Sie öffnen eines Morgens Ihr Admin-Panel und sehen eine Weiterleitung auf eine Phishing-Seite. Oder Google kennzeichnet Ihre gesamte Suchanzeige rot: „Diese Website ist möglicherweise gehackt." Oder Ihr Hosting-Provider schickt eine E-Mail wegen übermäßiger Last, weil ein fremdes Skript Spam von Ihrem Server aus versendet.

Schadcode in WordPress meldet sich selten lautstark. Monatelang sammelt er still Passwörter, injiziert versteckte Links und schürft Krypto auf den Prozessoren der Besucher. Laut WordPress-Sicherheitsforschung stammen 96% der Schwachstellen im WordPress-Ökosystem aus Plugins und Themes, und die durchschnittliche Zeitspanne zwischen der Entdeckung einer Schwachstelle und ihrer aktiven Ausnutzung ist auf 48 Stunden gesunken. Ohne regelmäßige Scans erfahren Sie als Letzter von einem Problem, nachdem Suchmaschinen Ihre Domain gesperrt und Ihr Hoster Ihr Konto deaktiviert hat.

Die gute Nachricht: Jeder Administrator kann eine Website auf Viren und verdächtigen Code prüfen, ohne tiefgehende Cybersicherheitsexpertise. Sie brauchen nur das richtige Plugin und 15 Minuten Zeit. Nachfolgend finden Sie drei zentrale Werkzeuge, die diese Aufgabe übernehmen, sowie einen Schritt-für-Schritt-Plan, falls eine Infektion bereits bestätigt ist.

💡 Kurzüberblick:

• Installieren Sie den Sucuri Scanner für schnelle Dateiintegritätsprüfungen und Änderungsüberwachung; er vergleicht den aktuellen Stand der Core-Dateien und Plugins mit dem offiziellen Repository.
• Führen Sie Wordfence für Tiefenscans aus: Backdoors, schädliche URLs, bekannte Infektionssignaturen und eine integrierte Application-Level-Firewall.
• Nutzen Sie Anti-Malware Security (GOTMLS) für umfassende Scans aller Ordner und Dateien, einschließlich .htaccess und versteckter Verzeichnisse, mit manueller Überprüfung der Funde.
• Werden Viren entdeckt: Passwörter ändern → Backup erstellen → professionelle Bereinigung durchführen oder die Checkliste im letzten Abschnitt abarbeiten.

Anzeichen, dass Ihre WordPress-Seite einen Scan benötigt

Der beste Zeitpunkt für Ihren ersten Scan ist jetzt sofort. Die meisten Seitenbetreiber schieben die Installation eines Scanners „auf später" auf, während der Schadcode seine Arbeit verrichtet. Wöchentliches Scannen ist Basishygiene, genau wie Backups oder Updates.

Bestimmte Indikatoren erfordern jedoch einen sofortigen vollständigen Scan:

• Die Google Search Console sendet Warnungen zu schädlichen Inhalten oder Phishing-Seiten, die Sie nicht veröffentlicht haben.
• Ein plötzlicher Anstieg der Serverlast ohne Traffic-Wachstum: Ein fremdes Skript schürft Kryptowährung oder versendet Spam.
• Unbekannte Administratoren im Benutzerbereich, insbesondere mit Berechtigungen, die Sie nicht vergeben haben.
• Spontane Weiterleitungen auf Drittseiten, besonders bei Besuchern, die von Suchmaschinen kommen.
• Verdächtige Dateien im Wurzelverzeichnis der Website oder im Ordner /wp-content/uploads/ mit nicht standardgemäßen Endungen wie .php zwischen Bildern.
• Veränderte Core-Dateien, die Sie nicht angefasst haben: WordPress selbst benachrichtigt Sie darüber, wenn Sie ein Update versuchen.

Selbst wenn keines dieser Anzeichen auftritt, erkennt wöchentliches Scannen Bedrohungen bereits im Infiltrationsstadium, bevor sie Ihrer Reputation und Ihren Suchrankings schaden.

