WordPress Malware erkennen und entfernen: Website sicher bereinigen

WordPress-Malware besteht nicht immer aus einer offensichtlich verdächtigen Datei. Angreifer können vorhandene PHP-Dateien verändern, zusätzliche Backdoors anlegen, JavaScript einschleusen, Spam-Seiten erzeugen, Weiterleitungen einrichten oder neue Administratoren anlegen. Eine Website kann deshalb nach dem Löschen einer einzelnen schädlichen Datei weiterhin kompromittiert sein. Eine zuverlässige Bereinigung muss drei Fragen beantworten: Welche Komponenten wurden verändert, wie konnte der Angreifer Zugriff erhalten und sind nach der Bereinigung noch Zugänge oder Backdoors vorhanden?

Woran erkennt man Malware in WordPress?

Eine kompromittierte Website zeigt nicht zwingend eine Fehlermeldung. Hinweise können nur bestimmte Besucher, mobile Geräte oder Suchmaschinen sehen. Auch ein einzelner Scanner-Fund beweist noch keine Infektion: Eine Datei kann durch ein Update, einen Entwickler, ein Plugin, ein Theme oder das Hosting-System verändert worden sein. Funde müssen deshalb immer im Zusammenhang mit Zeitpunkt, Dateipfad, Codeinhalt und bekannten Änderungen bewertet werden.

• unbekannte Weiterleitungen
• Spam-Seiten in Google
• fremde Links oder Inhalte
• neue Administrator-Benutzer
• unbekannte PHP-Dateien
• veränderte WordPress-Core-Dateien
• Sicherheitswarnung des Hosting-Anbieters
• Browser- oder Suchmaschinenwarnung
• plötzlich sehr hoher Ressourcenverbrauch
• ungewöhnliche Server- oder PHP-Logs
• Änderungen an .htaccess
• unbekannte JavaScript-Dateien oder Script-Einbindungen
• unerwarteter Spam-Versand durch die Website
• Dateien verändern sich nach einer Bereinigung erneut

Sofortmaßnahmen vor der Bereinigung

Wenn eine aktive Infektion bestätigt oder sehr wahrscheinlich ist, sollte verhindert werden, dass Besucher weiterhin gefährdet werden oder die Website für Spam, Weiterleitungen oder Schadcode missbraucht wird. Je nach Situation können Sie die Website vorübergehend sperren oder in einen Wartungsmodus versetzen, den Hoster informieren, ein aktuelles Backup von Dateien und Datenbank erstellen, Server- und Access-Logs sichern und den Zeitpunkt erster Auffälligkeiten dokumentieren. Sicherheitswarnungen sollten ebenfalls als Beleg erhalten bleiben.

Für die ersten Schritte nach einem Angriff hilft WordPress gehackt: erste Schritte. Wie Dateien und Datenbank grundsätzlich gesichert werden, zeigt die WordPress Backup.

Schritt 1: WordPress-Core und Dateien prüfen

WordPress-Core-Dateien eignen sich besonders gut für einen Integritätsvergleich, da für offizielle WordPress-Versionen Prüfsummen verfügbar sind.

wp core verify-checksums

Der Befehl vergleicht installierte WordPress-Core-Dateien mit den offiziellen Prüfsummen der entsprechenden Version. Mit --include-root können zusätzlich Dateien im Root-Verzeichnis auffallen, die nicht zum Core gehören. Eine Abweichung bedeutet jedoch nicht automatisch Malware. wp-config.php, .htaccess, Hosting-Dateien, eigene Verifikationsdateien und individuell angelegte Dateien können legitim sein.

• wp-admin prüfen
• wp-includes prüfen
• WordPress-Root prüfen
• wp-config.php prüfen
• .htaccess prüfen
• ungewöhnliche PHP-Dateien identifizieren

Ergänzend ist eine WordPress Sicherheit-Prüfung sinnvoll, damit nach der Bereinigung nicht nur die Dateien, sondern auch die Schutzmaßnahmen bewertet werden.

Schritt 2: Plugins und Themes kontrollieren

Plugins und Themes können verändert oder durch verwundbare Versionen zum Einstiegspunkt werden. Für Plugins aus WordPress.org kann WP-CLI Prüfsummen vergleichen:

wp plugin verify-checksums --all

Der Befehl funktioniert für Plugins, für die passende Prüfsummen über WordPress.org verfügbar sind. Premium-Plugins, individuelle Plugins und alle kommerziellen Erweiterungen werden damit nicht automatisch zuverlässig geprüft. Solche Komponenten müssen mit einer sauberen Originalversion des Herstellers oder Entwicklers verglichen werden.

