Malware

Unsicher, ob deine Website sauber ist?

Wir sehen uns Dateien, Datenbank und Protokolle an — und suchen dabei gezielt nach den Hintertüren, die beim ersten Aufräumen übersehen werden.

Malware ist der Sammelbegriff für Schadsoftware — Programme oder Codeteile, die ohne Wissen des Betreibers auf ein System gelangen und dort Schaden anrichten, Daten abgreifen oder das System für fremde Zwecke nutzen. Bei WordPress-Websites gelangt sie meist über veraltete Plugins, Themes oder schwache Zugangsdaten hinein und bleibt oft wochenlang unbemerkt.

Kurz zusammengefasst:

• Der häufigste Weg hinein sind veraltete Erweiterungen, nicht raffinierte Angriffe.
• Moderne Schadsoftware tarnt sich — sichtbarer Schaden ist die Ausnahme.
• Ein Sicherheits-Plugin allein garantiert nichts.
• Nach einem Befall gehört immer nach einer Backdoor gesucht.
• Das wirksamste Mittel ist unspektakulär: regelmäßige Updates und ein geprüftes Backup.

Typen und was sie tun

Auffällig ist, wie viele dieser Typen bewusst unauffällig arbeiten. SEO-Spam zeigt sich oft nur dem Suchmaschinen-Crawler, Weiterleitungen greifen nur bei bestimmten Besuchern. Wer die eigene Startseite aufruft und nichts sieht, hat damit nichts ausgeschlossen.

Wie sie hineinkommt

1. Veraltete Plugins und Themes. Der mit Abstand häufigste Weg. Bekannte Lücken werden automatisiert und großflächig ausgenutzt, oft binnen Tagen nach Veröffentlichung.
2. Schwache oder wiederverwendete Passwörter — siehe Brute-Force-Angriff.
3. Verwaiste Erweiterungen, deren Entwicklung eingestellt wurde und die keine Aktualisierungen mehr erhalten.
4. Nulled-Versionen kostenpflichtiger Plugins aus zweifelhaften Quellen — häufig ist der Schadcode gleich mitgeliefert.
5. Kompromittierte Zugänge bei Hoster, FTP oder Datenbank.
6. Nachbarschaft auf demselben Server, wenn Konten nicht sauber getrennt sind.

Der rote Faden: Fast alles davon ist bekannt und vermeidbar. Ein einziges nicht aktualisiertes Plugin genügt.

Woran man einen Befall erkennt

• unerklärliche Änderungen an Dateien oder deren Zeitstempeln
• neue Administratorkonten, die niemand angelegt hat
• plötzlicher Anstieg der Serverlast oder des Datenverkehrs
• Warnung im Browser oder in der Search Console
• in der Suche erscheinen Seiten zu Themen, die es auf der Website nicht gibt
• E-Mails von der Domain landen plötzlich massenhaft im Spam
• Besucher berichten von Weiterleitungen, die man selbst nicht reproduzieren kann

Der vorletzte Punkt ist ein oft unterschätztes Frühwarnzeichen: Wenn die eigene Domain auf Sperrlisten landet, wird sie meist zum Spamversand missbraucht.

Wenn es passiert ist

Die Reihenfolge ist wichtig, und der erste Punkt wird am häufigsten falsch gemacht.

1. Sichern, bevor aufgeräumt wird. Ein Abbild von Dateien und Datenbank im befallenen Zustand — das ist die einzige Grundlage für die Ursachenanalyse. Wer zuerst löscht, weiß nie, wie es hineinkam.
2. Offline nehmen oder in den Wartungsmodus, um Besucher und Reputation zu schützen.
3. Zugangsdaten rotieren: alle Konten, Datenbank, FTP, Hosting — und die Sicherheitsschlüssel in der Konfiguration.
4. Bereinigen oder neu aufbauen. Bei unklarem Umfang ist ein Neuaufbau aus einem nachweislich sauberen Stand zuverlässiger als das Suchen einzelner Dateien.
5. Nach Hintertüren suchen. Ohne diesen Schritt ist die Website nach Tagen wieder befallen.
6. Ursache schließen — sonst wiederholt sich alles.
7. Prüfung anfordern, falls Warnungen in Suchmaschinen erschienen sind.

Warum ein Sicherheits-Plugin nicht reicht

Solche Erweiterungen erkennen bekannte Muster. Gezielt angepasster oder verschleierter Code fällt durch das Raster — wir haben Fälle gesehen, in denen ein aktives Sicherheits-Plugin einen Befall über Wochen nicht bemerkt hat.

Sie sind trotzdem sinnvoll, nur eben als eine Schicht von mehreren. Die wirksameren Maßnahmen sind unspektakulär: zeitnahe Updates, Zwei-Faktor-Authentifizierung, wenige und gepflegte Erweiterungen, getrennte Zugänge, geprüfte Sicherungen außerhalb des Servers und ein Blick auf die Protokolle.

Häufige Fragen

Woran merke ich, dass meine Website infiziert ist?

Oft gar nicht auf den ersten Blick. Hinweise sind unerklärliche Dateiänderungen, neue Administratorkonten, ungewöhnliche Serverlast, Warnungen in der Search Console oder fremde Seiten in den Suchergebnissen. Der Aufruf der Startseite sagt wenig aus.

Reicht es, die befallenen Dateien zu löschen?

Selten. Ohne die Suche nach Hintertüren und ohne Rotation aller Zugangsdaten ist die Website meist binnen Tagen wieder befallen. Bei unklarem Umfang ist ein Neuaufbau aus einem sauberen Stand der sicherere Weg.

Schützt ein Sicherheits-Plugin zuverlässig?

Nein. Es erkennt bekannte Muster und ist eine sinnvolle Schicht, aber kein Ersatz für Updates, starke Zugänge und geprüfte Sicherungen.

Wie kommt Schadsoftware auf eine WordPress-Website?

Am häufigsten über veraltete Plugins und Themes mit bekannten Lücken, gefolgt von schwachen Zugangsdaten. Aufwendige Angriffe auf einzelne Ziele sind die Ausnahme.

Hilft ein Backup gegen Malware?

Nur, wenn es aus der Zeit vor dem Befall stammt, außerhalb des Servers liegt und die Wiederherstellung geprüft wurde. Sicherungen auf demselben Server werden regelmäßig mit verschlüsselt oder gelöscht.

Kann ein Befall meine Rankings beschädigen?

Ja. Bei erkanntem Schadcode oder Spam kann eine Warnung erscheinen oder die Seite aus dem Index entfernt werden. Die Erholung dauert deutlich länger als die Bereinigung.