{"id":2725,"date":"2026-11-05T00:36:01","date_gmt":"2026-11-04T23:36:01","guid":{"rendered":"https:\/\/quantenfrosch.at\/blog\/?p=2725"},"modified":"2026-11-05T00:36:01","modified_gmt":"2026-11-04T23:36:01","slug":"wordpress-gehackt-bereinigen","status":"publish","type":"post","link":"https:\/\/quantenfrosch.at\/blog\/wordpress-gehackt-bereinigen\/","title":{"rendered":"WordPress gehackt bereinigen: Schritte nach Malware-Fund"},"content":{"rendered":"<p>Sperren Sie die Site zuerst f\u00fcr Besucher, beenden Sie laufende PHP-Prozesse und sichern Sie den infizierten Stand. Spielen Sie danach WordPress, Plugins und Themes frisch ein, pr\u00fcfen Sie Dateiberechtigungen, .htaccess-Dateien, Uploads und Datenbank und tauschen Sie alle Zugangsdaten. Einen R\u00fcckfall verhindern Sie nur, wenn Sie das Einfallstor schlie\u00dfen, etwa eine ausgenutzte Sicherheitsl\u00fccke, einen schwachen Login oder <a href=\"https:\/\/support.google.com\/webmasters\/answer\/9044101?hl=en\" target=\"_blank\" rel=\"noopener noreferrer\">ein manipuliertes Plugin<\/a>. Eine \u00dcberpr\u00fcfung bei Google beantragen Sie erst, wenn alles behoben ist.<\/p>\n<h2>Voraussetzungen<\/h2>\n<p>Ohne Zugriff auf den Server l\u00e4sst sich eine Site nicht sauber bereinigen. Kl\u00e4ren Sie deshalb vor dem ersten Handgriff, welche Zug\u00e4nge Sie haben und welche Sie beim Hoster anfragen m\u00fcssen.<\/p>\n<p>Ben\u00f6tigt werden:<\/p>\n<ul>\n<li>Zugang per SFTP oder SSH sowie zum Hosting-Panel, damit Sie Dateien ersetzen und Prozesse beenden k\u00f6nnen. Bei Shared Hosting \u00fcbernimmt das gegebenenfalls der Support des Hosters.<\/li>\n<li>Zugriff auf die Datenbank, etwa \u00fcber das Hosting-Panel.<\/li>\n<li>Speicherplatz f\u00fcr eine Sicherung des infizierten Stands.<\/li>\n<li>Optional WP-CLI f\u00fcr <a href=\"https:\/\/developer.wordpress.org\/cli\/commands\/core\/verify-checksums\/\" target=\"_blank\" rel=\"noopener noreferrer\">den Core-Checksum-Vergleich<\/a> und <a href=\"https:\/\/quantenfrosch.at\/blog\/wordpress-security-plugin-wordfence\/\">einen Scanner wie Wordfence<\/a> <a href=\"https:\/\/www.wordfence.com\/help\/scan\/scan-results\/\" target=\"_blank\" rel=\"noopener noreferrer\">f\u00fcr die Analyse<\/a>.<\/li>\n<li>Bei einer Google-Warnung: Zugang zur Search Console der betroffenen Property.<\/li>\n<\/ul>\n<p>Sicher sein, dass wirklich ein Befall vorliegt, sollten Sie, bevor Sie eingreifen. Die WordPress-Dokumentation nennt eine kompromittierte Website als m\u00f6gliche Ursache f\u00fcr Fehler, wenn Konfigurationsfehler in der <code>wp-config.php<\/code> und <a href=\"https:\/\/developer.wordpress.org\/advanced-administration\/wordpress\/common-errors\/\" target=\"_blank\" rel=\"noopener noreferrer\">Hosting-Probleme ausgeschlossen sind<\/a>. Haben Sie Malware gefunden, etwa durch einen Scanner oder eine Warnung von Google, k\u00f6nnen Sie direkt mit Schritt 1 beginnen.