WordPress-Phishing-Angriffe: Wie man sie erkennt und stoppt

WordPress-Websites sind häufiger Ziel von Phishing-Angriffen, als den meisten Website-Betreibern bewusst ist. Angreifer nutzen Ihre Domain, Ihre Marke und das Vertrauen Ihrer Nutzer, um Zugangsdaten, Zahlungsdetails und persönliche Daten zu stehlen.

Dieser Leitfaden behandelt alle Arten von Phishing-Angriffen auf WordPress-Websites, wie man sie erkennt, bevor sie Schaden anrichten, und wie man sie genau stoppt.

Arten von Phishing-Angriffen auf WordPress-Websites

Phishing-Angriffe auf WordPress-Websites folgen vorhersehbaren Mustern. Kennt man die verschiedenen Arten, lassen sie sich schneller identifizieren und die jeweiligen Sicherheitslücken, die sie ausnutzen, schließen.

• Angriffe mit gefälschten Anmeldeseiten: Angreifer erstellen überzeugende Kopien Ihrer WordPress-Anmeldeseite, um Administratorzugangsdaten von Website-Besitzern oder Benutzern zu erbeuten, die den Unterschied in der URL nicht bemerken.

• E-Mail-Identitätsdiebstahl: Betrügerische E-Mails, die im Namen Ihrer Marke versendet werden, leiten die Empfänger auf gefälschte Anmeldeseiten oder bösartige Formulare weiter, die darauf abzielen, Anmeldeinformationen oder Zahlungsdetails zu erfassen.

• Kompromittierte Website-Phishing: Angreifer, die sich Zugang zu Ihrer WordPress-Website verschaffen, schleusen versteckte Phishing-Seiten ein, die auf die Nutzer anderer Marken abzielen, und nutzen dabei die Glaubwürdigkeit Ihrer Domain und die Hosting-Ressourcen aus.

• Plugin- und Theme-Imitation: Gefälschte Benachrichtigungen über Plugin-Updates oder betrügerische Theme-Downloadseiten verleiten Administratoren dazu, Schadsoftware zu installieren, die als legitime Software-Updates getarnt ist.

• WooCommerce Payment Phishing: Gefälschte Checkout-Seiten oder Zahlungsbestätigungs-E-Mails sammeln Kreditkartendaten und persönliche Informationen von Besuchern des WooCommerce-Shops.

• Phishing beim Zurücksetzen von Passwörtern: Gefälschte E-Mails zum Zurücksetzen von Passwörtern, die legitimen WordPress-Benachrichtigungen täuschend ähnlich sehen, leiten Benutzer auf Seiten zum Sammeln von Anmeldeinformationen weiter, die darauf ausgelegt sind, neue Passwörter abzufangen.

• Phishing-E-Mails mit Admin-Benachrichtigungen: E-Mails, die sich als WordPress-Core, Hosting-Anbieter oder Sicherheits-Plugins ausgeben, benachrichtigen Administratoren über gefälschte kritische Probleme, die ein sofortiges Login über einen betrügerischen Link erfordern.

Wie erkennt man einen WordPress-Phishing-Angriff?

Das frühzeitige Erkennen von Phishing-Angriffen begrenzt den Schaden erheblich. Dies sind die Warnsignale, die darauf hinweisen, dass etwas nicht stimmt.

Ungewöhnliche Dateien oder Seiten auf Ihrem Server

Wenn Sie auf Ihrer Website Seiten entdecken, die Sie nicht selbst erstellt haben, insbesondere solche, die die Anmeldeseiten anderer Marken imitieren oder Formulare enthalten, die nach sensiblen Informationen fragen, ist Ihre Website kompromittiert und wird für Phishing-Angriffe missbraucht.

Führen Sie mit Wordfence oder Sucuri einen vollständigen Dateiscan durch und suchen Sie nach kürzlich erstellten oder geänderten Dateien, insbesondere in den Ordnern wp-content, wp-includes und Ihrem Theme. Angreifer verstecken Phishing-Seiten häufig in legitim aussehenden Verzeichnissen mit harmlosen Dateinamen.

