Warum leitet meine WordPress-Website auf Spam-Seiten weiter?

Wenn Besucher Ihnen berichten, dass Ihre Website sie auf eine andere Seite schickt, etwa eine gefälschte Gewinnspielseite, eine Glücksspiel- oder Apothekenseite, eine Warnung „Ihr Gerät ist infiziert“ oder eine Seite, die sie auffordert, Benachrichtigungen zu erlauben, leitet Ihre WordPress-Website mit großer Wahrscheinlichkeit Traffic ohne Ihre Erlaubnis um.

Die Weiterleitung kann betreffen:

• jeden Besucher
• nur Besucher auf Mobiltelefonen
• nur Personen, die über Google oder soziale Netzwerke kommen
• nur Erstbesucher
• nur einige Seiten
• Besucher, die nicht bei WordPress angemeldet sind

Der letzte Punkt ist wichtig. Viele bösartige Weiterleitungen sind so gebaut, dass sie sich vor dem Website-Betreiber verstecken. Sie öffnen die Website, sehen, dass alles normal aussieht, und schließen daraus, dass sich der Kunde geirrt hat. Oft hat er das nicht.

Eine solche Weiterleitung ist meist ein Zeichen dafür, dass der Website etwas hinzugefügt wurde: ein Skript, eine Regel, ein Datenbankeintrag oder eine Datei. Das bedeutet nicht zwingend, dass Ihre Inhalte, Bestellungen oder Kundendaten verloren sind. Sie sollte aber als Sicherheitsvorfall behandelt werden, bis die Ursache gefunden ist.

Dieser Leitfaden erklärt, warum die Weiterleitung für Sie unsichtbar sein kann, wo sie sich meist versteckt, welche legitimen Ursachen Sie zuerst ausschließen sollten, was Sie gefahrlos prüfen können und wann es besser ist, technischen Support anzufragen.

Was bedeutet es, wenn WordPress auf Spam weiterleitet?

Eine Weiterleitung weist den Browser an, die angeforderte Seite zu verlassen und eine andere Adresse zu öffnen. Weiterleitungen sind normal, wenn eine Seite umzieht, eine Website auf HTTPS umgestellt wird oder sich eine Domain ändert.

Das Problem beginnt, wenn die Weiterleitung:

• Besucher auf eine Domain schickt, die Ihnen nicht gehört
• nicht von Ihnen oder Ihrem Team angelegt wurde
• nur unter bestimmten Bedingungen auftritt
• ihr Ziel im Laufe der Zeit ändert
• zurückkommt, nachdem Sie dachten, Sie hätten sie entfernt

In den meisten Fällen ist das der sichtbare Teil einer Kompromittierung. Jemand hat einen Weg gefunden, der Website Code hinzuzufügen, und nutzt Ihren Traffic, um Menschen auf Seiten zu schicken, die ihm Geld einbringen oder Besucher täuschen sollen.

Warum funktioniert es bei mir, aber nicht bei meinen Kunden?

Das ist die häufigste Quelle der Verwirrung.

Bösartige Weiterleitungen sind oft so geschrieben, dass sie nur bei bestimmten Besuchern aktiv werden. Diese Technik heißt Cloaking. Ziel ist, vom Website-Betreiber, vom Entwickler und manchmal von Sicherheitsscannern nicht bemerkt zu werden, damit die Weiterleitung länger aktiv bleibt.

Der Code prüft möglicherweise:

• ob der Besucher bei WordPress angemeldet ist
• ob der Besucher ein Telefon oder einen Computer nutzt
• ob der Besucher über eine Suchmaschine oder ein soziales Netzwerk kommt
• ob der Besucher schon einmal auf der Website war, oft anhand eines Cookies
• das Land oder die IP-Adresse des Besuchers
• die Tageszeit oder einen Zufallswert

Die Person, die die Website am ehesten testet, ein angemeldeter Administrator, der die Seite oft besucht und die Adresse direkt eintippt, ist also genau die Person, die die Weiterleitung am wenigsten wahrscheinlich sieht.

„Bei mir funktioniert es“ ist kein Beweis, dass die Website sauber ist.

Nehmen Sie Meldungen von Kunden ernst und fragen Sie nach Details: welches Gerät, welcher Browser, wie sie auf die Website gekommen sind und wo sie gelandet sind.

