WordPress-Website gehackt? Das kann man jetzt tun

Die WordPress-Website wurde diese Tage gehackt? Das steckt dahinter und das kann man tun, damit die Website wieder sauber wird und Schadcode entfernt wird.

Aktuell (September 2026) wurden und werden sehr viele WordPress-Webseiten Ziel von Hackerangriffen. Bedingt durch den hohen Verbreitungsgrad besteht bei WordPress ja sowieso immer ein gewisses Restrisiko, von Hackern angegriffen zu werden, aktuell sorgt aber eine Sicherheitslücke im Plugin “UpdraftPlus” dazu, dass massenweise WordPress-Webseiten gehackt werden.

Das Plugin UpdraftPlus ist ein bekanntes und relativ häufig eingesetztes Plugin, mit dem man Backups einer WordPress-Website erstellen kann und diese auch leicht auf einen anderen Server migrieren kann. UpdraftPlus ist sehr beliebt und wird von sehr vielen Webseitenbetreibern eingesetzt.

Eine Sicherheitslücke in UpdraftCentral – dem zentralen Dashboard von UpdraftPlus, mit dem auch mehrere WordPress-Webseiten von einer Zentrale aus verwaltet bzw. upgedatet werden können – ist Ziel der Attacken.

Angreifer können dadurch von außen, ohne tatsächlich Zugriff auf das WordPress-Backend zu haben, Admin-Aktionen ausführen. Also beispielsweise neue Admin-Benutzer anlegen, Plugins installieren usw. In der Praxis zeigte sich, dass meist einer oder mehrere zusätzliche Admins angelegt wurden, ein Plugin “WP File Manager” installiert wurde und in verschiedenen Dateien am Webspace Schadcode eingeschleust wurde. Welche Dateien das waren, war von Website zu Website unterschiedlich.

Daraufhin wurde man beim Aufruf der Website im Frontend als Seitenbesucher entweder auf eine andere Url, z.B. einem Onlineshop weitergeleitet, manchmal passierte aber (noch) gar nichts.

Interessant war (und ist), dass sich die Aktionen, die eine infizierte Website tätigte, stark unterschieden. Manchmal passierte eben gar nichts, manchmal wurde auf eine andere Website weitergeleitet, manchmal nur für User aus bestimmten Regionen usw.

Die Ursache: Eine Sicherheitslücke in UpdraftCentral

Laut allgemeiner Meinung ist eine Sicherheitslücke in UpdraftCentral für die Angriffe verantwortlich. UpdraftCentral ist das Dashboard des Plugins UpdraftPlus, über das mehrere Webseiten verwaltet und aus einer Oberfläche heraus upgedatet werden können (was grundsätzlich ja sehr praktisch ist).

Nach dem, was wir bisher gesehen haben, sind wir aber gar nicht mehr so sicher, ob es wirklich nur UpdraftCentral betrifft. Den laut anderen Security-Blogs dürfte die Sicherheitslücke nur dann schlagend werden, wenn UpdraftCentral für eine Website aktiviert wurde. Wir selbst mussten aber einige Webseiten bereinigen, die gar nicht mit UpdraftCentral verbunden waren.

Ob die Sicherheitslücke in UpdraftPlus jetzt umfangreicher ausfällt, oder einfach nur ein anderer Hack hier mit reinspielt, können wir nicht sagen. Fakt ist aber: Es trifft auch andere Webseiten, die nicht mittels UpdraftCentral verbunden sind.

Und was auch noch wichtig ist zu erwähnen: Es betrifft auch WordPress-Webseiten, die regelmäßig upgedatet wurden und wo WordPress bzw. Plugins und Themes am aktuellen Stand sind. Also nur wer seine Website regelmäßig updatet, ist deshalb nicht automatisch gegen diesen Angriff gesichert.

Was kann man dagegen tun?

Glücklicherweise werden bei diesen Angriffen – soweit man das bisher beurteilen kann – keine Veränderungen in der Datenbank vorgenommen. Um eine gehackte Website zu bereinigen genügt es also, WordPress, Plugins und Themes neu einzuspielen, um dadurch jeglichen, evtl. in irgendwelchen Dateien eingebauten Schadcode zu eliminieren.

Der genaue Workflow der Bereinigung sieht so aus:

• Die installierte WordPress-Version manuell von WordPress.org downloaden und entpacken: https://de-at.wordpress.org/download/
• Die jeweiligen installierten Versionen aller Plugins und Themes manuell downloaden und entpacken
• Alle WordPress-Dateien, sowie die Dateien aller Plugins und Themes über FTP löschen
• Die heruntergeladenen WordPress-Dateien sowie die Dateien aller Plugins und Themes neu hochladen.
• Danach läuft die Website wieder wie vorher und ist wieder sauber.

Wichtig: Vor der Bereinigung unbedingt eine Sicherung der Website (aller Dateien) erstellen!

Nach dem Bereinigungsvorgang kann man noch einen Scan nach Schadcode z.B. mit dem Plugin Ninja Scanner (https://wordpress.org/plugins/ninjascanner/) drüberlaufen lassen. Alle Webseiten, die wir auf diese Art bereinigt waren, waren danach aber sauber und es wurde kein Schadcode mehr gefunden.

Genügt es, anstatt einer Bereinigung ein Backup der Seite einzuspielen?

Leider nein. Alle infizierten Webseiten wurden ab Anfang Juli bis jetzt infiziert, also Schadcode eingeschleust. Oft zeigte sich aber erst nach einigen Wochen, dass die Website gehackt worden war, weil erst dann die Weiterleitungen aktiv wurden oder erst dann zusätzliche Admins angelegt wurden.

Das bedeutet, dass in einem Backup, dass ein paar Wochen oder einen Monat alt ist, der Schadcode bereits vorhanden ist. Um Schadcode wirklich zu entfernen, müssen daher alle Dateien von WordPress, der Plugins und der Themes neu hochgeladen werden.

Du hast Fragen dazu oder benötigst Unterstützung bei der Bereinigung deiner gehackten WordPress-Website? Schreib uns gerne unter office@net4all.at eine Email!