Laptop mit Warnhinweis auf dem Bildschirm als Symbol für eine gehackte Website.

Ratgeber · Website-Sicherheit · Malware-Bereinigung

Malware auf Website entfernen lassen: Ablauf und Hinweise

Malware auf einer Website sollte kontrolliert entfernt werden, ohne wichtige Daten oder Hinweise auf den Angriffsweg vorschnell zu löschen. Eine zuverlässige Bereinigung umfasst deshalb mehr als das Entfernen einzelner verdächtiger Dateien.

Erforderlich sind eine Prüfung des Schadensumfangs, geeignete Sicherungen, die eigentliche Bereinigung, eine kontrollierte Wiederherstellung und die anschließende Absicherung. Dieser Beitrag erklärt den typischen Ablauf und wichtige Hinweise für Website-Betreiber.

Hilfe anfragen

Website-Wartung ansehen



Website prüfen



Zugänge sichern



Schadcode entfernen



Website absichern

Inhaltsverzeichnis



Website-Sicherheit professionell betreuen lassen

Wir prüfen Sicherheitsprobleme, bereinigen gehackte Websites und kümmern uns um Wiederherstellung und technische Absicherung.

Hilfe anfragen

Wie läuft es ab, Malware von einer Website entfernen zu lassen?

Wenn Sie Malware von einer Website entfernen lassen, beginnt die Arbeit normalerweise mit einer Bestandsaufnahme. Danach werden weitere Schäden begrenzt, vorhandene Daten und Protokolle gesichert, Schadcode entfernt und manipulierte Bestandteile wiederhergestellt. Abschließend müssen die Ursache des Vorfalls behandelt und die wichtigsten Funktionen kontrolliert werden.

Ein typischer Ablauf besteht aus diesen Schritten:

Die sichtbaren Auffälligkeiten und der technische Zustand der Website werden dokumentiert.
Die betroffene Installation und gegebenenfalls weitere Websites im Hostingkonto werden geprüft.
Vor Veränderungen werden vorhandene Protokolle, Dateien und Datenbank gesichert.
Schadcode, Hintertüren, unbekannte Benutzer und manipulierte Inhalte werden entfernt.
Saubere Systemdateien, Erweiterungen und Konfigurationen werden wiederhergestellt.
Der vermutete Angriffsweg wird geschlossen und sämtliche relevanten Zugänge werden abgesichert.
Die bereinigte Website wird getestet und während der folgenden Zeit weiter kontrolliert.

Die genaue Vorgehensweise hängt vom verwendeten CMS, der Hostingumgebung und dem Umfang der Infektion ab. Eine allgemeine Übersicht über die ersten Reaktionen bietet der Beitrag Was tun, wenn die Website gehackt wurde?.

Wie werden Ausgangslage und Schadensumfang geprüft?

Vor der Bereinigung muss geklärt werden, welche Auffälligkeiten tatsächlich vorliegen. Mögliche Hinweise sind fremde Weiterleitungen, unbekannte Seiten, Spam-Inhalte, neue Administratoren, veränderte Dateien, ungewöhnlicher E-Mail-Versand oder Warnungen des Hostinganbieters und von Suchmaschinen. Eine einzelne Fehlermeldung beweist dagegen noch keine Malware-Infektion.

Die Prüfung sollte nicht nur die öffentlich sichtbare Website erfassen. Je nach System müssen Dateien, Datenbank, Benutzerkonten, Konfigurationen, geplante Aufgaben und Serverprotokolle kontrolliert werden. Liegen mehrere Websites in demselben Hostingkonto, können auch benachbarte Installationen betroffen sein. Eine Bereinigung nur der zuerst auffälligen Website würde dann nicht ausreichen.

Verteilt die Website Schadsoftware, leitet sie Besucher auf betrügerische Angebote weiter oder zeigt sie manipulierte Formulare, sollte der öffentliche Zugriff begrenzt werden. Ob dafür eine vollständige Sperrung, ein Wartungsmodus oder eine andere technische Lösung geeignet ist, muss anhand des Vorfalls entschieden werden.

Warum müssen Dateien, Datenbank und Protokolle vor der Bereinigung gesichert werden?