Verdächtige E-Mails, die Ihre Domain verwenden

Wenn Kunden berichten, dass sie E-Mails von Ihrer Domain erhalten, die Sie nicht gesendet haben, oder wenn Ihr E-Mail-Anbieter ungewöhnliche Sendeaktivitäten meldet, könnten Angreifer Zugriff auf Ihre E-Mail-Zugangsdaten erlangt haben oder Ihre Domain fälschen, um Phishing-Nachrichten zu versenden.

Überprüfen Sie umgehend Ihre E-Mail-Versandprotokolle. Richten Sie DMARC-, DKIM- und SPF-Einträge für Ihre Domain ein, falls diese noch nicht konfiguriert sind. Diese E-Mail-Authentifizierungsstandards erschweren es Angreifern erheblich, überzeugende Phishing-E-Mails zu versenden, die scheinbar von Ihrer Domain stammen.

Google Safe Browsing-Warnungen

Wenn Google Ihre Website als gefährlich kennzeichnet oder Besucher vor dem Laden Ihrer Seite eine rote Warnseite sehen, hat Google Phishing-Inhalte auf Ihrer Domain entdeckt. Überprüfen Sie Ihr Google Search Console-Konto auf Sicherheitswarnungen und führen Sie den Transparenzbericht für sicheres Surfen von Google für Ihre URL durch.

Eine Warnung im Bereich „Sicheres Surfen“ bedeutet, dass Google Phishing-Seiten, Schadsoftware oder irreführende Inhalte auf Ihrer Domain gefunden hat. Dies erfordert eine sofortige Untersuchung, Bereinigung und einen Antrag auf erneute Prüfung, bevor Google die Warnung entfernt und den normalen Zugriff auf Ihre Website wiederherstellt.

Unerwartete Traffic-Spitzen auf unbekannten Seiten

Ein plötzlicher Anstieg des Datenverkehrs auf Seiten, die Sie in Ihren Google Analytics-Daten nicht wiedererkennen, ist ein starkes Indiz dafür, dass Angreifer Phishing-Seiten eingeschleust haben und den Datenverkehr über Phishing-E-Mails oder andere Kanäle dorthin lenken.

Prüfen Sie Ihren GA4-Echtzeitbericht und Ihren Search Console-Abdeckungsbericht auf unbekannte URLs. Jede Seite, die in Ihren Analytics-Daten erscheint und nicht von Ihnen erstellt wurde, muss umgehend untersucht werden.

So stoppen Sie WordPress-Phishing-Angriffe: Schritt für Schritt

Um Phishing-Angriffe zu stoppen, ist es erforderlich, sowohl zu verhindern, dass Ihre Website überhaupt erst kompromittiert wird, als auch sie gegen die spezifischen Vektoren abzusichern, die Angreifer verwenden, um Phishing-Inhalte einzuschleusen.

Schritt 1: Sichern Sie Ihren WordPress-Admin-Zugang

Angreifer schleusen Phishing-Inhalte am häufigsten über kompromittierte Administratorkonten in WordPress-Websites ein. Schützen Sie jedes Administratorkonto mit einem sicheren, individuellen Passwort und aktivieren Sie die Zwei-Faktor-Authentifizierung für alle Benutzer mit Administratorrechten.

Ändern Sie den Standard-Administratorbenutzernamen, falls noch nicht geschehen. Aktivieren Sie die Begrenzung der Anmeldeversuche, um Brute-Force-Angriffe zu verhindern. Erwägen Sie, den WP-Admin-Zugriff auf bestimmte IP-Adressen zu beschränken, wenn sich Ihr Team von regelmäßigen Standorten aus anmeldet. Jede Verbesserung der Administratorkontosicherheit reduziert direkt das Risiko einer erfolgreichen Kompromittierung, die das Einschleusen von Phishing-Inhalten ermöglicht.

Schritt 2: WordPress, Plugins und Themes aktuell halten

Veraltete Plugins und Themes sind der häufigste Einfallstor für Angreifer, die WordPress-Websites für Phishing-Angriffe kompromittieren wollen. Sicherheitslücken in gängigen Plugins werden regelmäßig entdeckt und schnell behoben, aber nur wenn Sie die Updates auch installieren, sind Sie wirklich geschützt.

