Website Malware-Check: was Online-Scanner sehen und was nicht
Vielleicht hat Ihnen ein Kunde geschrieben, dass ihn Ihre Website „irgendwo seltsam hingeführt“ hat. Vielleicht hat Ihr Hoster eine E-Mail mit dem Wort Malware im Betreff geschickt. Oder irgendetwas fühlt sich einfach falsch an: Die Seite ist langsamer, bei Google taucht ein Ergebnis auf, das Sie nie erstellt haben, in der Benutzerliste steht ein Name, den Sie nicht kennen. In all diesen Fällen lautet die erste Frage gleich: Ist die Website infiziert oder nicht?
Die gute Nachricht: Ein erster Website Malware-Check kostet nichts und dauert weniger als eine Minute. Die schlechte Nachricht, über die selten offen gesprochen wird: Eine kostenlose Online-Prüfung hat eine klare Grenze. Sie sieht nur, was jeder im Internet sieht. Alles, was in Ihren Dateien und Ihrer Datenbank versteckt ist, bleibt außerhalb ihrer Reichweite.
In diesem Artikel erklären wir, wie ein Malware-Check funktioniert, was er genau finden kann, wo er aufhört, wie Sie das Ergebnis lesen und wann eine tiefere Prüfung nötig ist.
Kurz gesagt: Ein kostenloser Website Malware-Check prüft öffentlich zugängliche Inhalte (HTML, Skripte, Weiterleitungen, Google Safe Browsing) und bestätigt sichtbare Probleme schnell. Ein sauberes Ergebnis ist kein Beweis, dass die Website sauber ist, denn eine Backdoor in Dateien und Datenbank ist von außen unsichtbar. Wenn Sie Symptome sehen, die Prüfung aber sauber ist, braucht es eine Prüfung direkt auf der Website.
Warum eine Website prüfen, die „funktioniert“
Der häufigste Irrtum unter Website-Betreibern ist, dass sie einen Hack „bemerken“ würden. In der Praxis ist es umgekehrt. Moderne Malware ist so gebaut, dass der Betreiber sie nicht sieht.
Das Ziel des Angreifers ist nicht, Ihre Website kaputtzumachen. Er will sie nutzen: Besucher auf seine Seiten umleiten, Spam-Links einschleusen, die Google sieht und Sie nicht, E-Mails von Ihrem Server versenden oder Daten abgreifen, die Kunden eingeben. All das funktioniert besser und länger, wenn Sie nichts davon wissen.
Deshalb sind Infektionen oft so eingestellt, dass sie:
- nur für Besucher aus der Google-Suche aktiv werden, nicht wenn Sie die Adresse direkt eintippen,
- sich nur auf Mobiltelefonen zeigen,
- im WordPress-Admin angemeldete Benutzer überspringen,
- sich nur dem Google-Crawler zeigen, damit der Spam indexiert wird,
- nur zu bestimmten Uhrzeiten oder für Besucher aus bestimmten Ländern laufen.
So kann ein Betreiber monatelang auf seine eigene Website schauen und nichts sehen, während Besucher, Google und Hoster etwas völlig anderes sehen. Ein regelmäßiger Malware-Check ist die Art, die Website mit den Augen eines Fremden zu sehen. Eine längere Liste von Symptomen finden Sie im Artikel Anzeichen einer gehackten Website.
Wie ein Online-Malware-Check funktioniert
Eine Online-Prüfung, also ein Remote-Scanner, verhält sich wie ein Besucher. Der Server des Scanners öffnet Ihre Website über das Internet, lädt herunter, was auch ein Browser herunterladen würde, und analysiert es. Er hat keinen Zugriff auf Ihr Hosting, Ihre Dateien oder Ihre Datenbank. Deshalb braucht er weder Konto noch Passwort noch Installation.
Eine gute Remote-Prüfung macht in der Regel mehrere Dinge gleichzeitig.
