WordPress funktioniert nicht

WordPress-Malware entfernen

Ihre Seite leitet Besucher auf fremde Seiten um, Google warnt vor Ihnen, im Backend stehen Administratoren, die Sie nie angelegt haben – oder Sie kommen gar nicht mehr rein. Ich entferne die Malware für Sie!

Elias Arndt

WordPress-Experte aus Schleswig
★★★★★ 5,0 bei Google

Notfall melden

Ich helfe Ihnen!

Daran erkennen Sie, dass etwas nicht stimmt

Kein einzelner Punkt ist ein Beweis, und keiner muss zutreffen. Aber wenn Ihnen davon etwas bekannt vorkommt, sollten Sie nachsehen lassen.

Sie kommen nicht mehr ins Backend

Das Passwort funktioniert plötzlich nicht mehr, oder Ihr Konto ist von Administrator auf Abonnent zurückgestuft. Wer sich Zugang verschafft hat, sperrt gern als Erstes den Eigentümer aus.

Administratoren, die Sie nie angelegt haben

Unter Benutzer stehen Konten mit technisch klingenden Namen und Adressen, die es nicht gibt. In den aktuellen Fällen zum Beispiel wpsvc_…@wordpress-svc.internal.

Fremde Plugins oder Themes

Namen wie „Database Repair Assistant“ oder „wp2s-606aa615“ klingen nach Technik und sind Hintertüren. Manche blenden sich zusätzlich aus der Plugin-Liste aus, damit Sie sie gar nicht erst sehen.

Dateien kommen immer wieder zurück

Sie löschen eine merkwürdige .htaccess oder räumen die index.php auf – am nächsten Tag ist alles wieder da. Dann läuft im Hintergrund noch etwas, meist ein Cronjob oder eine zweite Hintertür.

Besucher landen woanders

Die Seite leitet auf Glücksspiel-, Pillen- oder Fake-Shops um. Oft nur bei Aufrufen aus der Google-Suche und nur auf dem Handy – damit es dem Betreiber möglichst lange nicht auffällt.

Google warnt vor Ihrer Seite

„Diese Website kann Ihren Computer schädigen“ im Suchergebnis, eine rote Warnseite in Chrome oder eine Meldung in der Search Console unter Sicherheitsprobleme.

Fremde Unterseiten im Google-Index

Eine Suche nach site:ihre-domain.de zeigt hunderte Seiten mit japanischen oder kyrillischen Zeichen, die es auf Ihrer Website gar nicht gibt.

Ihre E-Mails kommen nicht mehr an

Der Server verschickt im Hintergrund Spam, die Domain landet auf Blacklists – und plötzlich erreichen Ihre Angebote und Rechnungen niemanden mehr.

Der Hoster hat abgeschaltet

IONOS, Strato, All-Inkl und andere sperren betroffene Pakete, sobald Beschwerden auflaufen. Für die Freischaltung muss die Bereinigung nachvollziehbar dokumentiert sein.

Und der unangenehmste Fall: gar kein Symptom. Ein Hack macht monatelang nichts Auffälliges und wird erst benutzt, wenn es sich lohnt – oder still weitervermietet. Deshalb ist der Scan auch dann sinnvoll, wenn die Seite normal läuft.

Warum gerade jetzt so viele Seiten befallen sind

WordPress hatte im Juli 2026 eine schwere Sicherheitslücke. Darüber konnten Angreifer eine Website übernehmen, ohne das Passwort zu kennen und ohne dass ein unsicheres Plugin installiert sein musste.

WordPress hat die Lücke inzwischen mit einem Update geschlossen. Das Update allein reicht aber nicht unbedingt aus. Wenn eine Website bereits vor dem Update angegriffen wurde, kann der Angreifer eine versteckte Hintertür hinterlassen haben. Zum Beispiel einen zusätzlichen Administrator, eine manipulierte Datei oder ein unauffälliges Plugin.

Das bedeutet: Eine heute aktuelle WordPress-Seite kann trotzdem noch kompromittiert sein.

