Wer an einen Hackerangriff denkt, stellt sich oft eine verunstaltete Startseite vor. In der Praxis ist es meist umgekehrt: Wer eine Website übernimmt, will möglichst lange unentdeckt bleiben. Eingeschleuster Code verschickt Spam, leitet einen Teil der Besucher um oder wartet einfach auf seinen Einsatz. Die folgenden fünf Anzeichen sind ein guter Anlass, genauer hinzuschauen.
1. Besucher landen auf fremden Seiten
Ein Kunde erzählt dir, er sei beim Aufruf deiner Website auf einer dubiosen Gewinnspiel- oder Shopseite gelandet, du selbst kannst das aber nicht nachvollziehen? Das ist typisch. Viele Umleitungen greifen nur auf dem Handy, nur beim ersten Besuch oder nur, wenn jemand über Google kommt. Angemeldete Administratoren sind oft bewusst ausgenommen.
2. Seltsame Suchergebnisse oder Warnungen von Google
Gib in Google «site:» gefolgt von deiner Domain ein. Tauchen Seiten mit fremdsprachigen Titeln, Medikamenten oder Markenartikeln auf, die du nie erstellt hast, hat jemand Inhalte eingeschleust. Auch eine Warnung im Browser oder eine Nachricht in der Google Search Console ist ein deutliches Signal.
3. Unbekannte Benutzer oder Dateien
Prüf in WordPress die Liste der Benutzer: Gibt es Administratoren, die niemand kennt? Ebenso verdächtig sind PHP-Dateien im Upload-Ordner. Dort gehören Bilder und Dokumente hin, kein ausführbarer Code. Auf meinem Server ist die PHP-Ausführung in Upload-Ordnern deshalb grundsätzlich verboten.
4. Die Website wird langsam oder verschickt Spam
Wird deine Website ohne erkennbaren Grund träge, oder meldet sich dein Anbieter, weil von deinem Konto Spam versendet wird, arbeitet möglicherweise fremder Code im Hintergrund mit. Auf meinem Server sind ausgehende Verbindungen des Webservers gesperrt: Eingeschleuster Code kann so weder Daten abschicken noch Spam versenden.
5. Das Sicherheits-Plugin meldet nichts
Klingt beruhigend, ist es aber nicht immer. Gute Schadsoftware schaltet Sicherheits-Plugins ab oder versteckt sich vor ihnen. Darum prüfe ich jede Website zusätzlich von aussen, über den Server: jede Nacht den WordPress-Kern gegen die offiziellen Prüfsummen, alle Code-Dateien gegen ihren Fingerabdruck und alle externen Verweise im Vergleich zum Vortag. Wenn du eines der Anzeichen bemerkst: nichts überstürzt löschen, Zugänge ändern und eine Fachperson beiziehen, die die Ursache findet und nicht nur das Symptom entfernt.
