Virus

Das allgemeine Vorgehen bei einem Hack ist z.B. in dieser Antwort kompakt zusammengefasst beschrieben, das könntest Du mit jemandem mit WordPress Erfahrung bei Dir im näheren Umfeld zusammen durchgehen.

Dabei am Wichtigsten wäre, die für den Hack genutzte(n) Lücke(n) zu ermitteln, damit das nicht wieder passiert.

Die beschriebenen von All Inkl. gesperrten Dateien kannst Du möglicherweise nicht selbst mit Deinen FTP Benutzerrechten löschen, wende Dich in dem Fall an den Support dort.

Die komplette Seite vom Netz nehmen, alle Dateien und Datenbanken löschen und eine Datensicherung einspielen von einem Zeitpunkt bei dem Du sicher bist, dass die darin enthaltenen Dateien nicht kompromitiert sind. Anschließend schauen, dass Wordpress wie auch alle Plugins nach dem Einspielen auf dem neuesten Stand sind und ggfs. prüfen, ob ein Plugin dabei ist, welches keinerlei Updates seit einiger Zeit erhalten hat.

Wurde die Website denn regelmäßig aktualisiert? Erhalten alle Plugins und Themes, die du einsetzt noch Updates?

In den allermeisten Fällen liegt es an nicht aktualisierter Software, wenn eine Seite gehackt wird. Da du (aller Wahrscheinlichkeit nach) einen Webspace bei All-Inkl hast, bei dem der Webserver von All-Inkl gewartet wird, könntest du auch versuchen, die Seite wiederherzustellen, zu aktualisieren und dann regelmäßig Updates einzuspielen. Eventuell ist das Problem damit auch schon gelöst.

Du solltest dann aber ein genaues Auge auf deine Seite haben und prüfen, ob der Hack erneut passiert (bei sowas ist zum Beispiel auch die Prüfung der Datei-Integrität mittels Plugin, z.B. Wordfence ganz nützlich).

Auch solltest du deine Passwörter (vor allen die der User und der Datenbank) ändern.

Es gibt natürlich auch noch weitere Einfallstore (z.B. könnte auch der PC gehackt sein, auf dem du die Passwörter gespeichert hast bzw. mit dem du die eingibst, es könnte bisher unbekannte Lücken in Plugins geben, und vieles mehr). Aber wenn du das Problem selbst lösen willst (oder musst), wäre der o.g. Weg zumindest einen Versuch wert.

Zitat von heinetz

Ich würde halt gerne nachvollziehen, wie konkret die dorthin gekommen sind.

Das ist der erste und wichtigste Punkt im o.g. verlinkten Vorgehen:

Zitat von b3317133

Anhand Server-Logs & Backups feststellen, wann/woher der Hack kam, ...

Üblicherweise beginnt man damit, anhand des Dateidatums der ältesten veränderten Dateien in den Server-Logs nachzusehen.

Zitat von heinetz

Nein, auf der Seite wurde niemals irgendetwas aktualisiert.

Tipp am Rande in so einem Fall: Ein Hack kommt selten alleine, es gab ggf. auch unterschiedliche Infektionszeitpunkte.

Das Problem ist, wie @b3317133 schon sagt, selbst wenn du jetzt in Zukunft Auffälligkeiten in den Logs finden solltest (wovon ich ausgehe), ist es nicht gesagt, dass dies der "ursprüngliche" Hack ist. Oft werden vorhandene Hacks als Einfallstor genutzt um weitere Malware "nachzuladen".

Wenn du in der Vergangenheit keine Access Logs hattest (was ich eher ungewöhnlich finde, was sagt denn dein Hoster?), wirst du hier nicht viel erreichen können.

Das Auswerten der Logs ist zugegebenermaßen auch nichts, was man mal eben machen kann, ohne zu wissen, wie sowas tatsächlich aussieht und was legitime Zugriffe, unlegitime (aber unproblematische) Zugriffe und was wirklich problematische Zugriffe sind.
Soll heißen, dafür braucht man leider schon ein bisschen Erfahrung.

Insofern würde ich bei meiner Empfehlung bleiben: Updates machen und engmaschig beobachten. Wenn es dann wieder passieren sollte hast du zumindest die Logs aktiviert und bist vielleicht ein bisschen schlauer.

Zitat von heinetz

1. Uploads
Das Uploads-Verzeichnis liesse sich ja recht einfach aus der kompromittieren Version kopieren.

Das würde funktionieren.

Zitat von heinetz

Ich denke, die neue Installation einfach mit der alten Datenbank weitermachen zu lassen ist sicher riskant.

Das würde evtl. auch nicht funktionieren. Würde mit Sicherheit viele Fehler erzeugen.

Wenn Dir die Arbeit zu viel ist, die Version aus 2018 manuell alles herzustellen, solltest du vielleicht ein paar Euros in die Hand nehmen und jemand beauftragen der deine aktuell gehackte Seite bereinigt.

Zitat von heinetz

Uploads-Verzeichnis liesse sich ja recht einfach aus der kompromittieren Version kopieren.

Einfach kopieren ist hochriskant!! Gerade im Uploads Verzeichnis verstecken sich viele Backdoors, siehe daher auch wichtiger Hinweis im o.g. verlinkten Vorgehen.

Zitat von heinetz

Kann ich die DB auf Virenbefall prüfen und ggf. fixen?

Das macht man üblicherweise so, "alles erkennende Tools" gibt es nicht. Selbst lesen der relevanten Felder im SQL-Dump, Erkennen von Mustern von ggf. eingefügten Links/Scripts, Entfernen dieser Dinge, ggf. durch passenden selbst erstellten Code. Dazu kommt, wenn man den/die Hack(s) identifiziert hat, anhand deren Code festzustellen, ob/welche Felder in der der DB für was genutzt wurden.

Wenn die neue Installation das gleiche Theme und die gleichen Plugins wie die alte Installation hat, dürfte es generell kein Problem geben. Bei ggf. auftretenden seltenen Hindernissen dabei ist etwas WordPress Erfahrung oder Eigenrecherche mit daraus folgenden entspr. Lernprozessen nötig, z.B. Weglassen einer Tabelle eines Plugins und Neueinrichtung des einen Plugins o.ä.

Technisch möglich ist alles.

Dieses Forum soll auch anderen Hilfe zur Selbsthilfe bieten, daher kann eine Aussage, man könne das Uploads Verzeichnis einfach kopieren, fatale Folgen haben. Was man sich selbst alles zusätzlich dazu gedacht hat, weiss ein späterer Hilfesuchender nicht.

Zitat von heinetz

Ich habe bei keinem der Malware-Scanner, ... erkannt, dass sie die DB scannen.

Wie gesagt, "alles erkennende Tools" gibt es nicht, daher macht man das "DB auf Virenbefall prüfen und ggf. fixen" üblicherweise wie beschrieben manuell durch "selbst lesen" und ggf. "entfernen durch selbst erstellten Code" usw.

Generelle Ergänzung: Man sollte bei einem Virenbefall bzw. Hack niemals direkt in der Live Installation irgendwelche Tools nutzen oder sonstige Änderungen vornehmen, sondern immer zuerst eine Komplettkopie der ganzen gehackten Installation mit allen Dateien und Ordnern und Datenbank erstellen, damit man anhand dieser Daten auch später noch nachvollziehen kann, was passiert sein könnte, welche Dateien bzw. Datenbankeinträge wann erstellt wurden usw.

Zitat von heinetz

Ich habe versucht, die Files per FTP downzuloaden, um mal reinzuschauen und weitere Hinweise zu finden. Aber das ging nicht.

Wieso ging das nicht wenn man fragen darf?