Malware auf der Website: Erkennung und Bereinigung Schritt für Schritt

Das Tückischste an Website-Malware ist, dass sie nicht bemerkt werden will. Anders als bei einem Defacement, bei dem jemand Ihre Startseite verunstaltet, arbeitet moderne Malware leise im Hintergrund: Sie versendet Spam über Ihren Server, leitet Besucher auf Betrugsseiten um, platziert versteckte Links oder schürft Kryptowährungen. Eine durchschnittliche Infektion wird erst nach Wochen entdeckt — meist dann, wenn Google die Website markiert oder der Hoster das Konto wegen Spamversands sperrt.

Anzeichen einer Infektion

• Google zeigt die Warnung „Diese Website wurde möglicherweise gehackt", oder Browser blockieren den Zugriff mit einem roten Warnbildschirm.
• In den Google-Ergebnissen tauchen unter Ihrer Website seltsame Seiten auf — japanischer Text, Pharmaprodukte, Glücksspiel —, die Sie nie erstellt haben.
• Besucher werden auf andere Websites umgeleitet, aber nur auf dem Smartphone oder nur, wenn sie von Google kommen (Malware zielt oft nur auf bestimmten Traffic, um unentdeckt zu bleiben).
• Ein plötzlicher Einbruch beim Suchtraffic; E-Mails von Ihrer Domain landen im Spam.
• Neue Administratorkonten, die Sie nicht angelegt haben, Dateien mit merkwürdigen Namen oder kürzliche Änderungen, die nicht von Ihnen stammen.

Die Infektion bestätigen

Beginnen Sie mit der Google Search Console (Bereich Sicherheitsprobleme) — kostenlos und am zuverlässigsten. Scannen Sie die Website anschließend mit Tools wie Sucuri SiteCheck oder VirusTotal (für einzelne URLs). Bei WordPress kann ein Plugin wie Wordfence Ihre Dateien mit den Originalen aus dem offiziellen Repository vergleichen — jede Abweichung ist verdächtig.

Bereinigung Schritt für Schritt

• 1. Löschen Sie nichts in Panik. Erstellen Sie zuerst eine vollständige Kopie der infizierten Website — Sie brauchen sie, um nachzuvollziehen, wie der Angreifer hereingekommen ist.
• 2. Ändern Sie alle Passwörter: Hosting-Panel, FTP/SFTP, Datenbank, WordPress-Admin, E-Mail. Wer einmal drin war, hat vermutlich mehr als einen Weg zurück.
• 3. Stellen Sie die Website aus einem sauberen Backup wieder her — der schnellste und zuverlässigste Weg, sofern das Backup älter ist als die Infektion. Deshalb sind tägliche Backups Gold wert: In allen unseren Tarifen sind sie automatisch enthalten.
• 4. Kein sauberes Backup? Installieren Sie den WordPress-Kern und alle Plugins aus offiziellen Quellen neu und prüfen Sie anschließend manuell wp-content/uploads (dort versteckt sich Malware gern in .php-Dateien, die da nicht hingehören) sowie wp-config.php.
• 5. Aktualisieren Sie alles — Kern, Themes, Plugins. In 90 % der Fälle war der Einstiegspunkt ein veraltetes Plugin oder Theme mit bekannter Schwachstelle.
• 6. Beantragen Sie eine Überprüfung in der Search Console, damit Google die Warnung entfernt — in der Regel innerhalb von 1–3 Tagen.

Damit es nicht wieder passiert

Eine Infektion ist fast immer die Folge von einem dieser drei Dinge: veraltete Software, ein schwaches Passwort oder eine fehlende Schutzschicht. Die Lösung ist Routine: automatische Updates für kleinere Plugins, starke einmalige Passwörter mit 2FA und ein Hosting mit integrierter WAF, die bekannte Angriffe abfängt, bevor sie Ihre Website erreichen. Unser WordPress-Hosting umfasst WAF, tägliche Backups und Scans — eine Kombination, die die meisten Infektionen von vornherein verhindert und den Rest auf eine Wiederherstellung von wenigen Minuten statt tagelanger Bereinigung reduziert.