<\/p>\n<h2>Vorgehen in neun Schritten<\/h2>\n<p>Die Reihenfolge ist Absicht: Erst stoppen Sie die Ausbreitung, dann sichern Sie Beweise, dann r\u00e4umen Sie auf, und erst danach geht die Site wieder online. Wer diese Reihenfolge vertauscht, r\u00e4umt unter Umst\u00e4nden auf einer Site auf, die sich gleichzeitig neu infiziert.<\/p>\n<h3>Eind\u00e4mmen: die ersten Stunden<\/h3>\n<p>In den ersten Stunden geht es nicht ums Reinigen, sondern darum, dass nichts mehr passiert, w\u00e4hrend Sie arbeiten.<\/p>\n<ol>\n<li><strong>Website sperren.<\/strong>\n<ul>\n<li>Zweck: Besucher bekommen keine Schadsoftware ausgeliefert, und w\u00e4hrend der Bereinigung kommen keine neuen Zugriffe des Angreifers durch. Ich sperre die Website grunds\u00e4tzlich, bevor ich mit dem Aufr\u00e4umen beginne. Das gelingt \u00fcber eine Funktion des Hosters oder einen Zugriffsschutz auf Serverebene, den Sie nicht \u00fcber eine m\u00f6glicherweise manipulierte <code>.htaccess<\/code> der Site selbst einrichten sollten.<\/li>\n<li>Pr\u00fcfpunkt: Rufen Sie die Site von einem fremden Netz aus auf. Sie sehen eine Sperrseite oder einen Zugriffsschutz, keine WordPress-Seite.<\/li>\n<\/ul>\n<\/li>\n<li><strong>Laufende PHP-Prozesse beenden.<\/strong>\n<ul>\n<li>Zweck: Ich hatte es mit selbst replizierender Malware zu tun. Solange ein solcher Prozess l\u00e4uft, bringt L\u00f6schen wenig, weil sich der Schadcode erneut verteilen kann. Ich beende deshalb zuerst den PHP-Prozess und r\u00e4ume erst danach auf.<\/li>\n<li>Pr\u00fcfpunkt: In der Prozessliste l\u00e4uft kein PHP-Prozess der Site mehr, und gel\u00f6schte Testdateien tauchen nicht wieder auf.<\/li>\n<\/ul>\n<\/li>\n<li><strong>Den infizierten Stand sichern.<\/strong>\n<ul>\n<li>Zweck: Wordfence empfiehlt, vor dem Reparieren oder L\u00f6schen verd\u00e4chtiger Dateien eine Sicherung der Datei oder der gesamten Website anzulegen. So k\u00f6nnen Sie sp\u00e4ter nachvollziehen, wie der Angreifer vorging, und versehentlich gel\u00f6schte Inhalte zur\u00fcckholen.<\/li>\n<li>Pr\u00fcfpunkt: Dateien und Datenbankexport liegen au\u00dferhalb des Webverzeichnisses, und die Sicherung l\u00e4sst sich nicht \u00fcber eine URL abrufen.<\/li>\n<\/ul>\n<\/li>\n<\/ol>\n<p><strong>Achtung:<\/strong> L\u00f6schen Sie nichts, bevor die Sicherung aus Schritt 3 vollst\u00e4ndig vorliegt.<\/p>\n<h3>Bereinigen: Dateien, Plugins, Datenbank<\/h3>\n<p>Im Kern ersetzen Sie, was sich ersetzen l\u00e4sst, und pr\u00fcfen von Hand, was nicht ersetzbar ist.<\/p>\n<ol start=\"4\">\n<li><strong>Dateiberechtigungen und .htaccess-Dateien pr\u00fcfen.<\/strong>\n<ul>\n<li>Zweck: Angreifer ver\u00e4ndern Berechtigungen und legen eigene <code>.htaccess<\/code>-Dateien an oder manipulieren vorhandene. Ich suche deshalb gezielt nach ge\u00e4nderten Dateiberechtigungen und nach <code>.htaccess<\/code>-Dateien. Pr\u00fcfen Sie dabei die gesamte Installation, nicht nur das Hauptverzeichnis. Google nennt Verzeichnisse mit zu weitreichenden Berechtigungen ausdr\u00fccklich als typischen Weg f\u00fcr Hacks.