Schließen Sie zuerst legitime Ursachen aus

Nicht jede unerwartete Weiterleitung ist Malware. Bevor Sie vom Schlimmsten ausgehen, prüfen Sie, ob einer dieser Fälle zutrifft.

Ein Weiterleitungs-Plugin oder eine Regel wurde falsch konfiguriert

Viele Websites nutzen ein Plugin zur Verwaltung von Weiterleitungen, zum Beispiel nach einem Redesign. Eine Regel mit Tippfehler, ein Platzhalter, der zu viele Seiten erfasst, oder eine alte Regel, die auf eine inzwischen abgelaufene Domain zeigt, kann Besucher an unerwartete Orte schicken.

Eine abgelaufene Domain verdient besondere Beachtung: Zeigt eine Weiterleitung auf eine Domain, die niemand verlängert hat, hat sie womöglich jemand anderes registriert und mit Spam gefüllt.

Die Website-Adresse ist nach einer Migration falsch

WordPress speichert zwei Adressen: die WordPress Address und die Site Address. Wurde eine Migration oder ein Domainwechsel nicht korrekt abgeschlossen, schickt die Website Besucher womöglich weiterhin auf eine alte Domain, eine Staging-Adresse oder eine temporäre URL des Hostings.

Das betrifft in der Regel jeden Besucher, auch Sie, wodurch es sich leichter von einer bösartigen Weiterleitung unterscheiden lässt.

Ein Werbenetzwerk oder ein Drittanbieter-Skript

Zeigt Ihre Website Werbung an, kann eine Anzeige manchmal eine andere Seite öffnen oder Besucher weiterleiten. Eingebettete Widgets, Chat-Tools, Tracking-Skripte und anderer externer Code können dasselbe tun, wenn der dahinterstehende Dienst kompromittiert ist.

In diesem Fall können Ihre WordPress-Dateien völlig sauber sein, das Problem liegt aber trotzdem auf Ihren Seiten und muss behoben werden.

Eine Regel im CDN, beim Hosting oder im DNS

Weiterleitungen lassen sich auch außerhalb von WordPress einrichten: im Hosting-Panel, in einem CDN wie Cloudflare oder beim Domain-Registrar. Eine dort hinzugefügte Regel, versehentlich oder von jemandem mit Zugang zu diesem Konto, greift, bevor WordPress überhaupt beteiligt ist.

Erklärt keiner dieser Fälle, was Besucher beschreiben, behandeln Sie die Weiterleitung als bösartig.

Wo versteckt sich eine bösartige Weiterleitung meist?

Sie müssen den Code nicht selbst finden, aber es hilft zu wissen, dass eine Weiterleitung an mehreren Stellen stecken kann. Deshalb reicht es oft nicht, nur ein Teil zu entfernen.

Typische Orte sind:

• eingeschleustes JavaScript in Seiten, Beiträgen, Widgets oder Theme-Einstellungen, oft von einer externen Domain geladen
• Serverregeln in der Datei .htaccess, die Besucher je nach Gerät oder Herkunftsseite weiterleiten können
• Datenbankeinstellungen, etwa WordPress Address und Site Address, oder Optionen von Themes und Plugins, die Skripte speichern
• ein bösartiges Plugin, manchmal mit überzeugendem Namen, manchmal in der Plugin-Liste versteckt
• veränderte Theme-Dateien, etwa der Header oder die Datei functions.php
• veränderte WordPress-Core-Dateien oder zusätzliche Dateien, die dazwischen abgelegt wurden
• geplante Aufgaben, die die Weiterleitung nach dem Entfernen wieder einsetzen
• unbekannte Administratorkonten, über die der Angreifer zurückkehren kann

Ein einzelner Vorfall nutzt oft mehr als einen dieser Orte. Zum Beispiel kann ein Skript in der Datenbank die Weiterleitung ausführen, während eine versteckte Datei an anderer Stelle das Skript bei jedem Löschen wieder einsetzt.

Was kann jeder gefahrlos prüfen?

Diese Prüfungen erfordern keine technischen Kenntnisse und verändern nichts an der Website.

