Einige Zeit nach dem ersten Fall dieser Serie meldet sich ein Onlineshop mit vielen Kundenkonten. Das Bild ist dasselbe: Besucher sehen eine falsche Prüfseite. Im Backend, also im Verwaltungsbereich von WordPress, finde ich einen fremden Administrator. Er wurde am selben Tag angelegt wie bei der ersten Website. Dazu kommen mehrere Benutzer ohne Rolle und mehrere Erweiterungen mit Fantasienamen. Dieser Beitrag ist Teil 2 meiner Serie Aus der Praxis: Gehackte Websites. Er zeigt, was hinter der sichtbaren Falle liegt und woran du solche Spuren selbst erkennst. Am Ende gibt es eine Checkliste zum Abhaken, auch als PDF.
Unbekannter Admin: WordPress-Hintertüren erkennen
Im ersten Fall ging es um das, was Besucher sehen. Hier geht es um das, was im Backend liegt. Ein unbekannter Admin in WordPress ist fast immer ein Zeichen für einen Hack. Ein Admin, kurz für Administrator, hat alle Rechte auf der Website. Er kann zum Beispiel Plugins installieren und Benutzer anlegen.
Solche fremden Konten gehören zu den Hintertüren. Eine Hintertür ist ein versteckter Zugang für den Angreifer. Damit kommt er wieder rein, auch wenn du dein Passwort änderst. Oft tarnt sich eine Hintertür als ganz normales Plugin mit harmlosem Namen. Plugins sind Erweiterungen, die WordPress neue Funktionen geben.
Was die Sicherheitsforschung dazu sagt
Hintertüren sind keine Ausnahme. Die Sicherheitsfirma Sucuri bereinigt gehackte Websites und wertet die Fälle aus. Im Bericht für 2023 steht: 49,21 % der gehackten Websites hatten beim Einbruch mindestens eine Hintertür. Das ist fast jede zweite.
Wie geschickt so eine Hintertür sein kann, zeigt ein Fund der Sicherheitsfirma Wordfence aus 2025. The Hacker News hat darüber berichtet. Ein falsches Plugin gab sich als Schutz gegen Schadsoftware aus. In Wahrheit gab es den Angreifern Administrator-Zugang. Es versuchte, sich in der Übersicht der Plugins zu verstecken. Und es hatte einen Helfer: Eine zweite Datei legte das Plugin beim nächsten Seitenaufruf wieder an, wenn jemand es gelöscht hatte.
Was die Zahlen sagen und was nicht
Die Zahl von Sucuri hat eine Grenze. Sucuri zählt nur Websites, die bei Sucuri zur Bereinigung gelandet sind. Das ist keine Zufallsauswahl aller Websites. Sie zeigt aber deutlich: Wer nach einem Hack nur das Sichtbare entfernt, übersieht oft den versteckten Zugang.
Und noch etwas muss ich klar einordnen. Gleiche Muster und das gleiche Anlagedatum bei zwei Websites wirken wie ein gezielter Angriff. Wahrscheinlicher ist das Gegenteil: eine automatisierte Angriffswelle. Programme suchen dabei viele Websites mit derselben Schwachstelle ab und bauen überall dieselben Hintertüren ein. Vermutlich waren die beiden Firmen nicht gezielt gemeint. Ihre Websites waren einfach erreichbar.
So erkennst du fremde Benutzer
Die Benutzerliste kannst du ohne Technikwissen prüfen. Öffne in WordPress den Punkt Benutzer und klick oben auf „Administrator“. Dann siehst du nur die Konten mit allen Rechten. Das Beispiel unten ist nachgebaut, alle Namen sind erfunden:
Achte auf diese Auffälligkeiten:
- Ein Name, der nach System klingt. Zum Beispiel etwas mit „update“ oder „wp“. WordPress selbst legt keine solchen Konten an.
- Eine E-Mail-Adresse, die niemand kennt. Frag im Team nach, wem die Adresse gehört.
