Admin-Konten überwachen — die Hintertür ist ein Konto, nicht nur eine Datei.
Nach einem Einbruch ist die Persistenz selten eine Datei — sie ist ein Konto. Relvato liest die Administrator-Liste über das Plugin und meldet jedes Konto, das Administrator plus eine Kunden- oder Abonnenten-Rolle hält, jeden Administrator, der in den letzten zwei Wochen registriert wurde, und jedes Anwendungspasswort eines Administrators, das du nicht angelegt hast. Es liest die Konten direkt aus der Datenbank (Plugin ab 1.24.0) — so fällt auch ein Administrator auf, der in deiner Nutzerliste versteckt ist, und ebenso ein Konto mit Administrator-Rechten unter einem anderen Rollennamen.
- ✓Kein Konto hält Administrator plus eine Kunden- oder Abonnenten-Rolle
- ✓Kein Administrator, der in deiner Nutzerliste versteckt ist
- ✓Keine Administrator-Rechte unter einem anderen Rollennamen, ohne dass du davon weißt
- ✓Kein Administrator ist in den letzten 14 Tagen unbemerkt dazugekommen
- ✓Jeder Administrator einmal zur Bestätigung aufgelistet, damit ein Konto, das ein Angreifer vor dem Start von Relvato angelegt hat, nicht als normal durchgeht
- ✓Kein Anwendungspasswort eines Administrators, das du nicht angelegt hast
- ✓Kein WooCommerce-REST-API-Schlüssel und keine OAuth-App, von denen du nichts weißt: Zugänge, die das Login-Formular und 2FA umgehen
- ✓Die Gesamtzahl der Admins bei jedem Lauf — ein leises Anwachsen fällt auf
- ✓Sofortiger Lauf, sobald sich eine Rolle ändert oder ein Anwendungspasswort angelegt wird — nicht nur nach Zeitplan
Das Vorgehen beim WooCommerce-Skimmer hinterlässt keinen auffälligen Admin namens „hacker“. Es nimmt ein bestehendes Kundenkonto und fügt die Administrator-Rolle hinzu — das Konto behält sein Kunden-Label und wirkt wie ein weiterer Käufer unter Tausenden. Ein Malware-Scanner, der nach geänderten Dateien sucht, sieht davon nichts, denn auf der Festplatte hat sich nichts geändert. Anwendungspasswörter sind die leisere Variante: Seit WordPress 5.6 kann ein Administrator Passwörter haben, die sich direkt an der REST-API anmelden — Zwei-Faktor-Login, Login-Limits und ein geändertes Passwort greifen bei ihnen also nie. Der Blick auf die Admin-Liste findet beides — und sobald sich eine Rolle ändert oder ein Anwendungspasswort angelegt wird, prüft Relvato sofort nach, statt auf den nächtlichen Lauf zu warten. Besonders vorsichtige Angreifer gehen noch einen Schritt weiter und verstecken ihren Administrator mit ein paar Zeilen Code in der Nutzerliste. Das Konto steht trotzdem in der Datenbank — und genau dort liest Relvato es.
Ein Administrator, den niemand angelegt hat, ist oft der Weg, auf dem eine Infektion nach der Bereinigung zurückkommt. Unser Leitfaden zeigt, wo sich WordPress-Malware versteckt und was du ändern musst, damit sie weg bleibt.
- Das Plugin meldet die Liste — Login, Anzeigename, Rollen, Registrierungsdatum und die E-Mail-Domain. Niemals vollständige E-Mail-Adressen.
- Die Konten werden direkt aus der Datenbank gelesen, nicht über die Nutzerliste von WordPress — ein Administrator, den die Nutzer-Seite verstecken soll, taucht also trotzdem auf und lässt den Lauf fehlschlagen. Ein Konto mit Administrator-Rechten unter einer anderen Rolle oder direkt zugewiesen wird dir zur Bestätigung aufgelistet.