Prüfung von HTML und JavaScript
Der Scanner lädt den Quelltext der Startseite und einiger Unterseiten und vergleicht ihn mit bekannten Malware-Mustern. Er sucht etwa nach versteckten iframes, Skripten von verdächtigen Domains, verschleiertem (obfuskiertem) JavaScript, Code, der Links außerhalb des sichtbaren Bereichs einfügt, oder Skripten, die Zahlungsformulare manipulieren.
Prüfung von Weiterleitungen und Cloaking
Diesen Teil schätzen Betreiber am meisten, weil sie ihn selbst kaum prüfen können. Der Scanner öffnet die Website mehrmals mit verschiedenen „Identitäten“: als normaler Browser, als Mobiltelefon, als Besucher aus Google, als Google-Crawler. Antwortet die Website je nach Betrachter unterschiedlich, nennt man das Cloaking, und es ist eines der deutlichsten Anzeichen einer Infektion. Mehr dazu im Artikel Website leitet auf andere Seite um.
Google Safe Browsing und Reputationslisten
Die Prüfung fragt bei Googles Safe-Browsing-Datenbank nach, ob Ihre Domain als gefährlich markiert ist. Wenn ja, sehen Chrome-Nutzer bereits eine rote Warnung, und Sie haben ein dringendes Problem. Was dann zu tun ist, steht im Artikel Webseite von Google Blacklist entfernen.
DNS, TLS und HTTP-Header
Geprüft wird, ob die Domain dorthin zeigt, wohin sie soll, ob das SSL-Zertifikat gültig ist und ob die Antwort-Header etwas Ungewöhnliches verraten, etwa eine unerwartete Weiterleitung auf Serverebene.
Unsere kostenlose Website-Prüfung macht genau das: Sie prüft öffentliches HTML und JS, bis zu 8 Unterseiten und 8 Skripte derselben Domain, testet Cloaking mit mehreren Identitäten und prüft Google Safe Browsing sowie die DNS- und TLS-Kette. Meist ist sie in unter einer Minute fertig.
Was eine Online-Prüfung NICHT sehen kann
Diesen Teil verschweigen die meisten Tools, und für Sie ist er der wichtigste. Eine Remote-Prüfung sieht nur, was der Server einem Besucher schickt. Sie sieht nicht, was auf dem Server liegt und wartet.
Backdoor-Dateien. Eine Backdoor ist ein versteckter Zugang, den der Angreifer hinterlässt, um zurückkehren zu können. Meist ist es eine kleine PHP-Datei im Upload-Ordner, zwischen den Plugins oder in einer Theme-Datei vergraben. Sie gibt nichts auf der Seite aus. Besucher sehen sie nicht, also auch kein Remote-Scanner. Wie man Backdoors findet, erklären wir im Artikel WordPress-Backdoor finden.
Code in der Datenbank, der sich nicht immer zeigt. Manche Infektionen leben in der Datenbank und werden nur unter bestimmten Bedingungen aktiv. Ist die Bedingung im Moment der Prüfung nicht erfüllt, sieht der Scanner nichts.
Skripte zum Spam-Versand. Ein Skript, das tausende E-Mails von Ihrem Server verschickt, erscheint nicht auf der Website. Der Hoster sieht es in den Logs, Sie merken es, wenn Ihr Konto gesperrt wird, und eine Remote-Prüfung sieht es überhaupt nicht.
Gefälschte Administratoren. Ein unbekanntes Admin-Konto existiert nur in der Datenbank. Von außen ist es nicht sichtbar.
Geplante Aufgaben. Angreifer hinterlassen oft einen Cron-Job, der Malware nach der Bereinigung wieder einschleust. Das ist der klassische Grund, warum eine Infektion nach der Bereinigung zurückkehrt.
Infektionen, die nur bestimmte Besucher treffen. Läuft Malware nur für Besucher aus einem bestimmten Land oder zu bestimmten Zeiten, kann ein Scanner sie verpassen.