- Konten ohne Rolle oder ohne E-Mail. Ein einzelnes kann ein Überbleibsel sein. Mehrere davon sind verdächtig.
So erkennst du Fake-Plugins
Auch die Plugin-Liste kannst du selbst durchgehen. Ein echtes Plugin hat einen Autor und eine Beschreibung. Fake-Plugins sehen anders aus. Auch dieses Beispiel ist nachgebaut, alle Namen sind erfunden:
Die wichtigste Frage ist einfach: Hat jemand im Team dieses Plugin installiert? Wenn niemand es kennt, lass es prüfen. Das gilt besonders für Plugins mit dem Autor „WordPress“ oder ganz ohne Autor.
Für deinen Webentwickler: Wo du genauer hinschaust
Ein Plugin kann sich in der Übersicht verstecken. Darum reicht der Blick ins Backend nicht. Vergleiche die Ordner auf dem Server mit der Liste in WordPress. Prüfe auch die Ordner für Must-Use-Plugins und die Datei wp-cron.php. Mit WP-CLI geht das so:
# Alle Administratoren mit Anlagedatum
wp user list --role=administrator --fields=ID,user_login,user_email,user_registered
# Benutzer ohne Rolle
wp user list --role=none --fields=ID,user_login,user_email,user_registered
# Plugins aus wordpress.org mit dem Original vergleichen, Kern ebenso
wp plugin verify-checksums --all
wp core verify-checksums
# Ordner auf dem Server, auch Must-Use-Plugins
ls -la wp-content/plugins wp-content/mu-pluginsGleiches Anlagedatum bei mehreren fremden Konten hilft, den Zeitpunkt des Einbruchs einzugrenzen. Das ist wichtig für die Wahl des Backups.
Warum der Hack nach dem Löschen zurückkommt
Viele Website-Besitzer machen den naheliegenden Schritt. Sie löschen den fremden Admin und das seltsame Plugin. Kurz darauf ist alles wieder da. Das liegt an den Hintertüren, die niemand gefunden hat.
Die richtige Reihenfolge ist darum: zuerst alle Hintertüren finden und die Lücke schließen, durch die der Angreifer kam. Erst dann aufräumen. Und am Tag danach noch einmal prüfen, ob etwas zurückgekommen ist.
Wenn Kundendaten im Spiel sind
Ein Onlineshop mit Kundenkonten ist ein besonderer Fall. In der Datenbank liegen zum Beispiel Adressen und Bestellungen. Ein fremder Administrator kann diese Daten grundsätzlich sehen. Dann kann eine Datenschutzpanne vorliegen, die du melden musst.
- Deutschland und Österreich: Nach Artikel 33 DSGVO meldest du unverzüglich und möglichst binnen 72 Stunden an die Datenschutzbehörde. Ausgenommen sind Fälle, die voraussichtlich kein Risiko für die Betroffenen bringen.
- Schweiz: Nach Artikel 24 DSG meldest du dem EDÖB „so rasch als möglich“. Das gilt bei voraussichtlich hohem Risiko für die Betroffenen.
Die Frist läuft ab dem Moment, in dem du vom Hack weißt. Notiere dir diesen Zeitpunkt. Ob du melden musst, ist eine Frage des Einzelfalls. Im Zweifel hol dir rechtlichen Rat, das hier ist keine Rechtsberatung. Die Meldepflichten erkläre ich ausführlich in einem eigenen Beitrag dieser Serie.
Ein Wort noch zu bestimmten Plugins. Datei-Manager und Backup-Plugins mit Download-Funktion sind praktisch. Bleiben sie dauerhaft aktiv, können sie aber selbst zum Risiko werden. Ein Beispiel dafür steht im Beitrag zur Sicherheitslücke in All-in-One WP Migration.
Was du selbst tun kannst und was nicht
Selbst prüfen kannst du viel. Die Benutzerliste und die Plugin-Liste schaust du ohne Technikwissen durch. Notiere dir alles, was dir seltsam vorkommt. Am besten mit Bildschirmfotos.
