Besucher auf eine andere Seite umleitet, ist das kein Zufall.

Das ist das Erste, was man verstehen sollte, denn es erklärt fast alles Weitere. Wenn jemand bösartigen Weiterleitungscode einschleust, liegt ihm nichts daran, dass Sie ihn bemerken. Sie sind der Eigentümer. Sie werden jemanden anrufen, die Bereinigung bezahlen und das Einfallstor schließen. Deshalb ist der Code fast immer so geschrieben, dass er selektiv arbeitet.

Die häufigsten Prüfungen, die ein schädliches Skript vor der Entscheidung zur Weiterleitung durchführt, sehen so aus.

Woher der Besucher gekommen ist

Das Skript prüft, wie der Besucher auf die Seite gelangt ist. Tippt er die Adresse direkt in den Browser, passiert nichts. Kommt er über ein Google-Ergebnis, wird die Weiterleitung aktiv. Die Logik ist einfach: Ein Besucher aus der Suche ist ein Fremder, der vermutlich nicht weiß, wen er kontaktieren soll, während jemand, der Ihre Adresse direkt eingibt, oft der Eigentümer oder jemand Nahestehendes ist.

Mit welchem Gerät er kommt

Ein großer Teil solcher Infektionen zielt ausschließlich auf mobile Nutzer. Der Grund ist praktisch. Mobile Nutzer achten seltener auf Details, schauen seltener in die Adresszeile und haben es schwerer, einen Screenshot zu machen und weiterzuleiten. Sie prüfen Ihre Website fast sicher am Computer und sehen deshalb nichts.

Ob der Besucher angemeldet ist

Wenn Sie in der WordPress-Administration angemeldet sind, trägt der Browser ein Cookie, das das bestätigt. Schädlicher Code prüft dieses Cookie oft zuerst und tut bei Vorhandensein nichts. Als Administrator browsen Sie die Seite fast nie abgemeldet, deshalb erscheint die Weiterleitung für Sie nie.

Ob der Besucher schon einmal da war

Manche Skripte leiten jeden Besucher nur einmal um und schreiben danach ein Cookie, damit es sich nicht wiederholt. Die Folge: Die Person, die Ihnen das Problem meldet, kann es beim Vorführen nicht mehr auslösen. Das verwirrt beide, und nicht selten entsteht der Eindruck, das Problem sei von selbst verschwunden. Es ist nicht verschwunden. Es hat sich nur versteckt.

So lösen Sie die Weiterleitung selbst aus und sehen sie mit eigenen Augen

Ob die Website wirklich auf eine andere Seite umleitet, lässt sich in wenigen Minuten prüfen.

Bevor Sie an Dateien gehen, lohnt es sich, das Problem zu bestätigen. Hier die Reihenfolge, die in der Praxis am häufigsten funktioniert.

Öffnen Sie zuerst ein anonymes Browserfenster. In Chrome ist das der Inkognito-Modus, in Firefox ein privates Fenster. Damit sind Login-Cookies und früher gesetzte Cookies des Skripts weg.

Tippen Sie die Adresse dann nicht direkt ein. Öffnen Sie Google, suchen Sie den Namen Ihrer Website oder eine Phrase davon und klicken Sie auf das Ergebnis. So meldet der Browser, dass Sie aus der Suche kommen, und genau das ist die Bedingung, die die meisten dieser Skripte prüfen.

Passiert weiterhin nichts, wiederholen Sie denselben Ablauf am Telefon, wieder im anonymen Fenster und wieder über die Suche. Dieser Schritt zeigt sehr oft, was der Computer nicht zeigt.

Hilft auch das nicht, bitten Sie jemanden, der Ihre Website noch nie besucht hat, dasselbe zu versuchen. Sein Browser hat keine Historie zu Ihnen und kommt dem Zustand eines gewöhnlichen, zufälligen Besuchers am nächsten.

Sehen Sie bei einem dieser Versuche die Weiterleitung, machen Sie einen Screenshot oder ein kurzes Video. Dieser Nachweis hilft später bei der Bereinigung und im Gespräch mit dem Hoster.