Deshalb gilt eine einfache Regel: Ein verdächtiges Ergebnis ist ein starkes Signal, ein sauberes Ergebnis nur ein gutes Zeichen, kein Beweis.
So lesen Sie das Ergebnis
Das Ergebnis fällt meist in eine von drei Kategorien.
Das Ergebnis zeigt ein Risiko
Der Scanner hat etwas gefunden, das aus dem Internet sichtbar ist: ein verdächtiges Skript, ein verstecktes iframe, eine Weiterleitung für mobile Besucher oder einen Eintrag bei Google Safe Browsing. Das bestätigt, dass die Website kompromittiert ist.
Was zu tun ist: Keine Panik, und löschen Sie keine Dateien auf gut Glück. Der Fund ist nur der sichtbare Teil. Fast immer gibt es auch einen unsichtbaren, meist die Backdoor, über die der Code eingeschleust wurde. Entfernen Sie nur den sichtbaren Teil, kehrt die Infektion innerhalb weniger Tage zurück. Die Reihenfolge der Schritte finden Sie im Artikel Website gehackt: was zuerst tun.
Das Ergebnis ist sauber, und Sie haben keine Symptome
Das ist das bestmögliche Ergebnis einer Schnellprüfung. Es garantiert nicht, dass die Website sauber ist, bedeutet aber, dass derzeit nichts Verdächtiges bei Besuchern ankommt. Wiederholen Sie die Prüfung regelmäßig, etwa einmal im Monat, oder richten Sie eine automatische Überwachung ein.
Das Ergebnis ist sauber, aber Sie haben Symptome
Das ist der wichtigste Fall und der, der am häufigsten falsch gedeutet wird. Hat Ihr Hoster eine Missbrauchsmeldung geschickt, sehen Sie einen unbekannten Administrator, zeigt Google Spam-Seiten unter Ihrer Domain oder ist die Website unerklärlich langsam, die Prüfung zeigt aber nichts, dann irrt sich nicht der Hoster. Dann liegt das Problem dort, wo eine Remote-Prüfung nicht hinsieht: in Dateien und Datenbank.
In diesem Fall ist der nächste Schritt eine Tiefenprüfung direkt auf der Website.
Was die häufigsten Funde bedeuten
Zeigt die Prüfung ein Risiko, nennt der Bericht meist auch die Art des Fundes. So verstehen Sie die Funde ohne technisches Vorwissen.
Verdächtiges externes Skript. Die Website lädt JavaScript von einer Domain, die nichts mit Ihrer Website, Ihrem Theme oder Ihren Plugins zu tun hat. Das ist der häufigste Weg, über den Weiterleitungen und Datendiebstahl-Skripte eingeschleust werden.
Verschleierter Code. Eine lange Zeichenfolge aus Buchstaben und Zahlen ohne ein lesbares Wort, die erst im Browser entschlüsselt wird. Legitime Plugins tun das auf öffentlichen Seiten selten, Malware fast immer.
Verstecktes iframe. Ein Rahmen mit null Pixeln Größe oder außerhalb des Bildschirms, der im Hintergrund eine fremde Seite lädt. Der Besucher sieht ihn nicht, aber der Browser führt ihn aus.
Unterschiedliche Antwort für unterschiedliche Besucher. Die Website zeigt dem Google-Crawler etwas anderes als Menschen, oder Computern etwas anderes als Handys. Das ist Cloaking und bedeutet fast immer eine Infektion.
Eintrag bei Google Safe Browsing. Google hat die Website bereits als gefährlich eingestuft. Besucher sehen eine Warnung, bevor sie die Website erreichen.
Versteckte Links. Links zu Casinos, Apotheken oder Wettanbietern, durch Farbe, Größe oder Position versteckt. Sie sind für Google gedacht, nicht für Menschen, und schaden Ihren Rankings.
Keiner dieser Funde sagt Ihnen, wie der Angreifer hineingekommen ist. Das wird erst in Dateien, Logs und Datenbank sichtbar.
