So entfernen Sie Malware aus WordPress: die Infektion eindämmen, bereinigen oder wiederherstellen, erneut scannen, den Zugang wechseln und die Lücke schließen, damit sie nicht zurückkommt.
Themen Malware & cleanup Beginner guides
Aktualisiert Veröffentlicht
Malware aus WordPress entfernen geht in dieser Reihenfolge: den Schaden eindämmen, eine saubere Wiederherstellung bevorzugen, scannen und den Rest entfernen, den Zugang wechseln und die Lücke schließen, damit sie nicht zurückkommt. Es ist kein magischer Knopf “scannen und vergessen”. Das Ziel ist eine saubere Website, die sauber bleibt.
Die Arbeitsreihenfolge ist eindämmen, bewerten, bereinigen oder wiederherstellen, härten. Die Eindämmung zu überspringen oder die Eintrittsstelle offen zu lassen ist der Grund, warum Infektionen “zurückkommen”.
Sie sind noch nicht sicher? Starten Sie aus wp-admin die Sicherheitstests, den Scanner für Sicherheitslücken und den Core Scanner. Ergänzen Sie den Malware-Scanner, wenn die Dateien schlecht aussehen oder Besucher schon Weiterleitungen sehen. Der längere Weg zu den Anzeichen steht in So erkennen Sie, ob Ihre WordPress-Website gehackt wurde (auf Englisch).
Die Form der Infektion zu kennen hilft, an der richtigen Stelle zu suchen.
| Art | Was sie tut | Übliche Anzeichen |
|---|---|---|
| Hintertür / Webshell (auf Englisch) | Hält Fernzugang, nachdem Sie “bereinigt” haben | Unbekannte Admins, seltsames PHP in Uploads oder Themes, Neuinfektion in Stunden |
| Injektion | Bösartiger Code in Themes, Plugins, Beiträgen oder Optionen | Spam-Links, versteckte iframes, eval- oder Base64-Blobs in Dateien oder in der Datenbank |
| Weiterleitungs-Malware | Schickt Besucher auf eine andere Website, manchmal nur mobil oder ohne Sitzung | Warnungen der Search Console oder des Browsers, bedingte Weiterleitungen |
| Spam / SEO-Spam | Injiziert Seiten, Kommentare oder E-Mail-Missbrauch | Inhalt, den Sie nicht geschrieben haben, Hosting-Beschwerden wegen Spam |
| Krypto oder Ressourcenmissbrauch | Verbrennt CPU für jemand anderen | CPU-Spitzen, Timeouts, Ressourcenwarnungen des Hostings |
Warnzeichen. Mehrere zusammen zählen mehr als eines allein:
Mehr Detail: 7 Anzeichen eines Hacks (auf Englisch) und übliche Merkmale von Malware (auf Englisch).
Wo es meist hineinkommt: veraltete oder aufgegebene Plugins oder Themes, nulled Plugins (auf Englisch), schwache oder wiederverwendete Administratorpasswörter, infizierte Nachbarn auf Shared Hosting und “Updates” per Social Engineering. Schließen Sie diese Tür nach der Bereinigung, sonst wiederholen Sie die Arbeit.
Sie brauchen Zugang zu Dateien und zur Datenbank. Wenn wp-admin tot ist, nutzen Sie das Hosting-Panel, SFTP oder SSH, oder einen autorisierten Notfall-Wiederherstellungshaken (auf Englisch), und entfernen Sie diesen Code, sobald Sie drin sind.
wp-config.phpDer Malware-Scanner von Security Ninja Pro und der Core Scanner helfen hier: sie markieren verdächtige Dateien und zeigen geänderte, fehlende oder unerwartete Kerndateien. Free-Builds decken weiterhin Sicherheitstests, Sicherheitslücken und Kern-Integrität ab. Urteil bleibt nötig. Es gibt Fehlalarme. Löschen Sie nicht massenhaft, ohne den Pfad zu verstehen.
Das Video oben zeigt, wie der Scan in Security Ninja aussieht.
Wenn Sie wissen, wann die Infektion begann, ist das Wiederherstellen von Dateien und Datenbank von vor diesem Punkt oft sauberer, als jede Hintertür von Hand zu jagen.
Direkt danach:
Eine Wiederherstellung, die die Malware noch enthält, oder die dasselbe angreifbare Plugin aktiv lässt, spult nur den Film zurück. Sicherungsgewohnheiten: Sicherungsplan, wenn die Website angegriffen wird (auf Englisch).
