Malware auf einer WordPress-Website ist nicht immer sofort offensichtlich. Manchmal erscheint eine fremde Weiterleitung. Manchmal meldet Google eine Warnung. Und manchmal wirkt erst einmal nur ein Formular komisch, das Backend langsam oder eine einzelne Unterseite merkwürdig.
Genau deshalb ist es wichtig, typische Warnzeichen früh zu erkennen.
Je früher du einen Verdacht ernst nimmst, desto geringer ist meist der Schaden. Dann lassen sich Weiterleitungen stoppen, Spam-Seiten entfernen, Zugangsdaten sichern und Besucher besser schützen. Wartest du zu lange, kann aus einem kleinen Hinweis ein größeres Problem werden: Rankingverlust, Blacklisting, Datenabfluss, Ausfall oder Vertrauensschaden.
In diesem Artikel zeige ich dir, wie du WordPress Malware erkennen kannst, welche Warnzeichen besonders ernst sind und was du bei Verdacht sofort tun solltest.
Was bedeutet Malware bei WordPress überhaupt?
Malware ist schädlicher Code oder schädliches Verhalten auf deiner Website. Bei WordPress kann das sehr unterschiedlich aussehen.
Typische Beispiele sind:
- versteckte Spam-Seiten
- Weiterleitungen auf fremde Websites
- eingefügte Links zu dubiosen Angeboten
- schädliche JavaScript-Dateien
- unbekannte Admin-Benutzer
- manipulierte Plugin-, Theme- oder Core-Dateien
- Phishing-Seiten unter deiner Domain
- Backdoors, über die Angreifer später wieder Zugriff bekommen
Wichtig: Eine gehackte Website muss nicht sofort komplett kaputt sein. Viele Angriffe versuchen gerade, unauffällig zu bleiben. Die Website läuft weiter, während im Hintergrund Spam-Seiten indexiert, Besucher umgeleitet oder neue Zugänge vorbereitet werden.
Darum solltest du auch kleine Auffälligkeiten nicht einfach wegklicken.
12 Warnzeichen, an denen du WordPress Malware erkennen kannst
Nicht jedes einzelne Zeichen beweist einen Hack. Aber wenn mehrere Punkte zusammenkommen, solltest du die Website ernsthaft prüfen lassen.
1. Besucher werden auf fremde Seiten weitergeleitet
Ein sehr klares Warnzeichen sind unerwartete Weiterleitungen. Du rufst deine Website auf und landest plötzlich auf einer Gewinnspielseite, einer Dating-Seite, einem Shop, einer Fake-Support-Seite oder einer ganz anderen Domain.
Tückisch ist: Solche Weiterleitungen erscheinen nicht immer für jeden Besucher.
Manche Angriffe leiten nur mobile Nutzer weiter. Andere nur Besucher aus Google. Wieder andere nur beim ersten Besuch oder nur in bestimmten Ländern. Dadurch kann es passieren, dass du selbst im Büro nichts bemerkst, während Kunden längst auf fremden Seiten landen.
Wenn dir jemand eine solche Weiterleitung meldet, nimm das ernst. Bitte nicht nur kurz im eigenen Browser testen und abhaken.
2. Google zeigt eine Sicherheitswarnung
Wenn Google Chrome, die Google-Suche oder die Search Console vor deiner Website warnt, ist das ein starkes Signal.
Mögliche Hinweise sind zum Beispiel:
- „Diese Website kann deinen Computer beschädigen“
- „Irreführende Website“
- „Diese Website wurde möglicherweise gehackt“
- Warnungen vor schädlichen Downloads
- Sicherheitsprobleme in der Google Search Console
Solche Meldungen können Besucher massiv abschrecken. Außerdem können sie deine Sichtbarkeit in der Suche beschädigen. Wenn Google bereits warnt, geht es nicht mehr nur um eine technische Kleinigkeit, sondern um Vertrauen und Reichweite.
3. In Google erscheinen fremde Spam-Seiten deiner Domain
Ein klassisches Malware-Zeichen sind plötzlich indexierte Seiten, die du nie erstellt hast.
Du findest dann bei Google URLs deiner Domain mit Titeln zu Casinos, Medikamenten, gefälschten Markenartikeln, Krypto-Angeboten oder anderen Spam-Themen.
Prüfen kannst du das grob mit einer Suchanfrage wie:
site:deinedomain.de
Wenn dort Seiten auftauchen, die nicht zu deiner Website gehören, solltest du handeln. Besonders kritisch ist es, wenn diese Seiten nur für Suchmaschinen sichtbar sind, normale Besucher aber auf scheinbar sauberen Seiten landen. Dann versucht der Angriff gezielt, Suchmaschinen auszunutzen.