1. Sucuri Security: Integritätsaudit und Änderungsüberwachung

Sucuri ist eines der renommiertesten Werkzeuge im WordPress-Sicherheitsökosystem. Die kostenlose Plugin-Version deckt drei Kernaufgaben ab: Dateiintegritätsüberwachung (Hash-Abgleich mit dem Repository-Standard), Erkennung verdächtigen Codes und strikte Blockierung mehrerer Angriffsvektoren durch Security Hardening.

Das Plugin scannt Core-Dateien, Themes und Plugins auf Abweichungen von den offiziellen Versionen. Wurde eine Datei verändert, sehen Sie die konkrete Zeile und können entscheiden, ob es sich um eine legitime Bearbeitung oder eine Injektion handelt. Sucuri prüft zudem auf versteckte Iframes, schädliche Links in Inhalten und anomale Aktivitäten in Zugriffsprotokollen.

Vorteile:

• Kostenlose Integritätsprüfung und Änderungsüberwachung ohne Einschränkungen.
• Kostenpflichtige Tarife enthalten eine DNS-Firewall, die Angriffe blockiert, bevor sie Ihren Server erreichen; dies ist effektiver als Application-Level-Firewalls.
• Kostenpflichtige Tarife beinhalten die manuelle Bereinigung der Website durch Sucuri-Spezialisten ohne Zusatzkosten, was für Unternehmen entscheidend ist.

Nachteile:

• Firewall und Malware-Entfernung sind nur in der kostenpflichtigen Version verfügbar (ab 199 $ pro Jahr).
• Das kostenlose Plugin entfernt erkannte Bedrohungen nicht automatisch; Sie müssen manuell eingreifen.

Sucuri auf WordPress.org | Offizielle Sucuri-Website

2. Wordfence: Tiefenscan und Application-Level-Firewall

Wordfence ist auf mehr als 4 Millionen Websites installiert und zählt zu den fünf am häufigsten heruntergeladenen WordPress-Plugins aller Zeiten. Der Hauptvorteil liegt in der Kombination aus einem tiefgehenden Scanner und einer Endpoint-Firewall in einem kostenlosen Plugin.

Der Wordfence-Scanner gleicht Core-Dateien, Themes und Plugins mit dem offiziellen Repository ab, sucht nach bekannten Malware-Signaturen, Backdoors (eval, base64_decode) und verdächtigen URLs in Inhalten und Kommentaren. Nach Abschluss des Scans erhalten Sie einen Bericht mit gruppierten Funden: kritisch, Warnungen und informativ.

Die Firewall arbeitet auf Anwendungsebene: Sie analysiert eingehende Anfragen, bevor WordPress sie verarbeitet, und blockiert Brute-Force-Angriffe, Schwachstellen-Scans und Exploit-Versuche, die auf bekannte Plugin-Lücken abzielen. Die Premium-Version ergänzt dies um Echtzeit-Bedrohungssignaturen (Regeln werden sofort aktualisiert, nicht mit 30 Tagen Verzögerung).

Vorteile:

• Tiefenscan und Firewall sind kostenlos; eine Seltenheit im Markt.
• Automatische Reparatur veränderter Core- und Plugin-Dateien: Ein-Klick-Ersatz durch das Original aus dem Repository.
• Detaillierte Berichte mit Handlungsempfehlungen für jeden Eintrag.

Nachteile:

• Die kostenlose Version erhält Firewall-Signaturen mit 30 Tagen Verzögerung; zahlende Nutzer sehen neue Regeln sofort.
• Eine Application-Level-Firewall läuft innerhalb von WordPress: Ist der Server auf Hosting-Ebene kompromittiert, kann Wordfence nicht helfen.

Wordfence auf WordPress.org | Wordfence-Website

3. Anti-Malware Security (GOTMLS): umfassender dateiweiser Scan

Anti-Malware Security von GOTMLS ist ein weniger bekannter, aber äußerst gründlicher Scanner. Er beschränkt sich nicht auf die Standardverzeichnisse von WordPress: Das Plugin prüft alle Dateien und Ordner in Ihrer Installation, einschließlich .htaccess, versteckter Verzeichnisse und Server-Konfigurationsdateien.