Wer im Zeitraum vor dem Sicherheitsupdate eine betroffene WordPress-Version verwendet hat, sollte deshalb nicht nur aktualisieren, sondern auch prüfen, ob Dateien, Benutzerkonten oder andere Bereiche der Website verändert wurden.

So läuft eine Bereinigung ab

Sie melden sich

Per Telefon oder Formular. Ich melde mich innerhalb von 4 Stunden zurück und frage ab, was passiert ist, seit wann und was Sie an Zugängen haben. Danach ist klar, ob es ein Scan wird oder direkt eine Bereinigung.

Sie geben mir die Zugänge

SFTP oder SSH, Datenbank und ein Administrator-Konto. Aus dem Browser heraus lässt sich eine infizierte Seite nicht reparieren – dazu weiter unten mehr. Alle Unternehmens- und Kundendaten werden streng geheim behandelt.

Sicherung, bevor irgendetwas angefasst wird

Ich ziehe zuerst eine vollständige Kopie von Dateien und Datenbank im befallenen Zustand. Eine Bereinigung beschädigt somit nicht Ihre bestehenden Kundendaten.

Scan und Befund

Ihre Webseite wird nach Malware abgesucht und Auffälligkeiten sofort untersucht.

Bereinigung

Kern, Plugins und Themes werden durch saubere Originale ersetzt. Aus allem, was sich nicht ersetzen lässt – Ihre Inhalte, Ihr Theme, Ihre Uploads – wird der Schadcode einzeln entfernt. Fremde Benutzer, geplante Aufgaben und getarnte Dateien fliegen raus. Anschließend werden sämtliche Passwörter und die Sicherheitsschlüssel ausgetauscht.

Angriffsvektor schließen und übergeben

Der Weg, über den jemand hereingekommen ist, wird zugemacht. Auf Wunsch übernehme ich die Entwarnung bei Google und dem Hoster. Falls Ihre Versicherung die Kosten übernimmt und einen Schadensbericht anfordert, erhalten Sie diese gegen einen Aufpreis.

Transparente Kosten

Malware-Scan

50 €

zzgl. MwSt. · einmalig

Beauftragen Sie danach die Bereinigung, werden die 50 € voll angerechnet.

Bereinigung

280 €

zzgl. MwSt. · Festpreis, Scan inklusive

Bekomme ich die Seite nicht sauber, zahlen Sie nichts.

Laufende Betreuung

ab 65 €

pro Monat, zzgl. MwSt.

Das Kleingedruckte, vollständig:

Alle Preise verstehen sich zuzüglich 19 % Umsatzsteuer.
Aufträge, die am Samstag, Sonntag oder an Feiertagen bearbeitet werden, kosten einmalig 100 € Wochenendpauschale zusätzlich.
Reaktions- und Wiederherstellungszeiten gelten montags bis freitags von 8 bis 20 Uhr. Außerhalb dieser Zeiten reagiere ich, so schnell ich kann, aber ohne Zusage.
Die Zeit läuft ab dem Moment, in dem mir alle nötigen Zugänge vorliegen – nicht ab Ihrer ersten Nachricht.
Sonderfälle wie mehrere Seiten in einer Installation, WooCommerce mit laufenden Bestellungen oder Multisite bespreche ich vorher mit Ihnen und nenne den Preis, bevor ich anfange.

Meine drei Versprechen

280€ Festpreis

280 € netto für die Bereinigung, keine Überraschungen auf der Rechnung.

6 Stunden – oder halber Preis

Ab dem Moment, in dem mir alle Zugänge vorliegen, ist Ihre Seite innerhalb von 6 Stunden wieder sauber und erreichbar. Dauert es länger, zahlen Sie nur die Hälfte. Gilt montags bis freitags von 8 bis 20 Uhr.

Geld-Zurück-Garantie

Wenn ich die Seite nicht sauber bekomme oder den ursprünglichen Zustand nicht wiederherstellen kann, bekommen Sie den vollen Betrag zurück. Ohne Diskussion und ohne Teilrechnung für den Versuch.