Wo sich der schädliche Code meist versteckt

Der Code, der die Website auf eine andere Seite umleitet, sitzt meist im Theme, in der Datenbank oder in der htaccess-Datei.

Wenn bestätigt ist, dass die Website umleitet, lautet die nächste Frage: wo suchen? Einige Orte wiederholen sich von Fall zu Fall.

JavaScript im Theme

Der häufigste Fall. Code wird in eine Datei eingefügt, die auf jeder Seite lädt, meist header.php, footer.php oder die Haupt-JavaScript-Datei des aktiven Themes. Selten sieht das wie lesbarer Code aus. Öfter ist es eine lange, unverständliche Zeichenkette aus Buchstaben und Zahlen, die erst zur Laufzeit dekodiert wird. Öffnen Sie eine solche Datei und sehen eine Zeile über den ganzen Bildschirm ohne ein einziges erkennbares Wort, ist das fast sicher der Übeltäter.

Regeln in der .htaccess-Datei

Auf Apache-Servern kann die Datei .htaccess im Wurzelverzeichnis den Traffic umleiten, bevor WordPress überhaupt startet. Angreifer mögen diesen Ort, weil Regeln oft ganz am Ende stehen, hinter vielen Leerzeilen, sodass ein flüchtiger Blick sie leicht übersieht. Beachten Sie auch, dass .htaccess mit einem Punkt beginnt und in vielen Dateimanagern versteckt bleibt, bis Sie versteckte Dateien anzeigen.

Einträge in der Datenbank

Das ist der Ort, den die meisten übersehen, weil er in keiner Datei liegt. Code kann in der Tabelle wp_options stehen, in Feldern, die WordPress bei jeder Anfrage lädt. Er kann auch im Seiteninhalt, in Theme-Einstellungen oder in Meta-Feldern von Page-Buildern wie Elementor stecken. Reinigen Sie nur Dateien und schauen nicht in die Datenbank, kommt die Weiterleitung zurück, sobald die Seite neu geladen wird.

Eingeschleustes Plugin oder MU-Plugin

Es gibt den Ordner wp-content/mu-plugins, den WordPress automatisch vor allen anderen Plugins lädt und dessen Inhalt in der Standard-Plugin-Liste nicht auf dieselbe Weise erscheint. Viele Seitenbetreiber wissen nicht einmal, dass dieser Ordner existiert. Deshalb ist er ein beliebter Ort für Code, der unauffällig laufen soll.

Änderung auf DNS- oder Domain-Ebene

Das ist der seltenste Fall, aber erwähnenswert, weil er auch der ernsteste ist. Hat jemand Zugriff auf Ihr Konto beim Domain-Registrar, kann die Weiterleitung erfolgen, bevor die Anfrage Ihren Server überhaupt erreicht. Dann ändert die Bereinigung der Website nichts, weil die Website selbst unberührt blieb. Haben Sie alles andere geprüft und finden nichts, prüfen Sie, wohin Ihre Domain tatsächlich zeigt.

Wie der schädliche Code überhaupt dorthin kam

Damit die Website nicht erneut auf eine andere Seite umleitet, muss die Eintrittsstelle geschlossen werden.

Die Frage nach der Ursache, warum die Website umleitet, ist wichtiger, als sie wirkt. Entfernen Sie den Code, schließen aber den Eingang nicht, kehrt dasselbe Problem zurück, oft innerhalb einer oder zwei Wochen.

Die meisten Angriffe auf WordPress-Sites sind nicht gezielt. Automatisierte Skripte durchsuchen das Internet nach Seiten mit bekannten Schwachstellen. Finden sie eine, nutzen sie sie und ziehen weiter. Der Einstiegspunkt ist fast immer einer der folgenden.

