WordPress Malware gefunden – was kann ich jetzt tun?

WordPress Malware gefunden – was kann ich jetzt tun? Wenn dein Hoster Schadsoftware meldet oder deine Website plötzlich auf fremde Seiten weiterleitet, brauchst du einen geordneten Ablauf. Sichere zuerst die Befunde, begrenze den Schaden und stimme die Bereinigung ab. Ein einzelner Scan oder ein blind eingespieltes Backup ersetzt diese Schritte nicht.

Dieser Leitfaden richtet sich an Website-Betreiber und kleine Unternehmen. Du erfährst, welche Informationen jetzt helfen, welche Fehler du vermeiden solltest und wann technische Unterstützung sinnvoll ist.

WordPress Malware gefunden: die ersten 5 Schritte

1. Warnung festhalten: Notiere Quelle, Zeitpunkt, betroffene Adresse und den genauen Wortlaut. Sichere vorhandene Berichte.
2. Verantwortliche zusammenbringen: Informiere Hoster und technische Betreuung. Bestimme eine Person, die Änderungen koordiniert.
3. Besucher schützen: Stimme mit dem Hoster ab, wie die betroffene Installation vorübergehend abgeschirmt werden kann.
4. Zustand sichern: Lass Dateien, Datenbank und verfügbare Protokolle vor der Bereinigung separat aufbewahren.
5. Bereinigung planen: Kläre Zugänge, Zuständigkeiten, Wiederherstellung und anschließende Funktionstests.

Wenn du gerade unter Zeitdruck stehst, kannst du diese Liste als Gesprächsgrundlage verwenden. Für die erste Anfrage reichen Website-Adresse, Warnmeldung und die Information, ob Besucher oder Bestellungen betroffen sind. Zugangsdaten gehören nicht in eine gewöhnliche Kontaktanfrage.

Was bedeutet eine Malware-Meldung?

Eine Meldung ist ein Anlass zur Untersuchung. Sie beschreibt zunächst einen Verdacht oder einen konkreten Fund, aber nicht automatisch das gesamte Ausmaß. Die offizielle WordPress-Hilfe zu gehackten Websites nennt beispielsweise unerlaubte Benutzer, Hoster-Sperren und Sicherheitswarnungen als mögliche Anzeichen und empfiehlt, Beobachtungen zu dokumentieren.

Frage deshalb nach dem Fundort: Geht es um eine Datei, einen Datenbankeintrag, eine Weiterleitung oder einen externen Aufruf? Bitte den Hoster um seinen Bericht, statt nur die Aussage „Malware gefunden“ weiterzugeben. Falls ein Fehlalarm vermutet wird, sollte eine fachkundige Person diesen anhand des tatsächlichen Inhalts prüfen.

Website abschirmen und Informationen erhalten

Bei aktiver Weiterleitung oder schädlichen Downloads hat der Schutz der Besucher Vorrang. Lass den öffentlichen Zugriff auf die betroffene Anwendung möglichst auf Hosting-Ebene einschränken. Eine normale Wartungsseite innerhalb derselben WordPress-Installation kann dafür unzureichend sein: Andere Einstiegspunkte bleiben möglicherweise erreichbar.

Notiere, wer welche Änderung zu welchem Zeitpunkt vornimmt. Eine einfache gemeinsame Liste hilft, doppelte Eingriffe zu vermeiden. Vereinbare außerdem, wie Kunden während einer Unterbrechung Kontakt aufnehmen können. Bei einem Shop solltest du Werbekampagnen und verlinkte Angebote mit den zuständigen Personen abstimmen.

Bewahre eine Sicherung des betroffenen Zustands getrennt auf und kennzeichne sie als möglicherweise infiziert. Sie dient der Untersuchung und darf nicht versehentlich als sauberes Wiederherstellungsbackup verwendet werden.

Zugänge kontrollieren: mehr als das WordPress-Passwort

Arbeite für die Wiederherstellung von einem vertrauenswürdigen, aktualisierten Gerät aus. Stimme mit der technischen Betreuung ab, welche Zugänge möglicherweise betroffen sind: Hosting-Verwaltung, SFTP, WordPress-Administratoren und gegebenenfalls weitere angebundene Dienste.

Unberechtigte Konten, aktive Sitzungen und nicht mehr benötigte Zugriffe müssen berücksichtigt werden. Neue Passwörter allein entfernen keine Hintertür. Nach der Bereinigung sollten zuvor gefährdete Zugangsdaten erneut geändert werden. Gib einem Dienstleister möglichst einen eigenen, zeitlich begrenzten Zugang und entziehe ihn nach Abschluss, sofern keine weitere Betreuung vereinbart ist.

WordPress Malware entfernen: worauf es bei der Bereinigung ankommt

Eine fachgerechte Untersuchung verbindet die Funde mit dem Aufbau deiner Website. Welche Komponenten gehören zur Installation? Welche Änderungen waren beabsichtigt? Welche Dateien oder Inhalte wurden unerlaubt ergänzt? Diese Fragen helfen, eine gezielte Bereinigung von einer bloßen Löschaktion zu unterscheiden.

