Cartoon-Figur mit Brille und Lupe untersucht leuchtenden Laptop-Bildschirm mit grünen Code-Mustern.

Versteckten Schadcode in WordPress-Dateien erkennt man durch eine Kombination aus auffälligen Symptomen, manueller Dateiprüfung und spezialisierten Sicherheits-Tools. Schadcode ist oft so gestaltet, dass er sich in legitim wirkenden Dateien tarnt und lange unentdeckt bleibt. Dieser Artikel beantwortet die wichtigsten Fragen rund um das Erkennen, Aufspüren und Beseitigen von Malware in WordPress.

Wo versteckt sich Schadcode in WordPress-Dateien?

Versteckter Schadcode in WordPress taucht am häufigsten in Theme-Dateien, Plugin-Ordnern, der Datei wp-config.php sowie in den Core-Verzeichnissen wie wp-includes und wp-admin auf. Angreifer platzieren schädlichen Code gezielt dort, wo er im normalen Betrieb selten kontrolliert wird und Systemdateien ähnelt.

Besonders beliebte Verstecke sind:

  • functions.php des aktiven Themes: Hier lässt sich Code einschleusen, der bei jedem Seitenaufruf ausgeführt wird.
  • Inaktive Themes und Plugins: Diese werden selten aktualisiert oder geprüft, bieten aber vollen Dateizugriff.
  • .htaccess: Manipulationen hier ermöglichen unbemerkte Weiterleitungen auf externe Seiten.
  • wp-config.php: Eingeschleuster Code kann Zugangsdaten abgreifen oder Backdoors öffnen.
  • Upload-Verzeichnis (wp-content/uploads): Obwohl eigentlich für Medien gedacht, werden hier gelegentlich ausführbare PHP-Dateien versteckt.
  • Datenbankeinträge: Schädliche Skripte können auch direkt in Beiträge, Widgets oder Optionen der Datenbank eingebettet werden.

Angreifer nutzen häufig Verschleierungstechniken wie Base64-Kodierung oder verschachtelte Funktionsaufrufe, um den Code vor automatischen Scannern zu verbergen. Ein einzelner infizierter Eintrag kann dabei ausreichen, um die gesamte Website zu kompromittieren.

Welche Anzeichen deuten auf infizierten WordPress-Code hin?

Typische Anzeichen für Schadcode in WordPress sind unerwartete Weiterleitungen, unbekannte Benutzerkonten im Backend, Google-Warnungen im Browser, ein plötzlicher Einbruch im Suchmaschinen-Ranking sowie eine ungewöhnlich hohe Serverauslastung. Diese Symptome treten oft kombiniert auf und sollten sofort ernst genommen werden.

Im Einzelnen sollten folgende Warnsignale aufhorchen lassen:

  • Besucher werden auf fremde oder dubiose Websites weitergeleitet
  • Google Search Console meldet gehackte Seiten oder unbekannte URLs im Index
  • Browser zeigen eine Sicherheitswarnung beim Aufruf der Website
  • Im WordPress-Backend erscheinen unbekannte Administratorkonten
  • Die Website lädt plötzlich deutlich langsamer als gewohnt
  • Im Quellcode der Seite tauchen fremde Skripte oder iframes auf
  • Der Hoster meldet verdächtige Aktivitäten oder sperrt den Account

Viele Infektionen bleiben für den Websitebetreiber zunächst unsichtbar, weil Schadcode oft nur für bestimmte Nutzergruppen aktiv wird, etwa für Besucher, die über Google kommen, nicht aber für eingeloggte Administratoren. Wer WordPress-SEO-Probleme bemerkt, sollte daher auch eine Malware-Infektion als mögliche Ursache in Betracht ziehen.

Wie lässt sich Schadcode in WordPress-Dateien manuell aufspüren?

Schadcode in WordPress-Dateien lässt sich manuell aufspüren, indem man Dateien nach verdächtigen Funktionen durchsucht, Dateiänderungsdaten prüft und die vorhandenen Dateien mit den Originaldateien der WordPress-Installation vergleicht. Diese Methode erfordert technisches Grundwissen, liefert aber präzise Ergebnisse.