<\/li>\n<li>Pr\u00fcfpunkt: Sie haben eine Liste aller <code>.htaccess<\/code>-Dateien und k\u00f6nnen jede Regel erkl\u00e4ren. Berechtigungen weichen nirgends ohne Grund von den \u00fcbrigen Verzeichnissen ab.<\/li>\n<\/ul>\n<\/li>\n<li><strong>Frisches WordPress einspielen.<\/strong>\n<ul>\n<li>Zweck: Statt einzelne Core-Dateien zu flicken, ersetzen Sie die Core-Dateien vollst\u00e4ndig durch eine frische Kopie. Das betrifft <code>wp-admin<\/code>, <code>wp-includes<\/code> und die Dateien im Hauptverzeichnis. Die <code>wp-config.php<\/code> pr\u00fcfen Sie von Hand, den Ordner <code>wp-content<\/code> gesondert (Schritte 6 und 7).<\/li>\n<li>Pr\u00fcfpunkt: <code>wp core verify-checksums<\/code> meldet keine ver\u00e4nderten, fehlenden oder zus\u00e4tzlichen Core-Dateien. Beachten Sie die Grenze: Der Befehl pr\u00fcft den Core, nicht automatisch Plugins, Themes, Uploads, Datenbank oder Serverkonfiguration.<\/li>\n<\/ul>\n<\/li>\n<li><strong>Frische Plugins einspielen, alte l\u00f6schen.<\/strong>\n<ul>\n<li>Zweck: Ich l\u00f6sche die vorhandenen Plugin-Verzeichnisse und spiele frische Versionen ein, statt sie zu \u00fcberschreiben. Beim \u00dcberschreiben bleiben zus\u00e4tzliche, vom Angreifer abgelegte Dateien im Plugin-Ordner liegen. Plugins, die Sie nicht brauchen, kommen gar nicht mehr zur\u00fcck. Raubkopierte Premium-Plugins und -Themes (\u201enulled\u201c) beschreibt Wordfence als m\u00f6gliche <a href=\"https:\/\/www.wordfence.com\/blog\/2021\/01\/the-wordfence-2020-wordpress-threat-report\/\" target=\"_blank\" rel=\"noopener noreferrer\">Quelle von Backdoors<\/a>. Beziehen Sie Premium-Produkte nur vom Hersteller. Themes mit eigenem Code vergleichen Sie mit Ihrem Entwicklungsstand.<\/li>\n<li>Pr\u00fcfpunkt: Im Plugin-Ordner liegen nur frisch eingespielte Plugins aus einer Quelle, die Sie benennen k\u00f6nnen.<\/li>\n<\/ul>\n<\/li>\n<li><strong>Uploads und Datenbank pr\u00fcfen.<\/strong>\n<ul>\n<li>Zweck: Schadcode sitzt nicht nur in Dateien. Wordfence beschreibt, dass er auch in WordPress-Optionen oder in Plugin- und Theme-Optionen der Datenbank gespeichert sein kann. Suchen Sie au\u00dferdem im Upload-Ordner nach PHP-Dateien, die dort nicht hingeh\u00f6ren. Ein Scanner hilft, aber nicht jeder Fund ist Schadcode: Auch legitime Plugins, vor allem Backup-Plugins mit Wiederherstellungs-Installern, enthalten Code, der einem Scanner verd\u00e4chtig erscheint.<\/li>\n<li>Pr\u00fcfpunkt: Der Scan zeigt keine ungekl\u00e4rten Funde mehr. Jeden verbliebenen Fund haben Sie einzeln bewertet und dokumentiert.