WordPress Malware-Entfernung

Gibt es auf Ihrer WordPress-Website unautorisierte Weiterleitungen, schädliche PHP-Dateien, in die Datenbank eingeschleusten fremden Code oder Sicherheitssperren durch Ihren Hosting-Anbieter? Unsere WordPress-Malware-Entfernung sorgt dafür, dass schädliche Software (Malware), Hintertüren (Backdoors) und Spam-Code auf Ihrer Website technisch erkannt und vollständig aus dem System entfernt werden.

Dieser Vorgang beschränkt sich nicht darauf, ein einfaches Sicherheits-Plugin zu installieren und eine automatische Prüfung zu starten. Verborgener Code, den automatisierte Werkzeuge übersehen, Manipulationen an wp-config.php oder .htaccess, in Datenbanktabellen eingebettete Skripte sowie geplante Aufgaben (Cron Jobs), die auf dem Server eine erneute Infektion auslösen, werden einzeln geprüft. Ziel ist es, Ihre Website ohne Datenverlust zu bereinigen, Ihre Sichtbarkeit in Suchmaschinen wiederherzustellen und die Einstiegspunkte der Angreifer zu schließen.

Anzeichen dafür, dass Ihre WordPress-Website mit Schadsoftware infiziert ist

Schadsoftware führt häufig nicht sofort zum Absturz der Website. Angreifer zielen meist darauf ab, Ihre Website in ein Netzwerk zur Verbreitung von Spam umzuwandeln, Ressourcen zu verbrauchen oder Ihren Traffic auf andere Plattformen umzuleiten.

Folgende Symptome deuten auf eine aktive Infektion hin:

• Schädliche Weiterleitungen (Redirect Malware): Besucher, insbesondere solche, die über Google-Suchergebnisse oder mobile Geräte kommen, werden auf Wettseiten, gefälschte Support-Seiten oder Seiten mit nicht jugendfreien Inhalten weitergeleitet.
• Spam-Seiten im Google-Index (Japanese SEO Spam / Pharma Hack): In den Suchergebnissen erscheinen Tausende Einträge, die Ihrer Website zugeordnet werden, aber japanische, chinesische Schriftzeichen oder gefälschte Produktnamen enthalten.
• Sperrung des Hosting-Kontos: Übermäßige CPU- und RAM-Auslastung, unautorisierter Versand von Spam-E-Mails oder eine Warnung durch serverseitige Virenscanner führen dazu, dass die Website den Status "Resource Limit Exceeded" oder "Account Suspended" erhält.
• Warnungen von Suchmaschinen und Browsern: Im Google Chrome- oder Firefox-Fenster erscheint die rote Meldung "Sie sind im Begriff, eine betrügerische Website zu besuchen" (Deceptive Site Ahead) oder in den Suchergebnissen der Hinweis "Diese Website wurde möglicherweise gehackt".
• Verdächtige PHP-Dateien im uploads-Verzeichnis: Im Ordner wp-content/uploads/, der ausschließlich Bild- und Mediendateien enthalten sollte, befinden sich .php-Dateien, als Icons getarnte Skripte (.ico) oder direkt ausführbare Dateien.
• Unautorisierte Administratorkonten: Im WordPress-Adminbereich tauchen ohne Ihr Wissen neue Administratoren mit Namen wie "admin", "system", "backup" oder komplexen Zeichenfolgen auf.
• Kritische Dateien werden manipuliert: Der Inhalt von .htaccess oder index.php wird zwar bereinigt, nimmt aber innerhalb weniger Minuten erneut die schädliche Form an.
• Unerwartete Einbrüche beim Traffic: Suchmaschinen strafen Websites ab, die schädlichen Code enthalten, sodass der organische Suchverkehr plötzlich auf null sinkt.

Warum automatische Plugins allein nicht ausreichen

Gängige Sicherheits-Plugins prüfen auf bekannte Datei-Signaturen. Bei fortgeschrittenen Angriffen sind die Codes jedoch mehrstufig verschlüsselt (Obfuscation) mit Funktionen wie base64_decode, gzinflate oder str_rot13 oder sie sind zwischen legitimen WordPress-Kernfunktionen versteckt.

Zudem hinterlassen Angreifer in der Regel nicht nur eine einzige schädliche Datei, sondern mehrere Backdoors (Hintertüren), die an verschiedenen Stellen der Website versteckt sind. Wird bei der Bereinigung auch nur eine dieser Hintertüren übersehen oder läuft auf dem Server eine gefälschte Cron-Aufgabe weiter, werden die entfernten schädlichen Dateien innerhalb weniger Stunden neu erzeugt. Eine dauerhafte Bereinigung erfordert daher eine gründliche manuelle Prüfung des Dateisystems und der Datenbank.