Der Algorithmus sucht nach bekannten Infektionsmustern, bösartigen Skripten, verschleiertem Code, versteckten eval-Injektionen und Anomalien in der Dateistruktur. Der Autor aktualisiert die Definitionsdatenbank aktiv: Neue Signaturen erscheinen, sobald frische Bedrohungen in freier Wildbahn entdeckt werden.

Der wichtigste Aspekt ist die hohe Sensitivität. Das Plugin erzeugt häufig False Positives, insbesondere bei individuellen Themes und Plugins mit nicht standardmäßiger Architektur. Jeder Fund erfordert einen manuellen Abgleich mit dem Original, was ein gewisses Maß an technischem Know-how und Zeit voraussetzt.

Vorteile:

• Scannt alle Server-Verzeichnisse, nicht nur WordPress.
• Aktiv gepflegte Malware-Definitionen; die Datenbank wird wöchentlich gewartet und erweitert.
• Enthält eine Application-Level-Firewall-Option in der kostenlosen Version.

Nachteile:

• Viele False Positives: Eine manuelle Überprüfung der Funde ist unvermeidlich.
• Die Oberfläche ist spartanisch; die Berichte sind weniger detailliert als bei Wordfence oder Sucuri.
• Setzt voraus, dass der Administrator die WordPress-Dateistruktur versteht.

Anti-Malware Security auf WordPress.org

Was zu tun ist, wenn der Scanner Viren findet: Schritt-für-Schritt-Bereinigungsplan

Der Scanner zeigt kritische Funde. Kein Grund zur Panik. Methodisches Vorgehen mit kühlem Kopf stellt Ihre Website schneller wieder her als planloses Löschen von Dateien.

Schritt 1: Alle Passwörter ändern. Aktualisieren Sie umgehend die WordPress-Administratorkonten, den Zugang zum Hosting-Panel, die FTP-/SFTP-Zugangsdaten und das Datenbankpasswort. Hat sich der Angreifer über ein kompromittiertes Passwort Zugang verschafft, beendet dieser Schritt seine Sitzung.

Schritt 2: Ein vollständiges Backup erstellen. Kopieren Sie die Dateien per FTP und die Datenbank per phpMyAdmin, auch wenn sie infiziert sind. Falls bei der Bereinigung etwas schiefgeht, haben Sie einen Wiederherstellungspunkt. Erstellen Sie das Backup vor allen anderen Maßnahmen.

Schritt 3: Die Website isolieren. Aktivieren Sie den Wartungsmodus über ein Plugin oder .maintenance. Sofern Ihr Hosting es erlaubt, beschränken Sie den Zugriff temporär per IP auf Ihre eigene. Das verhindert eine weitere Verbreitung der Infektion auf Besucher.

Schritt 4: Professionelle Bereinigung beauftragen. Hier ist nicht der Ort, um Kosten zu sparen. Dienste wie Sucuri (im Rahmen kostenpflichtiger Tarife) und Wordfence Care beinhalten eine manuelle Bereinigung durch Spezialisten: Diese finden und entfernen alle Spuren des Hacks, einschließlich versteckter Backdoors, die ein ungeübtes Auge übersehen würde. Kosten: von 199 USD pro Jahr (Sucuri) bis 490 USD pro Jahr (Wordfence Care), vergleichbar mit ein bis zwei Tagen Geschäftsausfall.

Schritt 5: Selbst bereinigen (wenn Sie sich Ihrer Fähigkeiten sicher sind). Stellen Sie den WordPress-Core aus einer frischen Distribution wieder her, ersetzen Sie alle Plugins und Themes durch Originalversionen aus dem Repository, prüfen Sie /wp-content/uploads/ manuell auf PHP-Dateien und entfernen Sie alles, was dort nicht hingehört. Führen Sie nach der Bereinigung einen weiteren Scan durch: Die Website sollte sauber sein.

Schritt 6: Die Abwehr verstärken. Richten Sie eine Zwei-Faktor-Authentifizierung für alle Administratoren ein, begrenzen Sie Anmeldeversuche, deaktivieren Sie XML-RPC, falls Sie es nicht benötigen, und konfigurieren Sie automatische Updates für Core-Dateien und Plugins. Eine Firewall auf DNS-Ebene (Sucuri oder Cloudflare) bietet eine zusätzliche Verteidigungsschicht vor Ihrem Server.