Verdächtige PHP-Funktionen gezielt suchen

Bestimmte PHP-Funktionen sind in legitimen WordPress-Dateien selten oder nie notwendig. Wer per FTP oder SSH Zugriff auf den Server hat, kann gezielt nach folgenden Mustern suchen:

  • eval() in Kombination mit base64_decode()
  • gzinflate(), str_rot13() oder preg_replace() mit dem /e-Modifier
  • exec(), shell_exec() oder system() in Theme- oder Plugin-Dateien
  • Lange, unleserliche Zeichenketten direkt im Code

Mit einem einfachen Grep-Befehl auf der Kommandozeile lassen sich diese Muster schnell im gesamten WordPress-Verzeichnis finden, zum Beispiel: grep -r „eval(base64_decode“ /pfad/zu/wordpress/

Dateiänderungsdaten auswerten

WordPress-Dateien werden nach der Installation normalerweise nicht verändert. Dateien, die nach dem letzten bekannten Update ein neueres Änderungsdatum tragen, sind verdächtig. Per FTP-Client oder über den Dateimanager des Hosting-Panels lassen sich Änderungsdaten einsehen und mit dem Installationszeitpunkt oder dem letzten Update vergleichen.

Welche Tools helfen dabei, Malware in WordPress zu erkennen?

Zur Erkennung von Malware in WordPress eignen sich spezialisierte Sicherheits-Plugins wie Wordfence, Sucuri Security oder MalCare, die Dateien automatisch scannen und mit bekannten Schadcode-Signaturen abgleichen. Ergänzend dazu bieten externe Online-Scanner eine unabhängige Perspektive von außen.

Die wichtigsten Tools im Überblick:

  • Wordfence Security: Kostenlose Basisversion mit Datei-Scanner, der Core-Dateien mit dem offiziellen WordPress-Repository vergleicht und Abweichungen meldet.
  • Sucuri SiteCheck: Kostenloser Online-Scanner, der die öffentlich sichtbare Website auf Malware, Blacklist-Einträge und Sicherheitsprobleme prüft.
  • MalCare: Scannt Dateien serverseitig, ohne die eigene Website zu belasten, und erkennt auch verschleierten Schadcode zuverlässig.
  • Anti-Malware Security and Brute-Force Firewall: Plugin mit Fokus auf bekannte Angriffsmuster und Backdoors.
  • WP Cerber Security: Umfassendes Sicherheits-Plugin mit Datei-Integritätsprüfung und Aktivitätsprotokoll.

Kein einzelnes Tool erkennt jeden Schadcode zuverlässig. Die Kombination aus einem serverseitigen Plugin-Scanner und einem externen Online-Scanner liefert die besten Ergebnisse. Wer auf der sicheren Seite sein will, sollte regelmäßige WordPress-Wartung mit automatisierten Sicherheitsprüfungen kombinieren.

Was tun, wenn Schadcode in WordPress gefunden wurde?

Wenn Schadcode in WordPress gefunden wurde, sollte man sofort die Website offline nehmen oder den Zugang sperren, ein sauberes Backup einspielen oder den infizierten Code manuell entfernen, alle Passwörter ändern und anschließend eine vollständige Sicherheitsprüfung durchführen. Schnelles Handeln begrenzt den Schaden.

Die empfohlene Vorgehensweise Schritt für Schritt:

  1. Website sperren: Wartungsmodus aktivieren oder den Zugang über den Hoster temporär sperren, damit keine weiteren Besucher betroffen werden.
  2. Backup sichern: Den aktuellen (infizierten) Zustand sichern, bevor Änderungen vorgenommen werden, um im Zweifel nachvollziehen zu können, was verändert wurde.
  3. Schadcode entfernen: Infizierte Dateien durch saubere Originaldateien ersetzen oder den schädlichen Code direkt aus den Dateien entfernen.
  4. Datenbank prüfen: Auch Datenbankeinträge auf schädliche Skripte oder unbekannte Benutzerkonten untersuchen.
  5. Alle Zugangsdaten ändern: WordPress-Admin-Passwörter, FTP-Zugänge, Datenbank-Passwörter und Hosting-Zugänge vollständig erneuern.
  6. Hoster informieren: Den Hosting-Anbieter über den Vorfall benachrichtigen, damit dieser auf Serverebene prüfen kann.
  7. Google-Überprüfung beantragen: Falls die Website auf der Google-Blacklist gelandet ist, über die Search Console eine erneute Überprüfung einleiten.

