E-Mail vom Host: „Konto gesperrt – Malware erkannt“. Die Website zeigt eine Browserwarnung an. In „wp-content/uploads/2024/“: eine verschleierte „shell.php“. Panikreflex: Datei manuell löschen, erneut aktivieren – die Infektion kommt 48 Stunden später wieder, weil der Vektor immer noch da ist.
Bei Shared teilen Sie die Infrastruktur mit anderen Sites. Aktive Malware kann zum Schutz des Netzwerks ausgesetzt werden. Die nützliche Reihenfolge: isolieren → bereinigen bereinigen → den Eintrag verstehen – nicht zufällig im Dateimanager klicken.
Phase 1: Isolieren, um den Schaden zu begrenzen
Versetzen Sie die Website in den Wartungsmodus, um zu verhindern, dass Besucher schädlichen Code ausführen. Ändern Sie Panel-, FTP- oder SFTP-, Datenbank- und WordPress-Administratorkennwörter – von einem fehlerfreien Computer aus. Widerrufen Sie WordPress-Sitzungen und API-Schlüssel, wenn der Verdacht einer Kompromittierung besteht. Informieren Sie den Gastgeber: Manchmal ist eine Sperre zwingend erforderlich; Fordern Sie aktuelle Zugriffsprotokolle an. Löschen Sie nicht nur die gemeldete Datei ohne einen Wiederherstellungsplan.
Bei Shared kann ein infizierter Nachbar auch die Shared-IP-Reputation beeinträchtigen – siehe Shared IP-Adressen.
Phase 2: sauber – Wiederherstellung statt Operation
| Ansatz | Wann | Risiko |
|---|---|---|
| Wiederherstellung des Backups vor der Infektion | Bekanntermaßen sauberes Backup, das weniger als 30 Tage alt ist | Verlust aktueller Inhalte |
| Scannen + Quarantäne | Lokalisierte Infektion | Verbleibende Hintertür |
| Core-Neuinstallation + saubere Themes | Kompromittierte Uploads | Basis muss ausführlich geprüft werden |
Vergleichen Sie die offiziellen WordPress-Kernprüfsummen. Installieren Sie Erweiterungen von der Quelle neu – nicht von einem infizierten lokalen Backup. Überprüfen Sie die Datenbank: unbekannte Administratorkonten, verdächtige „Autoload“-Optionen, bösartige „wp-cron“-Aufgaben. „.php“-Dateien beim Hochladen über Nginx oder Apache nicht zulassen. Testen Sie die Wiederherstellung vor der Krise – andernfalls könnte auch das Backup infiziert sein.
Phase 3: Verstehen Sie die Eingabe
Häufige Ursachen für Shared: raubkopierte Erweiterung oder Theme oder nicht aktualisiert – CVE ausgenutzt; schwaches Administratorkennwort ohne Zwei-Faktor-Authentifizierung; FTP-Anmeldeinformationen wurden durch lokale Workstation oder versehentliches Commit kompromittiert; Formular hochladen** ohne Validierung – Webshell. Dokumentieren Sie den Zeitplan, entfernen Sie unnötige Plugins und aktivieren Sie die Zwei-Faktor-Authentifizierung des Administrators. Eine WAF vervollständigt die Korrekturen; es ersetzt sie nicht.
Der Gipfel: Malware ist ein Symptom
Der Host unterbricht; Sie müssen vor der Reaktivierung die Sauberkeit nachweisen. Den gemeinsamen Kontext finden Sie unter Hosting zu Ermittlungsmissbrauch.
Entscheide dich und gehe ohne blinden Fleck voran
Isolieren Sie die Site und rotieren Sie alle Identifikatoren beim ersten Alarm, bevor Sie eine teilweise Bereinigung durchführen. Stellen Sie von einem sauberen Backup wieder her oder installieren Sie es auf kontrollierte Weise neu, indem Sie offizielle Prüfsummen überprüfen. Überprüfen Sie die Datenbank und das Upload-Verzeichnis auf persistente Hintertüren. Identifizieren Sie den Eingabevektor und schließen Sie ihn – Plugin entfernt, Passwort verstärkt, Upload sicher. Überwachen Sie 30 Tage nach der Online-Wiederkehr und härten Sie Patches und Anwendungs-Firewall aus. Vergleichen Sie Shared und VPS über das Verzeichnis, wenn sich Wiederholungen häufen.
Häufig gestellte Fragen
Sollte der Gastgeber kostenlos reinigen?
Variiert je nach Vertrag – oft einfacher Scan und Kontosperrung, keine vollständige forensische Analyse. Lesen Sie die AGB; Planen Sie eine Wiederherstellung von einem sauberen Backup oder einem Experten, wenn der Standort kritisch ist.
Reicht das Löschen infizierter Dateien aus?
Selten. Hintertüren werden über geplante Datenbankaufgaben oder kompromittierte Administratorkonten neu erstellt. Ändern Sie alle Passwörter, rotieren Sie API-Schlüssel und stellen Sie Dateien in der Datenbank wieder her.
Verhindert die Migration zu VPS Malware?
Dies verringert das Risiko eines überlasteten Nachbarn, nicht veralteter Plugins oder eines FTP-Lecks. Die Hygiene bleibt gleich; Mit VPS übernehmen Sie die Verantwortung für das Patchen.
Wie finde ich den Einstiegspunkt?
Rekonstruieren Sie die Zeitleiste: zuletzt installiertes Plugin, FTP-Zugriffsprotokolle, WordPress-Version, Dateiänderungsdatum. Spezialisierte Scanner oder Expertenunterstützung runden die Analyse ab.
Gemeinsam genutzte Malware: isolieren, sauber wiederherstellen und dann die Tür finden – andernfalls bereinigen Sie den gleichen Eindringling immer wieder.