Unüberlegte Löschungen können Hinweise auf den Zeitpunkt, die Ausbreitung und den möglichen Einfallsweg beseitigen. Vor der Bereinigung sollte deshalb eine eindeutig als kompromittiert gekennzeichnete Kopie der Dateien und Datenbank angelegt werden. Verfügbare Zugriffs-, Fehler- und Sicherheitsprotokolle sollten ebenfalls gesichert werden, bevor sie überschrieben oder vom Hostinganbieter automatisch gelöscht werden.

Diese Kopie ist kein sauberes Backup für den späteren Betrieb. Sie dient dazu, den Ausgangszustand zu dokumentieren, Veränderungen nachvollziehen zu können und bei Bedarf einzelne Informationen wiederherzustellen. Für eine umfassende forensische Untersuchung können abhängig vom Vorfall zusätzliche Sicherungsverfahren notwendig sein.

Ein vorhandenes älteres Backup muss getrennt davon beurteilt werden. Es kann die Wiederherstellung erleichtern, wenn es Dateien und Datenbank vollständig enthält und nachweislich vor der Infektion erstellt wurde. Da Malware längere Zeit unbemerkt vorhanden sein kann, ist das Sicherungsdatum allein jedoch kein Beleg für einen sauberen Stand. Weitere Grundlagen erläutert der Beitrag Warum sind Backups vor Updates so wichtig?.

Die offizielle WordPress-Dokumentation zum Vorgehen nach einem Hack empfiehlt ebenfalls, Auffälligkeiten und Zeitpunkte zu dokumentieren sowie vor der Bereinigung eine Kopie des betroffenen Zustands anzulegen. Diese Grundprinzipien gelten auch für andere CMS, während sich die technischen Einzelheiten unterscheiden.

Wie wird Schadcode aus Website und Hosting entfernt?

Die eigentliche Bereinigung richtet sich danach, welche Bestandteile manipuliert wurden. Systemdateien können mit unveränderten Originaldateien aus einer vertrauenswürdigen Quelle verglichen oder durch saubere Pakete ersetzt werden. Plugins, Komponenten, Module, Themes und Templates müssen ebenfalls geprüft und bei Bedarf neu installiert oder vollständig entfernt werden.

Darüber hinaus können folgende Bereiche betroffen sein:

Upload- und Medienverzeichnisse können ausführbaren Schadcode oder getarnte Dateien enthalten.
Konfigurationsdateien und Weiterleitungsregeln können für fremde Umleitungen oder die erneute Ausführung von Malware verändert worden sein.
In der Datenbank können Spam-Seiten, schädliche Skripte, manipulierte Einstellungen oder unbekannte Benutzer gespeichert sein.
Geplante Aufgaben können Schadcode regelmäßig nachladen oder bereits entfernte Dateien erneut erzeugen.
Weitere Installationen und Verzeichnisse im selben Hostingkonto können als Ausgangspunkt für eine erneute Infektion dienen.

Das Entfernen einer einzelnen gemeldeten Datei reicht daher meist nicht aus. Auch ein Scannergebnis ohne aktuellen Fund ist noch kein sicherer Nachweis für eine vollständige Bereinigung. Scanner können die Untersuchung unterstützen, erfassen aber nicht zwangsläufig alle Manipulationen, versteckten Zugänge oder schädlichen Datenbankinhalte.

Wie erfolgen Wiederherstellung und Funktionsprüfung?

Je nach Ausgangslage kann die Website aus einem geprüften Backup wiederhergestellt, auf einer sauberen Systembasis neu aufgebaut oder direkt kontrolliert bereinigt werden. Wichtig ist, dass Dateien, Datenbank und Konfiguration zusammenpassen. Eine Rücksicherung darf außerdem keine aktuellen Bestellungen, Anfragen, Benutzerkonten oder redaktionellen Änderungen unbemerkt überschreiben.

Nachdem ein vertrauenswürdiger Zustand hergestellt wurde, werden das CMS und die benötigten Erweiterungen auf unterstützte Versionen aktualisiert. Nicht mehr gepflegte oder nicht eindeutig zuordenbare Bestandteile sollten nicht erneut übernommen werden. Individuelle Anpassungen müssen daraufhin geprüft werden, ob sie weiterhin benötigt werden und sicher betrieben werden können.