<\/li>\n<\/ul>\n<\/li>\n<\/ol>\n<h3>Absichern und freigeben<\/h3>\n<p>Erst wenn die Site sauber ist, tauschen Sie die Zug\u00e4nge und geben sie wieder frei. W\u00fcrden Sie die Passw\u00f6rter fr\u00fcher \u00e4ndern, k\u00f6nnte der Angreifer sie \u00fcber noch vorhandene Hintert\u00fcren erneut abgreifen.<\/p>\n<ol start=\"8\">\n<li><strong>Zugangsdaten ersetzen.<\/strong>\n<ul>\n<li>Zweck: Der Angreifer kennt m\u00f6glicherweise Passw\u00f6rter, und Brute-Force-Angriffe probieren automatisiert Benutzername-Passwort-Kombinationen, <a href=\"https:\/\/developer.wordpress.org\/advanced-administration\/security\/brute-force\/\" target=\"_blank\" rel=\"noopener noreferrer\">bis eine funktioniert<\/a>. Ersetzen Sie die Passw\u00f6rter aller WordPress-Konten, der Datenbank, von SFTP\/SSH und des Hosting-Panels. Erneuern Sie die Schl\u00fcssel (Salts) in der <code>wp-config.php<\/code> und l\u00f6schen Sie unbekannte Administratorkonten.<\/li>\n<li>Pr\u00fcfpunkt: Jedes Benutzerkonto hat einen bekannten Besitzer, und alle Zugangsdaten sind neu und einzigartig.<\/li>\n<\/ul>\n<\/li>\n<li><strong>Freigeben und beobachten.<\/strong>\n<ul>\n<li>Zweck: Heben Sie die Sperre auf und beobachten Sie die Site eng. Scannen Sie erneut, pr\u00fcfen Sie die Core-Checksums und kontrollieren Sie, ob neue Dateien oder Prozesse auftauchen. Bei einer Google-Warnung folgt nun die \u00dcberpr\u00fcfung (siehe unten).<\/li>\n<li>Pr\u00fcfpunkt: Nach der Freigabe erscheinen keine neuen verd\u00e4chtigen Dateien, Konten oder Prozesse.<\/li>\n<\/ul>\n<\/li>\n<\/ol>\n<h2>Typische Fehler und wie man sie erkennt<\/h2>\n<p>R\u00fcckf\u00e4lle entstehen oft durch unvollst\u00e4ndige Bereinigung. Die folgenden Fehler fallen oft erst auf, wenn die Warnung oder der Schaden zur\u00fcckkehrt.<\/p>\n<ul>\n<li>Bereinigung nur an den sichtbaren URLs: Google weist darauf hin, dass die Beispiel-URLs im Sicherheitsbericht nur eine Stichprobe sind und keine vollst\u00e4ndige Liste betroffener Seiten. Erkennbar ist der Fehler, wenn die Warnung nach dem Pr\u00fcfantrag bestehen bleibt.<\/li>\n<li>Prozess l\u00e4uft noch: Sie l\u00f6schen Dateien, und sie erscheinen kurz darauf wieder. Beenden Sie den PHP-Prozess (Schritt 2), bevor Sie weiterarbeiten.<\/li>\n<li>Checksummen als Freigabe verstehen: <code>wp core verify-checksums<\/code> sagt nichts \u00fcber Plugins, Uploads oder Datenbank. Ein gr\u00fcnes Ergebnis bedeutet nur, dass der Core unver\u00e4ndert ist.<\/li>\n<li>Scanner-Funde ungepr\u00fcft l\u00f6schen: Legitime Plugins k\u00f6nnen Fehlalarme ausl\u00f6sen. Erkennbar ist das daran, dass nach dem L\u00f6schen eine Funktion ausf\u00e4llt. Deshalb zuerst sichern (Schritt 3).<\/li>\n<li>Datenbank vergessen: Schadcode in Optionen \u00fcbersteht jede Dateibereinigung. Erkennbar ist das an Weiterleitungen oder fremden Inhalten, obwohl alle Dateien sauber sind.