Wordfence (oder der Hoster) meldet Malware: Fehlalarm oder echtes Problem?

Dieser Leitfaden behandelt wordfence malware von der Bestätigung bis zur Bereinigung und Vorbeugung.

Morgens öffnen Sie eine E-Mail mit einem Betreff wie „Problems found on your site“, „Malware detected“ oder „Schädliche Datei gefunden“. Absender ist ein Sicherheits-Plugin auf Ihrer Website, meist Wordfence, oder Ihr Hoster. In der Nachricht stehen Dateinamen, die Ihnen nichts sagen, und Wörter wie „critical“, „malicious“ oder „modified“.

Inhaber reagieren auf solche Nachrichten meist auf eine von zwei Arten, und beide sind falsch. Die einen geraten in Panik, löschen alles Markierte, und die Website funktioniert nicht mehr. Die anderen halten es für „wieder einen Fehlalarm“ und ignorieren die Warnung, bis Google die Website einige Wochen später als gefährlich markiert.

Die Wahrheit liegt dazwischen, deshalb ist es wichtig, eine Warnung lesen zu können, bevor Sie irgendetwas tun. Manche Warnungen sind tatsächlich Fehlalarme oder nicht dringend. Andere sind ein klares Zeichen, dass die Website gehackt wurde. In diesem Artikel erklären wir, wie Sie eine Warnung lesen, was die häufigsten Meldungen bedeuten, wie Sie Fehlalarme erkennen und in welcher Reihenfolge Sie reagieren.

Woher Warnungen kommen

Bei wordfence malware zählt die richtige Reihenfolge mehr als Eile.

Sicherheits-Plugins auf der Website

Plugins wie Wordfence, Sucuri Security, MalCare oder Solid Security scannen Dateien und Datenbank Ihrer WordPress-Website, vergleichen sie mit den Originalversionen und einer Datenbank bekannter Malware-Muster und schicken Ihnen einen Bericht per E-Mail. Sie sehen nur die Website, auf der sie installiert sind.

Eine wichtige Einschränkung: Das Plugin läuft innerhalb von WordPress. Hat ein Angreifer Zugriff erlangt, kann er es deaktivieren, verändern oder so einstellen, dass schädliche Dateien nicht gemeldet werden. Deshalb ist das Ausbleiben von Warnungen keine Garantie, dass die Website sauber ist.

Scanner auf Serverebene

Viele Hoster nutzen eigene Scanner wie ImunifyAV, Imunify360, ClamAV oder Linux Malware Detect. Sie scannen alle Dateien in Ihrem Hosting-Konto, auch andere Websites, alte Installationen und Backups. Finden sie etwas, senden sie eine Mitteilung und verschieben die Datei manchmal selbst in die Quarantäne oder „bereinigen“ sie.

Diese Scanner hängen nicht von WordPress ab, ein Angreifer kann sie also kaum abschalten. Andererseits verstehen sie den WordPress-Kontext nicht immer und liefern häufiger Fehlalarme bei legitimen Dateien.

Externe Prüfungen und Google

Die dritte Quelle von Warnungen sind Dienste, die die Website von außen betrachten, wie ein Besucher: Google Search Console, Google Safe Browsing, die Antivirenprogramme der Besucher und Fernprüfungen wie unser kostenloser Website-Check. Sie sehen keine Dateien, aber die Folgen: Weiterleitungen, Spam, schädliche Skripte. Kommt eine Warnung aus dieser Quelle, ist die Infektion für Ihre Besucher bereits sichtbar, und die Reaktion ist dringend. Mehr dazu im Artikel Webseite von Google Blacklist entfernen.

So lesen Sie eine Warnung

Jede Warnung enthält meist vier Angaben. Wenn Sie sie verstehen, wissen Sie schon viel.

• Schweregrad. Critical, High, Medium, Low, oder beim Hoster eine Kennzeichnung wie „malicious“ oder „suspicious“. Critical und High erfordern eine Reaktion am selben Tag.
• Art des Problems. Ob schädlicher Code, eine veränderte Datei, eine unbekannte Datei, ein verwundbares Plugin oder eine öffentlich zugängliche Datei mit sensiblen Daten gefunden wurde.
• Dateipfad. Wo die Datei liegt. Das ist oft die wichtigste Angabe. Eine PHP-Datei in wp-content/uploads ist fast immer ein Problem. Eine veränderte Datei im Ordner eines Plugins, das Sie gestern aktualisiert haben, wahrscheinlich nicht.
• Zeit. Wann die Datei verändert oder das Problem entdeckt wurde. Passt das zu einem Zeitpunkt, an dem Sie Updates oder Änderungen vorgenommen haben, ist das ein guter Hinweis.

