Vor dem Entfernen dokumentieren
- Benutzername, ID, Rolle und E-Mail sichern
- Erstellungs- und Änderungszeitpunkte notieren
- aktive Sitzungen und Anwendungspasswörter erfassen
- zugehörige Protokolleinträge und Änderungen sichern
Anwendungspasswörter, in WordPress „Application Passwords“ genannt, sind widerrufbare Zugangsdaten für API-Integrationen. Sie funktionieren nicht wie ein normales Passwort für die Verwaltungsoberfläche, können aber bei einem kompromittierten Konto weiterhin automatisierten Zugriff ermöglichen.
Nicht isoliert betrachten
Ein gelöschtes Konto beendet nicht automatisch vorhandene Manipulationen in Dateien, Datenbank oder geplanten Aufgaben. Die Kontoprüfung ist deshalb nur ein Teil der Untersuchung.
Kontrollierter Entzug
Nach der Beweissicherung werden unberechtigte Konten, Sitzungen und Anwendungspasswörter widerrufen. Berechtigte Nutzer erhalten neue, einzigartige Passwörter; besonders privilegierte Konten werden mit Mehrfaktor-Authentifizierung geschützt. Anschließend wird geprüft, ob erneut Konten angelegt oder Rollen verändert werden.
Ist ein unbekannter Administrator immer ein Angreifer?
Nein. Agenturen, Hoster, Wartungsdienste oder frühere Mitarbeitende können legitime Konten angelegt haben. Unbekannt bedeutet zunächst, dass Eigentümer und Zweck nicht geklärt sind. Fragen Sie nach Verantwortlichem, Erstellungsanlass und benötigter Rolle, ohne das Konto für weitere Aktivitäten zu verwenden.
Verdächtig wird die Kombination mehrerer Merkmale: ungewöhnliche E-Mail-Domain, nicht nachvollziehbarer Erstellungszeitpunkt, Administratorrechte ohne Auftrag, kürzlich erzeugte Anwendungspasswörter oder Anmeldungen aus unbekannten Netzen. Auch ein legitimes Konto kann übernommen worden sein.
Welche Spuren gehören zur Kontoprüfung?
Prüfen Sie WordPress-Benutzertabelle und Benutzer-Metadaten, aber auch Prüf-, Webserver-, WAF- und Hostingprotokolle. Relevante Ereignisse sind Anmeldung, Zurücksetzen eines Passworts, Rollenänderung, Plugininstallation, Dateibearbeitung und API-Zugriffe. Anwendungspasswörter tragen einen Namen und Nutzungsinformationen, sofern WordPress sie erfassen konnte; diese Angaben sind Hinweise, keine vollständige Zugriffshistorie.
Vergleichen Sie Ereignisse mit dem zeitlichen Ablauf des Sicherheitsvorfalls. Wenn Protokolle fehlen, bleibt offen, wer das Konto angelegt oder genutzt hat.
Was passiert nach dem Widerruf?
Beenden Sie Sitzungen, widerrufen Sie Anwendungspasswörter und setzen Sie berechtigte Zugänge von einem vertrauenswürdigen Gerät neu. Prüfen Sie danach Dateien, Datenbank, geplante Aufgaben und externe Integrationen auf weitere Manipulationen. Überwachen Sie neue Benutzer und Rollenänderungen.
Für dauerhaft notwendige Dienstkonten gilt: eindeutiger Zweck, minimale Rechte, verantwortliche Person, Ablauf- oder Prüftermin und keine Wiederverwendung von Zugangsdaten. Die Checkliste zur WordPress-Absicherung ordnet diese Kontrollen in das Gesamtsystem ein.