Versuchen, die Weiterleitung wie ein Besucher nachzustellen

Testen Sie unter Bedingungen, die denen eines echten Besuchers ähneln:

• melden Sie sich bei WordPress ab oder nutzen Sie ein privates oder Inkognito-Fenster
• nutzen Sie ein Mobiltelefon, idealerweise mit mobilen Daten statt mit dem WLAN Ihres Büros
• suchen Sie Ihr Unternehmen bei Google und klicken Sie auf Ihr eigenes Ergebnis, statt die Adresse einzutippen
• probieren Sie einige verschiedene Seiten aus, nicht nur die Startseite
• bitten Sie eine Kollegin, einen Kollegen oder einen Bekannten, es auf dem eigenen Gerät zu testen

Erscheint die Weiterleitung, interagieren Sie nicht mit der Zielseite. Erlauben Sie keine Benachrichtigungen, laden Sie nichts herunter und geben Sie keine Informationen ein. Schließen Sie den Tab und notieren Sie, wenn möglich, die angezeigte Adresse.

Halten Sie fest, was die Weiterleitung ausgelöst hat: Gerät, Browser, wie Sie auf die Seite gekommen sind und welche Seite es war.

Google Search Console prüfen

Wenn Ihre Website mit der Google Search Console verbunden ist, öffnen Sie:

Security & Manual Actions → Security Issues

(auf Deutsch „Sicherheit und manuelle Maßnahmen → Sicherheitsprobleme“)

Google meldet dort möglicherweise gehackte Inhalte, Malware oder irreführende Seiten, mit Beispiel-URLs. Das sind Stichproben, keine vollständige Liste.

Auch das Tool zur URL-Prüfung kann nützlich sein. Ein Test der Live-URL zeigt, wie Google die Seite abruft, was sich von dem unterscheiden kann, was Sie in Ihrem Browser sehen.

Wenn Sie keinen Zugang zur Search Console haben, fragen Sie die Person, die die Website oder das Marketing betreut.

Das WordPress-Dashboard auf offensichtliche Anzeichen prüfen

Wenn Sie sich anmelden können, achten Sie auf:

• Plugins, die Sie nicht kennen, unter Plugins → Installed Plugins (auf Deutsch „Plugins → Installierte Plugins“)
• Administratoren, die Sie nicht kennen, unter Users → All Users („Benutzer → Alle Benutzer“)
• kürzlich hinzugefügte Weiterleitungsregeln in einem Weiterleitungs-Plugin, das Sie nutzen
• die WordPress Address und die Site Address unter Settings → General („Einstellungen → Allgemein“)

Notieren Sie, was Sie finden, löschen Sie aber noch nichts. Unbekannte Benutzer und Plugins sind Beweismittel, und ihr Entfernen kann es erschweren zu verstehen, was passiert ist.

Was können Sie gefahrlos versuchen?

Das richtige Vorgehen hängt davon ab, was Sie gefunden haben und wie wichtig die Website für Ihr Unternehmen ist.

Option 1: eine legitime Weiterleitung korrigieren

Ist die Ursache eindeutig eine Weiterleitungsregel, die Sie oder Ihr Team angelegt haben, eine falsche Website-Adresse nach einer Migration oder eine Regel im CDN oder Hosting-Panel, kann eine Korrektur alles sein, was nötig ist.

Nehmen Sie eine Änderung vor und testen Sie dann erneut in einem privaten Fenster und auf einem Mobilgerät.

Wenn Sie nicht völlig sicher sind, dass die Weiterleitung legitim ist, hören Sie hier nicht auf: Behandeln Sie sie als bösartig, bis das Gegenteil bewiesen ist.

Option 2: Ihren Hosting-Anbieter kontaktieren

Ihr Hosting-Anbieter kann Ihnen möglicherweise sagen, ob:

• sein Scanner Dateien in Ihrem Konto markiert hat
• verdächtige Dateien in Quarantäne verschoben wurden
• andere Websites im selben Konto betroffen sind
• ein Backup von vor dem Problem existiert

Der Hosting-Support kann helfen, den Vorfall einzudämmen, bereinigt WordPress aber möglicherweise nicht vollständig und findet nicht unbedingt heraus, wie der Angreifer hineingekommen ist.

Option 3: den Schaden begrenzen, während die Ursache untersucht wird

Sind viele Besucher betroffen, ziehen Sie in Betracht, bezahlte Anzeigen und E-Mail-Kampagnen zu pausieren, die Traffic auf die Website lenken, und informieren Sie Ihr Team, damit es Kunden beruhigen kann. Das sind Vorsichtsmaßnahmen, keine Lösung.