Die häufigsten Warnungen und was sie bedeuten

„File appears to be malicious“ oder „Malicious code found“

Der Scanner hat in einer Datei Code gefunden, der einem bekannten Malware- oder Backdoor-Muster entspricht. Das ist die ernsteste Warnung und sollte als Hack behandelt werden, bis das Gegenteil bewiesen ist.

Prüfen Sie den Pfad. Liegt die Datei in uploads, im Stammverzeichnis mit einem seltsamen Namen oder in einem Ordner, der zu keinem Plugin gehört, ist sie fast sicher schädlich. Gehört die Datei zu einem bekannten Plugin, vergleichen Sie sie mit der Originalversion desselben Plugins. Unterscheiden sie sich und haben Sie nichts geändert, ist auch das ein Zeichen einer Infektion. Wie eine echte Backdoor aussieht, beschreibt der Artikel WordPress-Backdoor finden und entfernen.

„WordPress core file modified“

Eine Datei des WordPress-Core weicht vom Original ab. Das kann bedeuten, dass ein Angreifer Code in eine Systemdatei eingeschleust hat, eine häufige Taktik, weil Inhaber diese Dateien nie öffnen. Es gibt auch harmlose Gründe: Manche Hoster verändern bestimmte Dateien, und manchmal hat ein Entwickler die Änderung vorgenommen.

Die sicherste Lösung ist, den Core durch die Originaldateien derselben Version zu ersetzen. Wordfence kann eine Datei aus dem Original reparieren, und eine Neuinstallation von WordPress über das Backend oder per WP-CLI führt zum selben Ergebnis. War der Core jedoch verändert, gehen Sie davon aus, dass auch anderes verändert wurde, und prüfen Sie die ganze Website.

„Unknown file in WordPress core directory“

In den Core-Ordnern (wp-admin, wp-includes) liegt eine Datei, die dort nicht hingehört. Manchmal ist sie ein Überbleibsel einer alten WordPress-Version nach einem unvollständigen Update. Viel häufiger hat der Angreifer sie dort abgelegt, mit einem systemähnlichen Namen, weil dort niemand hinschaut. Öffnen Sie die Datei und prüfen Sie den Inhalt. Ist er verschleiert oder verstehen Sie nicht, wozu er dient, entfernen Sie die Datei, erstellen Sie aber vorher eine Kopie für die Analyse.

„Modified plugin file“ oder „Modified theme file“

Eine Plugin- oder Theme-Datei weicht von der Version auf WordPress.org ab. Mögliche Ursachen:

• der Autor hat die Datei geändert, ohne die Versionsnummer zu erhöhen, was gelegentlich vorkommt,
• ein Entwickler hat das Plugin oder Theme direkt in den Dateien angepasst statt über ein Child-Theme,
• das Plugin ist ein Premium-Plugin oder eine Raubkopie, sodass der Scanner kein Original zum Vergleich hat (über Raubkopien schreiben wir im Artikel Nulled WordPress-Themes und -Plugins),
• ein Angreifer hat Code in die Datei eingeschleust.

Auch hier ist die schnellste Lösung, das Plugin oder Theme durch eine frisch heruntergeladene Kopie aus der offiziellen Quelle zu ersetzen. Hat ein Entwickler Änderungen vorgenommen, fragen Sie ihn vorher, damit sie nicht verloren gehen.

„Publicly accessible config, backup or log file“

Auf der Website liegt eine Datei mit sensiblen Daten, die jeder herunterladen kann. Meist sind das Kopien der wp-config.php mit Endungen wie .bak, .old oder .save, Datenbankexporte (.sql), Website-Archive (.zip) oder Fehlerprotokolle.

Das ist keine Malware, aber ein ernstes Risiko. Eine Kopie der wp-config.php enthält das Datenbankpasswort. Ein Datenbankexport enthält Benutzer, verschlüsselte Passwörter und Kundendaten. Löschen Sie diese Dateien sofort. Prüfen Sie dann in den Hosting-Logs, ob jemand sie heruntergeladen hat. Wenn ja, oder wenn Sie unsicher sind, ändern Sie das Datenbankpasswort und alle Administratorpasswörter.

„Plugin has a known vulnerability“ oder „Plugin has been abandoned“

Eines Ihrer Plugins hat eine öffentlich bekannte Sicherheitslücke, oder der Autor pflegt es nicht mehr und es wurde aus WordPress.org entfernt. Das bedeutet nicht, dass die Website gehackt wurde, aber dass sie es leicht werden kann. Aktualisieren Sie das Plugin, wenn es eine korrigierte Version gibt. Gibt es keine, ersetzen Sie es durch ein anderes Plugin oder entfernen Sie es.

„Admin user created“ oder „New administrator“

Manche Plugins melden, wenn ein neuer Administrator auftaucht. Haben Sie ihn nicht angelegt, ist das eines der deutlichsten Zeichen für einen Hack. Das Vorgehen beschreibt der Artikel Unbekanntes Admin-Konto in WordPress.