4. Du findest unbekannte Benutzer im WordPress-Backend
Unbekannte Admin-Benutzer sind ein ernstes Warnsignal.
Prüfe im Backend unter „Benutzer“, ob dort Accounts existieren, die du nicht kennst. Besonders kritisch sind Benutzer mit Administratorrechten.
Achte auch auf:
- ungewöhnliche E-Mail-Adressen
- sehr neue Benutzer ohne Erklärung
- alte Agentur- oder Entwicklerzugänge, die niemand mehr nutzt
- Benutzer mit zu hohen Rechten
- Namen, die absichtlich harmlos wirken, zum Beispiel „support“ oder „admin2“
Wenn du einen unbekannten Admin findest, lösche nicht hektisch los. Dokumentiere zuerst den Fund. Danach müssen Zugangsdaten, Dateien und Datenbank geprüft werden, sonst kann der Zugang über eine Hintertür wiederkommen.
5. Deine Website ist plötzlich langsam oder instabil
Malware kann Performance-Probleme verursachen. Nicht jede langsame Website ist gehackt, aber plötzliche starke Veränderungen sind verdächtig.
Warnzeichen sind zum Beispiel:
- ungewöhnlich hohe Serverlast
- langsames Backend
- Timeouts beim Speichern
- 500-Fehler oder weiße Seiten
- viele unbekannte Prozesse
- auffällig hoher Speicher- oder CPU-Verbrauch
Wenn die Probleme nach einem Plugin-Update, einer PHP-Änderung oder hohem Traffic auftreten, kann es auch andere Ursachen geben. Wenn aber gleichzeitig unbekannte Dateien, Spam oder Warnmeldungen auftauchen, solltest du Malware prüfen.
Für technische Fehler ohne klaren Malware-Hinweis passt auch der Artikel WordPress zeigt nur eine weiße Seite.
6. Dateien wurden verändert, obwohl niemand daran gearbeitet hat
Wenn Plugin-, Theme- oder Core-Dateien geändert wurden, ohne dass es dafür einen Grund gibt, ist Vorsicht angebracht.
Typische Auffälligkeiten sind:
- Dateien mit kryptischen Namen
- PHP-Dateien in Upload-Ordnern
- neue Dateien in alten Plugin-Ordnern
- ungewöhnlich lange Codeblöcke
- verschleierter Code mit
base64,evaloder ähnlichen Mustern - geänderte
.htaccess-Dateien - unbekannte
wp-config.php-Einträge
Solche Funde sollte man nicht isoliert betrachten. Eine einzelne verdächtige Datei zu löschen reicht oft nicht, wenn weitere Backdoors vorhanden sind. Wichtig ist eine saubere Prüfung: Wo kam der Code her? Welche Dateien sind betroffen? Wurde die Datenbank verändert? Gibt es noch offene Zugänge?
7. Dein Hosting-Anbieter meldet schädliche Dateien
Viele Hoster scannen Websites auf Malware, Spamversand oder auffällige Prozesse. Wenn dein Hoster eine Warnung schickt, solltest du sie nicht ignorieren.
Häufige Meldungen sind:
- Malware-Fund in einer PHP-Datei
- Spamversand über dein Hosting
- verdächtige Weiterleitungen
- ungewöhnlich viele ausgehende Anfragen
- Sperrung einzelner Dateien
- temporäre Deaktivierung der Website
Manchmal ist die Meldung knapp formuliert und nennt nur Dateipfade. Hebe diese Informationen unbedingt auf. Sie helfen später bei der Analyse, weil sie zeigen, wo der Angriff sichtbar wurde.
8. Formulare oder E-Mails verhalten sich ungewöhnlich
Auch Formulare können Hinweise liefern. Wenn plötzlich sehr viele Spam-Anfragen eingehen, E-Mails nicht mehr ankommen oder Besucher merkwürdige Bestätigungen erhalten, sollte man genauer hinschauen.
Mögliche Warnzeichen:
- Kontaktformular sendet nicht mehr zuverlässig
- ungewöhnlich viele Spam-Einträge
- fremde Absender oder Betreffzeilen
- neue Weiterleitungen nach Formularabsendung
- E-Mail-Zustellprobleme wegen Blacklisting
- Autoresponder mit verändertem Inhalt
Nicht jedes Formularproblem ist Malware. Oft sind es SMTP-, Plugin- oder Captcha-Themen. Aber wenn Formulare mit anderen Auffälligkeiten zusammenfallen, gehören sie in die Prüfung.