Was ich von Ihnen brauche

Eine befallene Seite lässt sich nicht von außen reparieren. Was ein Scanner über den Browser sieht, ist die Spitze. Der eigentliche Schadcode liegt in Dateien, in Datenbanktabellen und in Serverkonfigurationen, an die man nur mit echtem Zugang herankommt. Ich setze deshalb voraus, dass Sie mir Folgendes geben können:

Wenn Sie diese Daten nicht zur Hand haben: Als Vertragsinhaber bekommen Sie sie von Ihrem Hoster. Ich sage Ihnen am Telefon, wonach Sie fragen müssen und wo es im jeweiligen Kundenmenü steht.

Zum Abschluss werden ohnehin sämtliche Passwörter neu gesetzt. Danach sind auch meine Zugänge wertlos – das gehört zur Bereinigung dazu und ist nicht verhandelbar, denn alte Zugangsdaten sind der häufigste Grund dafür, dass ein Befall zurückkommt.

Die Seite läuft gar nicht mehr?

Weiße Seite, Fehler 500, Datenbankfehler oder eine Sperrmeldung des Hosters – das ist kein Ausschlusskriterium, im Gegenteil. Über SSH oder SFTP komme ich auch an eine Installation heran, die im Browser nichts mehr ausliefert.

Wichtig ist nur eins: Setzen Sie die Seite jetzt nicht selbst neu auf und spielen Sie kein Backup ein, bevor Sie mit mir gesprochen haben. Damit sind die Spuren weg, und ohne Spuren lässt sich nicht klären, wie jemand hereingekommen ist. Dann kommt derselbe Angriff in zwei Wochen erneut.

Häufige Fragen

Kann ich die Malware nicht selbst entfernen?

Wenn Sie sich mit SSH, Dateiprüfsummen und SQL auskennen: ja, durchaus. Der Zeitaufwand ist nur meistens der Punkt, an dem es kippt. Die eigentliche Arbeit ist nicht das Löschen der auffälligen Datei, sondern die Gewissheit, dass es die einzige war. Dafür muss jede Datei gegen das Original abgeglichen, die Datenbank durchsucht und der Einstieg in den Logs gefunden werden. Wer das zum ersten Mal macht, sitzt schnell zwei Tage dran und übersieht trotzdem die zweite Hintertür.

Reicht nicht ein Sicherheits-Plugin wie Wordfence oder Sucuri?

Zur Vorbeugung sind solche Plugins sinnvoll, und ich setze sie auch ein. Zum Aufräumen taugen sie nur begrenzt. Sie erkennen bekannte Muster – verschleierter, individuell geschriebener oder in der Datenbank abgelegter Code fällt oft durch. Dazu kommt das grundsätzliche Problem: Ein Plugin läuft innerhalb der Installation, die es prüfen soll. Wer Administratorrechte hat, kann es abschalten, blind machen oder ihm eine saubere Sicht vortäuschen. Deshalb wird von außen geprüft, über SSH und direkt auf der Datenbank.

Ist es nicht einfacher, die Seite komplett neu aufzusetzen?

Manchmal ist es das, und dann sage ich Ihnen das auch. Zwei Dinge sprechen aber häufig dagegen. Erstens sind Ihre Inhalte, Bilder, Formulare, Bestellungen und die Google-Platzierungen mit dranhängend – ein Neuaufbau kostet in aller Regel deutlich mehr als 280 €. Zweitens löst er das Problem nicht: Wenn der Einstieg ein geleaktes FTP-Passwort oder ein veraltetes Plugin war, ist die neue Seite genauso offen wie die alte. Ohne die Ursache zu kennen, baut man das Problem einmal frisch nach.

Wie lange dauert das?

Der reine Scan braucht meistens einen halben Tag, weil das Prüfen und das Sichten der Logs Zeit kosten. Eine normale Bereinigung ist innerhalb von 6 Stunden erledigt, gerechnet ab dem Moment, in dem mir alle Zugänge vorliegen – dafür gibt es die Zusage weiter oben. Länger dauert es bei sehr großen Installationen, bei Shops mit laufenden Bestellungen oder wenn der Hoster mitspielen muss. In dem Fall erfahren Sie das vorher und nicht hinterher.

