Ich komme nicht in WordPress, das Passwort funktioniert nicht: wurde die Website gehackt?

Dieser Leitfaden behandelt wordpress nicht gehackt von der Bestätigung bis zur Bereinigung und Vorbeugung.

Sie öffnen die Anmeldeseite Ihrer WordPress-Website, geben Benutzernamen und Passwort ein, die Sie seit Jahren verwenden, und erhalten die Meldung, das Passwort sei falsch. Sie versuchen es noch einmal, sorgfältiger. Dasselbe. Sie klicken auf „Passwort vergessen?“, und die E-Mail kommt nie an. Oder es erscheint die Meldung, dass es keinen Benutzer mit diesem Namen gibt.

In diesem Moment denken die meisten Inhaber das Schlimmste: Jemand ist in die Website eingedrungen und hat sie ausgesperrt. Manchmal stimmt das. Ebenso oft steckt aber etwas Harmloses dahinter, etwa ein Sicherheits-Plugin, das Ihre IP-Adresse vorübergehend gesperrt hat, oder ein Browser-Cache, der eine alte Sitzung festhält.

In diesem Artikel erklären wir, wie Sie in wenigen Minuten einen Hack von einem gewöhnlichen technischen Fehler unterscheiden, wie Sie den Zugang sicher zurückholen und, falls die Website tatsächlich gehackt wurde, was Sie direkt nach dem Wiedereinstieg tun müssen, denn in diesem Fall löst das zurückgeholte Passwort allein nichts.

Zuerst: keine Panik und nichts überstürzen

Bei wordpress nicht gehackt zählt die richtige Reihenfolge mehr als Eile.

Bevor Sie etwas ändern, notieren Sie genau, was Sie sehen: die genaue Fehlermeldung, ob sich die Anmeldeseite überhaupt öffnet, ob die Website von außen normal aussieht und wann Sie sich zuletzt erfolgreich angemeldet haben. Diese Informationen helfen Ihnen und jedem, der Sie unterstützt.

Probieren Sie das Passwort nicht in Panik dutzende Male aus. Viele Sicherheits-Plugins sperren nach einigen Fehlversuchen die IP-Adresse vorübergehend, und das Problem wird größer als vorher.

Häufige Ursachen, die kein Hack sind

Ein Sicherheits-Plugin hat Sie gesperrt

Plugins wie Wordfence, Limit Login Attempts, iThemes/Solid Security und ähnliche sperren nach einer bestimmten Zahl von Fehlversuchen die Anmeldung von Ihrer IP-Adresse für eine Weile. Die Meldung erwähnt meist zu viele Versuche oder eine Sperre. Die Lösung: warten, bis die Sperre abläuft, von einem anderen Netz aus versuchen (zum Beispiel über mobile Daten) oder das Plugin vorübergehend deaktivieren, wie weiter unten beschrieben.

Die Adresse der Anmeldeseite wurde geändert

Manche Sicherheits-Plugins ändern die Standardadresse /wp-admin oder /wp-login.php in etwas anderes, zum Beispiel /mein-eingang. Hat das jemand anderes getan (eine Agentur, ein früherer Administrator) oder haben Sie es vergessen, liefert die Standardadresse einen 404-Fehler oder leitet auf die Startseite um. Prüfen Sie Ihre Notizen, E-Mails desjenigen, der die Website gebaut hat, oder die Plugin-Einstellungen über das Hosting.

Cache und Cookies

Der Browser hält manchmal eine alte oder beschädigte Sitzung fest. Versuchen Sie die Anmeldung in einem privaten Fenster oder einem anderen Browser. Funktioniert es dort, löschen Sie die Cookies dieser Website in Ihrem Hauptbrowser.

Ein Problem mit der Zwei-Faktor-Authentifizierung

Nutzen Sie Zwei-Faktor-Authentifizierung und haben das Handy gewechselt, die Authenticator-App gelöscht, oder geht die Uhr Ihres Handys falsch, funktionieren die Codes nicht. Die bei der Einrichtung erhaltenen Backup-Codes lösen das. Haben Sie sie nicht, lässt sich das 2FA-Plugin über das Hosting vorübergehend deaktivieren.

Ein Fehler in einem Plugin oder Theme

Nach einem automatischen Update verursacht ein Plugin manchmal einen Fehler: einen leeren weißen Bildschirm, eine endlose Weiterleitung zurück zur Anmeldeseite oder eine Meldung über einen kritischen Fehler. Dann liegt es nicht am Passwort, sondern die Website kann die Anmeldung nicht abschließen. WordPress schickt dem Administrator oft eine E-Mail über den kritischen Fehler, mit einem Link zum Wiederherstellungsmodus.

