Ein Kunde rief an einem Montagmorgen an: In seiner Benutzer-Liste stand ein Administrator namens admin_wp2, angelegt am Samstag um 3:14 Uhr – da schläft normalerweise niemand am Rechner. Bis wir das Konto gesichtet hatten, hatte es schon zwei weitere Admins nachgezogen. Genau dieses Muster sehen wir bei gehackten WordPress-Seiten immer wieder: Der fremde Benutzer ist selten das Problem selbst, sondern das sichtbare Ende einer Kette, die tiefer reicht.

Wer ein solches Konto entdeckt, macht meist einen von zwei Fehlern: Entweder unterschätzt man es („wird schon ein Testzugang gewesen sein“) oder man löscht es hektisch weg und fühlt sich sicher. Beides geht nach hinten los. Der richtige Weg ist ein nüchterner Ablauf: verstehen, sauber entfernen, die Ursache schließen.

Warum taucht plötzlich ein fremder Admin auf?

Ein Angreifer braucht genau ein offenes Fenster, um sich ein eigenes Admin-Konto einzurichten. In der Praxis sind es fast immer diese drei Wege – und oft hängen sie zusammen:

Warum das wichtig ist: Wenn Sie nur den sichtbaren Benutzer entfernen, aber die Lücke oder die Webshell bleibt, sind Sie in ein paar Stunden wieder da, wo Sie angefangen haben. Deshalb gehört zu jedem fremden Admin die Frage: Wie ist er hereingekommen? Wer noch nicht sicher ist, ob die Seite überhaupt kompromittiert ist, arbeitet zuerst unseren WordPress-Sicherheits-Check durch.

Typische Signaturen: So sieht ein untergeschobener Admin aus

Angreifer-Konten tragen oft Namen und E-Mail-Adressen, die auf den ersten Blick technisch und harmlos wirken – genau das ist die Tarnung. Sie sollen aussehen wie ein System-Dienst oder ein bekannter Anbieter, damit niemand nachfragt. Diese Muster tauchen besonders häufig auf:

Verlassen Sie sich aber nicht nur auf den Namen. Wir haben genauso Konten gesehen, die schlicht john oder support hießen und trotzdem gefälscht waren. Aussagekräftiger als der Name sind drei andere Dinge: die Rolle (Administrator, wo keiner sein dürfte), das Registrierungsdatum (nachts, am Wochenende, oder ein Datum, an dem niemand gearbeitet hat) und die E-Mail-Domain, die zu keinem Teammitglied passt.

Alle Benutzer richtig prüfen

Bevor Sie löschen, verschaffen Sie sich einen vollständigen Überblick. Der Weg dazu führt im WordPress-Dashboard über Benutzer → Alle Benutzer. Oben steht, wie viele Konten pro Rolle existieren – ein guter erster Abgleich: Stimmt die Zahl der Administratoren mit dem überein, was Sie erwarten?

Gehen Sie die Liste dann bewusst durch und achten Sie auf:

• Rolle „Administrator“: Sortieren Sie nach Rolle. Jeder Admin, den Sie keinem echten Menschen zuordnen können, ist ab jetzt verdächtig.
• Registrierungsdatum: Blenden Sie die Spalte ein (oder prüfen Sie das Profil). Ein Admin, der Wochen nach dem letzten regulären Zugang entstand, gehört genauer angesehen.
• E-Mail-Adresse: Öffnen Sie das Profil und prüfen Sie, ob die Adresse zu einer Person gehört, die Sie erreichen können.
• Beitragszahl: Ein Administrator mit null Beiträgen, der trotzdem seit Wochen existiert, wurde oft nur angelegt, um Zugriff zu behalten.

Wichtig ist der Blick über das Dashboard hinaus. Manche Angreifer-Konten verstecken sich vor der normalen Benutzer-Liste, indem sie direkt in der Datenbank eingetragen werden. Wenn die Zahl der Admins oben nicht zur sichtbaren Liste passt, ist das ein starkes Zeichen – dann lohnt der Blick in die Tabelle wp_users per phpMyAdmin oder ein Abgleich durch einen Fachmann.

Fremde Admins sicher entfernen

Steht fest, welche Konten weg müssen, arbeiten Sie diese Schritte der Reihe nach ab. Die Reihenfolge ist kein Selbstzweck – sie verhindert, dass Sie Inhalte verlieren oder sich versehentlich selbst aussperren.

Erst wenn diese Schritte erledigt sind, ist das Kapitel geschlossen. Wie eine vollständige Bereinigung aussieht – von der Sicherung bis zum Neuaufbau – beschreibt unser Leitfaden WordPress gehackt: was tun Schritt für Schritt. In hartnäckigen Fällen ist der schnellste Weg oft ein sauberes Backup von vor dem Einbruch plus manuelle Nachkontrolle.

Vorsicht vor gefälschten „Sicherheits“-Plugins

Ein Trick, der uns immer öfter begegnet: Der Angreifer installiert selbst ein Plugin, das wie ein Schutzwerkzeug klingt – etwa „WP Security Helper“ oder „WordPress Core Updater“. In Wahrheit ist es die eigentliche Backdoor. Es taucht in der Plugin-Liste auf, hat aber keinen Eintrag im offiziellen WordPress-Verzeichnis, keinen nachvollziehbaren Autor und oft ein Installationsdatum, das mit dem des fremden Admins zusammenfällt.

Prüfen Sie deshalb bei der Bereinigung auch die Plugin- und Theme-Liste. Alles, was Sie nicht selbst installiert haben und im offiziellen Verzeichnis nicht findbar ist, kommt auf den Prüfstand. Löschen Sie im Zweifel – ein echtes, benötigtes Plugin lässt sich jederzeit sauber neu installieren, eine getarnte Hintertür nicht.

Fremde Admins dauerhaft aussperren

Ist die Seite sauber, geht es darum, die Tür zuzuhalten. Die folgenden Maßnahmen kosten zusammen keine Stunde und schließen die häufigsten Einfallstore. Bei dem eingangs erwähnten Kunden lief die Seite danach seit über einem Jahr ohne einen einzigen weiteren Vorfall.

Wer diese Punkte einmal sauber umsetzt und danach im Blick behält, macht sich für automatisierte Angriffe uninteressant. Eine ausführliche Anleitung mit allen Handgriffen finden Sie in unserer 12-Punkte-Checkliste zum WordPress-Absichern.

Und ganz praktisch: Legen Sie sich einen festen Termin, etwa einmal im Monat, an dem Sie die Benutzer-Liste durchsehen. Das dauert zwei Minuten und ist der billigste Frühwarnmelder, den es gibt. Ein fremder Admin, der nach drei Tagen auffällt, ist ein Ärgernis – einer, der ein halbes Jahr unbemerkt mitliest, ist ein echtes Problem.

Geschrieben von

Alexandra Buckard

Geschäftsführerin · Agentur Emilian

Alexandra und ihr Team betreuen zahlreiche WordPress-Seiten – von der laufenden Wartung bis zur Notfall-Bereinigung nach einem Hack. Sichere Zugänge und saubere Benutzerrechte gehören für sie zur Pflicht, nicht zur Kür.