WordPress Malware nach Hack entfernen: Anleitung zur sicheren Bereinigung

Wenn eine WordPress-Website gehackt wurde, reicht es meist nicht aus, einzelne verdächtige Dateien zu löschen. Bei einer professionellen Bereinigung musst Du zuerst den Vorfall eingrenzen, Beweise und Sicherungen bewahren, den Schadcode finden und anschließend die eigentliche Ursache schließen. Dieser Leitfaden zeigt Dir, wie Du WordPress Malware nach einem Hack entfernen kannst, welche Schritte in welcher Reihenfolge sinnvoll sind und wann technische Unterstützung erforderlich ist.

Passende WordPress Hilfe zum Thema

Was bedeutet Malware auf einer WordPress-Website?

Als Malware wird Schadsoftware bezeichnet, die sich unerwünscht in Dateien, Datenbankinhalten oder technischen Abläufen Deiner Website befindet. Bei WordPress kann sie beispielsweise Weiterleitungen auf fremde Seiten erzeugen, Spam-Seiten ausliefern, Zugangsdaten abgreifen oder die Website für weitere Angriffe missbrauchen. Nicht jede auffällige Darstellung ist jedoch automatisch ein Hack. Ein defektes Plugin, eine fehlerhafte Weiterleitung oder ein kompromittiertes Werbeskript können ähnliche Symptome verursachen.

Die Bereinigung beginnt deshalb nicht mit blindem Löschen, sondern mit einer nachvollziehbaren Analyse. Du solltest klären, wann das Problem erstmals auftrat, welche Bereiche betroffen sind und ob noch ein unbefugter Zugriff möglich ist. Eine scheinbar saubere Startseite bedeutet nicht zwingend, dass die Website vollständig bereinigt wurde. Schadcode kann in einer weniger häufig besuchten Unterseite, in einem Theme, in einem Plugin oder in der Datenbank liegen.

Typische Anzeichen für einen Hack

• Besucher werden auf fremde, unerwünschte oder betrügerische Seiten weitergeleitet.
• Im Browser erscheinen Warnungen oder Suchmaschinen zeigen Sicherheitshinweise an.
• Unbekannte Administratoren, Benutzer oder Änderungen an Einstellungen tauchen auf.
• Beiträge, Seiten, Menüs oder Widgets enthalten fremde Links und Texte.
• Die Website versendet Spam oder erzeugt ungewöhnlich viele Serveranfragen.
• Dateien ändern sich wieder, obwohl Du sie bereits gelöscht hast.
• Der Webserver meldet ungewöhnliche Prozesse, Fehler oder einen starken Ressourcenverbrauch.

Bei einer offensichtlichen Kompromittierung solltest Du die Website nicht einfach weiter betreiben. Je länger Schadcode aktiv bleibt, desto größer kann der betroffene Datenbestand werden. Außerdem können Besucher, Suchmaschinen und andere Systeme die Domain als unsicher einstufen.

Die ersten Schritte nach der Entdeckung

Website kontrolliert aus dem Verkehr nehmen

Wenn Besucher gefährdet sein könnten, ist eine vorübergehende Wartungsseite oft sinnvoll. Sie verhindert nicht jede technische Aktivität im Hintergrund, reduziert aber die Zahl der Zugriffe auf die kompromittierten Inhalte. Informiere gegebenenfalls Deine Hosting-Ansprechperson und prüfe, ob der Hoster bereits eine Sperre oder einen Sicherheitshinweis gesetzt hat.

Vermeide es, die Website mehrfach vollständig zu löschen und neu aufzusetzen, bevor Du eine Sicherung des aktuellen Zustands erstellt hast. Auch ein kompromittiertes System kann für die Ursachenanalyse wichtige Hinweise enthalten. Diese Kopie sollte nicht als produktives Backup weiterverwendet werden, sondern getrennt und möglichst schreibgeschützt aufbewahrt werden.

