WordPress‑Malware nach einem Hack entfernen lassen: So findest du den richtigen Experten

Deine WordPress-Seite leitet Besucher auf eine Spam-Seite um, Google zeigt unter deinem Suchergebnis „Diese Website wurde möglicherweise gehackt“ an, oder dein Hoster hat das Konto gesperrt.

Es kann sich anfühlen, als wäre die Seite verloren, aber Beiträge, Seiten und Bestellungen liegen oft noch in der Datenbank. Das größere Risiko ist eine Bereinigung, die den sichtbaren Spam entfernt und die Hintertür offen lässt. Dann kommt dieselbe Infektion zurück.

Hier zeige ich dir, was ich in den ersten zehn Minuten prüfe und wie du WordPress-Malware von einem Experten entfernen lässt, ohne ihm mehr Zugriff zu geben, als er für den Auftrag braucht.

Woran du eine gehackte WordPress‑Seite meistens erkennst

Typische Anzeichen sind Weiterleitungen auf Spam- oder Betrugsseiten, manchmal nur für Besucher, die von Google kommen oder ein Handy nutzen. Google listet vielleicht Seiten, die du nie geschrieben hast, manchmal in einer anderen Sprache. Möglich sind auch eine rote Warnung im Browser, neue Admin-Konten oder eine Nachricht deines Hosters, dass er dein Konto gesperrt hat.

Die Einfallstore, ungefähr in der Reihenfolge, in der sie mir begegnen:

• Veraltetes Plugin oder Theme Es hat eine bekannte Sicherheitslücke. Das ist mit Abstand der häufigste Weg.
• Gestohlenes oder schwaches Passwort Jemand hat die Zugangsdaten für WordPress, das Hosting-Konto oder SFTP bekommen. Manchmal hat sie Malware auf dem eigenen Rechner des Betreibers abgegriffen.
• Raubkopie eines Premium-Plugins oder -Themes Eine „kostenlose“ Kopie eines kostenpflichtigen Plugins oder Themes bringt oft schon eine Hintertür mit.
• Eine andere infizierte Seite auf demselben Hosting-Konto Eine einzige vergessene Testseite kann alle anderen Seiten dort infizieren.

Ein Hack fügt oft Code hinzu, statt Inhalte zu löschen. Schwierig ist es, die Hintertür zu finden: eine versteckte Datei oder ein paar Zeilen Code, über die der Angreifer zurückkommt, wenn der sichtbare Spam weg ist.

Zeigt die Seite einen kritischen Fehler oder einen weißen Bildschirm und keines der Anzeichen oben, ist sie wahrscheinlich kaputt, nicht gehackt. Das ist ein anderer Auftrag: wie du jemanden findest, der eine kaputte WordPress-Seite repariert.

Probier das zuerst (10 Minuten)

Ich fange nicht damit an, infizierte Dateien zu löschen. In den ersten zehn Minuten geht es darum, den Schaden zu begrenzen und die Spuren zu sichern.

1. Lösch noch nichts. Diese Dateien können zeigen, wie der Angreifer reingekommen ist. Wer sie löscht oder Plugins neu installiert, kann die Hinweise beseitigen, während die Hintertür bleibt.
2. Schreib auf, was du siehst und wann. Mach Screenshots von der Weiterleitung oder der Warnung, notier, wann sie dir aufgefallen ist, und liste die letzten Änderungen auf, etwa ein neues Plugin, eine Änderung am Theme oder einen neuen Benutzer.
3. Ändere die Passwörter, die betroffen sein könnten. Ändere die Passwörter für dein Hosting-Konto, die SFTP-Benutzer und alle WordPress-Administratoren, und zwar von einem Rechner, dem du vertraust. Wenn du vermutest, dass Zugangsdaten gestohlen wurden, scanne diesen Rechner auf Malware. Nach der Bereinigung änderst du die Passwörter noch einmal.
4. Schau in die Google Search Console. Unter Sicherheit und manuelle Maßnahmen → Sicherheitsprobleme siehst du, was Google gefunden hat, mit Beispiel-URLs. Klick erst auf „Überprüfung anfordern“, wenn die Bereinigung abgeschlossen ist.