<\/li>\n<li>Ein altes Backup zur\u00fcckspielen, ohne die L\u00fccke zu schlie\u00dfen: Die Site ist dann zwar kurz sauber, aber derselbe Weg steht offen. Der Fehler zeigt sich, wenn der Befall wiederkehrt.<\/li>\n<li>\u00dcberpr\u00fcfung zu fr\u00fch beantragen: Google verlangt, dass alle aufgef\u00fchrten Probleme auf allen betroffenen Seiten behoben sind. Eine Teilbereinigung f\u00fchrt nicht zu einer teilweisen Aufhebung der Warnung.<\/li>\n<\/ul>\n<h2>Was nach der Bereinigung kommt<\/h2>\n<p>Nach der Bereinigung geht es darum, <a href=\"https:\/\/quantenfrosch.at\/blog\/15-sicherheitstipps-fuer-wordpress\/\">die Ursache zu finden und zu schlie\u00dfen<\/a>, und bei einer Google-Warnung, den Eintrag aufheben zu lassen. In den ausgewerteten Quellen findet sich keine einzelne verbindliche Checkliste f\u00fcr alle Ma\u00dfnahmen nach der Bereinigung, weder von WordPress noch von Wordfence. Die folgende Reihenfolge ist deshalb eine Empfehlung, keine Vorgabe.<\/p>\n<h3>Das Einfallstor schlie\u00dfen<\/h3>\n<p>Solange Sie nicht wissen, wie der Angreifer hereinkam, ist ein R\u00fcckfall wahrscheinlich. Google, WordPress und Wordfence nennen \u00fcbereinstimmend wenige typische Wege. Der Wordfence-Threat-Report bezieht sich auf Daten aus dem Jahr 2020, die Aussagen sind also nicht tagesaktuell.<\/p>\n<table>\n<thead>\n<tr>\n<th>Einfallstor<\/th>\n<th>Quelle<\/th>\n<th>Ma\u00dfnahme nach der Bereinigung<\/th>\n<\/tr>\n<\/thead>\n<tbody>\n<tr>\n<td>Brute-Force-Angriffe auf den Login<\/td>\n<td><\/td>\n<td>Einzigartige starke Passw\u00f6rter, nicht ben\u00f6tigte Konten l\u00f6schen<\/td>\n<\/tr>\n<tr>\n<td>Ausgenutzte Sicherheitsl\u00fccken in WordPress, Plugins, Themes<\/td>\n<td><\/td>\n<td>Updates zeitnah einspielen, ungenutzte Plugins und Themes entfernen<\/td>\n<\/tr>\n<tr>\n<td>Verzeichnisse mit zu weitreichenden Berechtigungen<\/td>\n<td><\/td>\n<td>Berechtigungen pr\u00fcfen und so eng wie m\u00f6glich setzen<\/td>\n<\/tr>\n<tr>\n<td>Kompromittierte Drittanbieter-Plugins<\/td>\n<td><\/td>\n<td>Plugins nur aus vertrauensw\u00fcrdigen Quellen beziehen<\/td>\n<\/tr>\n<tr>\n<td>Raubkopierte (\u201enulled\u201c) Plugins und Themes<\/td>\n<td>(Daten von 2020)<\/td>\n<td>Keine Premium-Produkte aus inoffiziellen Quellen verwenden<\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n<p>Dazu empfiehlt es sich, <a href=\"https:\/\/quantenfrosch.at\/blog\/backups-erstellen-updraft-plus\/\">Backups getrennt vom Webserver aufzubewahren<\/a> und regelm\u00e4\u00dfig zu scannen. Auch die Core-Checksum-Pr\u00fcfung l\u00e4sst sich regelm\u00e4\u00dfig wiederholen. L\u00e4sst sich das Einfallstor nicht eindeutig bestimmen, behandeln Sie alle Zeilen der Tabelle als m\u00f6glich.