Zugangsdaten nicht über die kompromittierte Website ändern

Ändere Passwörter über ein Gerät und eine Verbindung, denen Du vertraust. Besonders wichtig sind die Zugangsdaten für WordPress-Administratoren, Hosting, SFTP oder SSH, Datenbank, E-Mail, Domainverwaltung und externe Dienste. Wenn ein Angreifer noch Zugriff besitzt, kann er neue Passwörter sonst erneut abfangen oder zurücksetzen.

Verwende für jeden Dienst ein eigenes, langes Passwort. Aktiviere, wo verfügbar, eine Mehrfaktor-Authentifizierung. Prüfe außerdem, ob API-Schlüssel, Anwendungspasswörter, SMTP-Zugangsdaten oder Tokens in Plugins, Konfigurationsdateien oder Benutzerkonten hinterlegt sind und widerrufe sie bei Bedarf.

Den Vorfall dokumentieren

Notiere Datum und Uhrzeit der Entdeckung, sichtbare Symptome, betroffene URLs, neue Benutzer, erhaltene Warnmeldungen und bereits ausgeführte Änderungen. Sichere relevante Logdateien, sofern Dein Hosting diese bereitstellt. Diese Dokumentation hilft Dir, den zeitlichen Ablauf zu verstehen und nach der Bereinigung zu prüfen, ob erneut verdächtige Aktivitäten auftreten.

WordPress Malware nach Hack entfernen: Sinnvolle Reihenfolge

Die Grafik macht sichtbar, dass eine Bereinigung nicht mit dem Löschen einer einzelnen Datei beginnt. Besonders wichtig sind die getrennte Sicherung und die abschließende Prüfung, bevor die Website wieder online geht.

Eine Bereinigung sollte möglichst in einer festen Reihenfolge erfolgen. Das genaue Vorgehen hängt vom Hosting, der WordPress-Version, der Art des Angriffs und den verfügbaren Sicherungen ab. Die folgenden Schritte bilden eine technische Orientierung und ersetzen keine individuelle Untersuchung eines komplexen Sicherheitsvorfalls.

1. Aktuellen Zustand sichern: Erstelle eine Kopie von Dateien und Datenbank und bewahre sie getrennt von der späteren bereinigten Installation auf.
2. Zugriff begrenzen: Schalte die Website gegebenenfalls auf Wartung und sperre verdächtige Konten oder Sitzungen.
3. Zugangsdaten ändern: Erneuere alle relevanten Passwörter und widerrufe nicht mehr benötigte Schlüssel.
4. Quelle eingrenzen: Vergleiche Zeitpunkte, Logs, Dateiveränderungen, Benutzer und installierte Erweiterungen.
5. Saubere Dateien bereitstellen: Ersetze WordPress-Core, Plugins und Themes durch vertrauenswürdige Originalversionen.
6. Datenbank prüfen: Suche nach manipulierten Optionen, Benutzern, Beiträgen, Seiten und eingebetteten Skripten.
7. Zugangswege schließen: Aktualisiere verwundbare Komponenten und entferne nicht benötigte Erweiterungen.
8. Nachkontrolle durchführen: Prüfe Website, Logs, Benutzer und Dateisystem erneut, bevor Du den normalen Betrieb freigibst.

Technische Analyse: Wo sich Schadcode verstecken kann

WordPress besteht nicht nur aus den sichtbaren Seiten. Die Installation enthält PHP-Dateien, Konfigurationsdaten, Uploads, eine Datenbank und je nach Projekt weitere Integrationen. Schadcode kann an vielen Stellen eingebracht werden. Eine isolierte Suche in der Startseite oder im Plugin-Verzeichnis genügt daher nicht.

WordPress-Core, Plugins und Themes

Die Standarddateien des WordPress-Core sollten mit einer unveränderten Originalversion verglichen werden. Core-Dateien sind keine geeignete normale Anpassungsfläche. Wenn dort individuelle Änderungen liegen, müssen sie dokumentiert und nach der Bereinigung updatefähig neu umgesetzt werden.