Aktivieren Sie automatische Updates für WordPress-Core- und sicherheitsrelevante Plugins. Überprüfen Sie Ihre Plugin-Liste und entfernen Sie alle Plugins, die Sie nicht aktiv nutzen. Jedes inaktive Plugin mit einer ungepatchten Sicherheitslücke stellt ein Einfallstor für Angreifer dar, selbst wenn Sie die Funktionen des Plugins nicht verwenden.

Schritt 3: Installieren Sie ein WordPress-Sicherheits-Plugin mit Malware-Scanning

Ein Sicherheits-Plugin, das Ihre Dateien aktiv auf bekannte Malware-Signaturen und Phishing-Inhalte überprüft, ist einer der effektivsten Schutzmechanismen gegen Phishing-Angriffe von kompromittierten Websites. Wordfence und Sucuri scannen beide nach bekannten Phishing-Seitenvorlagen und kennzeichnen verdächtige Dateiänderungen.

Konfigurieren Sie Ihr Sicherheits-Plugin so, dass es täglich Scans durchführt und E-Mail-Benachrichtigungen versendet, sobald verdächtige Dateien erkannt werden. Aktivieren Sie die Echtzeit-Überwachung von Dateiänderungen, damit Sie sofort benachrichtigt werden, wenn neue Dateien erstellt oder bestehende Dateien unerwartet geändert werden. Die frühzeitige Erkennung eingeschleuster Phishing-Seiten begrenzt den Schaden, den sie vor der Bereinigung anrichten können, erheblich.

Schritt 4: E-Mail-Authentifizierungsdatensätze einrichten

Wenn Angreifer Ihre Domain fälschen, um Phishing-E-Mails im Namen Ihrer Marke zu versenden, sind E-Mail-Authentifizierungsdatensätze Ihr wichtigster Schutz. SPF-, DKIM- und DMARC-Einträge weisen empfangende E-Mail-Server an, dass E-Mails, die vorgeben, von Ihrer Domain zu stammen, nur dann vertrauenswürdig sind, wenn sie von Ihren autorisierten Absendern stammen.

Fügen Sie Ihrem DNS einen SPF-Eintrag hinzu, der alle Server auflistet, die berechtigt sind, in Ihrem Namen E-Mails zu versenden. Richten Sie die DKIM-Signatur über Ihren E-Mail-Anbieter ein, um ausgehende Nachrichten kryptografisch zu signieren. Konfigurieren Sie eine DMARC-Richtlinie, die empfangende Server anweist, E-Mails, die die SPF- oder DKIM-Prüfung nicht bestehen, abzulehnen oder unter Quarantäne zu stellen. Diese drei Einträge zusammen machen Ihre Domain deutlich schwerer an Phishing-Angriffen zu hindern.

Schritt 5: Aktivieren Sie eine Web Application Firewall

Eine Web Application Firewall (WAF) befindet sich zwischen Ihrer WordPress-Website und dem eingehenden Datenverkehr und blockiert bekannte Angriffsmuster, bevor diese Ihre Website erreichen. Sowohl Wordfence als auch Cloudflare bieten WAF-Lösungen mit Regeln an, die speziell zum Erkennen und Blockieren von Phishing-Angriffen entwickelt wurden.

Aktivieren Sie Ihre Web Application Firewall (WAF) und halten Sie deren Regelwerk aktuell. Konfigurieren Sie sie so, dass sie Datenverkehr aus bekannten schädlichen IP-Adressbereichen blockiert und Sie bei erkannten Angriffsmustern benachrichtigt. Eine WAF ersetzt keine anderen Sicherheitsmaßnahmen, sondern stellt eine wichtige zusätzliche Sicherheitsebene dar, die viele automatisierte Angriffe abfängt, bevor diese sich auf Ihrer Website festsetzen können.