<\/p>\n<h3>Google-Warnung aufheben lassen<\/h3>\n<p>Google beschreibt f\u00fcr gehackte Websites die Abfolge: Problem feststellen, Website bereinigen, Sicherheitsl\u00fccke beheben, Website absichern und anschlie\u00dfend <a href=\"https:\/\/support.google.com\/webmasters\/answer\/6347750?hl=en\" target=\"_blank\" rel=\"noopener noreferrer\">eine \u00dcberpr\u00fcfung beantragen<\/a>. \u00d6ffnen Sie in der Search Console den Bericht Sicherheitsprobleme, pr\u00fcfen Sie die dort beschriebenen Bereiche und beheben Sie die Ursache auf der gesamten Website. W\u00e4hlen Sie danach \u00dcberpr\u00fcfung beantragen.<\/p>\n<p>In der Anfrage beschreiben Sie die konkrete Ursache, die durchgef\u00fchrten Bereinigungsma\u00dfnahmen und das Ergebnis. Google nennt f\u00fcr Malware-Pr\u00fcfungen einige Tage, f\u00fcr gehackte Spam-Seiten gegebenenfalls mehrere Wochen. Das sind unterschiedliche Pr\u00fcfarten, kein Widerspruch.<\/p>\n<p>Verwechseln Sie den Bericht nicht mit Manuelle Ma\u00dfnahmen. Dieser betrifft \u00fcberwiegend Verst\u00f6\u00dfe gegen Suchrichtlinien und ist nicht mit <a href=\"https:\/\/support.google.com\/webmasters\/answer\/9044175?country=14\" target=\"_blank\" rel=\"noopener noreferrer\">einer Malware-Warnung gleichzusetzen<\/a>.<\/p>\n<h2>H\u00e4ufige Fragen<\/h2>\n<h3>Reicht ein Scanner, oder muss ich WordPress neu einspielen?<\/h3>\n<p>Ein Scanner findet Auff\u00e4lligkeiten, garantiert aber keine vollst\u00e4ndige Bereinigung. Ich spiele WordPress und Plugins deshalb frisch ein und l\u00f6sche die alten Plugin-Verzeichnisse, statt einzelne Dateien zu reparieren. Der Scanner bleibt als Kontrolle sinnvoll, vor allem f\u00fcr die Datenbank, in der Schadcode ebenfalls liegen kann. Beachten Sie, dass Funde auch Fehlalarme sein k\u00f6nnen, etwa bei Backup-Plugins mit Wiederherstellungs-Installern.<\/p>\n<h3>Kann ich einfach ein Backup zur\u00fcckspielen?<\/h3>\n<p>Nur wenn Sie sicher wissen, dass das Backup vor dem Befall entstand, und die L\u00fccke danach geschlossen ist. Andernfalls spielen Sie den Schadcode oder das offene Einfallstor gleich mit zur\u00fcck. Ein Backup ist kein Ersatz f\u00fcr die Ursachenkl\u00e4rung. Aktualisieren Sie nach dem Zur\u00fcckspielen alles, tauschen Sie die Zugangsdaten und pr\u00fcfen Sie Dateien und Datenbank wie in den Schritten oben.<\/p>\n<h3>Reicht <code>wp core verify-checksums<\/code> zur Pr\u00fcfung?<\/h3>\n<p>Nein. Der Befehl vergleicht WordPress-Core-Dateien mit den offiziellen Checksums der gepr\u00fcften Version und macht ver\u00e4nderte, fehlende oder zus\u00e4tzliche Core-Dateien sichtbar. Plugins, Themes, Uploads, Datenbankinhalte und Serverkonfiguration pr\u00fcft er nicht automatisch. Nutzen Sie ihn als einen Baustein, zusammen mit der Pr\u00fcfung von Berechtigungen, <code>.htaccess<\/code>-Dateien, Plugins und Datenbank.<\/p>\n<h3>Wie lange dauert die \u00dcberpr\u00fcfung durch Google?<\/h3>\n<p>Google nennt f\u00fcr Malware-Pr\u00fcfungen typischerweise einige Tage. Bei bestimmten gehackten Spam-Seiten kann es mehrere Wochen dauern. Beantragen Sie die \u00dcberpr\u00fcfung erst, wenn alle Sicherheitsprobleme auf allen betroffenen Seiten behoben sind. Ein zu fr\u00fcher Antrag kostet Zeit, weil die Warnung bei verbliebenen Problemen bestehen bleibt.