Eine falsche Website-Adresse in den Einstellungen

Hat jemand kürzlich die Domain geändert, von http auf https umgestellt oder die Website zu einem anderen Hoster umgezogen, kann die Website-Adresse in der Datenbank (die Optionen siteurl und home in der Tabelle wp_options) falsch sein. Die Folge ist eine Endlosschleife zur Anmeldeseite oder eine Weiterleitung auf die alte Adresse. Beide Werte sollten die genaue Adresse Ihrer Website mit dem richtigen Protokoll sein.

Die Reset-E-Mail kommt aus technischen Gründen nicht an

Viele Websites versenden E-Mails nicht zuverlässig, weil der Mailversand beim Hoster nicht richtig eingerichtet ist, sodass Nachrichten im Spam landen oder gar nicht versendet werden. Prüfen Sie den Spam-Ordner. Ist auch dort nichts, bedeutet das allein noch keinen Hack.

Anzeichen, dass die Website wirklich gehackt wurde

Die folgenden Anzeichen deuten darauf hin, dass das Problem nicht technisch ist, sondern jemand anderes die Kontrolle übernommen hat:

• Die Reset-E-Mail wird verschickt, aber nicht an Sie. Sind Sie sicher, dass die E-Mail nicht ankommt, auch nicht im Spam, während der Bildschirm meldet, sie sei gesendet, hat der Angreifer womöglich die E-Mail-Adresse Ihres Kontos geändert.
• Die Meldung, dass der Benutzer nicht existiert. Ihr Konto wurde gelöscht oder der Benutzername geändert.
• Sie kommen hinein, haben aber keine Administratorrechte. Ihre Rolle wurde geändert, zum Beispiel in „Abonnent“, sodass Sie weder Einstellungen noch Plugins oder Benutzer sehen.
• Die Website verhält sich von außen seltsam. Sie leitet Besucher um, zeigt unbekannte Inhalte, Google zeigt eine Warnung oder Spam-Ergebnisse.
• Eine Mitteilung des Hosters über Missbrauch, Spam-E-Mails oder schädliche Dateien.
• Eine Geldforderung. Selten, aber manchmal hinterlässt ein Angreifer eine Nachricht und verlangt Geld für die Rückgabe des Zugangs. Zahlen Sie nicht. Der Zugang lässt sich fast immer über das Hosting wiederherstellen, und eine Zahlung garantiert nichts.

Sehen Sie eines dieser Anzeichen, behandeln Sie die Lage als Hack. Die ersten Schritte beschreibt der Artikel Meine Website wurde gehackt: was zuerst tun.

Schnelldiagnose: was Sie sehen und was es wahrscheinlich bedeutet

Die Tabelle ersetzt keine richtige Prüfung, hilft aber, sofort in die richtige Richtung zu gehen. Die letzten drei Zeilen bedeuten fast immer, dass jemand anderes Zugriff hatte.

So holen Sie sich den Zugang sicher zurück

Nutzen Sie diese Prüfung erneut, wenn wordpress nicht gehackt nach einer Teilbereinigung zurückkehrt.

Unabhängig von der Ursache lässt sich der Zugang fast immer über das Hosting-Konto wiederherstellen, denn dort haben Sie direkten Zugriff auf Dateien und Datenbank. Kommen Sie auch ins Hosting nicht hinein, wenden Sie sich zuerst an den Support des Hosters, holen Sie sich diesen Zugang zurück und machen Sie dann weiter.

Weg 1: „Passwort vergessen?“

Ist die Ursache ein vergessenes Passwort und kommt die E-Mail an, ist das der einfachste Weg. Vergeben Sie ein neues, starkes Passwort, das Sie nirgendwo sonst verwenden.

Weg 2: Plugins über die Dateien deaktivieren

Vermuten Sie, dass ein Sicherheits-Plugin Sie sperrt oder ein Plugin einen Fehler verursacht, öffnen Sie über den Dateimanager des Hostings oder per FTP den Ordner wp-content/plugins und benennen Sie den Ordner dieses Plugins um, zum Beispiel von wordfence in wordfence-off. WordPress deaktiviert es dann automatisch. Wissen Sie nicht, welches Plugin das Problem ist, benennen Sie den ganzen Ordner plugins in plugins-off um, melden Sie sich an, stellen Sie den Ordnernamen wieder her und aktivieren Sie die Plugins einzeln.

Weg 3: Passwort über die Datenbank ändern (phpMyAdmin)

Öffnen Sie im Control Panel Ihres Hostings phpMyAdmin, wählen Sie die Datenbank der Website und die Tabelle wp_users (das Präfix wp_ kann bei Ihnen anders sein).

