Neulich haben wir eine WordPress-Seite übernommen, die auf den ersten Blick völlig unauffällig war. Nichts blinkte rot, kein Sicherheits-Plugin meckerte, die Startseite lud sauber. Und trotzdem hatte ein Angreifer seit Wochen volle Kontrolle über die Website. Dieser Fall zeigt exemplarisch, warum die gefährlichsten WordPress-Hacks genau die sind, die man nicht sieht.
In der Benutzerübersicht standen nur die erwarteten Konten – der Betreiber, sein Dienstleister, sonst nichts. In Wahrheit existierte ein zusätzliches Administrator-Konto mit vollen Rechten. Es tauchte nur nirgends auf: nicht in der Benutzerliste, nicht in der Suche, nicht in den Schnittstellen, mit denen andere Tools die Website auslesen. Für jeden, der von innen draufschaute, war dieser Angreifer schlicht unsichtbar.
Das ist der eigentlich beunruhigende Teil: Auf der Seite liefen später sogar bekannte Security-Plugins – und keines schlug an. Der Grund ist einfach und zugleich raffiniert: Der Schadcode war so gebaut, dass er sich selbst und sein verstecktes Konto aus allen Listen und Berichten aktiv herausfilterte. Ein Scanner kann nur melden, was er sieht. Und dieser Code sorgte dafür, dass es nichts zu sehen gab.
Der Trick steckte in einem harmlos aussehenden Zusatzmodul, das sich als „Performance-Optimierung“ tarnte. In Wirklichkeit hatte es mit Geschwindigkeit nichts zu tun. Seine einzige Aufgabe war, bei jedem einzelnen Seitenaufruf im Hintergrund zu prüfen: „Existiert mein geheimes Administrator-Konto noch?“ – und es bei Bedarf sofort neu anzulegen. Dazu versteckte es dieses Konto überall, wo ein Betreiber normalerweise nachsehen würde, und blockierte gleichzeitig jeden Versuch, es zu löschen oder zu bearbeiten.
Damit hatte der Angreifer einen dauerhaften Generalschlüssel zur Website – inklusive Zugriff auf Kundendaten, E-Mail-Versand und die Möglichkeit, jederzeit Spam, Weiterleitungen oder Schadsoftware nachzuladen.
Viele Betreiber denken bei „gehackt“ reflexartig: Passwort neu setzen, fertig. Bei dieser Art von Angriff ist das wirkungslos. Solange die versteckte Mechanik im Hintergrund läuft, legt sie den Angreifer-Zugang einfach immer wieder neu an – Minuten später ist alles beim Alten. Wer nicht die eigentliche Ursache findet und die Reihenfolge der Bereinigung kennt, putzt endlos gegen eine Hintertür an, die sich selbst repariert.
Wir haben die versteckte Mechanik identifiziert und gezielt entfernt, alle vom Angreifer angelegten Zugänge beseitigt, sämtliche aktiven Sitzungen und Zugangsdaten zurückgesetzt und die Seite anschließend so abgesichert, dass die offenen Türen zu sind. Wichtig war vor allem die richtige Reihenfolge – sonst hätte sich der Zugang, wie beschrieben, einfach neu erzeugt. Das Ergebnis: eine nachweislich saubere Website und ein Angreifer, der ausgesperrt bleibt.
Die unbequeme Wahrheit: Ein grünes Häkchen im Sicherheits-Plugin ist keine Garantie. Genau die Angriffe, die am meisten Schaden anrichten, sind darauf ausgelegt, unentdeckt zu bleiben. Wer wirklich wissen will, ob seine Seite kompromittiert ist, muss tiefer schauen als jeder automatische Scan.
Genau das ist unser Job. Wir prüfen WordPress-Websites von Grund auf – über die Oberfläche und die Standard-Scanner hinaus – und finden auch die versteckten Hintertüren. Und falls doch etwas gefunden wird, bringen wir die Seite sauber und dauerhaft abgesichert zurück. Diskret, schnell und ohne Fachchinesisch.
Lassen Sie Ihre WordPress-Seite jetzt professionell prüfen – bevor es jemand anderes tut.
