Alarmierter 3D-Cartoon-Mann mit Brille blickt auf einen Server, der von digitalen Ketten umschlossen ist, mit schattenhafter Figur hinter offenem FTP-Kabel.

Eine WordPress-Malware-Infektion über FTP liegt vor, wenn Angreifer gestohlene oder schwache FTP-Zugangsdaten nutzen, um sich direkt in das Dateisystem einer WordPress-Installation einzuloggen und dort Schadcode einzuschleusen. Da der Zugriff über das File Transfer Protocol außerhalb des WordPress-Backends erfolgt, bleiben solche Angriffe oft lange unentdeckt. Dieser Artikel beantwortet die wichtigsten Fragen rund um FTP-basierte Malware-Infektionen: wie sie entstehen, woran man sie erkennt und wie man sich davor schützt.

Wie gelangt Malware über FTP in eine WordPress-Seite?

Malware gelangt über FTP in eine WordPress-Seite, wenn Angreifer gültige FTP-Zugangsdaten erlangen und damit direkt auf das Dateisystem des Servers zugreifen. Sie laden dann manipulierte Dateien hoch oder verändern bestehende WordPress-Dateien, ohne dass das CMS selbst dabei eine Rolle spielt. Der Angriff umgeht alle WordPress-internen Sicherheitsmechanismen vollständig.

Die häufigsten Wege, über die Angreifer an FTP-Zugangsdaten gelangen, sind:

  • Phishing-Angriffe auf Website-Betreiber oder Entwickler, bei denen Zugangsdaten über gefälschte E-Mails oder Webseiten abgefischt werden
  • Malware auf dem lokalen Rechner des Entwicklers oder Administrators, die gespeicherte FTP-Passwörter aus FTP-Clients wie FileZilla ausliest
  • Brute-Force-Angriffe auf den FTP-Server, bei denen automatisiert Passwörter durchprobiert werden
  • Datenlecks und gestohlene Datenbanken, in denen Zugangsdaten aus früheren Hacks veröffentlicht wurden
  • Unsichere Übertragung per unverschlüsseltem FTP statt SFTP, wodurch Zugangsdaten im Klartext abgefangen werden können

Sobald Angreifer eingeloggt sind, haben sie denselben Zugriff wie ein legitimer Entwickler. Sie können Dateien hochladen, bestehende Skripte manipulieren und Backdoors einpflanzen, die ihnen auch nach einem Passwortwechsel dauerhaften Zugang sichern. Dieser Aspekt macht FTP-Angriffe besonders gefährlich: Ein einfaches Zurücksetzen des Passworts reicht nach einem Befall in der Regel nicht aus.

Welche Anzeichen deuten auf eine FTP-basierte Malware-Infektion hin?

Typische Anzeichen einer FTP-basierten Malware-Infektion sind unbekannte oder veränderte Dateien im Dateisystem, unerklärliche Weiterleitungen auf fremde Webseiten, Warnmeldungen von Google oder dem Browser sowie ein plötzlicher Einbruch im Suchmaschinen-Ranking. Da der Schadcode direkt in Dateien eingebettet wird, sind die Symptome oft vielfältig und zunächst schwer zuzuordnen.

Konkret sollten folgende Warnsignale ernst genommen werden:

  • Besucher werden auf Spam-Seiten, Glücksspiel- oder Phishing-Seiten weitergeleitet
  • Google Search Console zeigt Sicherheitswarnungen oder meldet gehackte Inhalte
  • Der Browser zeigt eine Malware-Warnung beim Aufruf der Seite
  • Im FTP-Verzeichnis tauchen unbekannte PHP-Dateien auf, oft mit kryptischen Namen
  • Bestehende Dateien wie wp-config.php oder index.php wurden zuletzt zu einem unerwarteten Zeitpunkt geändert
  • Das Hosting-Konto wurde vom Provider gesperrt oder es gibt Warnmeldungen wegen Spam-Versands
  • Die Seite lädt plötzlich deutlich langsamer, weil Schadskripte Serverressourcen verbrauchen

Wichtig: Viele FTP-Infektionen sind zunächst für normale Besucher unsichtbar, weil der Schadcode nur für Suchmaschinen oder bestimmte Nutzergruppen sichtbar gemacht wird. Regelmäßige Datei-Integritätsprüfungen sind daher unerlässlich.

Welche WordPress-Dateien werden bei FTP-Angriffen am häufigsten infiziert?

