So wird WordPress gehackt

Shownotes

Stell dir vor: Es ist Montagmorgen, du trinkst deinen Kaffee und öffnest deine Website. Doch statt deiner professionellen Homepage siehst du eine verunstaltete Seite oder eine Warnung, dass deine Website gehackt wurde. Dein Magen zieht sich zusammen.

Das ist nicht nur ein technisches Problem – es könnte dein Geschäft ruinieren. Kunden könnten das Vertrauen verlieren, sensible Daten gestohlen werden. Für viele Kleinunternehmer ist das leider Realität.

Aber wie kommt es dazu? Und warum bist auch du ein Ziel?

Heute und in den nächsten Wochen nehmen wir das Thema WordPress-Sicherheit genauer unter die Lupe – heute mit Lena, einer Webdesignerin, die ihren schlimmsten Albtraum erlebt hat.

Links

Sucuri: Website Security Checker

WPScan: WordPress Security Scanner

HackerTarget: WordPress Security Scan

VirusTotal: Malware-Scanner

Transkript

Beschreibung Situation und Akteure

Heute geht es um Lena, eine talentierte Webdesignerin, die sich auf die Erstellung von WordPress-Websites für Kleinunternehmer spezialisiert hat. Einer ihrer Kunden ist Herr Müller, Besitzer eines Cafés in der Stadt. Herr Müller liebt es, Kuchen zu backen und mit seinen Gästen zu plaudern – aber alles Technische überlässt er Lena.

Seine Website ist schlicht, aber funktional: Speisekarte, Öffnungszeiten, ein Kontaktformular.

Alles läuft gut, bis Lena eines Tages einen panischen Anruf erhält: “Lena, die Website macht komische Sachen! Die Kunden sagen, sie landen auf komischen Seiten. Was ist da los?” Herr Müller klingt verzweifelt und Lena verspricht, sofort nachzusehen.

Angriff aus Sicht des Opfers

Lena loggt sich in das Dashboard von Herrn Müllers WordPress-Seite ein. Zuerst sieht alles normal aus, aber dann fallen ihr merkwürdige Details auf: Es gibt neue Admin-Accounts, die sie nicht angelegt hat und ein Plugin, das sie nicht kennt.

Sie greift per FTP (also direkt auf den Server zu, auf dem die Website liegt) auf die Daten zu und entdeckt verdächtige Dateien.

Ihr wird klar: Die Website wurde gehackt!

Sie schaltet die Website in den Wartungsmodus und ruft Herrn Müller zurück: “Ich habe Ihre Website offline genommen, um Schlimmeres zu verhindern. Jemand hat sich Zugang verschafft, aber ich werde herausfinden, wie. Herr Müller ist beunruhigt und versteht die Situation nicht. Er hat doch nur eine kleine Website und ein kleines Café. Wer sollte sich für ihn interessieren?

Die Wahrheit über Hackerangriffe

Wenn du als Betreiber einer kleinen Website bisher geglaubt hast, für Hacker uninteressant zu sein, habe ich schlechte Nachrichten für dich! Automatisierte Angriffe funktionieren massenhaft und vor allem zufällig.

Selbst wenn dein Unternehmen klein ist, kann beispielsweise eine unentdeckte Sicherheitslücke ausreichen, um deine Website in ein Botnet einzubinden und damit Angriffe auf andere Websites durchzuführen oder Malware an deine Besucher zu verteilen. Auch das Umleiten von Besuchern auf andere Websites ist sehr beliebt. Krypto-Mining, der Diebstahl von Benutzerdaten oder anderen sensiblen Informationen, das Einrichten von Hintertüren, die jederzeit wieder geöffnet werden können, oder das Versenden von Spam-Mails über deine Domain.

Hacker und Cyber-Betrüger sind äußerst einfallsreich und haben unzählige Verwendungsmöglichkeiten für deine Website. Das muss auch Lena feststellen.

Sie beginnt, die Spuren zu analysieren. Sie will nicht nur den Schaden beheben, sondern auch verstehen, wie das passieren konnte – um es in Zukunft zu verhindern.

WordPress ist beliebt bei Hackern

WordPress ist das weltweit meistgenutzte Content Management System – über 40 Prozent aller Websites werden damit betrieben – und damit ein besonders attraktives Ziel für Hacker.