Vor der erneuten Freigabe sind praktische Funktionsprüfungen notwendig. Dazu gehören abhängig von der Website unter anderem Anmeldung, Navigation, Formulare, E-Mail-Versand, Suche, Bestellabläufe, Benutzerbereiche, Weiterleitungen und wichtige Schnittstellen. Auch SSL, Dateiberechtigungen, mobile Darstellung und die Erreichbarkeit zentraler Seiten sollten kontrolliert werden.

Warum muss nach der Bereinigung der Angriffsweg geschlossen werden?

Eine technisch saubere Website kann erneut infiziert werden, wenn die ursprüngliche Schwachstelle bestehen bleibt. Mögliche Ursachen sind veraltete Software, eine unsichere Erweiterung, gestohlene Zugangsdaten, zu weitreichende Dateiberechtigungen, ein kompromittierter Arbeitsplatz oder eine weitere infizierte Website im selben Hostingkonto.

Nicht in jedem Fall lässt sich der genaue Einfallsweg zweifelsfrei feststellen. Dennoch müssen erkennbare Schwachstellen konsequent behandelt werden. Nicht benötigte Benutzer, Erweiterungen und Zugänge werden entfernt, unterstützte Softwarestände hergestellt und Berechtigungen auf das erforderliche Maß begrenzt.

Passwörter für CMS, Hosting, SFTP, FTP, SSH, Datenbank, Backup-Speicher und zugehörige E-Mail-Konten sollten von einem vertrauenswürdigen Gerät aus geändert werden. Bereits bestehende Sitzungen, Anwendungspasswörter, Zugangsschlüssel und technische Tokens müssen ebenfalls berücksichtigt werden. Nach Abschluss der Bereinigung ist ein erneuter Passwortwechsel sinnvoll, weil während des kompromittierten Zustands eingegebene Daten ausgespäht worden sein könnten.

Welche Kontrollen sind nach der Malware-Bereinigung erforderlich?

Nach der Freigabe sollte die Website über einen angemessenen Zeitraum weiter beobachtet werden. Zu kontrollieren sind insbesondere neue oder veränderte Dateien, Benutzerkonten, geplante Aufgaben, Weiterleitungen, Servermeldungen und ungewöhnlicher E-Mail-Versand. Wiederkehrende Auffälligkeiten können darauf hindeuten, dass eine Hintertür, eine weitere betroffene Installation oder der ursprüngliche Angriffsweg übersehen wurde.

Wurde die Website von einer Suchmaschine oder einem Sicherheitsdienst beanstandet, kann nach abgeschlossener Bereinigung eine erneute Überprüfung beantragt werden. Vorher sollte sichergestellt sein, dass keine schädlichen Inhalte mehr ausgeliefert werden. Zwischenspeicher, Proxy-Dienste und CDN-Caches müssen gegebenenfalls ebenfalls bereinigt werden, damit dort keine manipulierten Seiten verbleiben.

Für den weiteren Betrieb sind getrennt gespeicherte Backups, regelmäßige Updates und feste technische Kontrollen sinnvoll. Eine planbare Website-Wartung kann dabei helfen, Aktualisierungen, Sicherungen und Funktionsprüfungen dauerhaft zu organisieren.

Wann reicht Eigenleistung und wann ist professionelle Hilfe sinnvoll?

Eine eigene Bereinigung kommt infrage, wenn Sie Dateien und Datenbank fachlich prüfen, Serverprotokolle auswerten, saubere Originaldateien zuordnen und eine vollständige Wiederherstellung durchführen können. Außerdem müssen Sie erkennen können, ob weitere Websites, Benutzerkonten, E-Mail-Dienste oder Bereiche der Hostingumgebung betroffen sind.

