WordPress · Sicherheit
Eine infizierte Website erkennt man meist an den Folgen: Besucher aus Google landen auf einer fremden Website, der Browser zeigt eine rote Warnung, und E-Mails von der Firmendomain landen im Spam. Die Bereinigung der Dateien ist aber nur die Hälfte der Arbeit. Die andere Hälfte ist, den Einstiegsweg zu finden und zu schließen. Die Entfernung kostet 500 € netto für eine Website und 900 € netto für einen WooCommerce-Shop. Kommt die Infektion innerhalb von 30 Tagen zurück, entferne ich sie kostenlos.
Leistungsumfang
Jede Infektion analysiere ich einzeln, aber die Sicherheitsschritte laufen immer in derselben Reihenfolge. Sie sorgen dafür, dass die Infektion nicht zurückkommt. Den größten Wert hat der letzte Punkt: der Bericht, mit dem Sie wissen, was tatsächlich passiert ist.
Ich vergleiche die Dateien von WordPress-Kern, Theme und Plugins mit den Originalversionen. Jede Abweichung ist verdächtig. In der Datenbank suche ich eingeschleuste Skripte in Inhalten, in Optionen und in der Benutzertabelle. Infizierte Dateien ersetze ich durch saubere Kopien aus den offiziellen Quellen.
Ich entferne Weiterleitungen, die Besuchern aus Google untergeschoben werden, versteckte Spam-Seiten, angehängte Skripte in Template-Dateien und Cron-Aufgaben, die die Infektion neu starten. Ich prüfe auch Verzeichnisse außerhalb von WordPress, denn eine Infektion bleibt selten an einer Stelle.
Malware zu entfernen, ohne die Lücke zu schließen, heißt, dass das Problem in wenigen Tagen zurückkommt. Ich stelle fest, auf welchem Weg der Angriff erfolgte: ein anfälliges Plugin, ein schwaches Passwort, ein übernommenes FTP-Konto. Ich aktualisiere oder entferne die anfällige Komponente und tausche alle Passwörter und Schlüssel aus.
Stuft Google die Domain als gefährlich ein, zeigen Browser eine rote Warnung, und E-Mails von Ihrer Domain landen im Spam. Nach der Bereinigung beantrage ich in der Search Console die erneute Prüfung und kümmere mich um den Austrag aus den Spam-Blacklists.
Ich begrenze Anmeldeversuche, blockiere die Ausführung von PHP-Code im Verzeichnis für hochgeladene Dateien, bringe Dateirechte und Administratorkonten in Ordnung. Ich konfiguriere ein bewährtes Sicherheits-Plugin und in schwereren Fällen eine Web Application Firewall.
Sie bekommen die Liste der infizierten Dateien, eine Beschreibung des eingeschleusten Codes, den festgestellten Einstiegsweg und die Liste der eingerichteten Sicherungen. Dieses Dokument brauchen Sie auch dann, wenn der Vorfall gemeldet oder Kunden gegenüber erklärt werden muss.
Der schwerste Fall, den ich betreut habe: ein Shop mit einem eingeschleusten Administratorkonto und einem Skript, das auf der Zahlungsseite Kartendaten abgriff. Die Beschreibung ohne Namen des Kunden finden Sie unter Referenzen.
Ablauf
Die Entfernung kostet 500 € netto für eine WordPress-Website und 900 € netto für einen WooCommerce-Shop. Der Preis umfasst den gesamten Ablauf unten. Der mittlere Schritt entscheidet über die Dauerhaftigkeit: Finde ich den Einstiegsweg nicht, kommt die Infektion in wenigen Tagen zurück.
Bevor ich etwas entferne, sichere ich die infizierte Website und die Datenbank. Das ist die Absicherung für den Fall, dass die Bereinigung etwas Nötiges entfernt.
Ich ersetze infizierte Dateien, bereinige die Datenbank, prüfe Administratorkonten und Cron-Aufgaben. Parallel lese ich die Zugriffslogs des Servers. Daraus ergibt sich, wann und auf welchem Weg der Angriff erfolgte. Ohne diesen Schritt verschiebt die Bereinigung das Problem nur.
Ich aktualisiere anfällige Komponenten, tausche Passwörter und Schlüssel aus, härte die Konfiguration und beantrage danach die Aufhebung der Warnungen. In den folgenden Tagen beobachte ich die Website, um eine Rückkehr der Infektion zu bemerken, und erst dann schließe ich den Auftrag ab.
Alle Preise netto zzgl. USt. Das Angebot richtet sich ausschließlich an Unternehmen.
Start der Bereinigung
Bei einer Infektion zählt die Zeit. Je schneller ich die Zugänge bekomme, desto weniger Besucher sehen die Warnung. Das WordPress-Backend allein reicht meist nicht.
Nach der Bereinigung müssen alle Passwörter geändert werden, auch die, die Sie an anderen Stellen verwenden. Wer Zugriff auf die Dateien hatte, konnte die Zugangsdaten in der Konfigurationsdatei von WordPress lesen.
Weitere Leistungen
Eine Website nach einem Einbruch in Ordnung zu bringen ist nur dann sinnvoll, wenn danach jemand die Updates im Blick behält. Diese drei Leistungen gehören am häufigsten zur Entfernung einer Infektion.
Prüfung von Technik, Performance, Sicherheit und SEO, mit einer Liste der Reparaturen nach Priorität und geschätzten Kosten.
Updates, Backups, Überwachung der Erreichbarkeit und Arbeitsstunden für laufende Änderungen. Drei Pakete ab 100 € netto im Monat.
