Backdoor

Eine Backdoor (deutsch: Hintertür) ist ein vom Angreifer hinterlegter, versteckter Zugang zu einem System, der unabhängig von regulären Anmeldewegen funktioniert. Bei WordPress wird eine Backdoor meist als getarntes Plugin, manipulierte Theme-Datei oder unauffällige PHP-Datei eingerichtet. Die Folge: Selbst wenn alle Passwörter geändert und fremde Benutzerkonten gelöscht werden, behält der Angreifer die Kontrolle, solange der Schadcode auf dem System liegt.

Wie funktioniert eine Backdoor in WordPress?

Typische Mechanismen sind eigene versteckte Endpunkte (etwa über die REST-API oder admin-ajax), passwortgeschützte Webshells zur Fernsteuerung des Servers oder Code, der bei Aufruf ein neues Administrator-Konto anlegt. Moderne Backdoors tarnen sich zusätzlich: Sie blenden sich aus der Plugin-Übersicht aus, verstecken die von ihnen angelegten Admin-Konten aus der Benutzerliste und aktivieren sich nach einer Deaktivierung selbstständig wieder. Ein Blick in die WordPress-Verwaltung reicht deshalb nicht, um eine Backdoor zu erkennen.

Warum reicht eine Passwortänderung nicht?

Eine Backdoor funktioniert an regulären Logins vorbei. Wer nach einem Hack nur Passwörter ändert und sichtbare Schäden entfernt, lässt den versteckten Zugang unberührt. Zuverlässig wird ein System erst durch eine forensische Prüfung von Dateisystem, Datenbank und Server-Logs, in vielen Fällen kombiniert mit einem Neuaufbau aus einem verifiziert sauberen Stand und der Rotation aller Zugangsdaten und Sicherheitsschlüssel.

Wie eine Backdoor in der Praxis aussieht und gefunden wird, zeigt unsere Fallstudie: Anatomie eines WooCommerce-Hacks