Nicht jede Auffälligkeit auf einer WordPress-Website bedeutet automatisch eine bestätigte Malware-Infektion. Manchmal gibt es zunächst nur einen Verdacht, etwa durch unbekannte Dateien, ungewöhnliche Warnmeldungen eines Sicherheits-Scans oder Hinweise Dritter. Dieser Artikel beschreibt, wie du dich in dieser Verdachtsphase verhältst, bevor eine Infektion bestätigt ist, und was du dabei von HostPress erwarten kannst. Für den Fall einer bereits bestätigten Malware-Infektion findest du die konkreten Cleanup-Schritte im Artikel „WordPress mit Malware infiziert“.
Voraussetzungen
- Zugriff auf das Kundencenter, Plesk und (sofern noch möglich) das WordPress-Backend.
- Möglichst genaue Beobachtungen: welche Dateien/Verzeichnisse auffällig sind, seit wann, und welche eigenen Prüfungen bereits stattgefunden haben.
Schritt-für-Schritt-Anleitung
1. Ruhe bewahren und nichts vorschnell löschen
Lösche, verändere oder überschreibe verdächtige Dateien zunächst nicht selbst. Vorschnelles Löschen kann sowohl die Ursachenermittlung erschweren als auch versehentlich reguläre WordPress-Kerndateien betreffen, insbesondere wenn sich die verdächtigen Dateien in der Nähe von Core-Verzeichnissen befinden.
2. Beobachtungen dokumentieren
Notiere dir, welche Dateien, Verzeichnisse oder Verhaltensweisen auffällig sind (z. B. unbekannte Dateinamen, unerwartete Admin-Benutzer, ungewöhnlicher Traffic), seit wann dir das auffällt, und welche eigenen Prüfschritte (z. B. ein WordPress-Core-Integritätscheck) du bereits durchgeführt hast. Diese Informationen beschleunigen die Einschätzung durch den Support erheblich.
Vorsicht bei Plugins mit vertrauenserweckenden Namen
Manche Schadsoftware tarnt sich bewusst als Sicherheits- oder Wartungs-Plugin und trägt einen Namen, der seriös oder sogar offiziell klingt (z. B. mit Begriffen wie „Security“, „Optimizer“ oder „Helper“ im Namen). Ein solches Plugin wird dabei nicht über eine bekannte Sicherheitslücke nachträglich eingeschleust, sondern direkt als vermeintlich reguläres Plugin installiert – häufig, ohne dass der eigentliche Website-Betreiber es selbst bewusst hinzugefügt hat.
Worauf du achten solltest
- Prüfe deine Plugin-Liste regelmäßig auf Einträge, die du nicht aktiv selbst installiert hast oder deren Herkunft dir nicht bekannt ist.
- Ein vertrauenswürdig klingender Name ist kein Beleg für die Seriosität eines Plugins – prüfe im Zweifel, ob das Plugin im offiziellen WordPress-Plugin-Verzeichnis gelistet ist und von einem bekannten Autor stammt.
- Betreibst du mehrere Websites auf einem gemeinsamen Zugang bzw. Server, prüfe bei einem Fund alle deine Websites – ein solches Plugin kann sich über mehrere Installationen gleichzeitig verbreiten.
- Melde ein verdächtiges Plugin dem HostPress-Support mit dem genauen Plugin-Namen und der Versionsnummer, statt es vorschnell selbst zu löschen (siehe Schritt „Ruhe bewahren und nichts vorschnell löschen“ oben).
Ein unbekanntes Plugin mit unauffälligem, seriös klingendem Namen ist ein ebenso ernstzunehmender Befund wie eine offensichtlich verdächtige Datei – zögere nicht, uns solche Funde frühzeitig zu melden.
3. Zugangsdaten und Sicherheit vorsorglich verschärfen
Ändere sicherheitshalber die Passwörter für WordPress-Administratorkonten sowie ggf. für FTP/SFTP- und Datenbankzugänge, sofern der Verdacht besteht, dass diese betroffen sein könnten. Prüfe zusätzlich, ob unbekannte Benutzerkonten existieren.
4. HostPress-Support kontaktieren
Wende dich mit deinen dokumentierten Beobachtungen an den HostPress-Support und beschreibe möglichst konkret: betroffene Domain(s), auffällige Datei-/Verzeichnispfade, seit wann dir das Problem bekannt ist, und ob bereits eigene Prüfungen stattgefunden haben. Bei akutem Verdacht auf einen aktiv laufenden Angriff nutze den Notfall-Kontakt im Kundencenter.
5. Was HostPress in dieser Phase unternimmt
Das Support-/Security-Team prüft die gemeldeten Auffälligkeiten und ordnet ein, ob es sich um eine bestätigte Infektion, eine harmlose Fehlmeldung oder einen unklaren Fall handelt. Bei Bedarf koordiniert das Team weitere technische Schritte (z. B. Sicherung relevanter Protokolle, gezielte reversible Einschränkung einzelner verdächtiger Dateien) im Rahmen der auf dem jeweiligen Hosting-Paket verfügbaren Möglichkeiten. Umfangreichere forensische Sonderwünsche (z. B. vollständige Beweissicherung für rechtliche Zwecke) werden im Einzelfall mit dem Kunden abgestimmt.
6. Nach Bestätigung einer Infektion
Sobald eine Infektion bestätigt wurde, folge den Cleanup-Schritten im Artikel „WordPress mit Malware infiziert“: Backup-Restore auf einen Zeitpunkt vor der Infektion (sofern sinnvoll möglich), Entfernen ungenutzter Plugins, Installation aller offenen Updates und Änderung aller relevanten Passwörter.
Fazit & Support-Hinweis
Bei einem bloßen Verdacht auf eine kompromittierte Website gilt: nichts vorschnell selbst verändern oder löschen, Beobachtungen genau dokumentieren und den HostPress-Support frühzeitig einbeziehen. So lässt sich am schnellsten klären, ob tatsächlich eine Infektion vorliegt, und die passenden nächsten Schritte lassen sich gezielt einleiten. Der Support steht dir bei jedem Verdachtsfall gerne zur Seite.