Wenn eine WordPress-Website plötzlich Werbung einblendet, auf fremde Seiten weiterleitet oder von Google als „nicht sicher“ markiert wird, steckt fast immer Malware dahinter. Das ist unangenehm, aber in den meisten Fällen beherrschbar – vorausgesetzt, du gehst strukturiert vor. Dieser Ratgeber zeigt Schritt für Schritt, wie du Malware in WordPress erkennst, entfernst und dafür sorgst, dass sie nicht wiederkommt.
Woran erkenne ich, dass WordPress mit Malware infiziert ist?
Nicht jede Infektion ist auf den ersten Blick sichtbar – manche Schadsoftware arbeitet bewusst im Verborgenen. Typische Anzeichen sind:
- Unerwünschte Weiterleitungen auf fremde, oft dubiose Websites
- Werbung, Pop-ups oder Spam-Links, die du nie eingebaut hast
- Eine Warnung „Diese Seite kann deinem Computer schaden“ in den Google-Suchergebnissen oder im Browser
- Unbekannte Administrator-Konten im WordPress-Backend
- Plötzlich langsame Ladezeiten oder ungewöhnlich hohe Serverlast
- Vom Hoster gemeldete Auffälligkeiten oder eine gesperrte Website
- Fremde Dateien im Verzeichnis oder veränderte Kern-Dateien
Ein deutliches Warnsignal ist auch eine Meldung in der Google Search Console unter „Sicherheitsprobleme“. Taucht sie dort auf, hat Google die Infektion bereits erkannt – Handeln ist dann dringend.
Erster Schritt: Ruhe bewahren und Schaden begrenzen
Bevor du mit dem Aufräumen beginnst, geht es darum, die Ausbreitung zu stoppen und nichts unwiederbringlich kaputtzumachen:
- Seite in den Wartungsmodus setzen oder vorübergehend offline nehmen, damit Besucher nicht gefährdet werden und der Schaden sich nicht ausbreitet.
- Alle Passwörter ändern – WordPress-Admin, Datenbank, FTP/SFTP und den Hosting-Zugang. Ein kompromittiertes Passwort ist eine der häufigsten Eintrittspforten.
- Ein Backup des aktuellen (infizierten) Zustands anlegen, bevor du etwas löschst. Das klingt widersinnig, ist aber wichtig: Falls beim Bereinigen etwas schiefgeht, hast du einen Rückfallpunkt, und für eine spätere Analyse ist der Ausgangszustand nützlich.
WordPress Malware entfernen: die zuverlässigen Wege
Weg 1: Sauberes Backup einspielen
Wenn du ein Backup aus der Zeit vor der Infektion hast, ist das oft der schnellste und sicherste Weg. Wichtig dabei: Lösche vor dem Zurückspielen alle vorhandenen Dateien und die Datenbank vollständig, statt das Backup einfach darüberzuspielen. Sonst kann Schadcode, der im Backup nicht enthalten war, an anderer Stelle bestehen bleiben. Wie das Zurückspielen im Detail funktioniert, beschreibt der Beitrag zu WordPress-Backups. Der Haken: Du verlierst alle Änderungen und Inhalte, die nach dem Backup-Zeitpunkt entstanden sind – bei einem Shop etwa Bestellungen. Prüfe deshalb vorher, wie aktuell dein sauberes Backup ist.
Weg 2: Mit einem serverseitigen Malware-Scanner bereinigen
Läuft dein Hosting mit einer serverseitigen Sicherheitslösung, übernimmt diese einen Großteil der Arbeit. Ein Malware-Scanner wie Imunify360 durchsucht alle Dateien der Installation, erkennt bekannten Schadcode und kann viele Funde automatisch bereinigen oder in Quarantäne verschieben. Der Vorteil gegenüber einem reinen Plugin: Der Scan läuft auf Serverebene und erreicht auch Dateien, die ein Plugin innerhalb von WordPress nicht sauber prüfen kann. Wie ein solcher Schutz arbeitet, erklärt der Beitrag Imunify360 erklärt. Bei einem Hoster mit gutem Support lohnt sich im Ernstfall zudem eine kurze Rückfrage – häufig hilft das Support-Team bei der Auswertung der Funde.
Weg 3: Manuelle Bereinigung
Wenn kein sauberes Backup vorhanden ist und kein serverseitiger Scanner greift, bleibt die manuelle Bereinigung. Sie erfordert etwas technisches Verständnis, folgt aber einem klaren Muster:
- WordPress-Kern ersetzen: Lade eine frische Version von wordpress.org herunter und ersetze alle Kern-Dateien und -Verzeichnisse (außer
wp-contentundwp-config.php) durch die sauberen Originale. - Plugins und Themes prüfen: Ersetze alle Plugins und Themes durch frische Installationen aus offiziellen Quellen. Entferne alles, was du nicht aktiv nutzt, sowie sämtliche „nulled“ oder aus unseriösen Quellen bezogene Erweiterungen – sie sind eine der häufigsten Infektionsursachen.