- Ein Konto mit Administrator UND Kunden- oder Abonnenten-Rolle lässt den Lauf fehlschlagen: Das ist eine Hochstufung, keine Neuanlage.
- Ein Administrator, der in den letzten 14 Tagen registriert wurde, wird dir zur Bestätigung angezeigt — einmal freigeben oder entfernen.
- Die Anwendungspasswörter jedes Administrators werden mit Name und Datum aufgelistet — nie das Passwort. Eines, das in den letzten 14 Tagen angelegt wurde, lässt den Lauf fehlschlagen; ältere werden je einmal zur Bestätigung aufgelistet.
Liest Relvato personenbezogene Daten meiner Nutzer?
Nein. Das Plugin meldet pro Administrator Login, Anzeigename, Rollen, Registrierungsdatum und den Domain-Teil der E-Mail sowie Name und Daten jedes Anwendungspassworts — nie die vollständige Adresse, nie ein Passwort und keine Konten ohne Administrator-Rechte.
Warum gilt „Administrator + Kunde“ als Problem?
Weil das eine Hochstufung ist, keine normale Einrichtung. Ein echter Administrator wird als solcher angelegt; ein Kundenkonto, das plötzlich auch Administrator ist, hat diese Rolle fast immer von jemandem bekommen, der sich Zugang verschafft hat. Und es versteckt sich gut — in deiner Nutzerliste steht weiterhin „Kunde“.
Ich habe selbst einen neuen Admin angelegt. Warnt Relvato dauerhaft?
Nein. Ein brandneuer Administrator ist eine Warnung, kein Fehler, und sie endet, sobald das Konto älter als zwei Wochen ist — oder sofort, wenn du den Fund als geprüft markierst.
Wie kann ein Administrator in der Nutzerliste versteckt sein?
WordPress baut die Nutzer-Seite mit einer Abfrage auf, die jedes Plugin filtern kann — und Malware nutzt das, um ihr eigenes Konto aus der Liste und aus der Admin-Zahl oben herauszuhalten. Relvato liest die Konten direkt aus der Datenbank und vergleicht das mit dem, was die Nutzer-Seite zeigt: Ein Administrator, der existiert, aber nicht aufgeführt wird, lässt den Lauf fehlschlagen. Versteckst du ein Konto absichtlich (manche Sicherheits-Plugins tun das), ignorierst du den Fund einmal. Nur im Browser versteckte Konten (per CSS oder JavaScript) sieht der Server nicht als versteckt — sie stehen aber trotzdem in Relvatos Liste, wo dir ein unbekanntes auffällt.
Funktioniert das ohne das WordPress-Plugin?
Nein. Rollen existieren nur innerhalb von WordPress, daher braucht dieser Monitor das kostenlose Relvato-Plugin (1.3.0 oder neuer; ab 1.24.0 auch für versteckte Administratoren). Monitore, die deine Seiten von außen ansehen, brauchen es nicht.
Was ist ein Anwendungspasswort, und warum ist es wichtig?
Ein Passwort, das ein Administrator in WordPress (ab 5.6) für Apps und Integrationen anlegen kann — die mobile App, Jetpack, Zapier. Es meldet sich ohne das Login-Formular an der REST-API an, daher gelten Zwei-Faktor-Login und Login-Limits nicht, und eine Änderung des Kontopassworts widerruft es nicht. Ein Anwendungspasswort, das ein Angreifer anlegt, ist deshalb ein Weg zurück hinein nach einer Bereinigung. Relvato listet jedes mit Name und Datum auf; du bestätigst die, die du kennst, und ein neues lässt den Lauf fehlschlagen.
Schalte diesen Monitor auf Autopilot.
Für immer kostenlos auf einer Website — 100 Läufe im Monat, von dir gestartet oder wöchentlich, ohne Karte. Pro lässt deine Monitore nach jedem Update von selbst neu laufen.