Weißer Bildschirm, kritischer Fehler, Plugin-Konflikt oder ein Formular, das nicht sendet: Ich finde die Ursache in den Logs und repariere die Website meist in 24 bis 48 Stunden. Preis vor Beginn der Arbeit.
Wirkt die Website nach der Infektion langsam oder zeigt sie Fehler, sehen Sie sich auch die Performance-Optimierung an. Die vollständige Liste der Leistungen finden Sie auf der Seite WordPress.
FAQ
Was Inhaber von Websites in der ersten Stunde nach der Entdeckung des Problems fragen.
Die meisten Aufträge schließe ich innerhalb von 24 Stunden nach Erhalt der Zugänge ab. Länger dauern Fälle, in denen die Infektion Datenbank, Cron-Aufgaben und Verzeichnisse außerhalb von WordPress betrifft oder mehrere Websites auf einem Hosting-Konto infiziert sind. Dann kann die Arbeit bis zu 3 Werktage dauern. Den Termin nenne ich nach dem ersten Scan, bevor ich mit der Bereinigung beginne.
Die Entfernung einer Infektion kostet 500 € netto für eine WordPress-Website und 900 € netto für einen WooCommerce-Shop, unabhängig davon, wie viele Dateien ersetzt werden müssen. Im Preis enthalten ist das Schließen des Einstiegswegs. Kommt die Infektion innerhalb von 30 Tagen zurück, entferne ich sie kostenlos. In der WordPress-Wartung ist jede weitere Entfernung kostenlos. Bei Shops gilt das ab dem Paket OneNet Admin Shop Plus und ab dem 2. vollen Monat.
Indem ich neben dem Schadcode auch den Einstiegsweg schließe: Ich aktualisiere oder entferne die anfällige Komponente, tausche alle Passwörter und Schlüssel aus und bringe die Administratorkonten in Ordnung. Kommt die Infektion innerhalb von 30 Tagen zurück, entferne ich sie kostenlos.
Nicht automatisch. Nach der Bereinigung stelle ich in der Search Console einen Antrag auf erneute Prüfung, und Google prüft die Website meist innerhalb von 24 bis 72 Stunden. Der Austrag aus Spam-Blacklists dauert oft länger, und der Ruf der Domain beim E-Mail-Versand erholt sich noch einige Tage. Deshalb sollten Sie direkt nach einem Vorfall keinen großen E-Mail-Versand planen.
Sie bekommen einen technischen Bericht: welche Dateien infiziert waren, welcher Code sich dort befand, seit wann er aktiv war und worauf er Zugriff hatte. Das ist das Material, das Sie brauchen, um das Ausmaß zu bewerten. Bei einer Verletzung des Schutzes personenbezogener Daten kann eine Meldung an die Aufsichtsbehörde Pflicht sein, und dafür gilt eine kurze Frist. Eine rechtliche Bewertung mache ich nicht, aber ich sage offen, wenn der Fall danach aussieht.
Ein Administratorkonto für WordPress, bei übernommenem Backend Zugang per FTP oder SSH, die Zugangsdaten zum Hosting-Panel, denn Zugriffs- und Fehlerprotokolle sind bei dieser Arbeit das Wichtigste, und Zugang zur Datenbank. Hat die Domain schon eine Warnung bekommen, brauche ich auch Zugang zur Google Search Console. Hilfreich ist die Information, wer Administratorkonten hat und wann die ersten Symptome aufgetreten sind.
Ja, und so enden die meisten Aufträge. Nach der Bereinigung ist die Website in einem Zustand, in dem die laufende Wartung beginnen kann: regelmäßige Updates, Backups außerhalb des Servers, Überwachung von Erreichbarkeit, SSL-Zertifikat, Sicherheit und Spam-Blacklists. In der WordPress-Wartung ist jede weitere Entfernung von Malware kostenlos, bei Shops ab dem Paket OneNet Admin Shop Plus und ab dem 2. vollen Monat. Den Umfang beschreibe ich auf den Seiten der WordPress-Wartung und der WooCommerce-Wartung.
Schicken Sie mir die Adresse mit einer Beschreibung der Symptome. Den infizierten Zustand sichere ich, bevor ich etwas entferne. Während der Bereinigung lese ich die Server-Logs, denn dort steht, wann und auf welchem Weg der Angreifer eingedrungen ist. Ohne diesen Schritt verschiebt sich das Problem nur. Passwörter und Schlüssel tausche ich danach aus.
An den Folgen: Besucher aus Google landen auf einer fremden Website, der Browser zeigt eine rote Warnung, auf der Domain tauchen versteckte Spam-Seiten auf, E-Mails von Ihrer Domain landen im Spam, oder in der Benutzerliste stehen Administratoren, die Sie nicht kennen. Ein sicherer Nachweis ist der Vergleich der Dateien von WordPress-Kern, Theme und Plugins mit den Originalen und ein Blick in die Datenbank. Beides gehört zu meinem Scan.
Weil nach der letzten Bereinigung der Einstiegsweg offen geblieben ist, etwa ein anfälliges Plugin, ein schwaches Passwort oder ein übernommenes FTP-Konto. Wird die Lücke nicht geschlossen, kommt die Infektion in wenigen Tagen zurück. Deshalb lese ich bei der Bereinigung die Server-Logs, aktualisiere oder entferne die anfällige Komponente und tausche alle Passwörter und Schlüssel aus.
Ja. Ich arbeite seit Jahren aus der Ferne für Unternehmen in Deutschland. Die ganze Bereinigung läuft über Fernzugriff auf Backend, Hosting und Datenbank. Kontakt per E-Mail und WhatsApp auf Deutsch, Telefonate und Videocalls auf Englisch.