Das macht auch Sinn, denn wenn ein Hacker eine Sicherheitslücke in einer WordPress-Seite findet, ist die Wahrscheinlichkeit groß, dass diese auch auf vielen anderen WordPress-Seiten existiert. Und das macht Angriffe so viel einfacher.

Und für Cyberkriminelle zählt nicht die Größe oder Bekanntheit einer Website, sondern vor allem, ob sie eine Schwachstelle aufweist.

Häufig werden automatisierte Tools eingesetzt, die rund um die Uhr hunderte oder gar tausende WordPress-Seiten scannen. Dabei werden veraltete Plugins, schwache Passwörter oder unsichere Einstellungen ausgenutzt.

Angriff aus Sicht des Hackers

Wechseln wir die Perspektive: Wie hat der Hacker das gemacht?

Wie bereits erwähnt, nutzen viele Cyberkriminelle automatisierte Angriffe, um WordPress-Websites zu kompromittieren – und kleine Unternehmen sind perfekte Ziele.

Schauen wir mal, wie das funktioniert:

Massenscans als Basis – das Internet wird systematisch durchleuchtet

Moderne Angreifer setzen spezialisierte Scan-Tools ein, die das Internet ständig nach verwundbaren WordPress-Seiten durchsuchen. Diese Programme sind so programmiert, dass sie bestimmte Merkmale und Schwachstellen automatisch erkennen – zum Beispiel veraltete Plugins, unsichere Themes oder voreingestellte Admin-Zugänge.

Man stelle sich vor, jemand geht durch eine riesige Wohnsiedlung und kontrolliert systematisch alle Türen und Fenster. Steht irgendwo ein Fenster offen oder sieht ein Schloss morsch aus, wird diese Information gespeichert – und später für einen gezielten Einbruch genutzt.

Sobald also eine Website als „angreifbar“ markiert ist, landet sie in einer Art internen Datenbank des Angreifers. Dieser Prozess läuft vollautomatisch ab – und betrifft Millionen von Websites weltweit. Durch die Automatisierung können Hacker ihre Angriffe skalieren und mit minimalem Aufwand hunderte oder tausende Webseiten gleichzeitig angreifen.

Botnets und verteilte Angriffe

Einmal gehackt, wird eine Webseite oft nicht nur für den ursprünglichen Angriff genutzt, sondern in ein Botnet integriert – ein Netzwerk kompromittierter Systeme, das Hacker für weitere Angriffe missbrauchen.

Ein Botnet funktioniert ähnlich wie eine Armee von Zombies, die von einem einzigen Befehlshaber gesteuert wird. Jedes infizierte Gerät oder jede gehackte Website ist ein „Zombie-Soldat“, der im Auftrag des Hackers bestimmte Aufgaben ausführt – oft ohne dass der eigentliche Website-Betreiber davon etwas mitbekommt.

Exploit-Frameworks – Vorgefertigte Werkzeuge für Hacker

Die traurige Wahrheit: Die meisten Hacker müssen nicht einmal selbst programmieren oder eigene Angriffsmethoden entwickeln. Stattdessen greifen sie auf Exploit Frameworks zurück – vorgefertigte Sammlungen von Schadcode, die automatisch nach Schwachstellen suchen und diese ausnutzen.

Man stelle sich einen Einbruchswerkzeugkasten vor, der für jeden Türtyp das passende Spezialwerkzeug enthält. Sobald eine Tür analysiert wurde, weiß der Angreifer genau, welches Werkzeug er benutzen muss – und kann die Tür in Sekundenschnelle öffnen.

Sobald ein Scan-Tool eine Sicherheitslücke in einer WordPress-Seite findet, wird das passende Exploit-Tool aktiviert und übernimmt die Kontrolle. Dieser Vorgang geschieht in Bruchteilen von Sekunden – oft völlig unbemerkt vom Webseitenbetreiber.

Exploit-Frameworks machen es auch weniger erfahrenen Hackern leicht, WordPress-Seiten gezielt anzugreifen.

Dadurch können Hacker nahezu in Echtzeit reagieren, wenn eine neue Sicherheitslücke im Umlauf ist. Und das ist auch der Grund, warum man mit Updates nie zu lange warten sollte!

Brute-Force-Angriffe – Tausende Passwörter pro Sekunde ausprobieren

Selbst wenn eine WordPress-Seite keine offensichtliche Schwachstelle aufweist, bedeutet dies nicht, dass sie sicher ist. Hacker verwenden oft Brute-Force-Angriffe, bei denen sie automatisch tausende Kombinationen von Benutzernamen und Passwörtern ausprobieren.