Professionelle Unterstützung ist besonders sinnvoll, wenn kein eindeutig sauberes Backup vorhanden ist, die Infektion nach einer ersten Bereinigung zurückkehrt oder der Schadensumfang unklar bleibt. Das gilt ebenfalls für Onlineshops, Mitgliederbereiche, Websites mit wichtigen Formularen und Systeme, bei denen ein Ausfall oder Datenverlust erhebliche betriebliche Folgen hätte.

Für die erste Einschätzung sind Informationen zu den beobachteten Auffälligkeiten, zum verwendeten CMS, zum Hosting, zu vorhandenen Backups und zu bereits durchgeführten Maßnahmen hilfreich. Zugangsdaten sollten dabei nicht ungeschützt per E-Mail übermittelt werden. Die Leistung Hilfe bei einer gehackten Website umfasst die technische Prüfung, Bereinigung, Wiederherstellung und anschließende Absicherung.

Wenn Sie Malware von Ihrer Website entfernen lassen möchten, können Sie über die Anfrage für eine gehackte Website den bisherigen Verlauf, vorhandene Meldungen und die betroffenen Funktionen mitteilen.

Häufige Fragen

Häufige Fragen zur Entfernung von Website-Malware

Die folgenden Antworten erläutern den zeitlichen Aufwand, die Bestandteile einer Bereinigung und den Umgang mit Backups, Erreichbarkeit, wiederkehrenden Infektionen und möglichen Kosten.

Wie lange dauert es, Malware von einer Website zu entfernen?

Die Dauer hängt vom Umfang der Infektion, dem verwendeten CMS, der Hostingumgebung und der Qualität vorhandener Backups ab. Eine einzelne manipulierte Installation kann schneller bereinigt werden als ein Hostingkonto mit mehreren betroffenen Websites. Eine verlässliche Einschätzung ist deshalb normalerweise erst nach einer ersten technischen Prüfung möglich.

Was gehört zu einer vollständigen Malware-Bereinigung?

Eine vollständige Bereinigung umfasst die Prüfung des Schadensumfangs, die Sicherung des betroffenen Zustands, das Entfernen von Schadcode und Hintertüren sowie die Wiederherstellung sauberer Dateien und Daten. Anschließend müssen Zugänge abgesichert, erkennbare Schwachstellen geschlossen und die wichtigsten Funktionen der Website getestet werden.

Muss eine Website mit Malware sofort offline genommen werden?

Wenn die Website Schadsoftware verbreitet, Besucher auf betrügerische Seiten weiterleitet oder manipulierte Formulare zeigt, sollte der öffentliche Zugriff kurzfristig begrenzt werden. Ob eine vollständige Sperrung oder eine andere technische Maßnahme sinnvoll ist, hängt vom Vorfall ab. Vor größeren Veränderungen sollten verfügbare Protokolle und der betroffene Zustand gesichert werden.

Kann ein Backup die Malware-Bereinigung ersetzen?

Ein vollständiges und geprüftes Backup kann die Wiederherstellung erleichtern, ersetzt aber nicht die Ursachenprüfung und anschließende Absicherung. Die Sicherung kann bereits Malware enthalten oder beim Zurückspielen neuere Daten überschreiben. Außerdem bleibt eine ausgenutzte Schwachstelle bestehen, wenn lediglich ein älterer Stand wiederhergestellt wird.

Warum erscheint Malware nach einer Bereinigung erneut?

Wiederkehrende Malware weist häufig auf eine übersehene Hintertür, eine weitere infizierte Installation oder eine nicht geschlossene Schwachstelle hin. Auch gestohlene Zugangsdaten und kompromittierte Arbeitsgeräte kommen als Ursache infrage. Deshalb müssen neben sichtbarem Schadcode auch Benutzer, Zugänge, Erweiterungen, geplante Aufgaben und die Hostingumgebung geprüft werden.

Was kostet es, Malware von einer Website entfernen zu lassen?

Die Kosten richten sich nach dem Schadensumfang, der technischen Komplexität, der Anzahl betroffener Installationen und der Qualität vorhandener Backups. Auch eine notwendige Wiederherstellung, umfangreiche Datenbankprüfungen und zusätzliche Absicherungsarbeiten beeinflussen den Aufwand. Eine belastbare Kalkulation setzt daher meist eine erste Prüfung der betroffenen Website voraus.