Lass dir vor Beginn erklären, was untersucht wird und wie mit eigenen Anpassungen umgegangen wird. Individuelle Plugins, Schnittstellen und ältere Sonderentwicklungen sollten ausdrücklich genannt werden. Sonst besteht die Gefahr, dass eine vermeintlich schnelle Reparatur wichtige Funktionen entfernt.

Zur Übergabe gehört eine nachvollziehbare Dokumentation: Welche Auffälligkeiten wurden gefunden, was wurde geändert und welche Fragen bleiben offen? Ein unauffälliger Folgescan ist hilfreich, aber für sich allein kein vollständiger Nachweis, dass alle Ursachen und versteckten Zugänge beseitigt sind.

Kann ich einfach ein Backup zurückspielen?

Eine Wiederherstellung kann ein geeigneter Teil der Lösung sein. Entscheidend ist jedoch, ob die Sicherung aus einem überprüften, sauberen Zustand stammt und ob das ursprüngliche Einfallstor anschließend geschlossen wird.

Bei WooCommerce ist zusätzlich die Datenlage wichtig. Ein älterer Datenbankstand kann Bestellungen, Kundenkonten oder Änderungen überschreiben, die seit der Sicherung entstanden sind. Stimme deshalb vorab ab, welche Daten erhalten werden müssen und wie die Wiederherstellung getestet wird. Bewahre aktuelle Geschäftsdaten vor einem solchen Eingriff gesondert und zugriffsgeschützt auf.

Was tun bei einer Google- oder Browserwarnung?

Prüfe in der Google Search Console den Bericht „Sicherheitsprobleme“. Laut Google-Dokumentation zu Sicherheitsproblemen sind angezeigte Beispieladressen nicht zwingend vollständig. Die Bereinigung muss deshalb die gesamte Website berücksichtigen. Erst wenn alle gemeldeten Probleme behoben und die Korrekturen getestet sind, solltest du eine Überprüfung anfordern.

Dokumentiere dafür die Funde und deine Gegenmaßnahmen. Eine erneute Überprüfung kann mehrere Tage oder Wochen dauern. Eine technisch wieder erreichbare Website bedeutet daher nicht, dass Warnhinweise sofort verschwinden. Klicke unbekannte Downloadangebote oder Warnseiten nicht zur Probe durch.

Wann kann die Website wieder online gehen?

Lege vor der Freigabe eine kurze Abnahmeliste fest. Für eine Unternehmenswebsite kann sie so aussehen:

• Wichtige Seiten und Weiterleitungen sind geprüft.
• Kontaktformulare funktionieren bis zum Eingang der Nachricht.
• Bekannte Funde wurden bearbeitet und offene Punkte dokumentiert.
• Benutzerkonten und benötigte Berechtigungen sind kontrolliert.
• Sicherungen und die weitere Überwachung sind organisiert.

Für einen Shop kommen Warenkorb, Versand, Zahlungsanbindung und Bestellbestätigung hinzu. Führe Zahlungstests abgestimmt im Testmodus durch. Bestimme außerdem, wer nach der Freigabe Rückmeldungen sammelt und Auffälligkeiten verfolgt.

Wie lässt sich ein erneuter Befall erschweren?

Die WordPress-Empfehlungen zur Absicherung beschreiben Sicherheit als Verringerung von Risiken. Wichtige Bausteine sind gepflegte Software, vertrauenswürdige Bezugsquellen, begrenzte Zugriffe und geeignete Sicherungen. Einen vollständigen Schutz verspricht das nicht.

Übertrage diese Punkte in deinen Alltag: Wer kümmert sich um Updates? Wer prüft die Sicherungen? Wer reagiert auf eine Warnung? Eine feste Zuständigkeit ist hilfreicher als mehrere installierte Werkzeuge, deren Meldungen niemand bearbeitet. Für die regelmäßige Betreuung findest du unsere Leistungen zur WordPress-Wartung.

WordPress Malware gefunden und Unterstützung benötigt?

Wenn du den Befall nicht selbst sicher einschätzen kannst, unterstützen wir dich bei der Klärung und Bereinigung. Auf unserer Seite zur WordPress Malware-Bereinigung findest du den Ablauf und den Leistungsumfang.

Die WordPress Malware Entfernung ist als einmalige Leistung für eine Website für 490 € netto beziehungsweise 583,10 € inklusive 19 % Umsatzsteuer buchbar. Zugänge und Vorgehen stimmen wir mit dir ab. Darüber hinaus erforderliche Wiederherstellungsarbeiten besprechen wir vorab; laufende Wartung ist separat buchbar.

Stand: 11. November 2026. Das Beitragsbild ist eine KI-generierte Illustration.