„Password found in breach“

Das Passwort eines Benutzers steht auf öffentlichen Listen geleakter Passwörter. Die Website ist nicht zwingend gehackt, aber dieses Passwort ist unsicher, weil Angreifer es überall ausprobieren. Ändern Sie es sofort in ein eigenes Passwort und aktivieren Sie die Zwei-Faktor-Authentifizierung.

Hoster: „File quarantined“ oder „Malware cleaned“

Der Scanner des Hosters hat eine Datei selbst in die Quarantäne verschoben oder verdächtigen Code daraus entfernt. Das klingt gut, hat aber zwei Haken. Erstens kann bei einem Fehlalarm ein Teil der Website nicht mehr funktionieren. Zweitens hat der Hoster bei echter Malware nur das Symptom entfernt. Der Weg, über den der Angreifer die Datei abgelegt hat, ist noch offen, und die Datei kommt zurück.

So erkennen Sie einen Fehlalarm

Fehlalarme sind häufig, besonders bei Scannern auf Serverebene. Einige Zeichen, dass eine Warnung wahrscheinlich kein echtes Problem ist:

• Die Datei gehört zu einem bekannten Plugin und ist identisch mit dem Original derselben Version aus der offiziellen Quelle.
• Der Änderungszeitpunkt passt zu einem Update, das Sie oder Ihr Entwickler durchgeführt haben.
• Der Code ist lesbar und ergibt Sinn. Manche legitime Plugins nutzen Funktionen wie base64_decode, etwa für Bilder oder Einstellungen, aber klar und dokumentiert.
• Die Datei ist ein Cache oder Backup eines Plugins für Caching oder Backups, am erwarteten Ort.
• Die Datei gehört zum Sicherheits-Plugin selbst, das Malware-Signaturen zum Vergleich enthält.

Zeichen, dass eine Warnung wahrscheinlich doch ein echtes Problem ist:

• eine PHP-Datei in uploads oder in einem Bilderordner,
• eine Datei mit zufälligem Namen oder einem Namen, der eine Systemdatei nachahmt, am falschen Ort,
• lange verschleierte Zeichenfolgen am Anfang oder Ende einer ansonsten normal aussehenden Datei,
• eine Datei, die geändert wurde, als niemand an der Website gearbeitet hat, besonders nachts oder am Wochenende,
• mehrere Warnungen gleichzeitig an verschiedenen Stellen.

Keines dieser Zeichen allein ist ein endgültiger Beweis, aber zwei oder mehr zusammen bedeuten fast immer eine Infektion. Wenn Sie unsicher sind, gehen Sie vom Schlimmsten aus. Die Prüfung einer legitimen Datei kostet Sie wenige Minuten. Echte Malware zu ignorieren kann Wochen der Wiederherstellung kosten.

Ein anschauliches Beispiel: einen Bericht einordnen

Nutzen Sie diese Prüfung erneut, wenn wordfence malware nach einer Teilbereinigung zurückkehrt.

Stellen Sie sich vor, Sie haben einen Bericht mit fünf Einträgen erhalten. So würde die Einordnung aussehen:

1. „Modified plugin file: wp-content/plugins/contact-form-7/includes/...“. Das Plugin wurde vor zwei Tagen aktualisiert, die Datei zur selben Zeit geändert. Der Vergleich mit dem Original derselben Version zeigt, dass die Dateien identisch sind. Fehlalarm, der Scanner hatte vermutlich ein älteres Original zum Vergleich.
2. „Publicly accessible file: wp-config.php.bak“. Ein Entwickler hat vor einem Jahr eine Kopie der Konfiguration angelegt und vergessen. Keine Malware, aber dringend: Datei sofort löschen, Logs prüfen, Datenbankpasswort ändern.
3. „Plugin has a known vulnerability: [Plugin-Name]“. Es gibt eine neuere Version mit Korrektur. Kein Hack, Update am selben Tag.
4. „File appears to be malicious: wp-content/uploads/2025/03/cache.php“. Eine PHP-Datei im Bilderordner, mit verschleiertem Code. Bestätigte Infektion.
5. „WordPress core file modified: wp-includes/load.php“. Geändert um drei Uhr morgens, als niemand an der Website gearbeitet hat. Wahrscheinlich Teil derselben Infektion.

Das Fazit dieses Berichts lautet nicht „zwei Einträge sind falsch, alles in Ordnung“, sondern „die Website wurde gehackt und muss vollständig bereinigt werden“. Die Einträge 4 und 5 bedeuten schon für sich, dass der Angreifer Zugriff hat oder hatte. Die Einträge 2 und 3 zeigen wahrscheinlich, wie er hineinkam. Eine solche Einordnung gibt Ihnen in wenigen Minuten ein klares Bild, statt Panik oder Ignorieren.

