Es war ein Montagmorgen, als Thomas K. uns anrief. Sein Ton war ruhig, aber die Nachricht war es nicht: 'Unsere Website leitet alle Besucher automatisch auf irgendeinen italienischen Online-Shop weiter. Seit wann — keine Ahnung.'
Wir kennen diesen Anruf. Nicht weil wir ihn schon einmal gemacht haben, sondern weil wir ihn regelmäßig entgegennehmen. Und jedes Mal beginnt die Aufarbeitung mit der gleichen Diagnose: veraltete WordPress-Installation, mindestens ein Plugin seit Monaten nicht aktualisiert.
Was hinter einer Weiterleitung auf fremde Webshops steckt
Der Angriff hat einen Namen: SEO-Spam-Redirect oder auch 'Japanese SEO Spam' — obwohl die Shops nicht immer japanisch sind. Angreifer injizieren schadhaften Code in Ihre WordPress-Datenbank oder Ihre Theme-Dateien. Dieser Code erkennt Besucher, die über Google kommen, und leitet sie automatisch auf einen Webshop weiter, der gefälschte Markenprodukte, Pharmazeutika oder wie in diesem Fall Haushaltswaren verkauft.
Das Ziel der Angreifer ist nicht Ihr Unternehmen — Sie sind Mittel zum Zweck. Ihre Domain hat Autorität bei Google. Diese Autorität wird missbraucht, um dem fremden Shop SEO-Traffic zuzuspielen. Für den Betreiber Ihrer Website ist das schlimmer, als es klingt.
Der Schaden ist dreifach
Erstens: SEO-Schaden. Google erkennt die Weiterleitung früher oder später und markiert Ihre Seite als kompromittiert. Die organische Sichtbarkeit bricht innerhalb von Tagen ein. Wiederaufbau dauert Monate. Zweitens: Vertrauensschaden. Bestandskunden, die Ihre URL aufrufen und auf einem Webshop für Nahrungsergänzungsmittel landen, kommen nicht wieder. Drittens: DSGVO-Risiko. Durch den injizierten Code werden möglicherweise Nutzerdaten an Dritte weitergeleitet — Ihr Problem, nicht das des Angreifers.
Was war die Ursache?
In Thomass Fall: ein ungepatchtes Sicherheitsleck in einem WooCommerce-Zusatz-Plugin, das seit acht Monaten kein Update mehr erhalten hatte. Das Plugin war für den Shop verantwortlich, der seit zwei Jahren nicht mehr aktiv genutzt wurde. Aber es lief noch. Und es hatte eine bekannte Remote-Execution-Lücke, für die es seit sechs Monaten einen Patch gab.
Das ist keine Seltenheit. Laut Sucuri stammen über 90 % aller gehackten WordPress-Seiten aus Installationen mit ungepatchten Komponenten.
Sofortmaßnahmen nach einem Redirect-Hack
1. Passwörter aller Admin-Accounts sofort ändern. 2. WordPress-Core, alle Plugins und das Theme auf die aktuelle Version bringen. 3. Mit Sucuri SiteCheck oder Wordfence eine vollständige Malware-Analyse durchführen. 4. Datenbank auf injizierte base64-codierte Strings durchsuchen. 5. Google Search Console auf manuelle Maßnahmen und Sicherheitswarnungen prüfen. 6. Hosting-Provider informieren — viele bieten Restore-Snapshots.
Wie man es von vornherein verhindert
WordPress-Sicherheit ist kein Zustand, sondern ein Prozess. Ein monatlicher Wartungsvertrag mit definierten Update-Zyklen, Backup-Prüfung und Security-Scan kostet weniger als ein Tag Entwicklerarbeit nach einem Hack — von dem Reputationsschaden ganz zu schweigen. Wenn Sie nicht sicher sind, ob Ihre aktuelle WordPress-Betreuung diese Punkte abdeckt: Wir schauen es uns gerne an.
