Manche Besucher deiner Website sehen plötzlich ein Fenster, das aussieht wie eine Cloudflare-„Human Verification“ – allerdings mit einer ungewöhnlichen Aufforderung: Sie sollen die Tastenkombination Windows-Taste + R drücken, dann Strg+V (Einfügen) und anschließend Enter. Das ist keine echte Cloudflare-Abfrage, sondern ein bekanntes Angriffsmuster namens „ClickFix“: Besucher werden dazu verleitet, über die Zwischenablage bereits vorbereiteten Schadcode selbst auf ihrem eigenen Rechner auszuführen. Für deine Website bedeutet das in aller Regel, dass deine WordPress-Installation kompromittiert wurde und schädlicher Code eingeschleust wurde, der genau diese Fake-Verifizierung an ausgewählte Besucher ausliefert.
Diese Anleitung zeigt dir, wie du in so einem Fall vorgehst – von der Sofortmaßnahme bis zur nachhaltigen Absicherung.
Voraussetzungen
- Zugang zu deinem HostPress-Kundencenter
- Admin-Zugang zu deinem WordPress-Backend (falls noch möglich)
- Idealerweise ein aktuelles Backup deiner Website
- Eine Liste der zuletzt installierten oder aktualisierten Plugins, falls bekannt
- Bei akutem Verdacht: Zugang zum Notfall-Support im Kundencenter
Schritt-für-Schritt-Anleitung
1. Sofortmaßnahmen ergreifen
Versetze deine Website umgehend in den Wartungsmodus oder nimm sie vorübergehend offline, damit keine weiteren Besucher der gefälschten Verifizierung ausgesetzt werden. Mache Screenshots der verdächtigen Meldung, falls möglich – sie helfen bei der späteren Analyse. Kontaktiere anschließend zeitnah den HostPress-Support bzw. bei dringendem Handlungsbedarf den Notfall-Support über dein Kundencenter.
2. Ursache eingrenzen
In den meisten Fällen gelangt der Schadcode über ein kompromittiertes Administratorkonto ins System – zum Beispiel durch ein zuvor mehrfach verwendetes oder erratenes Passwort. Über diesen Zugang wird dann ein unauffällig benanntes Plugin installiert, das gezielt zwischen eingeloggten Administratoren (die nichts Verdächtiges sehen) und normalen Besuchern (denen der Schadcode ausgeliefert wird) unterscheidet. Prüfe daher:
- Welche Plugins wurden zuletzt installiert und sind dir diese bekannt bzw. vertrauenswürdig?
- Gibt es in den Server- bzw. Zugriffs-Logs auffällige Logins oder Plugin-Installationen zu ungewöhnlichen Zeiten?
- Existieren Administrator-Konten, die du nicht zuordnen kannst?
3. Bereinigung durchführen
Entferne das identifizierte Schad-Plugin und sichere es vor dem Löschen separat für eine spätere Analyse. Ändere anschließend alle Administrator-Passwörter und beende alle aktiven Anmelde-Sitzungen. Prüfe außerdem, ob sogenannte Application Passwords eingerichtet wurden, die dir nicht bekannt sind, und entferne diese gegebenenfalls. Lasse zusätzlich einen vollständigen Malware-Scan über Core-Dateien, Plugins, Theme, Uploads, Datenbank und Cronjobs laufen, um sicherzustellen, dass keine weiteren Schadcode-Reste zurückbleiben.
Falls dir die eigenständige Bereinigung zu aufwändig oder unsicher ist: HostPress bietet einen professionellen Malware-Cleanup-Service an, den du über dein Kundencenter buchen kannst.
4. Website wieder online nehmen und testen
Bevor du die Website wieder öffentlich zugänglich machst, teste sie erneut gezielt aus Besuchersicht (nicht als eingeloggter Administrator), um sicherzustellen, dass die gefälschte Verifizierung nicht mehr ausgeliefert wird. Leere zusätzlich alle Caches, damit keine alten, infizierten Seitenversionen ausgeliefert werden.
5. Nachhaltig absichern
- Aktiviere Zwei-Faktor-Authentifizierung (2FA) für alle Administrator-Konten.
- Entferne nicht mehr benötigte Plugins und Themes vollständig, statt sie nur zu deaktivieren.
- Halte WordPress-Core, Plugins und Themes konsequent aktuell.
- Prüfe insbesondere kommerzielle oder weniger verbreitete Plugins ohne öffentlich einsehbare Prüfsummen besonders kritisch.
- Schränke ein, wer Plugins hochladen und installieren darf.
- Nutze einen kontinuierlichen Malware-Scan (z. B. Imunify360), um zukünftige Infektionen frühzeitig zu erkennen.
6. Besucher richtig informieren
Wenn du davon ausgehen musst, dass Besucher die Tastenkombination tatsächlich ausgeführt haben, solltest du dies – etwa über eine Meldung auf deiner Website oder direkte Kommunikation, falls möglich – transparent machen. Betroffene Besucher sollten ihren eigenen Windows-Rechner auf Schadsoftware prüfen lassen. Wer die Meldung nur gesehen, die Tastenkombination aber nicht ausgeführt hat, ist in der Regel nicht betroffen.