Man stelle sich vor, jemand probiert nacheinander tausende Schlüssel aus, bis einer ins Schloss passt. Moderne Programme können Millionen von Kombinationen pro Sekunde ausprobieren.

Schadcode bleibt oft monatelang unbemerkt

Häufig merken Website-Betreiber gar nicht, dass ihre Seite kompromittiert wurde. Hacker haben kein Interesse daran, sofort entdeckt zu werden – denn je länger sie unentdeckt bleiben, desto mehr Schaden können sie anrichten.

Warum sind kleine Websites so beliebt?

Aus der Sicht eines Hackers ist es strategisch sinnvoll, kleinere Websites zu hacken, da diese oft weniger überwacht werden. Im Gegensatz zu großen Unternehmen haben sie oft weniger Sicherheitsmaßnahmen, ihre Websites werden seltener überwacht. Und selbst wenn sie keine wertvollen Daten beherbergen, können sie als Sprungbrett für andere Angriffe dienen – zum Beispiel um Malware zu verteilen oder eine Phishing-Kampagne zu starten. Oder als Weiterleitung auf andere Webseiten.

Für den Hacker ist es ein leichtes Spiel: geringes Risiko, große Reichweite.

Herr Müllers gehackte Website

Aber zurück zu Herrn Müller. In seinem Fall entdeckte ein Bot eine Schwachstelle in einem veralteten Plugin, das Lena vor Monaten installiert hatte. Es war ein beliebtes Plugin, aber die Entwickler hatten es nicht mehr gepflegt und eine Sicherheitslücke war öffentlich bekannt geworden.

Der Bot nutzte diese Lücke, um bösartigen Code in die Website einzuschleusen: Ein Skript, das Besucher auf eine Website weiterleitete und dem Hacker ein paar Cent pro Klick einbrachte.

So etwas nennt man einen einfachen Umleitungsangriff. Zum Glück hat Lena schnell reagiert, sonst hätte der Schaden noch größer sein können.

Welche Folgen ein erfolgreicher Angriff haben kann?

Wenn deine Website Opfer eines automatisierten Angriffs wird, kann dies schwerwiegende Folgen haben:

• Datenverlust und -diebstahl
  Hacker können persönliche Informationen wie Namen, Email-Adressen, Telefonnummern und sogar Zahlungsinformationen stehlen. Auch interne Dokumente, Strategien und vertrauliche Daten können entwendet werden. Der Verlust sensibler Daten kann nicht nur rechtliche Konsequenzen haben, sondern auch das Vertrauen deiner Kunden nachhaltig zerstören.
• Website-Defacement
  Hacker verändern den Inhalt deiner Website, fügen unerwünschte Nachrichten oder Spam-Links ein oder ersetzen den gesamten Inhalt. Eine verunstaltete Website kann deine Marke in ein schlechtes Licht rücken und potenzielle Kunden abschrecken. Stell dir vor, jemand sprüht Graffiti auf die Tür deines Ladens und räumt seine Waren in dein Geschäft – so ähnlich fühlt es sich an, wenn jemand deine Website manipuliert und unkenntlich macht.
• Integration in Botnets
  Deine Website kann in ein Botnet integriert werden, das dann für DDoS-Attacken oder den Versand von Spam genutzt wird. Wenn dir als Website-Betreiber nachgewiesen wird, dass deine Website illegale Dinge tut und du dich nicht ausreichend abgesichert hast, kann das rechtliche Konsequenzen haben.
• SEO-Schaden und Vertrauensverlust
  Ein Hackerangriff auf deine Website kann dein Google-Ranking langfristig zerstören. Wenn Google deine Website erst einmal als gefährlich eingestuft hat, wird es schwierig, sie wieder nach oben zu bringen. Außerdem können deine Kunden das Vertrauen verlieren, wenn ihr Browser anzeigt, dass deine Seite potenziell gefährlich ist. Viele Kunden kehren nach einer solchen Meldung nie wieder zurück.
• Betriebsunterbrechungen
  Ein erfolgreicher Angriff kann deine Website für einige Zeit lahm legen, was zu Umsatzeinbußen führen kann. Außerdem musst du nach einem Hackerangriff oft viel Zeit und Geld investieren, um deine Website wiederherzustellen oder wiederherstellen zu lassen und zusätzliche Sicherheitsmaßnahmen zu implementieren. Betriebsunterbrechungen sind für jedes Unternehmen kostspielig – vor allem, wenn du auf deine Website angewiesen bist.