9. Sicherheitsplugins melden kritische Funde
Wenn ein Sicherheitsplugin plötzlich viele veränderte Dateien, unbekannte Admins, Login-Angriffe oder Malware-Funde meldet, ist das ein Signal.
Wichtig ist dabei die Einordnung.
Ein Sicherheitsplugin kann helfen, Hinweise zu finden. Es ersetzt aber keine vollständige Bereinigung. Manche Funde sind Fehlalarme, andere sind nur die sichtbare Spitze des Problems. Besonders vorsichtig solltest du sein, wenn das Plugin „bereinigen“ anbietet, ohne dass klar ist, wie tief der Angriff geht.
Bei einem echten Verdacht geht es nicht nur darum, eine Datei zu löschen. Es geht darum, die Ursache zu finden und erneuten Zugriff zu verhindern.
10. Du kannst dich nicht mehr normal einloggen
Wenn du plötzlich nicht mehr ins Backend kommst, kann das viele Ursachen haben: Passwort vergessen, Plugin-Fehler, Cookie-Problem, Serverfehler oder ein Konflikt.
In Verbindung mit anderen Warnzeichen kann es aber auf einen Angriff hindeuten.
Achte besonders auf:
- Passwort wurde ohne dein Zutun geändert
- Admin-E-Mail wurde verändert
- Login-Seite leitet weiter
- bekannte Benutzer fehlen
- neue Admins sind vorhanden
- Zwei-Faktor-Anmeldung wurde manipuliert
Wenn du den Zugriff verlierst und gleichzeitig Malware-Verdacht besteht, solltest du nicht nur das Passwort zurücksetzen. Dann müssen auch Hosting, Datenbank, Benutzerrechte und Dateien geprüft werden.
11. Browser oder Virenscanner blockieren deine Website
Manchmal kommt der Hinweis nicht von WordPress, sondern vom Browser, Virenscanner oder Unternehmensnetzwerk eines Besuchers.
Typische Rückmeldungen lauten:
- „Die Seite wurde blockiert“
- „Phishing-Verdacht“
- „Schädliches Script erkannt“
- „Unsichere Website“
- „Download blockiert“
Solche Meldungen solltest du dir möglichst genau schicken lassen, am besten mit Screenshot, Browsername, Zeitpunkt und URL. Das macht die Prüfung deutlich leichter.
12. In Analytics oder Search Console passieren unerklärliche Dinge
Auch Datenquellen können Hinweise geben.
Verdächtig sind zum Beispiel:
- plötzlicher Einbruch organischer Besucher
- viele Aufrufe unbekannter URLs
- Suchanfragen zu fremden Themen
- ungewöhnlich hohe Absprungraten
- viele 404-Fehler für Spam-URLs
- Sicherheits- oder manuelle Maßnahmen in der Search Console
Diese Signale sind nicht immer eindeutig. Aber sie helfen, den Zeitraum einzugrenzen und zu verstehen, welche Bereiche betroffen sein könnten.
Was du bei Malware-Verdacht sofort tun solltest
Wenn du ein oder mehrere Warnzeichen erkennst, bleib ruhig. Hektische Schnellschüsse können die Analyse erschweren oder Backups überschreiben.
Sinnvolle erste Schritte sind:
- Auffälligkeiten mit Datum, Uhrzeit und URL dokumentieren
- Screenshots von Warnungen, Weiterleitungen oder Spam-Seiten sichern
- Hosting-Meldungen aufbewahren
- keine unbekannten Dateien blind löschen
- keine alten Backups ungeprüft einspielen
- Passwörter für WordPress, Hosting, FTP/SFTP, Datenbank und E-Mail ändern
- prüfen, ob unbekannte Admin-Benutzer existieren
- Website möglichst nicht weiter bewerben, solange Besucher gefährdet sein könnten
- professionelle Prüfung anstoßen, wenn der Verdacht ernst ist
Wenn die Website aktiv Besucher weiterleitet, Phishing-Seiten ausliefert oder Google bereits warnt, solltest du schnell handeln.
Für akute Fälle findest du hier Hilfe: Soforthilfe bei gehackter WordPress-Website anfordern.
Warum „Backup einspielen“ nicht immer die Lösung ist
Ein Backup kann wichtig sein. Aber es ist nicht automatisch die saubere Lösung.