Schritt 6: Überwachen Sie Ihre Website auf unautorisierte Änderungen

Aktive Überwachung erkennt Phishing-Angriffe schneller als jede reaktive Maßnahme. Konfigurieren Sie Ihr Sicherheits-Plugin so, dass es die Dateiintegrität überwacht und Sie sofort benachrichtigt, wenn Dateien unerwartet hinzugefügt, geändert oder gelöscht werden.

Richten Sie eine Verfügbarkeitsüberwachung ein, die nicht nur die Erreichbarkeit Ihrer Website prüft, sondern auch, ob einzelne Seiten die korrekten Inhalte liefern. Ein Überwachungsdienst, der unerwartete Änderungen an Seiteninhalten erkennt, kann Sie innerhalb von Minuten nach dem Einfügen von Phishing-Seiten warnen – anstatt erst Tage oder Wochen später, wenn Kundenbeschwerden auftreten.

Schritt 7: Content Security Policy-Header implementieren

Ein Content Security Policy (CSP)-Header teilt Browsern mit, welchen Inhaltsquellen Ihre Seiten vertrauen. Eine korrekt konfigurierte CSP verhindert, dass Angreifer externe Skripte einschleusen oder Ihre Nutzer auf schädliche externe Seiten umleiten, selbst wenn es ihnen gelingt, Code in Ihre Website einzuschleusen.

Fügen Sie Ihrer WordPress-Website CSP-Header über Ihr Sicherheits-Plugin oder die Serverkonfiguration hinzu. Beginnen Sie mit einer Richtlinie, die nur Berichte erstellt, um zu ermitteln, welche Inhalte Ihre Website aktuell lädt, und setzen Sie diese Richtlinie anschließend durch. Verschärfen Sie die Richtlinie schrittweise, um das Laden von Inhalten auf die wirklich notwendigen Quellen zu beschränken.

Wie kann man WooCommerce-Kunden vor Phishing schützen?

WooCommerce-Shops sind besonders attraktive Ziele für Phishing-Angriffe, da sie Zahlungsinformationen verarbeiten und Kundendaten speichern. Ihre Kunden benötigen daher einen speziellen Schutz, der über die Standard-Sicherheitsmaßnahmen von WordPress hinausgeht.

Verwenden Sie HTTPS auf jeder Seite

Jede Seite Ihres WooCommerce-Shops muss über HTTPS geladen werden. Ein gültiges SSL-Zertifikat ist das Mindestmaß an Vertrauen, das Kunden benötigen, um zu überprüfen, ob sie sich auf einer legitimen Website befinden. Eine HTTP-Seite oder eine Warnung vor gemischten Inhalten signalisiert sicherheitsbewussten Kunden, dass etwas nicht stimmt, bietet aber keinen Schutz vor dem Abfangen von Zugangsdaten.

Leiten Sie den gesamten HTTP-Traffic serverseitig auf HTTPS um und konfigurieren Sie die Adresseinstellungen von WordPress und WooCommerce entsprechend. Prüfen Sie, ob es Fehler beim Laden von Ressourcen über HTTP gibt, und beheben Sie diese. Eine vollständig HTTPS-geschützte Website mit einem gültigen Zertifikat erschwert es Angreifern erheblich, überzeugende Phishing-Kopien Ihrer Checkout-Seiten zu erstellen.

Fügen Sie Vertrauenssignale zu Checkout-Seiten hinzu

Sichtbare Vertrauenssignale auf Ihren Checkout-Seiten helfen Kunden zu überprüfen, ob sie sich auf Ihrer legitimen Website und nicht auf einer Phishing-Seite befinden. Zeigen Sie Ihr SSL-Zertifikat, anerkannte Sicherheitslogos für Zahlungen und eine eindeutige, einheitliche URL an, die Kunden mit Ihrer tatsächlichen Domain vergleichen können.

Versenden Sie Bestellbestätigungs-E-Mails mit überprüfbaren Details, die Kunden mit ihrer Bestellung abgleichen können. Kunden, die wissen, wie eine legitime Nachricht von Ihnen aussieht, können Phishing-E-Mails, die Ihre Marke imitieren, deutlich besser erkennen.