Wichtig: Wer nur den sichtbaren Schadcode entfernt, ohne die eigentliche Sicherheitslücke zu schließen, wird innerhalb kurzer Zeit erneut infiziert. Die Ursache der Infektion, ob veraltetes Plugin, schwaches Passwort oder unsicheres Theme, muss zwingend behoben werden.

Wie lässt sich zukünftiger Schadcode in WordPress verhindern?

Zukünftiger Schadcode in WordPress lässt sich am wirksamsten durch konsequente Updates, starke Passwörter, eine Web Application Firewall, regelmäßige Backups und die Reduzierung unnötiger Plugins verhindern. Prävention ist deutlich weniger aufwendig als die nachträgliche Bereinigung einer infizierten Website.

Die wichtigsten Schutzmaßnahmen:

  • Regelmäßige Updates: WordPress-Core, alle Plugins und Themes immer auf dem aktuellen Stand halten, da veraltete Software das häufigste Einfallstor für Angreifer ist.
  • Starke, einzigartige Passwörter: Für alle Zugänge (WordPress-Backend, FTP, Datenbank und Hosting) unterschiedliche und komplexe Passwörter verwenden.
  • Zwei-Faktor-Authentifizierung: Den WordPress-Login durch einen zweiten Faktor absichern, um Brute-Force-Angriffe wirkungslos zu machen.
  • Web Application Firewall (WAF): Eine Firewall filtert schädliche Anfragen, bevor sie die Website erreichen.
  • Tägliche Backups: Aktuelle Backups ermöglichen im Ernstfall eine schnelle Wiederherstellung ohne Datenverlust.
  • Plugins und Themes reduzieren: Jedes nicht benötigte Plugin ist ein potenzielles Sicherheitsrisiko und sollte deinstalliert werden.
  • Sicheres Hosting: Ein sicheres WordPress-Hosting mit serverseitigen Schutzmaßnahmen bildet die Grundlage für eine sichere Website.

Wer diese Maßnahmen konsequent umsetzt, reduziert das Risiko einer erfolgreichen Infektion erheblich. Für Unternehmen, die sich nicht selbst um die technische Absicherung kümmern möchten, bietet ein professionelles Wartungspaket die einfachste und zuverlässigste Lösung.

So hilft WP-Profi bei Schadcode und Malware in WordPress

Wenn eine WordPress-Website gehackt wurde oder Schadcode gefunden wurde, zählt jede Stunde. Wir bieten einen professionellen Malware- und Hack-Bereinigungsservice, der speziell für Unternehmen aus Deutschland, Österreich und der Schweiz entwickelt wurde. Unsere erfahrenen Sicherheitsexperten handeln schnell und gründlich:

  • Vollständige Analyse aller WordPress-Dateien, Plugins, Themes und der Datenbank auf Schadcode und Backdoors
  • Zuverlässige Entfernung sämtlicher Schadsoftware und Schließung der Sicherheitslücken
  • Vollständige Wiederherstellung der Website innerhalb von 24 Stunden
  • Benachrichtigung des Hosters und Einleitung einer erneuten Google-Überprüfung
  • Nachhaltige Absicherung, damit Hacker künftig keine Chance mehr haben

Die Malware- und Hack-Bereinigung ist als Einmalleistung für 299 Euro erhältlich. Für dauerhaften Schutz empfehlen wir im Anschluss eines unserer WordPress-Wartungspakete mit täglichen Backups, regelmäßigen Updates und kontinuierlichem Sicherheitsmonitoring. Alle Daten werden dabei DSGVO-konform ausschließlich auf Servern in Deutschland verarbeitet. Kontaktieren Sie uns jetzt, damit wir Ihre Website schnellstmöglich wieder sicher und funktionsfähig machen.

Ähnliche Artikel

Dieser Inhalt wurde mithilfe von KI erstellt und kann Fehler enthalten.

Profi-Check für deine Website

Prüfe dein WordPress mit unserem kostenlosen Webseiten-Check und erhalte ausführliche Ergebnisse und Handlungsempfehlungen zur Performance, Sicherheit, Barrierefreiheit und SEO.
Kostenlosen Profi-Check starten