1. Suchen Sie Ihr Konto und prüfen Sie das Feld user_email. Steht dort nicht Ihre Adresse, ist das ein starkes Zeichen für einen Hack. Tragen Sie Ihre Adresse ein.
2. Wählen Sie im Feld user_pass die Funktion MD5 und geben Sie ein neues Passwort ein. WordPress akzeptiert dieses Format und wandelt es bei der ersten Anmeldung automatisch in ein sichereres um.
3. Speichern Sie und versuchen Sie die Anmeldung.

Existiert Ihr Konto gar nicht oder hat es keine Administratorrechte, prüfen Sie in der Tabelle wp_usermeta das Feld wp_capabilities Ihres Kontos. Für einen Administrator sollte der Wert a:1:{s:13:"administrator";b:1;} lauten. Änderungen an der Datenbank erfordern Sorgfalt, exportieren Sie daher die Datenbank vor jeder Änderung.

Weg 4: WP-CLI

Bietet Ihr Hoster SSH-Zugang und WP-CLI, ist das der schnellste und übersichtlichste Weg. Einige nützliche Befehle:

• wp user list --role=administrator zeigt alle Administratoren mit E-Mail-Adressen und Registrierungsdatum,
• wp user update BENUTZERNAME --user_pass="neues-starkes-passwort" setzt ein neues Passwort,
• wp user update BENUTZERNAME --user_email="sie@ihredomain.de" stellt Ihre E-Mail-Adresse wieder her,
• wp plugin deactivate plugin-name deaktiviert ein Plugin.

Schon der erste Befehl zeigt oft das Wichtigste: Administratoren, die Sie nicht kennen.

Weg 5: Der Support Ihres Hosters

Ist Ihnen all das fremd, kann der Support des Hosters das Passwort zurücksetzen oder ein Plugin für Sie deaktivieren. Sagen Sie auch, dass Sie einen Hack vermuten, denn der Support kann die Logs prüfen und sehen, woher die Anmeldungen kamen.

Wenn die Website gehackt wurde: was direkt nach dem Wiedereinstieg zu tun ist

Betreiber unterschätzen wordpress nicht gehackt oft, bis Search Console oder Kunden Alarm schlagen.

Wenn Sie den Zugang zu einer gehackten Website zurückhaben, ist die Arbeit nicht erledigt, sie beginnt erst. Ein Angreifer, der Ihr Passwort geändert hat, hat fast sicher noch andere Wege zurück.

1. Alle hinauswerfen

Ändern Sie die Sicherheitsschlüssel (Salts) in der wp-config.php. Neue Schlüssel können Sie über die offizielle WordPress-Adresse dafür erzeugen. Das Ändern der Schlüssel macht alle aktiven Anmeldungen ungültig, auch die des Angreifers.

2. Alle Benutzer prüfen

Öffnen Sie die Benutzerliste und sehen Sie sich jeden Administrator und Redakteur an. Entfernen Sie Konten, die Sie nicht kennen, notieren Sie aber vorher Namen, E-Mail-Adressen und Registrierungsdaten, denn sie helfen festzustellen, wann der Angriff begann. Warum Löschen allein nicht reicht, erklärt der Artikel Unbekanntes Admin-Konto in WordPress.

3. Alle anderen Passwörter ändern

Hosting, FTP/SFTP, Datenbank, das mit der Website verknüpfte E-Mail-Konto. Haben Sie dasselbe Passwort auch anderswo verwendet, ändern Sie es auch dort.

4. Die Backdoor finden

Ein Angreifer mit Administratorzugang konnte ein Plugin installieren, das Theme ändern oder Dateien hochladen. Prüfen Sie die Plugin-Liste, vergleichen Sie sie mit dem Inhalt von wp-content/plugins, prüfen Sie den Ordner uploads und ersetzen Sie Core, Themes und Plugins durch saubere Kopien. Wie man einen versteckten Zugang sucht, beschreibt der Artikel WordPress-Backdoor finden und entfernen.

5. Herausfinden, wie der Angreifer hineinkam

Die häufigsten Ursachen sind ein gestohlenes oder schwaches Passwort, dasselbe Passwort auf einer anderen Website, deren Daten geleakt wurden, ein verwundbares Plugin oder ein raubkopiertes Theme. Bleibt der Zugang offen, kommt dasselbe Problem zurück. Mehr dazu im Artikel Infektion kehrt nach Bereinigung zurück.

6. Die Website von außen prüfen

Starten Sie den kostenlosen Website-Check und sehen Sie sich site:ihreseite.de bei Google an, um festzustellen, ob der Angreifer bereits Spam oder Weiterleitungen eingeschleust hat.