Kunden über Phishing-Versuche informieren

Sollten Sie feststellen, dass Angreifer Phishing-E-Mails im Namen Ihrer Marke versenden, benachrichtigen Sie Ihre Kunden umgehend. Eine klare und direkte Kommunikation, die erklärt, wie Phishing-E-Mails aussehen, was Sie Kunden niemals per E-Mail auffordern würden und wie verdächtige Nachrichten gemeldet werden können, verringert die Anzahl der Kunden, die Opfer werden.

Veröffentlichen Sie eine Warnung auf Ihrer Website, senden Sie eine E-Mail an Ihre Kundenliste und aktualisieren Sie Ihre Social-Media-Profile. Schnelligkeit ist entscheidend. Je früher Sie Kunden warnen, nachdem Sie eine Phishing-Kampagne entdeckt haben, die Ihre Marke missbraucht, desto weniger Opfer wird der Angriff fordern

Was tun, wenn Ihre WordPress-Website für Phishing missbraucht wurde?

Wenn Sie feststellen, dass Ihre Website kompromittiert und zum Hosten von Phishing-Inhalten missbraucht wurde, handeln Sie sofort. Jede Stunde, die die Phishing-Seiten online bleiben, schadet Ihrem Ruf und Ihren Nutzern.

Phishing-Inhalte sofort entfernen

Identifizieren und löschen Sie alle Phishing-Seiten und eingeschleusten Dateien von Ihrem Server. Nutzen Sie den Dateiscanner Ihres Sicherheits-Plugins, um alle verdächtigen Dateien zu erkennen und jede einzelne vor dem Löschen zu überprüfen. Sichern Sie Ihren aktuellen Zustand, bevor Sie Änderungen vornehmen, um im Falle von Ermittlungen einen Nachweis über die gefundenen Dateien zu haben.

Nachdem Sie die schädlichen Inhalte entfernt haben, überprüfen Sie jede Datei Ihrer WordPress-Installation auf Hintertüren. Angreifer, die Phishing-Inhalte einschleusen, installieren fast immer auch Hintertüren, um nach der Bereinigung die Kontrolle zu behalten. Wird eine Hintertür übersehen, kehren die Phishing-Inhalte innerhalb weniger Tage nach der Bereinigung zurück.

Antrag auf Entfernung aus Google Safe Browsing

Falls Google Ihre Website als problematisch eingestuft hat, stellen Sie nach Abschluss der Bereinigung einen Antrag auf erneute Prüfung über die Google Search Console. Erläutern Sie darin, was Sie gefunden, was Sie entfernt und welche Sicherheitsmaßnahmen Sie ergriffen haben, um ein erneutes Auftreten zu verhindern.

Google bearbeitet Anträge auf Überprüfung von Rezensionen manuell. Die Bearbeitungszeiten variieren zwischen wenigen Tagen und einigen Wochen. Überprüfen Sie in diesem Zeitraum täglich die Sicherheitswarnungen Ihrer Search Console und beheben Sie alle neuen Erkenntnisse umgehend. Eine gründliche, dokumentierte Bereinigung führt in der Regel zu einer schnelleren Wiederherstellung als eine oberflächliche Korrektur.

Betroffene Nutzer benachrichtigen

Wurden Nutzerdaten durch Phishing-Seiten auf Ihrer Website kompromittiert, sind Sie rechtlich und ethisch verpflichtet, die betroffenen Nutzer unverzüglich zu benachrichtigen. Abhängig von Ihrem Rechtsgebiet und der Art der betroffenen Daten können zudem gesetzliche Meldepflichten gemäß Verordnungen wie der DSGVO oder dem CCPA bestehen.

Kommunizieren Sie klar und deutlich, was passiert ist, auf welche Daten möglicherweise zugegriffen wurde, welche Maßnahmen Sie ergriffen haben, um die Situation zu beheben, und welche Schritte betroffene Nutzer zum Schutz ihrer Daten unternehmen sollten. Transparente und zeitnahe Kommunikation begrenzt das Haftungsrisiko und erhält das Kundenvertrauen besser als verzögerte oder unklare Benachrichtigungen.