Bei Plugins und Themes prüfst Du zunächst, ob sie aus einer nachvollziehbaren Quelle stammen, aktuell sind und noch benötigt werden. Nicht verwendete Erweiterungen solltest Du nicht nur deaktivieren, sondern entfernen, wenn sie nicht gebraucht werden. Ein deaktiviertes Plugin kann weiterhin bekannte Dateien auf dem Server hinterlassen.

Besondere Aufmerksamkeit verdienen Dateien, die kurz vor dem vermuteten Angriff verändert wurden. Verdächtig können unerwartete PHP-Dateien im Upload-Verzeichnis, verschleierte Zeichenketten, ungewöhnliche Dateinamen oder Code sein, der Inhalte dynamisch aus externen Quellen lädt. Eine einzelne Zeichenkette ist jedoch noch kein sicherer Beweis für Malware. Viele legitime Bibliotheken verwenden ebenfalls komplexen oder komprimierten Code.

Uploads und beschreibbare Verzeichnisse

Das Upload-Verzeichnis enthält normalerweise Bilder, Dokumente und andere Mediendateien. PHP-Dateien gehören dort in vielen Installationen nicht zum normalen Inhalt. Prüfe, ob dort unerwartete Skripte, doppelte Dateiendungen oder Dateien mit ungewöhnlichen Zeitstempeln liegen. Lösche nicht pauschal alle Uploads, weil dadurch legitime Medien und Inhalte verloren gehen können.

Eine sinnvolle Schutzmaßnahme besteht darin, die Ausführung von PHP in Bereichen zu verhindern, in denen nur Mediendateien erwartet werden. Wie dies umgesetzt wird, hängt vom Server und der verwendeten Webserver-Konfiguration ab. Änderungen an Konfigurationsdateien solltest Du vorher sichern und anschließend mit einer kontrollierten Prüfung testen.

wp-config.php und Serverkonfiguration

Die Datei wp-config.php enthält wichtige Datenbankinformationen und kann zusätzlich manipuliert worden sein. Prüfe unbekannte Include-Anweisungen, ungewöhnliche Konstanten und nachträglich eingefügten Code. Ändere nach der Bereinigung das Datenbankpasswort, wenn ein Zugriff auf die Konfigurationsdatei nicht ausgeschlossen werden kann.

Auch .htaccess, Webserver-Konfigurationen, Cronjobs und Dateien außerhalb des eigentlichen WordPress-Verzeichnisses können Weiterleitungen oder erneute Infektionen auslösen. Bei Managed Hosting sind manche Bereiche nicht direkt zugänglich. In diesem Fall solltest Du den Hoster um eine Prüfung der Serverebene bitten.

Datenbank auf Manipulationen prüfen

Schadcode kann in Beiträgen, Seiten, Widgets, Optionen oder Benutzerprofilen gespeichert sein. Typische Fundstellen sind HTML-Blöcke, Text-Widgets, Menüs, globale Einstellungen und Felder von Plugins. Suche nicht nur nach einem bestimmten Schadcodebegriff, sondern auch nach unbekannten URLs, versteckten Links, fremden Skripten und Inhalten, die zeitlich nicht zu Deiner Website passen.

Vor jeder Änderung an der Datenbank brauchst Du eine aktuelle Sicherung. Direkte Änderungen per Datenbankwerkzeug sind riskant, weil ein kleiner Fehler viele Inhalte beschädigen kann. Arbeite möglichst zuerst in einer Kopie oder auf einer Staging-Umgebung. Wenn Du Manipulationen nicht sicher von legitimen Inhalten unterscheiden kannst, ist eine fachkundige Prüfung sinnvoll.

Unbekannte WordPress-Benutzer prüfen

Öffne die Benutzerverwaltung und kontrolliere alle Konten mit administrativen oder erhöhten Rechten. Achte auf unbekannte E-Mail-Adressen, unerwartete Benutzernamen und Änderungen an Rollen. Prüfe auch, ob bekannte Konten plötzlich neue Rechte besitzen. Entferne unbekannte Zugänge erst, nachdem Du die relevanten Informationen dokumentiert hast und sicher bist, dass kein legitimer Systemzugang betroffen ist.