Melde dich auch bei deinem Hoster. Vielleicht hat er schon infizierte Dateien gefunden, und wenn das Konto gesperrt ist, kann er dir erklären, was nötig ist, um es wiederherzustellen.

Versuch nicht, die Seite selbst zu bereinigen, wenn du einen Shop mit Kundendaten betreibst, die Seite Spam-Mails verschickt oder der Hoster sie gesperrt hat. Experimente an einer infizierten Live-Seite können die Infektion verbreiten und dafür sorgen, dass die Seite länger mit einer Warnung versehen bleibt.

Wenn du lieber keine Dateien auf deinem Hosting anfassen willst, hör hier auf. Jede weitere Änderung macht dem Entwickler die Arbeit schwerer. Als Nächstes geht es darum, wer die Seite bereinigt.

Wo du einen Entwickler findest

Für eine klar umrissene Bereinigung einer gehackten WordPress-Seite zum Festpreis empfehle ich Fiverr Pro. Fiverr prüft bei Pro-Freelancern persönlich die Erfahrung, das Portfolio und die bisherigen Aufträge, bevor sie das Pro-Abzeichen bekommen. Ich arbeite selbst auf Fiverr und weiß daher, wie Aufträge, Zahlungen und Bewertungen dort funktionieren.

Was es kostet

Der Preis hängt davon ab, wie gründlich der Verkäufer arbeitet, nicht davon, wie schlimm die Seite aussieht. Zum Zeitpunkt des Schreibens lassen sich die Angebote auf Fiverr Pro zum Entfernen von WordPress-Malware in drei Preisstufen einteilen:

Fiverr berechnet beim Bezahlen außerdem eine kleine Servicegebühr. Schnellere Lieferung kostet meist extra.

Was bei günstigen Paketen meist fehlt

Lies das Basic-Paket zweimal durch, denn es enthält nur die Mindestleistungen des Verkäufers. Bei einer einfachen Infektion kann es reichen, aber oft fehlen:

• die Datenbank, wo sich Spam-Links und eingeschleuste Skripte oft in Beiträgen und Einstellungen verstecken
• die Hintertür und das Einfallstor, sodass derselbe Hack zurückkommt
• die Entfernung von Googles Warnliste und anderen Blacklists
• Updates und Härtung nach der Bereinigung
• ein paar Wochen Nachbetreuung, falls etwas zurückkommt

Wenn der Hack schon einmal zurückgekommen ist, würde ich mindestens die mittlere Stufe nehmen.

So gibst du sicher Zugang

Bei einer gehackten Seite sind womöglich schon einige Zugangsdaten in fremde Hände geraten. Gib dem Entwickler nur die Zugriffsrechte, die er für den Auftrag braucht, und nutze dafür Konten, die du selbst kontrollierst. Entzieh ihm den Zugriff wieder, wenn die Arbeit erledigt ist.

1. Mach zuerst dein eigenes Backup, auch wenn es infiziert ist. Lade Dateien und Datenbank über dein Hosting-Panel herunter und bewahre die Kopie außerhalb des Servers auf. Wenn bei der Bereinigung etwas schiefgeht, kannst du die Seite damit wiederherstellen. Nenn es „infiziert“, damit es niemand aus Versehen einspielt.
2. Leg ein separates WordPress-Administratorkonto für den Entwickler an, statt deine Zugangsdaten weiterzugeben.
3. Gib Dateizugriff über einen eigenen SFTP-Benutzer. Leg ihn in deinem Hosting-Panel an. Der Entwickler braucht Zugriff auf die Dateien, um nach Code zu suchen, den ein Scanner-Plugin übersehen kann. Gib niemals das Passwort deines Hosting-Kontos weiter.
4. Manche Zugangsdaten behältst du für dich: die für deinen Domain-Registrar, Stripe oder PayPal und das Postfach der Administrator-E-Mail-Adresse deiner Seite.
5. Teil Passwörter sicher und erst nach der Bestellung. Nutze den Freigabelink eines Passwort-Managers, keinen Klartext im Chat.
6. Entzieh alle Zugriffsrechte, wenn der Auftrag erledigt ist. Lösch die WordPress- und SFTP-Benutzer des Entwicklers, ändere alle Passwörter noch einmal und prüf unter Benutzer → Administrator, ob es Konten gibt, die du nicht kennst. Bitte den Entwickler, das Datenbank-Passwort zu ändern, es in wp-config.php einzutragen und die WordPress-Sicherheitsschlüssel zu ersetzen. Neue Schlüssel melden alle ab, die noch eingeloggt sind, auch den Angreifer.

