WordPress leitet auf Spam um? So erkennen Sie den Hack.

Warum sehen Sie die Weiterleitung selbst nicht?

Der Schadcode wählt aus, wen er umleitet. Er prüft, woher ein Besucher kommt, welches Gerät er nutzt und ob er eingeloggt ist^{1 2 4}. Admins, Suchmaschinen und Sicherheitsscanner sehen oft die normale Seite^{3 5}. Sie rufen Ihre Seite meist direkt auf und lösen die Weiterleitung so nicht aus⁸.

Wen leitet der Schadcode um?

1. Besucher von Google oder anderen Suchmaschinen, direkte Aufrufe oft nicht^{1 8}.
2. Handy-Nutzer, während der Computer die normale Seite zeigt^{1 6}.
3. Nicht eingeloggte Besucher, angemeldete WordPress-Nutzer werden übersprungen^{4 5}.
4. Erstbesucher: Ein Cookie sorgt dafür, dass es nur einmal passiert^{4 7}.
5. Besucher aus bestimmten Regionen oder nur zu bestimmten Zeiten^{3 11}.

Wie prüfen Sie es sicher?

1. Am sichersten von außen: Google rät, befallene Seiten nicht im Browser zu öffnen².
2. Abmelden oder ein privates Fenster nutzen, denn eingeloggte Admins werden oft verschont^{4 5}.
3. Über Google kommen: nach Ihrer Firma suchen und Ihr Ergebnis anklicken^{1 8}.
4. Handy über Mobilfunk, WLAN aus: anderes Gerät, andere Internetadresse als im Büro^{1 3}.
5. Mehrmals mit Pausen probieren, manche Weiterleitungen greifen nur einmal oder zeitversetzt^{7 11}.
6. Nur schauen: Auf der fremden Seite nichts anklicken, eingeben oder herunterladen^{2 3}.

Wie häufig kommt das vor?

Sehr häufig. 2025 waren 21,7 % aller Funde auf gehackten Websites schädliche Weiterleitungen, über 200.000 Funde³. Nur allgemeine Schadsoftware und SEO-Spam kamen öfter vor³. Die Zahl gilt für alle Website-Systeme, nicht nur für WordPress³.

Wo steckt der Schadcode meist?

1. In Theme-Dateien wie functions.php oder footer.php^{4 14}.
2. In Plugins, auch unsichtbaren im Ordner mu-plugins, die die Plugin-Liste nicht zeigt^{5 11 13}.
3. In der .htaccess, einer Server-Datei mit Regeln für Weiterleitungen^{2 8 14}.
4. In der Datenbank, etwa in Einstellungen oder Beiträgen^{9 11}.
5. In eingeschleusten Skripten, die von fremden Servern kommen und sich jederzeit ändern lassen^{2 13}.

Was droht Ihren Besuchern?

Ihre Besucher landen auf Betrugsseiten. Dazu gehören falscher Technik-Support, Phishing³ und Fake-Gewinnspiele, die persönliche Daten abfragen¹⁰. Falsche „Ich bin kein Roboter“-Prüfungen bringen Besucher dazu, selbst Schadprogramme zu starten³. Laut BSI können so Daten ausgespäht oder Dateien verschlüsselt werden¹⁵.

Was passiert mit Ihrem Google-Ranking?

Ihre Seite kann abrutschen oder ganz aus der Suche verschwinden. Google zählt solche Weiterleitungen zu gehackten Inhalten, und die können niedriger ranken oder gar nicht erscheinen¹. Findet Google den Schadcode, warnt es in Suche und Browser². Wie Sie die Warnung loswerden, steht im Ratgeber Google-Warnung entfernen.

Was tun Sie jetzt sofort?

1. Notieren: Gerät, Weg zur Seite, Uhrzeit und Zieladresse, dazu ein Screenshot¹⁴.
2. Search Console öffnen: Der Bericht „Sicherheitsprobleme“ zeigt, ob Google etwas gefunden hat².
3. Eigenen Computer mit einem Virenscanner prüfen, bevor Sie Passwörter ändern^{14 15}.
4. Passwörter ändern: WordPress, Hosting und FTP, für alle Nutzer^{11 14}.
5. Hoster informieren: Auf geteilten Servern können auch andere Seiten betroffen sein¹⁴.
6. Die nächsten Schritte zeigt der Ratgeber WordPress gehackt – was tun?

Was sollten Sie nicht tun?

1. Nichts löschen oder ändern, bevor eine vollständige Sicherung samt Datenbank besteht^{11 14}.
2. Kein altes Backup ungeprüft einspielen, es kann den Schadcode schon enthalten¹².
3. Nicht mehrere Sicherheits-Plugins auf einmal installieren¹².
4. Nicht nur Dateien prüfen: Schadcode in der Datenbank übersehen Dateiscanner oft^{7 9 12}.
5. Keine „Prüfung“ bestätigen, die eine Tastenkombination verlangt, auch nicht zum Testen³.
6. Nicht abwarten: Je länger der Befall, desto größer das Risiko für Daten und Ranking¹².

Warum kommt die Weiterleitung wieder?

Weil die Ursache noch da ist. Manche Schadprogramme stellen sich nach dem Löschen selbst wieder her und verstecken einen eigenen Admin-Zugang¹³. Ihre Befehle kommen von fremden Servern und lassen sich jederzeit ändern¹³. Ohne geschlossene Lücke ist ein erneuter Befall häufig¹².