Setze danach die Passwörter aller verbliebenen Benutzer zurück und kontrolliere Anwendungen, die sich über die WordPress-REST-API oder Anwendungspasswörter verbinden. Ein neu angelegtes Konto kann ein Hinweis auf einen noch nicht geschlossenen Zugangsweg sein.

Saubere Wiederherstellung statt blindes Überschreiben

Wenn eine vertrauenswürdige Sicherung existiert, die nachweislich vor dem Angriff erstellt wurde, kann eine Wiederherstellung eine gute Grundlage sein. Sie ist aber nur dann sinnvoll, wenn Du anschließend die Ursache des Angriffs beseitigst. Andernfalls wird die Website möglicherweise erneut kompromittiert.

Eine robuste Wiederherstellung besteht häufig aus einer frischen WordPress-Installation, aktuellen Originalversionen der benötigten Plugins und Themes sowie einer sorgfältig geprüften Datenbank. Eigene Anpassungen sollten aus einer bekannten Quelle übernommen werden, nicht aus verdächtigen Dateien der kompromittierten Installation. Ein Child Theme, Hooks oder ein eigenes Plugin sind für updatefähige Anpassungen meist geeigneter als Änderungen am Core oder am Original-Theme.

Bei individuellen Erweiterungen musst Du prüfen, ob sie sicher und kompatibel sind. Kopiere nicht einfach den gesamten alten Plugin- oder Theme-Ordner zurück. Übernimm nur Dateien, deren Herkunft und Inhalt nachvollziehbar sind. Auch Medien können übernommen werden, sollten aber vorher auf unerwartete Skripte und ungewöhnliche Dateien geprüft werden.

Typische Fehler bei der Bereinigung

Fehler	Warum er problematisch ist	Besserer Ansatz
Nur die sichtbare Weiterleitung entfernen	Weitere Hintertüren oder manipulierte Benutzer bleiben bestehen.	Dateien, Datenbank, Konten und Logs gemeinsam prüfen.
Ein Sicherheitsplugin als alleinige Lösung verwenden	Automatische Erkennung kann unvollständig sein oder legitime Dateien markieren.	Scan-Ergebnisse fachlich bewerten und manuell beziehungsweise kontrolliert verifizieren.
Alle Dateien ohne Sicherung löschen	Ursachen, Beweise und möglicherweise benötigte Inhalte gehen verloren.	Erst eine getrennte Kopie erstellen, dann bereinigen.
Nur WordPress aktualisieren	Ein Update behebt nicht automatisch bereits eingefügten Schadcode.	Aktualisieren, kompromittierte Dateien ersetzen und Zugang schließen.
Deaktivierte Plugins behalten	Ihre Dateien können weiterhin ausgenutzt werden.	Nicht benötigte Erweiterungen vollständig entfernen.
Passwörter nur für WordPress ändern	Hosting-, SFTP-, Datenbank- oder E-Mail-Zugänge können weiterhin offen sein.	Alle betroffenen Zugangsebenen prüfen und Zugangsdaten erneuern.

WordPress-Sicherheit nach dem Hack verbessern

Nach der Bereinigung solltest Du nicht nur den sichtbaren Fehler beheben, sondern die Sicherheitsbasis überprüfen. Halte WordPress, Plugins, Themes und die Serverumgebung aktuell. Entferne Komponenten, die nicht mehr gepflegt werden oder für die Du keine vertrauenswürdige Bezugsquelle hast. Updates sollten zuerst in einer geeigneten Testumgebung geprüft werden, besonders bei WooCommerce, individuellen Plugins und komplexen Themes.

Backups und Staging

Ein Backup ist nur dann hilfreich, wenn es tatsächlich verfügbar, getrennt aufbewahrt und wiederherstellbar ist. Sichere Datenbank und Dateien in einem nachvollziehbaren Rhythmus und bewahre nicht jede Kopie auf demselben Hosting-Konto auf. Prüfe gelegentlich den Wiederherstellungsprozess in einer isolierten Umgebung. Ein Backup, das noch nie testweise eingespielt wurde, ist keine sicher bestätigte Wiederherstellungsstrategie.