Leistungsumfang der WordPress-Malware-Entfernung

Je nach Ausbreitung der Infektion erfolgt die technische Bearbeitung in drei Hauptbereichen: Dateisystem, Systemarchitektur und Datenbank.

1. Wiederherstellung der WordPress-Kerndateien

Die originalen Systemdateien von WordPress (insbesondere die Verzeichnisse wp-includes und wp-admin) werden mit den offiziellen Versionen aus der Bibliothek von WordPress.org verglichen (Checksummen-Prüfung). Alle fremden Codeblöcke, die in die Originaldateien eingefügt wurden, werden entfernt, und veränderte oder beschädigte Kerndateien werden durch vertrauenswürdige Quelldateien ersetzt.

2. Analyse von Backdoors und Web Shells

Shell-Skripte wie C99, R57, WSO oder individuell programmierte PHP-Shells, die das Hochladen von Dateien, das Ausführen von Serverbefehlen oder das Umgehen von Passwörtern ermöglichen, werden erkannt und gelöscht. Zum Auffinden versteckter Hintertüren werden Änderungsdaten, Berechtigungen und Auffälligkeiten der Dateien analysiert.

3. Prüfung von Themes und Plugins

Die eingesetzten Themes und Plugins werden überprüft. Verborgene Umgehungen der Lizenzprüfung, Skripte zur Remote-Code-Ausführung (RCE) sowie gefälschte Update-Mechanismen, die in Komponenten aus nicht vertrauenswürdigen Quellen (Nulled/Warez) enthalten sind, werden entfernt. In originale Plugins eingeschleuster Schadcode wird herausgelöst, ohne die Funktionsstruktur zu beschädigen.

4. Entfernung schädlicher Weiterleitungen (Redirects)

JavaScript-Injektionen, .htaccess-Regeln und Weiterleitungsmechanismen auf PHP-Ebene, die Besucher auf externe Websites schicken, werden beseitigt. Bedingte Weiterleitungen, die nur für mobile Nutzer oder Suchmaschinen-Bots ausgelöst werden, werden in Testumgebungen verifiziert und behoben.

5. Bereinigung der Datenbank (MySQL)

Eine Infektion befindet sich nicht immer nur in den Dateien. Verdächtige <iframe>-Elemente, externe <script>-Einbindungen oder Base64-Codes in den Optionen der Tabelle wp_options, in Website-Titeln, im Feld active_plugins sowie in Beiträgen der Tabelle wp_posts werden bereinigt. Fremde Einträge werden auf Datenbankebene entfernt, wobei die Integrität der Datenbank erhalten bleibt.

6. Entfernung von SEO-Spam und gefälschten Seiten

Gefälschte Blogbeiträge, Kategorien oder Schlagwörter, die Angreifer erstellt haben, um Platzierungen in Suchmaschinen zu erzielen, werden gelöscht. Die notwendige Konfiguration mit dem HTTP-Status 410 (Gone) wird vorbereitet, damit Suchmaschinen diese Seiten zügig aus ihrem Index entfernen.

7. Prüfung auf unautorisierte Benutzer und Aufgaben

In den Tabellen wp_users und wp_usermeta werden Administratorkonten mit erweiterten oder verborgenen Rechten identifiziert und gelöscht. Serverbasierte Cron-Aufgaben sowie geplante WordPress-Aktionen (wp_cron), die schädliche Dateien im Hintergrund erneut herunterladen, werden beendet.

Wiederherstellung gehackter WordPress-Websites

Wenn Ihre Website gehackt wurde oder nur noch einen weißen Bildschirm anzeigt, bedeutet das nicht zwingend, dass Sie eine komplett neue Website erstellen lassen müssen. Solange Ihre Datenbanktabellen (Produkte, Blogbeiträge, Benutzerkonten, Bestellungen) vorhanden sind, ist eine technische Wiederherstellung in der Regel möglich.

Im Rahmen der Prüfung wird zunächst eine Sicherung des aktuellen Stands erstellt, anschließend werden die schädlichen Komponenten sicher isoliert und die Website wird unter Beibehaltung ihres aktuellen Designs und ihrer Funktionen wieder in Betrieb genommen. Auch wenn der Zugang zum Administrationsbereich verloren gegangen ist oder ein Datenbankverbindungsfehler auftritt, greifen wir direkt auf Serverebene ein.