Remote-Prüfung und Tiefenprüfung: der Unterschied in einer Tabelle
| Remote-Prüfung | Tiefenprüfung auf der Website | |
|---|---|---|
| Was sie prüft | Öffentliches HTML, Skripte, Weiterleitungen, Domain-Reputation | Alle Dateien, Datenbank, Benutzer, geplante Aufgaben |
| Zugang | Nicht nötig | Spezielles Tool auf der Website oder Hosting-Zugang |
| Dauer | Meist unter einer Minute | Hängt von der Größe der Website ab |
| Findet Backdoors | Nein | Ja |
| Findet Spam-Skripte | Nein | Ja |
| Findet gefälschte Admins | Nein | Ja |
| Preis | Kostenlos | Teil der Bereinigung |
Die Remote-Prüfung ist die Ersteinschätzung. Die Tiefenprüfung ist die Diagnose.
Wie oft einen Malware-Check machen
Für die meisten Websites kleiner Unternehmen ist Folgendes sinnvoll:
- Einmal im Monat eine schnelle Remote-Prüfung, wenn die Website keine automatische Überwachung hat.
- Sofort nach jedem verdächtigen Signal: E-Mail vom Hoster, Nachricht eines Kunden, merkwürdiges Google-Ergebnis, unbekannter Benutzer.
- Nach jeder Bereinigung, mehrere Tage hintereinander, um sicherzugehen, dass die Infektion nicht zurückgekehrt ist.
- Nach größeren Änderungen, etwa neuen Plugins oder einem Theme-Wechsel, vor allem wenn sie nicht aus dem offiziellen Verzeichnis stammen.
Für Websites, die direkt Umsatz bringen, etwa Shops und Buchungsseiten, reicht eine manuelle Monatsprüfung nicht. Eine Infektion kann wochenlang laufen, bevor sie jemand bemerkt. Hier lohnt sich eine automatische Überwachung, die den Zustand von Dateien und Datenbank täglich vergleicht und Änderungen meldet.
Häufige Fehler nach der Prüfung
Ein sauberes Ergebnis trotz Symptomen ignorieren. Sagt der Hoster, die Website verschickt Spam, und die Prüfung ist sauber, glauben Sie dem Hoster. Er sieht die Server-Logs.
Nur löschen, was der Scanner gefunden hat. Sichtbarer Code ist die Folge. Die Ursache ist der Zugang, über den er kam. Ohne den Zugang zu schließen, kommt der Code zurück.
Fünf Sicherheits-Plugins auf einmal installieren. Plugins entfernen nicht, was bereits tief im System steckt, verlangsamen aber die Website und erschweren die Diagnose.
Ein altes Backup ohne Prüfung einspielen. Wenn Sie nicht wissen, wann die Infektion begann, spielen Sie vielleicht eine bereits infizierte Version zurück.
Abwarten. Jeder Tag, an dem eine infizierte Website online ist, bedeutet mehr umgeleitete Besucher, mehr Schaden bei Google und ein höheres Risiko, dass der Hoster das Konto sperrt.
Eine manuelle Prüfung, die Sie in 15 Minuten selbst machen können
Die Online-Prüfung ist der schnellste erste Schritt, aber einiges können Sie auch selbst prüfen, ganz ohne Tool. Zusammen mit der Remote-Prüfung ergibt das ein deutlich vollständigeres Bild.
1. Die Website mit den Augen eines Fremden ansehen
Öffnen Sie ein privates Browserfenster. Tippen Sie die Adresse nicht direkt ein, sondern suchen Sie bei Google nach Ihrem Firmennamen und klicken Sie auf Ihr Ergebnis. Wiederholen Sie das auf dem Handy, über mobile Daten statt über das heimische WLAN. Viele Infektionen werden nur für Besucher aus der Suche und nur auf Mobilgeräten aktiv. Landen Sie auch nur einmal auf einer fremden Website, haben Sie die Bestätigung.