• Veraltetes Plugin mit veröffentlichter Schwachstelle. Mit Abstand der häufigste Fall. Wird eine Lücke öffentlich, nutzen Angreifer sie innerhalb weniger Tage, während viele Sites monatelang ungepatcht bleiben.
• Theme aus inoffizieller Quelle. Raubkopien von Premium-Themes enthalten oft Code, den jemand absichtlich eingefügt hat, bevor er sie kostenlos geteilt hat.
• Schwaches oder wiederverwendetes Administrator-Passwort. Brute-Force-Angriffe auf die Anmeldeseite gelingen noch immer häufiger, als sie sollten.
• Kompromittierter Hosting- oder FTP-Zugang, meist über ein Passwort, das bei einem anderen Dienst geleakt wurde.
• Eine andere Website auf demselben Hosting-Konto. Betreiben Sie mehrere Sites in einem Paket, springt die Infektion oft von einer auf die anderen über.

Deshalb passiert es oft, dass die Website erst Wochen nach dem ersten Eindringen umleitet, wenn der Eigentümer Ursache und Wirkung nicht mehr verbindet.

Eine sinnvolle Reihenfolge bei der Problemlösung

Die natürliche Reaktion ist, sofort alles Verdächtige zu löschen. Das verschlimmert die Lage fast immer, weil die Spur zum Eintritt verloren geht und manchmal auch Teile einer funktionierenden Seite. Besser so vorgehen.

Zuerst eine Kopie erstellen

Vor jeder Änderung eine vollständige Kopie von Dateien und Datenbank anfertigen. Auch wenn die Website infiziert ist. Diese Kopie ist Ihr einziger Schutz, falls bei der Bereinigung etwas schiefgeht, und die einzige Datenquelle, falls Sie später rekonstruieren müssen, was passiert ist.

Dann den Umfang klären

Prüfen Sie, wie weit es wirklich reicht. Leitet die Website nur von der Startseite um oder von allen Seiten. Betrifft es alle Besucher oder nur einen Teil. Ist eine andere Site auf demselben Konto betroffen. Dieses Bild sagt, ob Sie eine eingeschleuste Codezeile suchen oder etwas, das tiefer eingedrungen ist.

Dann Code entfernen und den Eingang schließen

Das Entfernen des schädlichen Codes und das Schließen des Einfallstors gehören zusammen, im selben Schritt. Machen Sie nur Ersteres, haben Sie sich ein paar Tage erkauft. Den Eingang schließen heißt: alles Veraltete aktualisieren, ungenutzte Plugins und Themes entfernen und alle Passwörter ändern, die kompromittiert sein könnten.

Zum Schluss prüfen, was zurückgeblieben ist

Angreifer hinterlassen in der Regel einen Reserveeingang. Das kann ein zusätzliches Admin-Konto mit harmlosem Namen sein, eine Datei im Ordner wp-content/uploads, die dort nichts zu suchen hat, oder ein geplanter Auftrag, der den Code Tage später erneut einsetzt. Prüfen Sie das nicht, leitet die Website erneut um, und Sie haben keine Erklärung.

Fünf Fehler, die in Panik am häufigsten passieren

Wenn jemand meldet, dass Ihre Website leitet um und eine fremde Seite öffnet, ist die erste Reaktion selten die beste. Das verschlimmert die Lage in der Praxis meist.

Alles Verdächtige löschen

Löschen Sie Dateien, bevor Sie gesehen haben, was darin steht, verlieren Sie die einzige Spur, wie der Angreifer eingedrungen ist. Ohne das beheben Sie die Folge und warten auf die Wiederholung. Immer zuerst ansehen, dann entfernen.

WordPress über die bestehende Installation neu installieren

Klingt logisch, löst in den meisten Fällen aber nichts. Eine Neuinstallation ersetzt Core-Dateien, während schädlicher Code fast immer in Theme, Plugins, Uploads-Ordner oder Datenbank liegt. Genau die Orte, die eine Neuinstallation nicht anfasst.

Die Website aus einem alten Backup ohne Prüfung wiederherstellen

Das kann helfen, aber nur wenn Sie wissen, wann die Infektion begann. Stellen Sie eine Kopie von vor einer Woche wieder her und der Code wurde vor einem Monat eingeschleust, haben Sie eine infizierte Site zurück und zugleich alle Inhalte aus der Zwischenzeit verloren. Zuerst die Zeitlinie klären, dann über das Backup entscheiden.