Meine Seite ist bei Google als schädlich markiert. Geht das wieder weg?

Ja. Nach der Bereinigung wird in der Google Search Console eine Überprüfung beantragt; Google schaut sich die Seite dann erneut an und nimmt die Warnung heraus. Das dauert üblicherweise ein bis drei Tage. Wichtig ist, dass die Seite zu diesem Zeitpunkt wirklich sauber ist – wird beim zweiten Anlauf noch etwas gefunden, verlängert sich die Wartezeit spürbar. Denselben Weg gehe ich bei Bedarf mit dem Hoster, der eine Sperre gesetzt hat.

Was ist, wenn ich gar kein Backup habe?

Das ist der Normalfall, ehrlich gesagt. Ein Backup macht die Sache bequemer, ist aber keine Voraussetzung – und häufig ist es ohnehin nutzlos, weil der Befall älter ist als die Sicherung und man sich das Problem einfach zurückspielt. Bereinigt wird der vorhandene Bestand: Kern, Plugins und Themes kommen als saubere Originale zurück, Ihre eigenen Inhalte werden Stück für Stück von Schadcode befreit.

Muss ich den Vorfall melden?

Möglicherweise. Wenn personenbezogene Daten betroffen sein könnten – Kontaktformulare, Kundenkonten, Bestellungen, Newsletter-Adressen – sieht Artikel 33 DSGVO eine Meldung an die zuständige Landesdatenschutzbehörde innerhalb von 72 Stunden vor. Aus dem Befund geht hervor, worauf zugegriffen werden konnte und in welchem Zeitraum; diese Angaben brauchen Sie für die Meldung. Die Meldung selbst müssen Sie machen, und ob sie nötig ist, ist eine Rechtsfrage – die kann ich Ihnen nicht abnehmen.

Kommt der Hack wieder?

Nicht über denselben Weg, denn der wird geschlossen; das ist Teil des Auftrags. Neue Lücken entstehen aber laufend, in WordPress selbst und in jedem Plugin, das Sie einsetzen. Die wp2shell-Lücke von Juli 2026 hat vollständig gepflegte Seiten getroffen, die einfach nur ein paar Tage zu spät aktualisiert wurden. Wer das nicht selbst im Blick behalten will, ist mit der laufenden Betreuung ab 65 € im Monat besser bedient – dort ist die Bereinigung im Ernstfall enthalten.

Arbeiten Sie auch außerhalb von Schleswig?

Ja, das meiste läuft ohnehin per Fernzugriff – der Serverstandort ist mir egal, und Sie merken keinen Unterschied. Ich arbeite bundesweit für Kunden von Flensburg bis München. Wenn Sie aus Schleswig, Flensburg, Rendsburg oder der Umgebung kommen und lieber persönlich sprechen wollen, geht das natürlich auch.

Und wenn der Scan gar nichts findet?

Dann bekommen Sie das schriftlich, zusammen mit dem, was geprüft wurde, und einer Liste der Punkte, die mir sonst aufgefallen sind – veraltete Plugins, schwache Passwörter, offene Konfigurationen. Das kostet die 50 € und ist keine vertane Ausgabe: Sie wissen danach, dass Sie eine andere Ursache suchen müssen, statt weiter im Nebel zu stochern.

Je länger eine infizierte Seite online bleibt, desto teurer wird sie

Nicht wegen meiner Rechnung. Sondern weil sich eine Google-Warnung schlecht wieder einfangen lässt, weil eine Domain auf einer Spam-Blacklist Wochen zum Verschwinden braucht und weil jeder weitere Tag denen gehört, die sich in Ruhe einen zweiten und dritten Zugang anlegen. Ein Anruf kostet nichts und dauert fünf Minuten.

Erreichbar montags bis freitags von 8 bis 20 Uhr · Wochenendeinsätze auf Anfrage gegen 100 € Pauschale