Das Problem: Du musst wissen, ob das Backup wirklich sauber ist. Wenn der Angriff schon vor Wochen begonnen hat, kann auch ein älteres Backup bereits infiziert sein. Spielst du es ungeprüft ein, ist die Website vielleicht kurz scheinbar sauber, aber die Hintertür bleibt bestehen.
Außerdem kann ein Backup aktuelle Bestellungen, Anfragen, Kommentare oder Formular-Daten überschreiben. Gerade bei WooCommerce, Buchungen oder Mitgliederbereichen muss man deshalb sehr vorsichtig sein.
Backups sind Rettungsleine, aber keine Diagnose.
Mehr zur sauberen Backup-Strategie findest du im Artikel WordPress Backup richtig einrichten.
Wie Malware überhaupt auf eine WordPress-Website kommt
Malware fällt nicht vom Himmel. Meist gibt es einen Einstiegspunkt.
Häufige Ursachen sind:
- veraltete Plugins oder Themes
- unsichere Passwörter
- fehlende Zwei-Faktor-Authentifizierung
- alte Benutzerkonten
- kompromittierte FTP- oder Hosting-Zugänge
- unsichere Upload-Funktionen
- schlecht gepflegte individuelle Anpassungen
- veraltete PHP-Versionen
- ungeschützte Test- oder Staging-Installationen
- infizierte Computer, über die Zugangsdaten abgegriffen wurden
Darum reicht es nicht, nur sichtbare Malware zu entfernen. Die eigentliche Frage lautet: Wie kam der Zugriff zustande?
Wenn diese Ursache nicht gefunden und geschlossen wird, kommt der Angriff oft wieder.
Was nach der Bereinigung wichtig ist
Nach einer Malware-Bereinigung sollte die Website nicht einfach wieder online gehen und dann vergessen werden.
Wichtig sind danach:
- alle Passwörter und Zugangsdaten erneuern
- unbekannte Benutzer entfernen
- Plugins, Themes und WordPress aktualisieren
- nicht genutzte Plugins und Themes löschen
- Backups neu aufsetzen
- Sicherheits- und Monitoring-Lösung prüfen
- Google Search Console kontrollieren
- Entfernung von Warnungen beantragen, falls nötig
- wichtige Funktionen testen
- Logs und Auffälligkeiten weiter beobachten
Hier schließt sich der Kreis zur laufenden Wartung. Eine bereinigte Website braucht danach Schutz, damit aus dem Notfall kein wiederkehrendes Problem wird.
Der Artikel WordPress Sicherheitscheck zeigt dir, welche Punkte du danach prüfen solltest.
Wann du dir professionelle Hilfe holen solltest
Du solltest dir Hilfe holen, wenn:
- Besucher weitergeleitet werden
- Google oder der Browser warnt
- dein Hoster Malware meldet
- unbekannte Admin-Benutzer vorhanden sind
- Spam-Seiten in Google erscheinen
- du nicht weißt, seit wann das Problem besteht
- WooCommerce, Buchungen oder Kundendaten betroffen sind
- du keinen sicheren Backup-Stand kennst
- der Hack nach einer Bereinigung zurückkommt
- du nicht sicher einschätzen kannst, welche Dateien verändert wurden
Gerade bei Malware ist halb bereinigt oft gefährlicher als gar nicht bereinigt, weil man sich danach in falscher Sicherheit wiegt.
Wenn du Unterstützung brauchst, kann ich deine WordPress-Website prüfen, Malware entfernen und die wichtigsten Schutzmaßnahmen danach sauber aufsetzen: Soforthilfe bei gehackter WordPress-Website anfordern.
Fazit: Malware früh erkennen spart Schaden
WordPress Malware erkennst du nicht immer an einem komplett kaputten Frontend. Oft beginnt es mit kleinen Hinweisen: fremde Suchergebnisse, Weiterleitungen, unbekannte Benutzer, Hosting-Warnungen, veränderte Dateien oder merkwürdiges Verhalten im Backend.
Nimm solche Zeichen ernst, aber handle ruhig.
Dokumentiere die Auffälligkeiten, sichere wichtige Informationen, ändere Zugangsdaten und lass die Website prüfen, wenn der Verdacht real ist. Eine saubere Bereinigung besteht nicht nur aus dem Entfernen sichtbarer Dateien. Sie klärt auch die Ursache und schließt die Lücke.
So schützt du nicht nur deine Website, sondern auch Besucher, Kundenanfragen und das Vertrauen in deine Domain.