Malware von der Website entfernen: Der vollständige Schritt-für-Schritt-Leitfaden

Deine Website ist infiziert. Das ist kein gutes Gefühl, aber es ist lösbar. Wichtig ist jetzt kein Panik-Löschen, sondern ein strukturiertes Vorgehen. Wer überstürzt handelt, riskiert entweder unvollständige Bereinigung (der Angreifer kommt zurück) oder den Verlust funktionsfähiger Daten. Hier ist der vollständige Ablauf.

Schritt 1: Sofortmaßnahmen und Backup

Bevor du irgendetwas löscht oder veränderst:

• Alle Passwörter ändern: WordPress-Admin, FTP, Hosting-Panel, Datenbank. Verwende starke, einzigartige Passwörter für jeden Dienst.
• Backup des aktuellen Zustands erstellen, auch von der infizierten Version. Das ist wichtig für die Analyse: Welche Dateien wurden geändert? Welcher Code wurde eingeschleust?
• Website in den Wartungsmodus setzen, damit keine weiteren Besucher auf potenziell schadhafte Inhalte treffen.
• Hoster informieren, viele Hoster haben eigene Sicherheits-Teams und können beim Scan helfen oder den Account temporär isolieren.

Schritt 2: Vollständiger Scan

Jetzt analysierst du, was genau befallen ist:

• Wordfence Security (WordPress): Das kostenlose Plugin scannt alle Dateien gegen bekannte Malware-Signaturen und zeigt veränderte Core-Dateien an.
• Sucuri Scanner: Scannt extern die öffentlich zugänglichen Teile der Website auf Malware-Muster.
• Dateivergleich: Lade eine frische WordPress-Installation herunter und vergleiche kritische Dateien wie wp-login.php, wp-admin/admin.php und alle Dateien im Root-Verzeichnis mit deinen.
• Datenbank prüfen: In der wp_options-Tabelle nach verdächtigen URLs oder base64-kodierten Strings suchen, besonders im Feld siteurl und in Widgets.

Schritt 3: Infizierten Code finden

Malware versteckt sich häufig an diesen Stellen:

• wp-content/uploads/: PHP-Dateien in Upload-Ordnern haben dort nichts zu suchen.
• Die functions.php des aktiven Themes: Häufiges Ziel für Code-Einschleusungen.
• wp-config.php: Wird manchmal verändert, um externe Dateien einzubinden.
• Falsche Dateinamen, die legitim aussehen, z.B. wp-update.php oder hello.php im Root.
• base64_decode-Aufrufe in PHP-Code, besonders lange codierte Strings.

Nützlicher Shell-Befehl, wenn du SSH-Zugang hast: find /pfad/zur/website -name "*.php" -newer /pfad/zum/referenz-datum -type f findet alle PHP-Dateien, die nach einem bestimmten Datum verändert wurden.

Schritt 4: Bereinigung

Jetzt wird aufgeräumt:

1. WordPress Core neu installieren: Alle Core-Dateien durch frische Versionen ersetzen (nicht die wp-content und wp-config.php). Geht in WordPress über Dashboard > Updates > WordPress neu installieren.
2. Alle Plugins deaktivieren und neu installieren, besonders wenn der Scanner Veränderungen in Plugin-Dateien findet. Alte Plugin-Versionen komplett löschen.
3. Theme neu installieren oder eine saubere Backup-Version einspielen.
4. Datenbank bereinigen: Unbekannte Admin-Nutzer entfernen, verdächtige Cron-Jobs löschen, Spam-Einträge in der Datenbank bereinigen.
5. Upload-Ordner durchsuchen und alle PHP-Dateien entfernen.

Schritt 5: Das Einfallstor schließen

Ohne diesen Schritt ist alles andere vergeblich. Häufige Einfallstore:

• Veraltete Plugins oder Themes: Das ist mit Abstand die häufigste Ursache. Alle Updates sofort einspielen.
• Nulled Plugins oder Themes: Kostenlose "Raubkopien" von Premium-Plugins sind oft bewusst mit Backdoors versehen.
• Schwache Passwörter: Brute-Force-Angriffe auf wp-admin.
• Zu viele Admin-Nutzer: Reduziere Berechtigungen auf das Minimum.

Ergänze danach: Zwei-Faktor-Authentifizierung für Admin-Zugänge, eine Web Application Firewall (Cloudflare oder Wordfence), automatische Backups, und Uptime-Monitoring.

Wie du zukünftig durch eine gute Backup-Strategie abgesichert bist, erklären wir in Backup-Strategie für Websites. Wie du Angriffe frühzeitig erkennst, zeigen wir in Hackerangriff auf Website erkennen.

Bei rocks.optimize führen wir professionelle Malware-Entfernung durch, bereinigen deine Website vollständig und sichern sie anschließend gegen erneute Angriffe ab.