Kurz gesagt
Taucht in WordPress ein Administrator auf, den niemand angelegt hat, oder meldet Google einen neuen Inhaber Ihrer Website in der Search Console, ist die Seite sehr wahrscheinlich kompromittiert. Den Benutzer nur zu löschen reicht nicht: Der Angreifer hat meist einen zweiten Weg hinterlassen. Sichern Sie den Zustand, ändern Sie alle Zugänge und suchen Sie die Lücke.
Es gibt Warnzeichen, die man diskutieren kann. Ein Administrator, den niemand angelegt hat, gehört nicht dazu.
Typische Anzeichen
- Neuer Administrator in WordPress mit Namen wie „admin2“, „wpsupport“ oder einer E-Mail-Adresse, die niemand kennt.
- Mail von Google: „Neuer Inhaber für …“. Laut web.dev tragen sich Angreifer gern selbst in die Search Console ein, um Spamseiten schneller in den Index zu bringen.
- Ihr eigenes Konto hat plötzlich keine Administratorrechte mehr oder das Passwort funktioniert nicht.
- Die Admin-E-Mail-Adresse unter „Einstellungen“ › „Allgemein“ wurde geändert. Dann landen Passwort-Mails beim Angreifer.
In dieser Reihenfolge handeln
- Zustand sichern, bevor Sie etwas löschen. Wann der Benutzer angelegt wurde, ist wichtig für die Ursachensuche.
- Fremde Konten entfernen und deren Beiträge Ihrem Konto zuordnen, nicht mitlöschen, bevor Sie hineingeschaut haben.
- Search Console aufräumen: unter „Einstellungen“ › „Nutzer und Berechtigungen“ fremde Inhaber entfernen und die Bestätigungsmethode des Angreifers löschen (HTML-Datei im Webverzeichnis, Meta-Tag oder DNS-Eintrag). Sonst bestätigt er sich einfach neu.
- Alle Zugänge ändern: WordPress-Administratoren, Hosting, FTP/SFTP, Datenbank, E-Mail-Postfach der Admin-Adresse.
- Sitzungen beenden und die Sicherheitsschlüssel in der
wp-config.phpneu erzeugen. Damit sind alle angemeldeten Sitzungen ungültig. - Nach Hintertüren suchen. Wer Administrator war, konnte Plugins installieren und Dateien ablegen. Hinweise dazu unter Verdächtige Dateien in WordPress.
- Lücke schließen: veraltete Plugins, schwache Passwörter, fehlende Zwei-Faktor-Anmeldung.
Zwei-Faktor-Anmeldung für alle Administratoren ist die wirksamste Einzelmaßnahme gegen erbeutete Passwörter. Wie sicher Ihre Seite gerade aufgestellt ist, zeigt der Sicherheits-Check. Im Ernstfall: Notfall: Website gehackt.
Häufige Fragen
- Reicht es, den fremden Administrator zu löschen?
- Nein. Wer Administrator war, konnte Plugins installieren und Dateien ablegen. Meist gibt es eine Hintertür, über die der Angreifer zurückkommt.
- Wie verhindere ich das künftig?
- Zwei-Faktor-Anmeldung für alle Administratoren, lange, einzigartige Passwörter, regelmäßige Updates und nur so viele Administratoren wie nötig.