Sie brauchen Dateizugang. wp-admin kann unzuverlässig sein.
wp-content/mu-plugins/) und Drop-insPrüfen und vergleichen Sie:
wp-config.php (seltsames eval, entfernte Includes, im Code angelegte Administratoren).htaccess im Stamm und in Uploads (Weiterleitungen, auto_prepend)functions.php des Themes und unerwartetes PHP in Uploadsfavicon.ico, doppelte Endungen, PHP neben Bildern)Der WordPress-Kern muss mit den offiziellen Kopien übereinstimmen. Der Core Scanner markiert geänderte, fehlende oder unerwartete Kerndateien. Unerwartetes PHP außerhalb der normalen Theme- und Plugin-Pfade verdient Misstrauen. Im Zweifel ersetzen Sie den Kern aus einem vertrauenswürdigen WordPress-Paket. Überschreiben Sie nie blind wp-config.php oder wp-content.
Starten Sie einen Malware-Scanner, prüfen Sie die Funde und bereinigen oder erlauben Sie vorsichtig. Fehlalarme gibt es, vor allem bei ungewöhnlichen, aber legitimen Plugins.
Dateien zu bereinigen reicht nicht, wenn Spam-Inhalt, bösartige Optionen oder injizierte Benutzer bleiben. Suchen Sie seltsame Skripte in Beiträgen und Widgets, unerwartete Änderungen von siteurl oder home, unbekannte Benutzer und Optionswerte mit Base64-Blobs oder entfernten URLs. Exportieren Sie eine Kopie der Datenbank, bevor Sie etwas bearbeiten.
Starten Sie Malware-Scan und Scan auf Sicherheitslücken erneut. Sehen Sie die Website ohne Sitzung und in einem privaten Fenster an. Bestätigen Sie, dass die E-Mail keinen Spam mehr sendet. Erst dann nehmen Sie den Wartungsmodus weg.
wp-content/uploads/ (Uploads brauchen fast nie ausführbares PHP)wp_options mit Base64-Blobs oder entfernten URLsKommt die Neuinfektion in Stunden, nehmen Sie an, dass eine Hintertür oder dasselbe angreifbare Plugin noch da ist.
Malware, die “zurückkommt”, heißt fast immer, dass die Eintrittsstelle noch offen ist.
Übliche Ursachen:
Beheben Sie das und härten Sie danach:
755, Dateien 644, wp-config.php enger, zum Beispiel 600, wenn das Hosting das erlaubt)Der vollständige Wiederherstellungsablauf steht in Was tun, wenn die Website gehackt wurde (auf Englisch).
Wenn Chrome oder die Search Console die Website markiert haben:
Der Leitfaden von Google zu gehackten Websites hilft, wenn die Installation wirklich sauber ist. Notizen zur SEO-Erholung: SEO nach einem Hack wiederherstellen (auf Englisch).
Selbst machen passt bei einer einfachen Wiederherstellung. Holen Sie Hilfe, wenn:
Wir bieten Malware-Bereinigung und Sicherheitsprüfung zum Festpreis.
Security Ninja Pro bündelt Malware-Scan, Cloud Firewall, Härtung des Logins und geplante Scans, damit die Bereinigung nicht Ihre einzige Strategie ist. Free deckt Tests, Sicherheitslücken und den Core Scanner ab, und so erwischen Sie Probleme früher. Das Ereignisprotokoll zeigt, was um den Vorfall herum passiert ist.
So scannen Sie WordPress mit WP Security Ninja nach Malware.
Nützlich? Teilen Sie den Link.
Dämmen Sie die Website zuerst ein. Wenn Sie eine saubere Sicherung haben, stellen Sie sie wieder her. Sonst scannen und entfernen Sie vorsichtig, wechseln alle Zugangsdaten, schließen die Eintrittsstelle und härten danach mit Updates, starkem Login, Firewall und geplanten Scans. Ein einzelner Scan-Klick reicht nicht, wenn die Hintertür noch da ist.
Arbeiten Sie von einem sauberen Gerät. Setzen Sie die Website in den Wartungsmodus, wenn Besucher Schaden nehmen. Stellen Sie aus einer bekannt guten Sicherung wieder her, wenn Sie können, oder entfernen Sie bestätigte bösartige Dateien und Datenbank-Injektionen und notieren Sie, was Sie ändern. Scannen Sie danach erneut und beobachten Sie eine Neuinfektion.
Fast immer bleibt eine Hintertür, gestohlene Administrator-Zugangsdaten oder ein ungepatchtes Plugin. Dateien zu bereinigen, ohne Passwörter zu wechseln und ohne die Lücke zu schließen, lädt dazu ein, dass sie in Stunden zurückkommt.