Lass Hosting und Domain auf deinen eigenen Namen laufen. Nichts schützt dich besser, denn wer beides kontrolliert, kontrolliert die Seite.

Was du vor Beginn der Arbeit schickst

Schick das vor der Bestellung oder füg es in die Auftragsanforderungen auf Fiverr ein:

• die URL deiner Seite
• was du siehst: die Weiterleitung, den Warntext oder die Spam-Seiten, mit Screenshots, und wo es auftaucht (nur auf dem Handy, nur über Google)
• wann es dir aufgefallen ist und was sich kurz davor geändert hat
• was die Google Search Console oder dein Hoster gemeldet hat, mit Beispiel-URLs
• deinen Hoster, die WordPress-Version und die PHP-Version (Werkzeuge → Website-Zustand → Bericht, falls das Dashboard funktioniert)
• dein Theme oder deinen Page Builder, die wichtigsten Plugins und jedes Premium-Plugin, das du außerhalb des offiziellen Stores bekommen hast
• ob es ein Shop ist, der Kundendaten speichert
• welche Backups du hast, mit Datum, und welches vielleicht von vor dem Hack stammt
• was du schon getan hast (Passwörter geändert, Dateien gelöscht, einen Scan gemacht)
• welchen Zugang du geben willst

Auf Fiverr halten die Auftragsanforderungen fest, was der Verkäufer zu liefern zugesagt hat. Beschreib das Ergebnis in einfachen Worten: „saubere Scan-Ergebnisse, keine eingeschleusten Spam-Seiten, Hilfe beim Antrag auf Überprüfung der Google-Warnung und eine Erklärung, wie der Angreifer reingekommen ist“.

So findest du den richtigen Entwickler

Infizierte Dateien zu entfernen ist nur ein Teil der Arbeit. Such dir jemanden, der auch das Einfallstor findet und schließt.

Achte auf Bewertungen zum gleichen Problem

Such nach Bewertungen, in denen „hacked“, „redirect“, „spam pages“ oder „blacklist“ vorkommt, nicht nur nach der Gesamtnote. Lies die Bewertungen mit einem bis drei Sternen und die Antworten des Verkäufers. Eine Bewertung, in der steht, dass der Hack zwei Wochen später zurück war, sagt dir mehr als zehn, die nur die schnelle Lieferung loben.

Lies, was jedes Paket enthält

Vergleich die Pakete Zeile für Zeile: Bereinigung der Datenbank, Entfernung von Blacklists, Härtung und Dauer des Supports nach der Lieferung. Ein Paket namens „malware removal“ kann trotzdem nur einen Scan enthalten.

Frag, wie der Verkäufer das Einfallstor findet

Ein guter Verkäufer erklärt es in ein, zwei Sätzen: deine Dateien mit sauberen Kopien vergleichen, Plugin-Versionen, Benutzer und Server-Logs prüfen. Ein bloßes „Ich lasse einen Scanner laufen“ bedeutet meist eine oberflächliche Bereinigung.