• unbekannte Plugin-Verzeichnisse
• geänderte PHP-Dateien
• ungewöhnliche Dateien
• längst deaktivierte Plugins
• veraltete Plugins
• bekannte Sicherheitslücken
• individuelle Anpassungen
• aktives Theme und Child Theme
• functions.php
• unbekannte PHP-Dateien
• Header- und Footer-Code
• JavaScript-Einbindungen

Schritt 3: Uploads und unbekannte PHP-Dateien untersuchen

Der Upload-Ordner enthält normalerweise Bilder, Dokumente und andere Medien. PHP-Dateien in einem Medienverzeichnis verdienen deshalb besondere Aufmerksamkeit, sind aber nicht automatisch Schadcode. Einige Erweiterungen können ungewöhnliche Dateistrukturen erzeugen. Gefundene Dateien müssen anhand von Inhalt, Herkunft, Änderungszeit und Verwendung geprüft werden.

find wp-content/uploads -type f -name "*.php" -print

Der Befehl listet PHP-Dateien im Upload-Verzeichnis auf. Zusätzlich kann es hilfreich sein, kürzlich veränderte PHP-Dateien zu identifizieren:

find . -type f -name "*.php" -mtime -7 -print

Die Zahl 7 ist nur ein Beispiel und kann an den vermuteten Angriffszeitraum angepasst werden. Ein neuer Zeitstempel beweist keinen Angriff, weil Updates ebenfalls Dateien ändern. Achten Sie auf unbekannte Dateinamen, PHP-Dateien in ungewöhnlichen Verzeichnissen, wiederkehrende Dateien, unbekannte Include- oder Require-Aufrufe, unerwartete externe Domains und stark verschleierten Code. Schadcode sollte nicht anhand einzelner Suchbegriffe, sondern im technischen Kontext bewertet werden.

Schritt 4: Datenbank und Administratoren prüfen

Nicht jede WordPress-Infektion befindet sich ausschließlich im Dateisystem. Schädliche Inhalte können in Beiträgen, Seiten, Widgets, Optionen, Plugin-Einstellungen, Benutzerkonten, Benutzer-Metadaten oder Weiterleitungsregeln gespeichert sein.

wp user list --role=administrator

Jedes Administrator-Konto muss nachvollziehbar sein. Prüfen Sie unbekannte Administratoren, kürzlich erstellte Benutzer, unbekannte E-Mail-Adressen und unerwartete Rollenänderungen. In der Datenbank sollten außerdem Spam-Links, unbekannte Script-Tags, externe URLs, geänderte Site-Einstellungen und unbekannte Plugin-Optionen kontrolliert werden. Pauschale SQL-DELETE- oder UPDATE-Befehle sind riskant, weil sie legitime Inhalte und Konfigurationen beschädigen können.

Schritt 5: Malware und Backdoors sicher entfernen

Nach der Analyse müssen gefundene Veränderungen nach Typ behandelt werden. Beschädigte oder manipulierte Core-Dateien sollten aus einer sauberen, zur installierten Version passenden WordPress-Version ersetzt werden. wp-content und wp-config.php dürfen dabei nicht pauschal überschrieben werden. Plugins sollten möglichst sauber vom ursprünglichen Anbieter neu installiert werden. Bei Themes müssen individuelle Anpassungen vor dem Ersetzen gesichert und bewertet werden. Unbekannte Dateien dürfen nur entfernt werden, wenn geklärt ist, dass sie nicht zum Hoster oder zu einer legitimen Erweiterung gehören. Aus der Datenbank werden nur bestätigte schädliche Einträge entfernt.

Eine Backdoor ermöglicht einem Angreifer erneuten Zugriff, auch wenn sichtbarer Schadcode bereits gelöscht wurde. Kontrollieren Sie deshalb unbekannte PHP-Dateien, manipulierte Plugin- und Theme-Dateien, mu-plugins, wp-config.php, Root-Dateien, unerwartete Administratoren, geplante Aufgaben oder Cronjobs sowie externe Script-Einbindungen. Schädliche Backdoor-Codebeispiele gehören nicht in eine Bereinigungsanleitung.