Selbst löschen solltest du dagegen nicht, solange die Seite live ist. Du weißt nicht, welche Datei das gelöschte Konto oder Plugin wieder anlegt. Im schlimmsten Fall verwischst du nur die Spuren und der Hack kommt zurück. Wenn du gerade betroffen bist, hilft dir die Soforthilfe-Checkliste in 10 Schritten. Wie du die Website danach absicherst, steht in den 12 Härtungsmaßnahmen für WordPress. Woran du einen Hack sonst noch erkennst, zeigt der Beitrag Website gehackt erkennen.
Checkliste: Benutzer und Plugins in WordPress prüfen
Hake ab, was du schon geprüft hast. Dein Stand bleibt in diesem Browser gespeichert.
- Du kennst jeden Administrator. Öffne Benutzer, klick auf „Administrator“. Gibt es Namen oder Mail-Adressen, die du nicht zuordnen kannst?
- Du hast Benutzer ohne Rolle oder ohne E-Mail notiert. Schau in der Benutzerliste auf die Spalten Rolle und E-Mail. Leere Felder notieren.
- Du hast jedes Plugin selbst installiert oder installieren lassen. Geh die Plugin-Liste Zeile für Zeile durch.
- Plugins ohne Beschreibung oder mit Autor „WordPress“ hast du gemeldet. Solche Einträge sind verdächtig. Lösch sie nicht selbst, sondern lass sie prüfen.
- Plugins, die du nicht brauchst, sind gelöscht. Deaktivieren reicht nicht. Ein gelöschtes Plugin kann keine Lücke mehr haben.
- Alle Administratoren melden sich mit Zwei-Faktor-Anmeldung an. Dabei braucht es zusätzlich zum Passwort einen Code vom Handy. Frag nach, ob das für alle eingerichtet ist.
- Dateien lassen sich im Backend nicht bearbeiten. Frag deinen Betreuer, ob die Datei-Bearbeitung in WordPress abgeschaltet ist.
Häufige Fragen
Kann ein Plugin unsichtbar sein?
Ja. Schadhafte Plugins können sich in der Übersicht im Backend verstecken. Wordfence hat 2025 genau so einen Fall beschrieben. Darum reicht ein Blick in die Plugin-Liste allein nicht. Wer sicher sein will, lässt auch die Ordner auf dem Server prüfen.
Warum kommt der Hack nach dem Löschen zurück?
Weil irgendwo noch eine Hintertür sitzt. Sie legt das gelöschte Konto oder Plugin wieder an. Im Fall von Wordfence passierte das beim nächsten Seitenaufruf. Erst wenn alle Hintertüren weg sind und die Lücke geschlossen ist, bleibt die Seite sauber.
Ist der Angriff gegen mich persönlich gerichtet?
Meist nicht. Gleiche Namen und gleiche Anlagedaten bei verschiedenen Websites sprechen für eine automatisierte Angriffswelle. Programme suchen Websites mit einer bekannten Schwachstelle. Nicht du wirst ausgesucht, sondern deine Lücke wird gefunden.
Reicht es, das Admin-Passwort zu ändern?
Nein. Ein neues Passwort sperrt nur den Weg über dein eigenes Konto. Ein fremder Administrator hat sein eigenes Passwort. Ein verstecktes Plugin braucht gar keines. Das Passwort zu ändern ist trotzdem richtig, aber erst nach der Bereinigung und zusammen mit allen anderen Zugängen.
Du hast einen Administrator oder ein Plugin gefunden, das niemand kennt? Ich schaue mir deine Website an. Über die WordPress-Soforthilfe bekommst du werktags in der Regel innerhalb von 2 Stunden eine Antwort. Für Shops ist die Prüfung des Bestellprozesses dabei. Damit Updates und Sicherheits-Scans laufend erledigt sind, gibt es die WordPress-Wartung. Weiter in der Serie geht es mit dem dritten Fall: einem Server, der heimlich Kryptowährung schürfte.