Fünf Sicherheits-Plugins auf einmal installieren

Mehr Plugins für dieselbe Aufgabe bedeuten nicht mehr Schutz. Sie bedeuten eine langsamere Site, mögliche Konflikte und fünf Stellen, an denen Sie Einstellungen pflegen müssen. Außerdem entfernt kein Sicherheits-Plugin, das nach dem Einbruch installiert wird, Code, der schon da ist.

Warten, bis das Problem von selbst verschwindet

Es verschwindet nicht. Jeder Tag, an dem die Website umleitet, bedeutet mehr Besucher mit schlechtem Eindruck, eine höhere Chance, dass Google die Site markiert, und mehr Zeit für den Angreifer, weitere Reserveeingänge zu legen.

Was tun bei einer Google-Warnung, falls sie erscheint

Eine Website, die Besucher auf eine andere Seite umleitet, wird von Google früher oder später markiert.

Hat das Problem, bei dem Ihre Website umleitet, lange genug gedauert, besteht die Chance, dass Google es bemerkt und Ihre Site in den Suchergebnissen markiert hat. Wichtig: Diese Warnung verschwindet nach der Bereinigung nicht von selbst.

Der Ablauf: Die Site zuerst gründlich bereinigen, dann in der Google Search Console prüfen, welche Problemkategorie gemeldet wurde, und einen Antrag auf erneute Prüfung stellen. Google scannt die Site dann erneut, diesmal sorgfältiger. Findet es noch Reste des Problems, wird der Antrag abgelehnt und der Prozess beginnt von vorn. Deshalb lohnt es sich, vor dem Antrag gründlich zu sein statt schnell.

So verhindern Sie, dass es zurückkommt

Hatten Sie einmal den Fall, dass die Website leitet um, ist die Wahrscheinlichkeit eines erneuten Angriffs statistisch höher. Teilweise, weil sie bereits auf Listen automatisierter Skripte steht, teilweise, weil die ursprüngliche Ursache oft ungelöst bleibt.

Drei Dinge machen den größten Unterschied, und keines davon ist kompliziert.

Regelmäßige Updates von Core, Theme und allen Plugins schließen den Großteil der Einstiege, bevor jemand sie nutzen kann. Die meisten Angriffe zielen auf längst gepatchte Lücken, nur auf Sites, auf denen niemand den Patch angewendet hat.

Starke, einzigartige Passwörter für alle Admin-Konten, möglichst mit Zwei-Faktor-Anmeldung, entfernen den zweithäufigsten Einstieg.

Regelmäßige automatische Überwachung erkennt Änderungen, die niemand absichtlich gemacht hat. Das ist genau wegen allem oben Beschriebenen wichtig: Wenn schädlicher Code für den Eigentümer unsichtbar bleiben will, ist die einzig zuverlässige Verteidigung etwas, das statt Ihrer regelmäßig hinsieht, nicht wenn Sie zufällig daran denken.

Was Sie sofort und kostenlos tun können

Wenn Sie bis hierher gekommen sind und vermuten, dass Ihre Website umleitet, muss der erste Schritt nichts kosten. Sie können Ihre Website auf schädliche Weiterleitungen prüfen lassen: der Check durchsucht den öffentlich erreichbaren Inhalt nach bekannten Umleitungsmustern, versteckten Skripten und verdächtigen Elementen. Kein Konto, keine Installation, meist unter einer Minute.

Es lohnt sich, auch die Grenze klar zu sagen. Diese Prüfung sieht nur, was öffentlich über das Internet erreichbar ist. Steckt der Code in einer Datei auf dem Server oder in der Datenbank, findet sie ihn nicht. Ein sauberes Ergebnis ist ein gutes Zeichen, aber kein Beweis, dass alles in Ordnung ist. Dafür braucht es die Prüfung der Dateien und der Datenbank auf der Site selbst.

Zeigt die Analyse etwas Verdächtiges, oder haben Sie bereits ein bestätigtes Problem und wollen sich nicht selbst darum kümmern, können Sie die gehackte Website bereinigen lassen. Senden Sie die Adresse der Website und eine kurze Beschreibung, und wir sagen Ihnen, welcher nächste Schritt sinnvoll ist.