⁉️🤔 Häufig gestellte Fragen

Reichen kostenlose Plugins für den Schutz aus oder ist eine Premium-Version erforderlich?

Die kostenlosen Versionen von Wordfence und Sucuri Scanner bewältigen die Bedrohungserkennung gut; sie finden die meisten Infektionen. Automatische Entfernung, Echtzeit-Firewall und manuelle Bereinigung durch Spezialisten sind jedoch nur in kostenpflichtigen Stufen verfügbar. Wenn Ihre Website Umsatz generiert, amortisiert sich Premium mit dem ersten verhinderten Angriff.

Wie oft sollte ich Scans durchführen?

Wöchentlich ist die minimale Hygiene für jede WordPress-Website. Wenn Sie aktiv neue Plugins installieren oder nutzergenerierte Inhalte zulassen, ist es besser, ein tägliches automatisches Scannen in Wordfence oder Sucuri einzurichten. Beide Plugins können Berichte per E-Mail versenden.

Kann ich zwei Scanner gleichzeitig verwenden?

Technisch ja, aber in der Praxis können die Firewalls zweier Plugins in Konflikt geraten, und doppeltes Scannen erzeugt unnötige Serverlast. Das optimale Setup: ein primäres Plugin mit Firewall (Wordfence) plus eine regelmäßige Gegenprüfung mit einem zweiten Scanner (Sucuri Free oder GOTMLS) einmal im Monat für eine Zweitmeinung.

Was tun, wenn nach der Bereinigung erneut Schadcode auftaucht?

Eine erneute Infektion nach der Bereinigung deutet auf eine verbliebene Backdoor hin. Prüfen Sie wp-config.php auf unbekannte Konstanten, den Ordner /wp-content/mu-plugins auf versteckte Must-Use-Plugins und Cron-Jobs per WP-CLI (wp cron event list). Setzen Sie alle API-Schlüssel und Salts in wp-config.php zurück. Besteht das Problem nach diesen Schritten weiterhin, beauftragen Sie Spezialisten von Sucuri oder Wordfence: Eine ausgefeilte Backdoor auf eigene Faust zu jagen, kann Tage dauern.

Beeinträchtigt ein Sicherheits-Plugin die Geschwindigkeit der Website?

Eine Firewall auf DNS-Ebene (Sucuri, Cloudflare) beschleunigt Ihre Website durch Caching und CDN sogar, da Anfragen Ihren Server nicht erreichen. Eine Firewall auf Anwendungsebene (Wordfence) fügt der Anfrageverarbeitung auf nicht zwischengespeicherten Seiten 50-150 ms hinzu. Geplante Scans belasten den Server nur während der Ausführung (meist nachts), ohne Auswirkungen auf Besucher.

Sollten Sie Ihre Website manuell scannen oder einem Plugin vertrauen?

Jede PHP-Datei manuell auf Backdoors zu prüfen, ist möglich, aber sinnlos: Moderner Schadcode tarnt sich als legitime Konstrukte, nutzt mehrstufige Verschleierung und versteckt sich in base64-Zeichenketten innerhalb von Mediendateien. Ein Scanner-Plugin mit aktiver Signaturdatenbank erledigt diese Arbeit in Sekunden und übersieht keine bekannten Muster.

In der Praxis sieht der optimale Stack für die meisten Websites so aus: Wordfence als primärer Scanner und Firewall (tiefgehende Scans, sofortige Benachrichtigungen, automatische Core-Datei-Reparatur kostenlos), plus Sucuri Free zur monatlichen Integritäts-Gegenprüfung. Wenn das Budget es erlaubt, nimmt Ihnen die Sucuri-Plattform für 199 USD/Jahr alle Sorgen ab: DNS-Firewall, Überwachung, Malware-Entfernung und CDN in einem Paket.

Führen Sie noch heute Ihren ersten Scan durch. Selbst wenn die Website sauber ist, schaffen Sie eine Basislinie, einen Referenzpunkt für alle künftigen Prüfungen. Und wenn der Scanner ein Problem findet, wissen Sie davon, bevor Google es erfährt.