<\/p>\n<h3>Was ist der Unterschied zwischen Sicherheitsproblemen und manuellen Ma\u00dfnahmen?<\/h3>\n<p>Der Bericht Sicherheitsprobleme betrifft gehackte oder potenziell sch\u00e4dliche Inhalte. Der Bericht Manuelle Ma\u00dfnahmen betrifft \u00fcberwiegend Verst\u00f6\u00dfe gegen die Richtlinien der Google-Suche und ist nicht mit einer Malware-Warnung gleichzusetzen. Pr\u00fcfen Sie daher beide Berichte getrennt und beantragen Sie die \u00dcberpr\u00fcfung im jeweils passenden Bericht.<\/p>\n<p><script type=\"application\/ld+json\">{\"@context\":\"https:\/\/schema.org\",\"@type\":\"FAQPage\",\"mainEntity\":[{\"@type\":\"Question\",\"name\":\"Reicht ein Scanner, oder muss ich WordPress neu einspielen?\",\"acceptedAnswer\":{\"@type\":\"Answer\",\"text\":\"Ein Scanner findet Auff\u00e4lligkeiten, garantiert aber keine vollst\u00e4ndige Bereinigung. Ich spiele WordPress und Plugins deshalb frisch ein und l\u00f6sche die alten Plugin-Verzeichnisse, statt einzelne Dateien zu reparieren. Der Scanner bleibt als Kontrolle sinnvoll, vor allem f\u00fcr die Datenbank, in der Schadcode ebenfalls liegen kann. Beachten Sie, dass Funde auch Fehlalarme sein k\u00f6nnen, etwa bei Backup-Plugins mit Wiederherstellungs-Installern.\"}},{\"@type\":\"Question\",\"name\":\"Kann ich einfach ein Backup zur\u00fcckspielen?\",\"acceptedAnswer\":{\"@type\":\"Answer\",\"text\":\"Nur wenn Sie sicher wissen, dass das Backup vor dem Befall entstand, und die L\u00fccke danach geschlossen ist. Andernfalls spielen Sie den Schadcode oder das offene Einfallstor gleich mit zur\u00fcck. Ein Backup ist kein Ersatz f\u00fcr die Ursachenkl\u00e4rung. Aktualisieren Sie nach dem Zur\u00fcckspielen alles, tauschen Sie die Zugangsdaten und pr\u00fcfen Sie Dateien und Datenbank wie in den Schritten oben.\"}},{\"@type\":\"Question\",\"name\":\"Reicht wp core verify-checksums zur Pr\u00fcfung?\",\"acceptedAnswer\":{\"@type\":\"Answer\",\"text\":\"Nein. Der Befehl vergleicht WordPress-Core-Dateien mit den offiziellen Checksums der gepr\u00fcften Version und macht ver\u00e4nderte, fehlende oder zus\u00e4tzliche Core-Dateien sichtbar. Plugins, Themes, Uploads, Datenbankinhalte und Serverkonfiguration pr\u00fcft er nicht automatisch. Nutzen Sie ihn als einen Baustein, zusammen mit der Pr\u00fcfung von Berechtigungen, .htaccess-Dateien, Plugins und Datenbank.\"}},{\"@type\":\"Question\",\"name\":\"Wie lange dauert die \u00dcberpr\u00fcfung durch Google?\",\"acceptedAnswer\":{\"@type\":\"Answer\",\"text\":\"Google nennt f\u00fcr Malware-Pr\u00fcfungen typischerweise einige Tage. Bei bestimmten gehackten Spam-Seiten kann es mehrere Wochen dauern. Beantragen Sie die \u00dcberpr\u00fcfung erst, wenn alle Sicherheitsprobleme auf allen betroffenen Seiten behoben sind. Ein zu fr\u00fcher Antrag kostet Zeit, weil die Warnung bei verbliebenen Problemen bestehen bleibt.