7. Die Hosting-Logs ansehen

Die meisten Hosting-Pakete speichern Zugriffsprotokolle (Access Logs) der letzten Tage oder Wochen. Suchen Sie nach Anfragen an wp-login.php und xmlrpc.php. Viele Anfragen von unterschiedlichen Adressen bedeuten, dass die Website Ziel automatisierten Passwortratens war. Eine erfolgreiche Anmeldung von einer unbekannten IP-Adresse kurz bevor Sie den Zugang verloren haben, markiert meist den Zeitpunkt des Einbruchs. Wenn Sie Logs nicht lesen können, übernimmt das oft der Support des Hosters.

8. Auch das E-Mail-Konto prüfen

Hat der Angreifer die E-Mail-Adresse Ihres WordPress-Kontos geändert oder ging das Zurücksetzen des Passworts an ihn, prüfen Sie auch das E-Mail-Konto, das Sie für die Website nutzen. Ändern Sie dessen Passwort, aktivieren Sie die Zwei-Faktor-Authentifizierung und prüfen Sie die Weiterleitungsregeln. Ein gehacktes E-Mail-Konto erlaubt es dem Angreifer, das Website-Passwort jederzeit erneut zurückzusetzen.

Wie Angreifer an Passwörter kommen

Das zu verstehen hilft, die richtigen Schutzmaßnahmen zu wählen:

• Passwortraten. Automatisierte Tools probieren Tausende gängiger Passwörter auf der Anmeldeseite und über xmlrpc.php aus.
• Geleakte Passwörter anderer Websites. Haben Sie dasselbe Passwort auf einer Website genutzt, deren Daten gestohlen wurden, steht es auf Listen, die Angreifer bei allen anderen Websites ausprobieren.
• Programme zum Datendiebstahl. Ist der Computer, von dem aus Sie die Website verwalten, infiziert, können Passwörter und aktive Sitzungen direkt aus dem Browser gestohlen werden. Einen häufigen Infektionsweg beschreibt der Artikel Gefälschtes CAPTCHA auf der Website.
• Gefälschte E-Mails (Phishing), die wie eine Nachricht des Hosters oder von WordPress aussehen und zur Anmeldung auf einer gefälschten Seite auffordern.
• Ein verwundbares Plugin, über das ohne Passwort ein neuer Administrator angelegt werden kann.

So verhindern Sie eine Wiederholung

Die meisten Fälle, in denen jemand aus dem Backend ausgesperrt wurde, hätten sich mit einigen einfachen Maßnahmen verhindern lassen:

• Zwei-Faktor-Authentifizierung für alle Administratoren. Das ist mit Abstand die wirksamste Einzelmaßnahme, denn ein gestohlenes Passwort allein reicht dann nicht mehr.
• Ein eigenes Passwort für WordPress, das auf keiner anderen Website genutzt und in einem Passwortmanager gespeichert wird.
• Begrenzung der Anmeldeversuche, damit automatisiertes Passwortraten nicht gelingt.
• So wenige Administratoren wie möglich. Wer keine Einstellungen ändern muss, sollte eine niedrigere Rolle haben, etwa „Redakteur“ oder „Autor“.
• Eine korrekte und geschützte Administrator-E-Mail-Adresse, denn über sie wird der Zugang wiederhergestellt. Ist dieses E-Mail-Konto gehackt, ist auch die Website gefährdet.
• Eine Notiz der Zugangsdaten an einem sicheren Ort: Anmeldeadresse, Hosting-Konto, Backup-Codes für 2FA.
• Regelmäßige Updates von Core, Themes und Plugins.

Den vollständigen Leitfaden finden Sie im Artikel WordPress-Seite vor Hacking schützen.

Wann Sie einen Fachmann rufen sollten

Haben Sie den Zugang zurück und deutet alles auf eine technische Ursache hin (Plugin-Sperre, vergessenes Passwort), brauchen Sie wahrscheinlich keine Hilfe. Rufen Sie einen Fachmann, wenn:

• Sie unbekannte Administratoren oder eine geänderte E-Mail-Adresse gefunden haben,
• die Website Besucher umleitet oder Google eine Warnung zeigt,
• Ihr Hoster schädliche Dateien oder Spam gemeldet hat,
• Sie den Zugang zurückhatten und das Passwort einige Tage später erneut geändert wurde,
• Sie keine Änderungen an der Datenbank riskieren möchten.

Nächster Schritt

Wenn Sie nicht in WordPress kommen und vermuten, dass die Website gehackt wurde, starten Sie den kostenlosen Website-Check, um zu sehen, was aus dem Internet sichtbar ist. Brauchen Sie Hilfe beim Wiederherstellen des Zugangs und bei der Bereinigung, melden Sie sich oder rufen Sie +381 65 402 5000 an. Dringende Fälle bearbeiten wir während des Arbeitstages im Paket Emergency Response, ab 150 €.