Gib nicht zu viel auf das Verkäufer‑Level

Auf Fiverr zeigt das Level eines Verkäufers, welche Aufträge er bisher abgewickelt hat, nicht wie gut er sich mit Sicherheit auskennt. Für einen Shop oder einen Hack, der immer wiederkommt, würde ich jemanden mit Bewertungen genau für diese Art von Auftrag nehmen.

Die Fragen, die ich vor der Bestellung stellen würde

• Bereinigst du auch die Datenbank oder nur die Dateien?
• Sagst du mir, wie der Angreifer reingekommen ist?
• Machst du ein Backup, bevor du etwas änderst?
• Beantragst du die Entfernung von Googles Warnliste, oder zeigst du mir, wie das geht?
• Was passiert, wenn die Malware innerhalb von 30 Tagen zurückkommt?
• Welchen Zugang brauchst du genau?

Warnsignale

• Der Verkäufer will das Passwort deines Hosting-Kontos oder deinen Domain-Login, obwohl ein WordPress-Benutzer und SFTP-Zugang reichen würden.
• Er will den Chat oder die Zahlung außerhalb von Fiverr abwickeln. Fiverr bittet Käufer, beides auf der Plattform zu lassen, und der Support kann nur bei Aufträgen helfen, die dort aufgegeben wurden.
• Er verspricht, deine Seite werde „nie wieder gehackt“. Ein ehrlicher Verkäufer spricht davon, das Risiko zu senken.
• Er bietet dir ein Premium-Sicherheits-Plugin kostenlos an. Das ist eine Raubkopie, und raubkopierte Plugins können Malware enthalten.
• Er will alles löschen und neu installieren, ohne Backup oder ohne dir zu sagen, was du dabei verlieren würdest.
• Er bietet einen Rabatt für eine Fünf-Sterne-Bewertung an.

Nach der Bereinigung: prüfen, abnehmen, vorbeugen

Auf Fiverr hast du drei Tage, um eine Lieferung zu prüfen. Danach wird der Auftrag automatisch abgeschlossen. Prüf die Arbeit deshalb noch am selben Tag:

• öffne die Seite in einem privaten Browserfenster und auf dem Handy und ruf sie auch über die Google-Ergebnisse auf (manche Weiterleitungen sehen nur Besucher, die von Google kommen oder ein Handy nutzen)
• such bei Google nach site:deinedomain.de und achte auf Seiten, die du nicht geschrieben hast
• lass einen kostenlosen Remote-Scan laufen, zum Beispiel Sucuri SiteCheck (auf Englisch)
• prüf, ob unter Benutzer nur Konten stehen, die du kennst
• frag, wie der Angreifer reingekommen ist, und schreib es auf
• bitte über Fiverr um Änderungen, bevor du die Lieferung annimmst

Wenn Google die Seite markiert hat, beantrag in der Search Console eine Überprüfung, sobald die Seite sauber ist. Laut Google kann eine Überprüfung einige Tage bis einige Wochen dauern, und ein erneuter Antrag, während einer läuft, kann den nächsten verzögern.

Danach entziehst du die Zugänge, die du vergeben hast (siehe oben). Aktualisiere Plugins und Themes, entferne ungenutzte, verzichte auf raubkopierte Premium-Plugins, schalte für Administratoren die Zwei-Faktor-Anmeldung ein und bewahre automatische Backups außerhalb des Servers auf. Wenn sich regelmäßige Wartung wie ein zweiter Job anfühlt: Sie kostet meist weniger als eine weitere Bereinigung.

Zusammenfassung

WordPress-Malware entfernen zu lassen ist meist ein kleiner Auftrag zum Festpreis. Wird aber nur die sichtbare Infektion entfernt, kommt der Hack oft zurück. Sichere die Spuren, ändere deine Passwörter und such dir einen Verkäufer, der die Datenbank bereinigt und dir sagt, wie der Angreifer reingekommen ist. Um das Risiko gering zu halten, richte einen separaten Zugang ein und entzieh ihn wieder, wenn der Auftrag erledigt ist.