Aufhebung von Sicherheitswarnungen und Strafen der Suchmaschinen

Die Entfernung des Schadcodes von Ihrer Website ist der erste Schritt; der zweite Schritt besteht darin, Ihre digitale Reputation wiederherzustellen.

• Google-Sicherheitsprüfung (Search Console): Nachdem die Viren vollständig entfernt wurden, wird über die Google Search Console ein Antrag auf Prüfung der Sicherheitsprobleme gestellt. Die durchgeführte Bereinigung wird dokumentiert, damit die rote Warnseite aufgehoben wird.
• Reaktivierung des Hosting-Kontos: Dem Hosting-Anbieter, der Ihr Konto gesperrt hat, legen wir einen Bereinigungsbericht vor, damit die Sperrung aufgehoben und der Serververkehr wieder freigegeben wird.
• Prüfung auf Blacklists: Sicherheitsdatenbanken, die Ihre Domain als Spam- oder Schadquelle markiert haben (z. B. Norton Safe Web, McAfee, Spamhaus), werden überprüft und die erforderlichen Meldungen eingereicht.

Verringerung des Risikos einer erneuten Infektion nach der Bereinigung

Die Bereinigung von Schadsoftware ist nur eine vorübergehende Lösung, solange die Tür, durch die der Angreifer eingedrungen ist, nicht geschlossen wird. Unmittelbar nach der Bereinigung werden daher grundlegende Härtungsmaßnahmen umgesetzt, damit die Website nicht erneut über dieselbe Schwachstelle angegriffen wird:

1. Erneuerung der Sicherheitsschlüssel (Salts): Die geheimen Salt-Schlüssel in der Datei wp-config.php werden erneuert, sodass alle nicht autorisierten Sitzungen beendet werden.
2. Erneuerung wichtiger Zugangsdaten: Passwörter für FTP, cPanel/Plesk, Datenbank und WordPress-Administratoren werden durch praktisch nicht erratbare Kombinationen ersetzt.
3. Blockierung von PHP im uploads-Verzeichnis: Die Ausführung von .php-Dateien im Ordner, in dem Bilder gespeichert werden, wird auf Serverebene unterbunden. Dadurch kann eine künftige Sicherheitslücke beim Datei-Upload keine Backdoor mehr ausführen.
4. Anpassung der Dateiberechtigungen: Für Ordner gilt der Standard 755, für Dateien 644, wodurch unerlaubtes Schreiben in Dateien erschwert wird.
5. Einschränkung von XML-RPC und unsicheren Zugängen: Das XML-RPC-Protokoll, das bei Brute-Force-Angriffen häufig missbraucht wird, sowie verdächtige Bot-Anfragen werden gefiltert.
6. Identifizierung anfälliger Plugins: Es wird analysiert, über welches Plugin oder welche Lücke der Angriff erfolgt ist. Riskante Plugins werden durch Alternativen ersetzt oder auf eine sichere Version aktualisiert.

Ablauf des Prozesses

1. Sicherung und Isolation: Vor Beginn jeglicher Dateiarbeiten wird eine vollständige Sicherung des bestehenden Systems erstellt. Um zu verhindern, dass sich die Infektion weiter verbreitet oder Serverressourcen verbraucht, kann die Website kontrolliert in den Wartungsmodus versetzt werden.
2. Gründliche Prüfung und Analyse: Sämtliche PHP-, JS- und HTML-Dateien im Dateisystem sowie die MySQL-Datenbank werden durchsucht. Codemanipulationen werden erkannt.
3. Manuelle Code-Bereinigung: Die erkannten schädlichen Codes, Weiterleitungen und versteckten Administratoren werden entfernt. Beschädigte Kerndateien werden repariert.
4. Sicherheitshärtung: Die Sicherheitslücke, über die der Angreifer eingedrungen ist, wird geschlossen, die Zugangswege werden eingeschränkt und die Sicherheitseinstellungen werden konfiguriert.
5. Funktions- und Live-Tests: Nach der Bereinigung werden die grundlegenden Funktionen der Website (Formulare, Warenkorb, Bezahlvorgänge, Benutzeranmeldungen) getestet.
6. Prüfanträge: Falls Einschränkungen seitens Google Search Console oder des Hosting-Anbieters bestehen, wird das Verfahren zur Aufhebung dieser Einschränkungen eingeleitet.