- Uploads-Verzeichnis durchsuchen: Im Ordner
wp-content/uploadsgehören keine PHP-Dateien hin. Findest du dort welche, sind sie hochverdächtig. - Datenbank kontrollieren: Prüfe die Tabellen
wp_users(unbekannte Admin-Konten?) undwp_optionssowie Beiträge auf eingeschleuste Skripte oder Weiterleitungen. - Versteckte Dateien beachten: Schadcode versteckt sich gern in unscheinbaren Dateien wie einer manipulierten
.htaccessoder in Dateien mit harmlos klingenden Namen.
Diese Arbeit ist heikel: Übersieht man eine einzige infizierte Datei oder eine Backdoor, kommt die Malware zurück. Im Zweifel ist die Bereinigung über einen Scanner oder mit Unterstützung des Hosters der sicherere Weg.
Nach der Bereinigung: Infektion abschließen
Ist die Malware entfernt, gehört der Vorgang sauber abgeschlossen, damit nichts zurückbleibt:
- Erneut alle Passwörter ändern – auch die, die du zu Beginn schon geändert hast, falls die Infektion in der Zwischenzeit noch aktiv war.
- Alle installierten Plugins und Themes sowie den WordPress-Kern auf die aktuelle Version aktualisieren.
- Unbekannte Benutzerkonten löschen und die Salts/Sicherheitsschlüssel in der
wp-config.phperneuern, um bestehende Sitzungen zu beenden. - Bei einer Google-Sicherheitswarnung nach der Bereinigung in der Search Console eine erneute Überprüfung beantragen, damit die Warnung wieder verschwindet.
So beugst du einer erneuten Infektion vor
Die beste Malware-Entfernung ist die, die gar nicht nötig wird. Die wirksamsten Vorbeugemaßnahmen sind zugleich die Grundlagen jeder WordPress-Absicherung:
- WordPress-Kern, Plugins und Themes konsequent aktuell halten – veraltete Software ist die häufigste Einfallstür.
- Nur Erweiterungen aus offiziellen, seriösen Quellen installieren und „nulled“ Themes/Plugins strikt meiden.
- Starke, einmalige Passwörter und Zwei-Faktor-Authentifizierung nutzen.
- Regelmäßige, externe Backups einrichten, damit im Ernstfall ein sauberer Wiederherstellungspunkt bereitsteht.
- Ein Hosting mit serverseitiger Web Application Firewall und Malware-Schutz wählen, das Angriffe abfängt, bevor sie WordPress erreichen.
Eine vollständige Übersicht über sinnvolle Schutzmaßnahmen findest du in unserer Checkliste zum Absichern von WordPress. Wer beim Hosting bereits auf eine Lösung mit serverseitigem Schutz und automatischen Backups setzt – wie das WordPress-Hosting von turbopress –, senkt das Infektionsrisiko von vornherein deutlich und ist im Ernstfall schneller wieder online.
Häufige Fragen zu Malware in WordPress
Kann ich Malware mit einem kostenlosen Plugin entfernen?
Ein Sicherheits-Plugin kann bekannte Infektionen erkennen und teils bereinigen, arbeitet aber innerhalb von WordPress und erreicht nicht jede Datei auf Serverebene. Bei hartnäckigen oder tief sitzenden Infektionen ist ein serverseitiger Scanner oder das Einspielen eines sauberen Backups zuverlässiger.
Wie lange dauert es, WordPress von Malware zu befreien?
Das hängt vom Weg ab: Ein sauberes Backup ist oft in unter einer Stunde eingespielt, ein serverseitiger Scan läuft weitgehend automatisch. Eine vollständig manuelle Bereinigung kann dagegen mehrere Stunden dauern und birgt das Risiko, dass eine Backdoor übersehen wird.
Woher kommt Malware auf WordPress-Seiten überhaupt?
Die häufigsten Ursachen sind veraltete Plugins, Themes oder ein veralteter WordPress-Kern, unsichere oder gestohlene Zugangsdaten, „nulled“ bzw. gecrackte Erweiterungen aus unseriösen Quellen und – seltener – ein infizierter Rechner, mit dem man sich ins Backend einloggt.
Muss ich meine Seite nach einem Hack komplett neu aufbauen?
In den meisten Fällen nicht. Mit einem sauberen Backup oder einer gründlichen Bereinigung lässt sich die bestehende Seite retten. Ein kompletter Neuaufbau wird nur dann nötig, wenn kein sauberes Backup existiert und die Installation so tief kompromittiert ist, dass sich einzelne Backdoors nicht mehr zuverlässig ausschließen lassen.