Eine Staging-Umgebung hilft Dir, Updates und Bereinigungsmaßnahmen vor der Veröffentlichung zu prüfen. Sie darf jedoch nicht versehentlich öffentlich erreichbar sein und sollte keine unnötig kopierten Zugangsdaten enthalten. Nach dem Einsatz müssen Testzugänge und temporäre Dateien entfernt werden.

Berechtigungen, Anmeldung und Server

Verwende für WordPress nur die Rechte, die für den jeweiligen Benutzer erforderlich sind. Reduziere administrative Konten und prüfe, ob nicht benötigte XML-RPC- oder API-Zugänge eingeschränkt werden können, ohne legitime Funktionen zu beschädigen. Eine pauschale Deaktivierung ist nicht für jede Installation geeignet.

Auf Serverebene sind eine unterstützte PHP-Version, sichere SFTP- oder SSH-Zugänge und eine nachvollziehbare Protokollierung wichtig. Vermeide gemeinsame Zugangsdaten für mehrere Personen und entferne ehemalige Zugänge zeitnah. Schutzmaßnahmen müssen zur Hosting-Umgebung passen; falsche Rechteänderungen können die Website beschädigen oder den Betrieb blockieren.

Praxisbeispiel: Weiterleitung trotz Plugin-Update

Angenommen, Besucher werden auf mobilen Geräten auf eine fremde Seite weitergeleitet, während die Startseite am Desktop normal erscheint. Ein einzelnes Plugin zu aktualisieren, löst das Problem nicht. Zuerst wird die Website kontrolliert gesperrt und eine Kopie des aktuellen Zustands erstellt. Danach werden Logs, zuletzt geänderte Dateien, Benutzerkonten und die Datenbank geprüft.

Findet sich eine unbekannte PHP-Datei im Upload-Verzeichnis, ist damit die Untersuchung noch nicht abgeschlossen. Es muss geprüft werden, wie sie aufgerufen wurde und ob weitere Dateien oder Konten angelegt wurden. Anschließend werden Core, Plugins und Theme aus vertrauenswürdigen Originalquellen neu bereitgestellt. Manipulierte Datenbankinhalte werden aus einer geprüften Sicherung oder nach einer dokumentierten Einzelprüfung korrigiert. Erst wenn Passwörter erneuert, die Ursache bewertet und die Website erneut getestet wurde, sollte sie wieder öffentlich erreichbar sein.

Dieses Beispiel zeigt, warum die sichtbare Weiterleitung nur ein Symptom sein kann. Eine erfolgreiche Bereinigung betrachtet die gesamte Installation und nicht nur die Datei, in der der erste auffällige Code gefunden wurde.

Wann professionelle Unterstützung sinnvoll ist

Du solltest fachkundige Hilfe einplanen, wenn die Website personenbezogene Daten verarbeitet, Zahlungsfunktionen enthält, mehrere Installationen betroffen sind oder der Angriff wiederkehrt. Gleiches gilt, wenn Du keinen sicheren Zugriff auf Logs, Datenbank oder Server hast. Bei einem geschäftskritischen System kann eine ungeplante Eigenreparatur die Analyse erschweren oder wichtige Daten zerstören.

Eine gute technische Unterstützung sollte Dir erklären können, welche Bereiche untersucht wurden, welche Dateien ersetzt oder gelöscht werden, wie mit Sicherungen umgegangen wird und wie die Ursache eingegrenzt wurde. Verlange nachvollziehbare Dokumentation statt einer pauschalen Aussage, die Website sei garantiert sicher. Absolute Sicherheit lässt sich bei einer komplexen Webumgebung nicht seriös versprechen.

FAQ

Wie erkenne ich, ob meine WordPress-Website gehackt wurde?