Option 4: ein Backup in Betracht ziehen, mit Vorsicht

Die Wiederherstellung eines Backups von vor Beginn der Weiterleitung kann den bösartigen Code entfernen. Sie kann aber auch:

• dieselbe Schwachstelle zurückbringen, durch die der Angreifer hineingekommen ist
• Code enthalten, der bereits vorhanden, aber noch nicht aktiv war
• aktuelle Bestellungen, Formulareinträge oder Inhalte überschreiben
• Spuren dessen beseitigen, was passiert ist

Stellen Sie kein Backup wieder her, bevor Sie ungefähr wissen, wann das Problem begonnen hat und welche Daten verloren gingen. Nach jeder Wiederherstellung muss der ursprüngliche Einstiegspunkt trotzdem gefunden und geschlossen werden.

Was sollten Sie vermeiden?

Vermeiden Sie:

• anzunehmen, die Meldungen seien falsch, weil Sie die Weiterleitung nicht sehen
• sich zur Spam-Seite durchzuklicken, um „zu sehen, was das ist“
• Dateien oder Plugins wahllos zu löschen
• nur das eine gefundene Skript zu entfernen und dort aufzuhören
• mehrere Sicherheits-Plugins gleichzeitig zu installieren
• viele Einstellungen gleichzeitig zu ändern
• Logs, Screenshots von Einstellungen oder Zugangsdaten in öffentlichen Foren zu veröffentlichen
• Passwörter per normaler E-Mail zu senden

Ändern Sie jeweils nur eine Sache, dokumentieren Sie, was Sie getan haben, und testen Sie nach jedem Schritt.

Wenn Sie unsicher sind, ist Aufhören sicherer als Weitermachen. D4Hub kann an jedem Punkt übernehmen, auch nach einem Bereinigungsversuch, der nicht funktioniert hat.

Wann sollten Sie technischen Support hinzuziehen?

Technischer Support ist empfehlenswert, wenn:

• Sie keine legitime Erklärung für die Weiterleitung finden
• Kunden sie weiterhin melden, nachdem Sie Änderungen vorgenommen haben
• die Google Search Console ein Sicherheitsproblem meldet
• Sie unbekannte Administratoren, Plugins oder Dateien gefunden haben
• die Weiterleitung nach dem Entfernen zurückkommt
• die Website Zahlungen, Abonnements oder personenbezogene Daten verarbeitet
• sich mehrere Websites dasselbe Hosting-Konto teilen
• Sie kein sauberes, aktuelles Backup haben
• Sie sich bei der Arbeit mit Dateien oder der Datenbank nicht sicher fühlen

Sie müssen die Weiterleitung weder nachstellen noch den Code finden, bevor Sie um Hilfe bitten. Eine klare Beschreibung dessen, was Besucher erleben, genügt für den Anfang.

Welche Informationen sollten Sie sammeln?

Hilfreich sind:

• die URL der Website
• wohin Besucher geschickt werden, falls bekannt
• welche Geräte und Browser betroffen sind
• wie Besucher auf die Website gekommen sind, zum Beispiel über Google
• ob Sie es nachstellen konnten
• wann die erste Meldung einging
• eventuelle Benachrichtigungen der Search Console
• kürzliche Änderungen an Website, Hosting oder DNS
• ob WordPress zugänglich ist und ein aktuelles Backup existiert
• bereits unternommene Schritte

Senden Sie keine Passwörter, privaten Schlüssel oder vollständigen Zugangsdaten über ungesicherte Kanäle. D4Hub erklärt Ihnen, wie Sie Zugänge sicher teilen.

Wie D4Hub Sie unterstützen kann

Ziel ist nicht nur, die Weiterleitung heute zu stoppen, sondern sicherzustellen, dass sie nächste Woche nicht zurückkommt.