Bei FTP-basierten Angriffen auf WordPress werden am häufigsten die Dateien index.php, wp-config.php, wp-login.php sowie Dateien in den Verzeichnissen wp-includes und wp-content infiziert. Diese Dateien bieten Angreifern die größte Reichweite, weil sie bei nahezu jedem Seitenaufruf ausgeführt werden.

Im Einzelnen sind folgende Bereiche besonders betroffen:

  • wp-config.php: Enthält Datenbankzugangsdaten und ist ein bevorzugtes Ziel für das Einschleusen von Backdoor-Code
  • index.php im Root-Verzeichnis: Wird bei jedem Seitenaufruf geladen und eignet sich ideal für Weiterleitungsskripte
  • .htaccess: Kann manipuliert werden, um Weiterleitungen für bestimmte User-Agents (z. B. Googlebot) einzurichten
  • Theme-Dateien (functions.php): Werden bei jeder Seite eingebunden und sind daher ein häufiges Ziel
  • wp-includes-Verzeichnis: Angreifer platzieren hier fremde PHP-Dateien, die als legitime WordPress-Kerndateien getarnt sind
  • Plugin-Verzeichnisse: Besonders ältere oder inaktive Plugins werden als Versteck für Schadcode genutzt

Auffällig ist, dass Angreifer oft mehrere Stellen gleichzeitig infizieren und zusätzlich versteckte Backdoor-Dateien anlegen. Wer nur offensichtliche Schadstellen bereinigt, ohne das gesamte Dateisystem zu prüfen, riskiert eine erneute Infektion innerhalb kurzer Zeit.

Was ist der Unterschied zwischen FTP-Malware und anderen WordPress-Angriffsvektoren?

Der entscheidende Unterschied zwischen FTP-Malware und anderen Angriffsvektoren liegt im Zugangsweg: FTP-Angriffe nutzen kompromittierte Serverzugangsdaten und umgehen dabei das WordPress-System vollständig. Andere Angriffsvektoren wie Plugin-Schwachstellen, SQL-Injections oder Brute-Force-Angriffe auf das WordPress-Backend setzen hingegen an der Anwendungsebene an.

FTP-Angriffe im Vergleich zu Plugin-Schwachstellen

Bei Plugin-Schwachstellen nutzen Angreifer Sicherheitslücken im Code eines installierten Plugins, um über die WordPress-Anwendung selbst Schadcode einzuschleusen. FTP-Angriffe hingegen brauchen keine Schwachstelle in WordPress oder einem Plugin. Sie setzen voraus, dass der Angreifer gültige FTP-Zugangsdaten besitzt. Das macht sie unabhängig vom Aktualisierungsstand der WordPress-Installation.

FTP-Angriffe im Vergleich zu Brute-Force-Angriffen auf das Backend

Beim Brute-Force-Angriff auf das WordPress-Backend versucht ein Angreifer, durch massenhafte Passworteingaben Zugang zum Administrator-Konto zu erlangen. Gelingt das, kann er Plugins installieren oder Theme-Dateien direkt bearbeiten. Ein FTP-Angriff ist direkter: Er greift auf Dateiebene zu, ohne die WordPress-Oberfläche zu benötigen. Zudem hinterlässt ein FTP-Eingriff in vielen Fällen keine Spuren im WordPress-Aktivitätslog.

Wie lässt sich eine FTP-Malware-Infektion in WordPress bereinigen?

Eine FTP-Malware-Infektion in WordPress bereinigt man durch eine systematische Vorgehensweise: Alle FTP-Zugangsdaten sofort ändern, ein sauberes Backup einspielen oder den Schadcode manuell aus allen infizierten Dateien entfernen, anschließend WordPress-Kern, Themes und Plugins neu installieren und abschließend alle Backdoors aufspüren. Eine halbherzige Bereinigung führt fast immer zu einer erneuten Infektion.

Die empfohlene Vorgehensweise im Überblick:

  1. FTP-Passwort sofort ändern und alle weiteren Zugangsdaten (Hosting-Panel, WordPress-Admin, Datenbank) erneuern
  2. Sauberes Backup einspielen, sofern ein Backup aus der Zeit vor der Infektion vorhanden ist
  3. WordPress-Kerndateien neu installieren, um manipulierte Systemdateien zu ersetzen
  4. Alle Themes und Plugins deinstallieren und frisch aus vertrauenswürdigen Quellen installieren
  5. Datenbankeinträge prüfen auf eingeschleusten JavaScript-Code oder unbekannte Administratoren
  6. Alle PHP-Dateien im Dateisystem prüfen, insbesondere auf obfuszierten Code (z. B. base64-kodierte Zeichenketten)
  7. Google Search Console benachrichtigen und eine erneute Überprüfung der Seite beantragen

Fehlt ein sauberes Backup, ist eine manuelle Bereinigung sehr aufwendig und erfordert tiefes technisches Wissen. In solchen Fällen ist professionelle Hilfe oft der schnellere und sicherere Weg, um die Seite vollständig zu säubern. Regelmäßige WordPress-Wartung mit täglichen Backups ist deshalb keine Kür, sondern Pflicht.