Ausgang der Geschichte

Lena handelt schnell. Sie stellt die Website aus einem Backup wieder her, das glücklicherweise aktuell ist. Sie aktualisiert WordPress, alle Plugins und das Theme auf die neuesten Versionen, entfernt das unsichere Plugin und ersetzt es durch eine vertrauenswürdige Alternative.

Außerdem installiert sie ein Sicherheits-Plugin mit Firewall und Malware-Scanner. Sie ändert alle Passwörter und erklärt Herrn Müller die Situation: “Die Seite ist jetzt sicherer als vorher. Aber wir müssen regelmäßig updaten und aufpassen, was wir installieren.

Herr Müller ist erleichtert. Er dachte, so etwas passiert nur großen Firmen.

Learnings

Okay, wie kannst du deine Website am besten schützen, damit dir das nicht passiert?

Hier sind die wichtigsten Maßnahmen, um das Risiko zu minimieren:

Regelmäßige Updates

Halte WordPress, Themes und Plugins auf dem neuesten Stand, um bekannte Sicherheitslücken zu schließen. Wie du gesehen hast, suchen Hacker gezielt nach diesen Lücken. Je schneller du also deine Updates durchführst, desto sicherer bist du. Mein Tipp: Schalte die automatischen Updates aus. Besser eine zerfetzte Seite als eine gehackte!

Starke Passwörter

Und schon wieder Passwörter… Erkennst du ein Muster? Dann verwende starke, einzigartige Passwörter – am besten in Kombination mit einem Passwortmanager.

Vertrauenswürdige Plugins und Themes

Installiere nur Plugins und Themes von seriösen Entwicklern, zum Beispiel aus dem WordPress-Repository. Achte darauf, dass sie regelmäßig aktualisiert werden. Wenn ein Plugin oder Theme nicht mehr gepflegt wird, suche dir eine Alternative.

Backups

Erstelle regelmäßig Backups, um im Notfall schnell wiederherstellen zu können. Speichere diese Backups nicht auf dem Server, auf dem deine Website liegt, und teste von Zeit zu Zeit, ob die Wiederherstellung funktioniert.

Sicherheitstools

Sicherheits-Plugins können Angriffe erkennen und abwehren, wenn sie richtig eingestellt sind. Aber auch sie können nicht alles abwehren. Am besten scannt man seine Website regelmäßig mit Malware- und Exploit-Scannern.

Fazit

Automatisierung ist für Hacker sehr effektiv. In der Regel suchen sie dich nicht gezielt aus, um dich anzugreifen – ihre Tools erledigen das automatisch.

Keine Website ist zu klein, um angegriffen zu werden. Hacker nutzen automatisierte Angriffe, um Schwachstellen gnadenlos auszunutzen – egal, ob du ein Café, einen Friseursalon oder einen Handwerksbetrieb betreibst.

Aber wie unsere Geschichte zeigt, kannst du dich wehren. Sicherheit ist keine einmalige Sache, sondern ein kontinuierlicher Prozess.

Was du jetzt tun kannst? Überprüfe noch heute deine Updates und lass einen Sicherheitsscanner über deine Seite laufen.

Die URLs zu den Scannern findest du auf der Website zu dieser Folge auf HackerFrei.de. Und in den nächsten Wochen werden wir uns einige Angriffe auf WordPress genauer ansehen.

Also denk dran: Wer keine Sicherheitsmaßnahmen ergreift, wird irgendwann gehackt. Denn: Automatisierte Angriffe sind wie Dauerregen, wer keinen Schirm dabei hat, wird irgendwann nass.

Abschluss

Damit sind wir am Ende unserer Geschichte angelangt. Ich hoffe, du hattest Spaß beim Zuhören und hast etwas für deine Sicherheit gelernt.

Ich wünsche dir einen schönen Tag und hoffe, wir sehen uns nächste Woche wieder.

Deine Frida <3

Hey, ich bin Frida, dein Podcast-Host bei den Hacker-Geschichten.

Wenn du Fragen oder Anregungen hast, schreibe mir gerne eine Nachricht!

Weiterhören

Weitere Folgen

Music

Creative Technology Showreel – Pumpupthemind

Street Rhytms – Pumpupthemind