2. Prüfen, was Google über Ihre Website weiß
Suchen Sie bei Google nach site:ihredomain.de und gehen Sie die ersten Ergebnisseiten durch. Suchen Sie nach Seiten, die Sie nicht erstellt haben: Text auf Japanisch oder Chinesisch, Seiten über Medikamente, Casinos, Wetten, Replika-Uhren. Sehen Sie solche Seiten, ist die Website kompromittiert, auch wenn die Startseite normal aussieht. Eine Erklärung finden Sie im Artikel zum Japanese Keyword Hack.
3. Google Search Console öffnen
Wenn Sie die Search Console eingerichtet haben, öffnen Sie den Bericht zu Sicherheitsproblemen. Sieht Google Malware, meldet es sie zuerst dort, oft mit konkreten Adressen der infizierten Seiten.
4. Die Benutzerliste in WordPress durchgehen
Öffnen Sie im Admin die Benutzer und filtern Sie nach Administratoren. Jedes Konto, das Sie nicht kennen, ist ein ernstes Zeichen. Löschen Sie es nicht sofort, denn das schließt den Zugang nicht, über den es angelegt wurde. Warum, erklären wir im Artikel unbekanntes Admin-Konto in WordPress.
5. Die letzten Änderungen im Hosting ansehen
Wenn Sie Zugriff auf den Dateimanager haben, sortieren Sie die Dateien nach Änderungsdatum. Dateien mit der Endung .php im Ordner wp-content/uploads sollte es nicht geben. Auch Dateien, die zu Zeiten geändert wurden, als bei Ihnen niemand an der Website gearbeitet hat, sind eine Spur.
Diese manuelle Prüfung ersetzt keine Tiefenprüfung, gibt Ihnen aber in 15 Minuten genug Informationen, um zu entscheiden, ob es dringend ist.
Ein besonderer Hinweis für Shops
Nimmt Ihre Website Bestellungen und Zahlungen entgegen, hat der Malware-Check zusätzliches Gewicht. Bei Shops zielen Angreifer meist nicht auf Weiterleitungen, sondern auf Kundendaten. Ein auf der Zahlungsseite eingeschleustes Skript kann kopieren, was der Kunde eingibt, während der Shop völlig normal weiterläuft. Bestellungen kommen an, Zahlungen gehen durch, und Sie erfahren erst davon, wenn Kunden Kartenmissbrauch melden.
Eine Remote-Prüfung kann einen Teil solcher Skripte finden, vor allem solche, die von externen Domains geladen werden. Manche werden aber nur auf der Zahlungsseite und nur mit vollem Warenkorb aktiv, sodass ein externer Scanner sie nicht immer „auslösen“ kann. Deshalb gilt für Shops eine strengere Regel: regelmäßige Prüfung plus automatische Dateiüberwachung, nicht nur gelegentliche manuelle Prüfungen.
Wann Sie sich bei uns melden sollten
Melden Sie sich, wenn eines davon zutrifft:
- die Prüfung zeigt ein Risiko,
- die Prüfung ist sauber, aber Hoster, Google oder Kunden melden ein Problem,
- die Website wurde bereits bereinigt, und das Problem ist zurückgekehrt,
- es handelt sich um einen Shop oder eine Website, die Umsatz bringt.
Die Tiefenprüfung machen wir über ein spezielles Tool, das auf der Website installiert wird und Dateien, Datenbank und Konten sieht. Danach erhalten Sie einen klaren Bericht, was gefunden und was entfernt wurde. Die Bereinigung beginnt ab 100 €, dringende Fälle werden während des Arbeitstages vorrangig bearbeitet, ab 150 €.
Prüfung anfragen oder anrufen: +381 65 402 5000.
Der erste Schritt dauert weniger als eine Minute
Wenn Sie Malware vermuten, müssen Sie nicht raten. Geben Sie die Adresse Ihrer Website ein, und in weniger als einer Minute wissen Sie, ob von außen etwas Verdächtiges sichtbar ist. Wenn ja, oder wenn Sie weiterhin Symptome haben, gehen wir tiefer.