Bei umfangreichen oder wiederkehrenden Infektionen kann eine professionelle WordPress-Malware-Entfernung sinnvoll sein, da Dateisystem, Datenbank, Benutzer und ursprüngliches Einfallstor gemeinsam geprüft werden müssen.

Schritt 6: Zugangsdaten und Sitzungen absichern

Nach bestätigter Kompromittierung sollten relevante Zugänge kontrolliert erneuert werden. Dazu gehören je nach Angriff WordPress-Administratoren, Hosting-Konto, SFTP oder FTP, SSH, Datenbank, Deployment-Zugänge, API-Schlüssel und verbundene Dienste. Wenn das Datenbank-Passwort geändert wird, muss der passende Wert in wp-config.php aktualisiert werden, sonst verliert WordPress die Datenbankverbindung.

Erneuern Sie zusätzlich die WordPress-Sicherheitsschlüssel und Salts über eine vertrauenswürdige Quelle. Dadurch werden bestehende WordPress-Anmeldesitzungen beendet und Benutzer müssen sich erneut anmelden. Feste Salt-Werte gehören nicht in den Artikel.

Schritt 7: Ursache schließen und Neuinfektion verhindern

Eine bereinigte Website bleibt gefährdet, wenn das ursprüngliche Einfallstor weiterhin offen ist. Prüfen Sie WordPress-, Plugin- und Theme-Versionen, bekannte Schwachstellen, nicht mehr benötigte Erweiterungen, Administratoren, schwache oder mehrfach verwendete Passwörter, fehlende Zwei-Faktor-Authentifizierung, Datei- und Serverrechte, die PHP-Version sowie Hosting- und Serverkonfiguration.

• WordPress Core aktualisieren
• Plugins aktualisieren
• Themes aktualisieren
• PHP kompatibel aktualisieren
• nicht mehr benötigte Komponenten entfernen
• Administratorrechte reduzieren
• Zwei-Faktor-Authentifizierung einsetzen
• Datei- und Serverrechte prüfen
• Serverkonfiguration prüfen
• Backups und Wiederherstellung testen

Updates allein verhindern nicht jede Malware. Entscheidend ist, die konkrete Schwachstelle zu schließen, unnötige Komponenten zu entfernen, Zugänge zu begrenzen und die Installation anschließend zu beobachten. Eine ergänzende WordPress Sicherheit hilft bei der nachhaltigen Absicherung.

Nach der Bereinigung: Website erneut prüfen

Eine Bereinigung sollte niemals direkt nach dem Löschen der ersten gefundenen Datei als abgeschlossen betrachtet werden. Führen Sie die Integritätsprüfungen und einen vollständigen Malware-Scan erneut durch:

wp core verify-checksums
wp plugin verify-checksums --all

• Administratoren erneut prüfen
• Website im Browser testen
• Weiterleitungen prüfen
• Formulare testen
• wichtige Unterseiten prüfen
• PHP- und Server-Logs prüfen
• Cache leeren
• CDN-Cache leeren, falls vorhanden
• Website einige Tage weiter beobachten

Wenn eine Suchmaschine oder ein Browser zuvor eine Sicherheitswarnung angezeigt hat, beantragen Sie erst nach bestätigter Bereinigung eine erneute Überprüfung beziehungsweise Freigabe beim jeweiligen Dienst.

WordPress-Malware-Checkliste

• aktuellen Zustand gesichert
• Website bei Bedarf vorübergehend geschützt
• Server- und Access-Logs geprüft
• WordPress-Core geprüft
• Core-Prüfsummen kontrolliert
• Plugins geprüft
• Themes geprüft
• Upload-Verzeichnis geprüft
• unbekannte PHP-Dateien geprüft
• kürzlich veränderte Dateien kontrolliert
• Datenbank überprüft
• Administrator-Konten kontrolliert
• schädliche Dateien entfernt oder ersetzt
• Backdoors ausgeschlossen
• Zugangsdaten geändert
• WordPress-Sicherheitsschlüssel erneuert
• Sicherheitslücke geschlossen
• WordPress, Plugins und Themes aktualisiert
• erneuter Malware-Scan durchgeführt
• Website anschließend überwacht

Eine zuverlässige Malware-Bereinigung besteht nicht nur darin, verdächtige Dateien zu löschen. Entscheidend ist, den vollständigen Umfang der Kompromittierung zu ermitteln, versteckte Zugänge zu entfernen und die ursprüngliche Ursache zu schließen.