Je nach Situation unterstützt D4Hub Sie dabei:

• die Weiterleitung unter den Bedingungen nachzustellen, die Besucher beschreiben
• legitime Ursachen wie Weiterleitungsregeln, Migrationen, CDN-Einstellungen oder Werbung auszuschließen
• WordPress-Dateien, Datenbank, Benutzer und geplante Aufgaben zu prüfen
• Serverregeln zu prüfen, einschließlich der Datei .htaccess
• bösartige Plugins, Theme-Änderungen und eingeschleuste Skripte zu identifizieren
• die Weiterleitung und alles, was sie wieder einsetzt, zu entfernen
• den ursprünglichen Einstiegspunkt zu finden und zu schließen
• verwundbare Komponenten zu aktualisieren und Konten abzusichern
• Backups zu bewerten und eine Wiederherstellung ohne Verlust aktueller Daten zu planen
• sich mit Ihrem Hosting-Anbieter abzustimmen
• eine Sicherheitsüberprüfung durch Google zu begleiten, falls eine Warnung ausgegeben wurde

Sie können in jeder Phase Unterstützung anfragen: wenn der erste Kunde es meldet, nachdem Ihr Hosting-Anbieter die Website gescannt hat, oder nach einer Bereinigung, die nicht gehalten hat.

wp option get siteurl
wp option get home

define( 'WP_HOME', 'https://example.com' );
define( 'WP_SITEURL', 'https://example.com' );

# BEGIN WordPress
<IfModule mod_rewrite.c>
RewriteEngine On
RewriteBase /
RewriteRule ^index\.php$ - [L]
RewriteCond %{REQUEST_FILENAME} !-f
RewriteCond %{REQUEST_FILENAME} !-d
RewriteRule . /index.php [L]
</IfModule>
# END WordPress

curl -sI -A "Mozilla/5.0 (iPhone; CPU iPhone OS 17_0 like Mac OS X) AppleWebKit/605.1.15 (KHTML, like Gecko) Version/17.0 Mobile/15E148 Safari/604.1" -e "https://www.google.com/" https://example.com/

curl -s -A "Mozilla/5.0 (iPhone; CPU iPhone OS 17_0 like Mac OS X) AppleWebKit/605.1.15 (KHTML, like Gecko) Version/17.0 Mobile/15E148 Safari/604.1" -e "https://www.google.com/" https://example.com/ -o page.html

wp db search '<script' --all-tables

wp db search 'suspicious-domain.example' --all-tables

wp core verify-checksums
wp plugin verify-checksums --all

wp user list --role=administrator
wp cron event list

Häufig gestellte Fragen

Warum sehe ich die Weiterleitung nicht, wenn ich meine eigene Website besuche?

Bösartige Weiterleitungen überspringen oft angemeldete Administratoren, wiederkehrende Besucher oder Personen, die die Adresse direkt eintippen. Testen Sie in einem privaten Fenster, auf einem Mobilgerät mit mobilen Daten und indem Sie in den Google-Suchergebnissen auf Ihre Website klicken.

Ist meine Website gehackt, wenn sie auf Spam weiterleitet?

Haben Sie Weiterleitungs-Plugins, Migrationen, CDN-Regeln und Werbeskripte ausgeschlossen, ist eine Kompromittierung die wahrscheinlichste Erklärung. Sie sollte als Sicherheitsvorfall untersucht werden.

Ich habe das Skript entfernt, und die Weiterleitung ist zurückgekommen. Warum?

Etwas anderes auf der Website setzt sie wieder ein. Das ist häufig: Eine versteckte Datei, eine geplante Aufgabe, ein bösartiges Plugin oder ein unbekanntes Administratorkonto kann die Weiterleitung neu installieren. Die gesamte Website muss geprüft werden, nicht nur das sichtbare Skript.

Könnte Google meine Website als gefährlich markieren?

Ja. Weiterleitungen auf irreführende oder schädliche Seiten sind ein häufiger Grund für Sicherheitswarnungen von Google. Prüfen Sie die Search Console und beheben Sie die Ursache, bevor Sie eine Überprüfung beantragen.

Sollte ich die Website offline nehmen?

Nicht immer. Werden viele Besucher weitergeleitet und lässt sich die Ursache nicht schnell stoppen, kann ein Wartungsmodus den Schaden verringern, während die Website untersucht wird. Bei einem Shop oder einer Mitglieder-Website wägen Sie das gegen entgangene Bestellungen und fehlenden Zugang ab.

Kann D4Hub helfen, wenn ich die Weiterleitung nicht nachstellen kann?

Ja. Teilen Sie mit, was Kunden gemeldet haben, einschließlich der Geräte und wie sie auf die Website gekommen sind. D4Hub kann versuchen, die Weiterleitung unter diesen Bedingungen nachzustellen, und die Website auf den dahinterstehenden Code prüfen.