\"}},{\"@type\":\"Question\",\"name\":\"Was ist der Unterschied zwischen Sicherheitsproblemen und manuellen Ma\u00dfnahmen?\",\"acceptedAnswer\":{\"@type\":\"Answer\",\"text\":\"Der Bericht Sicherheitsprobleme betrifft gehackte oder potenziell sch\u00e4dliche Inhalte. Der Bericht Manuelle Ma\u00dfnahmen betrifft \u00fcberwiegend Verst\u00f6\u00dfe gegen die Richtlinien der Google-Suche und ist nicht mit einer Malware-Warnung gleichzusetzen. Pr\u00fcfen Sie daher beide Berichte getrennt und beantragen Sie die \u00dcberpr\u00fcfung im jeweils passenden Bericht.\"}}]}<\/script><\/p>\n","protected":false},"excerpt":{"rendered":"<p>Sperren Sie die Site zuerst f\u00fcr Besucher, beenden Sie laufende PHP-Prozesse und sichern Sie den infizierten Stand. Spielen Sie danach WordPress, Plugins und Themes frisch ein, pr\u00fcfen Sie Dateiberechtigungen, .htaccess-Dateien,<\/p>\n","protected":false},"author":6,"featured_media":2724,"comment_status":"closed","ping_status":"closed","sticky":false,"template":"","format":"standard","meta":{"footnotes":"","rank_math_title":"WordPress gehackt bereinigen: Schritte nach Malware-Fund","rank_math_description":"Site sperren, PHP-Prozess beenden, Backup anlegen, WordPress und Plugins frisch einspielen, Zug\u00e4nge tauschen. So gelingt die Bereinigung.","rank_math_focus_keyword":"wordpress gehackt bereinigen"},"categories":[12],"tags":[19,42],"class_list":["post-2725","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-wordpress","tag-cms","tag-sicherheit"],"_links":{"self":[{"href":"https:\/\/quantenfrosch.at\/blog\/wp-json\/wp\/v2\/posts\/2725","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/quantenfrosch.at\/blog\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/quantenfrosch.at\/blog\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/quantenfrosch.at\/blog\/wp-json\/wp\/v2\/users\/6"}],"replies":[{"embeddable":true,"href":"https:\/\/quantenfrosch.at\/blog\/wp-json\/wp\/v2\/comments?post=2725"}],"version-history":[{"count":2,"href":"https:\/\/quantenfrosch.at\/blog\/wp-json\/wp\/v2\/posts\/2725\/revisions"}],"predecessor-version":[{"id":2727,"href":"https:\/\/quantenfrosch.at\/blog\/wp-json\/wp\/v2\/posts\/2725\/revisions\/2727"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/quantenfrosch.at\/blog\/wp-json\/wp\/v2\/media\/2724"}],"wp:attachment":[{"href":"https:\/\/quantenfrosch.at\/blog\/wp-json\/wp\/v2\/media?parent=2725"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/quantenfrosch.at\/blog\/wp-json\/wp\/v2\/categories?post=2725"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/quantenfrosch.at\/blog\/wp-json\/wp\/v2\/tags?post=2725"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}