Was Sie nicht tun sollten

Betreiber unterschätzen wordfence malware oft, bis Search Console oder Kunden Alarm schlagen.

• Löschen Sie nicht blind alles. Das Löschen von System- oder Plugin-Dateien kann die Website lahmlegen. Richtig ist das Ersetzen durch das Original, nicht das Löschen.
• Ignorieren Sie wiederkehrende Warnungen nicht. Kommt dieselbe Art von Warnung wochenlang, ist das kein Fehlalarm, der von selbst vergeht.
• Setzen Sie nicht alles auf die Ausnahmeliste, nur damit die E-Mails aufhören. So schalten Sie Ihr Frühwarnsystem ab.
• Verlassen Sie sich nicht nur auf „Repair“ oder die automatische Bereinigung. Die Reparatur einer Datei entfernt nicht die Backdoor, die sie verändert hat.
• Schließen Sie nicht, dass alles in Ordnung ist, weil keine Warnungen mehr kommen. Der Angreifer könnte das Plugin deaktiviert haben.

Vorgehen Schritt für Schritt, wenn eine Warnung kommt

1. Festhalten und aufbewahren

Bewahren Sie die Warn-E-Mail auf und notieren Sie die Dateipfade. Bietet Ihr Hoster eine Quarantäne, löschen Sie dort nichts, bis Ihre Prüfung abgeschlossen ist.

2. Backup erstellen

Erstellen Sie vor jeder Änderung eine Kopie von Dateien und Datenbank. Ist die Website infiziert, dient die Kopie der Analyse. Ist es ein Fehlalarm, können Sie die Website schnell wiederherstellen, falls etwas schiefgeht.

3. Warnungen einordnen

Gehen Sie die Liste oben durch und entscheiden Sie für jede Warnung, ob es wahrscheinlich ein Fehlalarm, ein Problem ohne Hack (verwundbares Plugin, öffentliches Backup) oder ein Zeichen einer Infektion ist.

4. Beheben, was keine Infektion ist

Löschen Sie öffentlich zugängliche Backups und Konfigurationskopien, aktualisieren oder ersetzen Sie verwundbare Plugins, ändern Sie geleakte Passwörter.

5. Gibt es Anzeichen einer Infektion, behandeln Sie die Website als gehackt

Eine einzige bestätigte schädliche Datei ist fast nie die einzige. Ändern Sie alle Zugänge, ersetzen Sie Core, Themes und Plugins durch saubere Kopien, prüfen Sie uploads und die Datenbank und finden Sie heraus, wie der Angreifer hineinkam. Die Reihenfolge der Schritte beschreibt der Artikel Meine Website wurde gehackt: was zuerst tun.

6. Erneut scannen

Starten Sie nach der Bereinigung einen neuen Scan mit dem Plugin und bitten Sie den Hoster, das Konto erneut zu scannen. Beide Prüfungen sollten sauber sein.

7. Die Website von außen prüfen

Starten Sie den kostenlosen Website-Check, um zu sehen, ob aus dem Internet Weiterleitungen, Spam oder versteckter Code sichtbar sind, und prüfen Sie die Google Search Console auf Sicherheitswarnungen.

So arbeiten Scanner für Sie statt gegen Sie

• Warn-E-Mails sollten an eine Adresse gehen, die Sie wirklich lesen, nicht an die alte Adresse eines Entwicklers oder ein info@-Konto, das niemand öffnet.
• Stellen Sie die Benachrichtigungsstufe so ein, dass kritische und ernste Warnungen ankommen, ohne Dutzende Nachrichten zu Kleinigkeiten, die Sie daran gewöhnen, alles zu ignorieren.
• Verlassen Sie sich nicht auf einen einzigen Scanner. Die Kombination aus Plugin auf der Website, Scanner auf dem Server und externer Prüfung findet weit mehr als jedes einzelne Tool.
• Aktualisieren Sie auch das Sicherheits-Plugin selbst, denn die Datenbank der Malware-Muster ändert sich ständig.
• Denken Sie über Monitoring nach. Mit unserem Wartungspaket beobachten wir die Warnungen für Sie und reagieren, bevor das Problem für Kunden sichtbar wird.

Nächster Schritt

Haben Sie eine Warnung erhalten und sind unsicher, ob es ein Fehlalarm oder ein echtes Problem ist, starten Sie den kostenlosen Website-Check und senden Sie uns den Text der Warnung. Wir sagen Ihnen schnell, ob Sie handeln müssen und wie. In dringenden Fällen rufen Sie +381 65 402 5000 an. Die Bereinigung beginnt bei 100 €, die Wartung mit Monitoring bei 30 € pro Monat.

Notieren Sie Schritte bei der Analyse von wordfence malware, damit klar ist, was wann geändert wurde.