Wie kann man WordPress-Seiten vor FTP-basierten Malware-Angriffen schützen?

WordPress-Seiten lassen sich vor FTP-basierten Malware-Angriffen schützen, indem man starke, einzigartige FTP-Passwörter verwendet, ausschließlich verschlüsselte Verbindungen per SFTP oder FTPS nutzt, FTP-Zugänge auf notwendige Verzeichnisse beschränkt und FTP-Zugangsdaten niemals in FTP-Clients speichert. Ergänzend sollte der FTP-Zugang nur bei Bedarf aktiviert sein.

Die wichtigsten Schutzmaßnahmen im Überblick:

  • Nur SFTP oder FTPS verwenden, niemals unverschlüsseltes FTP, damit Zugangsdaten nicht im Klartext übertragen werden
  • Starke, einzigartige Passwörter für jeden FTP-Benutzer verwenden und diese regelmäßig wechseln
  • FTP-Zugang auf IP-Adressen beschränken, sofern der Hosting-Anbieter diese Option bietet
  • Zugangsdaten nicht im FTP-Client speichern, da lokale Malware diese Daten gezielt ausliest
  • Separate FTP-Benutzer mit eingeschränkten Rechten für verschiedene Aufgaben anlegen
  • Datei-Integritätsprüfungen einrichten, die bei unerwarteten Dateiänderungen alarmieren
  • Regelmäßige Updates für WordPress, Plugins und Themes durchführen, um bekannte Schwachstellen zu schließen
  • Eine Web Application Firewall (WAF) einsetzen, die verdächtige Zugriffsmuster erkennt und blockiert

Ein weiterer oft unterschätzter Faktor ist die Sicherheit des lokalen Rechners. Da FTP-Trojaner gezielt Passwörter aus FTP-Clients stehlen, sollten alle Geräte, die für die Website-Verwaltung genutzt werden, regelmäßig auf Malware geprüft werden. Sicheres WordPress-Hosting mit modernen Sicherheitsstandards bildet dabei die technische Grundlage.

Wie WP-Profi bei FTP-Malware-Infektionen hilft

Wenn eine WordPress-Seite durch einen FTP-Angriff kompromittiert wurde, zählt jede Stunde: Schadcode schadet dem Ruf, dem Ranking und dem Vertrauen der Besucher. Unsere Malware- und Hack-Bereinigung ist der professionelle Notfallservice für Unternehmen aus Deutschland, Österreich und der Schweiz, die schnell und zuverlässig Hilfe benötigen.

Was wir konkret für Sie tun:

  • Vollständige Analyse aller Dateien, Plugins, Themes und der Datenbank auf Schadcode und Backdoors
  • Zuverlässige Entfernung sämtlicher Malware, eingeschleuster Skripte und versteckter Zugänge
  • Vollständige Wiederherstellung der Website und nachhaltige Absicherung gegen künftige Angriffe
  • Benachrichtigung Ihres Providers sowie Einleitung einer erneuten Google-Überprüfung
  • Ergebnis innerhalb von 24 Stunden für nur 299 Euro als Einmalleistung

Für dauerhaften Schutz empfehlen wir im Anschluss eines unserer WordPress-Wartungspakete mit täglichen Backups, Firewall, regelmäßigen Updates und kontinuierlichem Schutz vor Hackern und Malware. Alle Daten werden dabei DSGVO-konform ausschließlich auf Servern in Deutschland verarbeitet. Sprechen Sie uns an, wenn Ihre Seite betroffen ist oder Sie sich präventiv absichern möchten.

Ähnliche Artikel

Dieser Inhalt wurde mithilfe von KI erstellt und kann Fehler enthalten.

Profi-Check für deine Website

Prüfe dein WordPress mit unserem kostenlosen Webseiten-Check und erhalte ausführliche Ergebnisse und Handlungsempfehlungen zur Performance, Sicherheit, Barrierefreiheit und SEO.
Kostenlosen Profi-Check starten