Häufige Fehler bei der WordPress-Phishing-Prävention, die Sie vermeiden sollten

Durch diese Fehler werden WordPress-Websites und ihre Nutzer unnötigerweise Phishing-Angriffen ausgesetzt.

• Keine Zwei-Faktor-Authentifizierung: Administratorkonten ohne 2FA stellen den einfachsten Einfallstor für Angreifer dar, die Phishing-Inhalte einschleusen möchten. Aktivieren Sie die Zwei-Faktor-Authentifizierung daher ausnahmslos für alle Administratoren.

• Veraltete Plugins und Themes: Jede ungepatchte Sicherheitslücke in Ihrer Plugin-Liste stellt ein potenzielles Einfallstor für Phishing-Angriffe dar. Aktualisieren Sie daher regelmäßig alle Plugins und Themes und entfernen Sie nicht mehr benötigte.

• Fehlende E-Mail-Authentifizierungsdatensätze: Ohne SPF-, DKIM- und DMARC-Einträge kann Ihre Domain in Phishing-E-Mails, die auf Ihre Kunden abzielen, mit minimalem technischem Aufwand von Angreifern gefälscht werden.

• Keine Dateiintegritätsüberwachung: Ohne aktive Überwachung können in Ihre Website eingeschleuste Phishing-Seiten wochenlang unentdeckt bleiben, was Ihrem Ruf schadet und Ihre Nutzer beeinträchtigt.

• Sicherheitswarnungen ignorieren: Warnungen von Sicherheits-Plugins vor verdächtigen Dateiänderungen oder Anmeldeversuchen sind wichtige Frühwarnsignale. Werden diese ignoriert, verpasst man die Chance, einen Angriff zu stoppen, bevor Phishing-Inhalte veröffentlicht werden.

• Kein Kommunikationsplan für Kunden: Wenn eine Phishing-Kampagne Ihre Marke oder Ihre Nutzer ins Visier nimmt, kann eine verzögerte oder fehlende Kommunikation den Schaden deutlich verschlimmern, im Gegensatz zu einer prompten und transparenten Reaktion.

Die besten Tools zum Schutz von WordPress-Websites vor Phishing

Diese Tools decken alle Ebenen der Phishing-Prävention ab, von der Malware-Erkennung über die E-Mail-Authentifizierung bis hin zur Echtzeitüberwachung.

Werkzeug	Am besten geeignet für	Nutzen
Wordfence-Sicherheit	Malware-Scanning und WAF	Erkennt eingeschleuste Phishing-Dateien.
Sucuri Security	Geländereinigung und -überwachung	Erkennung und Entfernung von Phishing-Seiten.
Cloudflare WAF	Verkehrsfilterung	Blockiert bekannte Phishing-Angriffsmuster.
Google Search Console	Sicherheitswarnungen	Kennzeichnet Phishing-Inhalte auf Ihrer Domain.
MXToolbox	E-Mail-Authentifizierung einrichten	Überprüft SPF-, DKIM- und DMARC-Einträge.

Fazit: Schützen Sie Ihre Website, Ihre Marke und Ihre Nutzer vor Phishing

WordPress-Phishing-Angriffe schädigen nicht nur Ihre Website. Sie beeinträchtigen gleichzeitig das Vertrauen Ihrer Nutzer, Ihren Markenruf und Ihre Sichtbarkeit in Suchmaschinen.

Sichern Sie Ihre Administratorkonten. Halten Sie alles auf dem neuesten Stand. Installieren Sie ein Sicherheits-Plugin mit aktiver Scanfunktion. Richten Sie E-Mail-Authentifizierung ein. Überwachen Sie Ihre Website auf unautorisierte Änderungen. Und halten Sie einen Notfallplan bereit, bevor Sie ihn benötigen.

Die Websites, die sich am schnellsten von Phishing-Angriffen erholen, sind diejenigen, die vor einem Angriff die stärksten Präventionsmaßnahmen getroffen haben.

Häufig gestellte Fragen zu Phishing-Angriffen auf WordPress