Verdächtige Weiterleitungen, unbekannte Benutzer, fremde Inhalte, Suchmaschinenwarnungen oder unerwartete Dateien sind wichtige Hinweise. Einzelne Symptome können auch technische Fehler haben. Deshalb solltest Du mehrere Datenquellen wie WordPress-Verwaltung, Dateisystem, Datenbank und Server-Logs gemeinsam betrachten.

Kann ich WordPress Malware mit einem Sicherheitsplugin entfernen?

Ein Sicherheitsplugin kann bei der Erkennung und Überwachung helfen, ist aber nicht automatisch eine vollständige Bereinigung. Scanner können Schadcode übersehen oder legitime Dateien falsch bewerten. Bei einer kompromittierten Website müssen außerdem Zugangsdaten, Datenbank, Serverkonfiguration und die ursprüngliche Ursache geprüft werden.

Soll ich die gesamte WordPress-Website löschen?

Ein vollständiges Löschen ohne vorherige Sicherung kann wichtige Inhalte und Hinweise vernichten. Eine kontrollierte Neuinstallation mit geprüften Dateien kann sinnvoll sein, sollte aber auf einer dokumentierten Sicherung und einer sauberen Datenbank basieren. Außerdem muss der ursprüngliche Zugangsweg geschlossen werden.

Wie lange dauert die Bereinigung?

Das hängt unter anderem von der Größe der Installation, der Zahl der betroffenen Komponenten, den verfügbaren Logs und der Qualität der Backups ab. Eine einfache Einzelinfektion ist anders zu bewerten als ein wiederkehrender Angriff mit mehreren kompromittierten Konten. Eine seriöse Einschätzung ist erst nach einer ersten Analyse möglich.

Kann ein Backup die Malware ebenfalls enthalten?

Ja. Wenn die Sicherung erst nach dem Angriff erstellt wurde, kann sie bereits manipulierte Dateien oder Datenbankinhalte enthalten. Deshalb solltest Du den Zeitpunkt der Sicherung prüfen und ältere, vertrauenswürdige Stände mit dem aktuellen Zustand vergleichen.

Was muss ich nach der Bereinigung testen?

Prüfe Anmeldungen, Formulare, Kontakt- und E-Mail-Versand, Weiterleitungen, Medien, Suchfunktionen, wichtige Unterseiten und gegebenenfalls WooCommerce-Abläufe. Kontrolliere außerdem Benutzerkonten, Dateiveränderungen und Server-Logs. Teste die Website mit mehreren Browsern und Geräten, ohne dabei unkontrolliert Zugangsdaten zu übertragen.

Wie verhindere ich eine erneute Infektion?

Halte Core, Plugins, Themes und Serverumgebung aktuell, entferne nicht benötigte Komponenten, sichere regelmäßig getrennt und prüfe Wiederherstellungen. Verwende individuelle Zugangsdaten, begrenzte Benutzerrechte und – sofern passend – Mehrfaktor-Authentifizierung. Zusätzlich solltest Du Änderungen und sicherheitsrelevante Ereignisse regelmäßig kontrollieren.

Fazit

WordPress Malware nach einem Hack zu entfernen bedeutet mehr, als eine auffällige Datei oder Weiterleitung zu löschen. Sichere zunächst den aktuellen Zustand, begrenze den Zugriff, ändere alle relevanten Zugangsdaten und untersuche Dateien, Datenbank, Benutzer und Serverumgebung systematisch. Ersetze kompromittierte Komponenten durch vertrauenswürdige Originale, schließe die Ursache und teste die Installation vor der Freigabe gründlich.

Wenn Daten, Zahlungen oder geschäftskritische Prozesse betroffen sind, ist eine nachvollziehbare professionelle Analyse oft der sicherere nächste Schritt. Entscheidend ist nicht nur, dass die Website wieder sichtbar ist, sondern dass Du die Bereinigung dokumentierst und die Voraussetzungen für einen stabilen, updatefähigen und besser abgesicherten Betrieb schaffst.