WordPress Malware-Scanner

Kurz gesagt: Der Scanner ruft Ihre Seite so ab, wie ein Besucher und Google sie sehen, und sucht darin fünf Arten von Spuren: verschleierte Skripte, versteckte iframes, Spam-Texte, PHP-Verweise im Upload-Ordner und getarnte Weiterleitungen. Dazu prüft er, ob Ihre WordPress-Version offen für wp2shell ist. Rote Zeilen sind ein ernstes Zeichen. Ein grünes Ergebnis ist ein gutes Zeichen, aber kein Beweis: Was nur auf dem Server liegt, sieht ein Scan von außen nicht. Was er nicht sieht →

Was der Scanner prüft — und was nicht

Das ist eine Frage der Methode, nicht der Sorgfalt: Wer von außen prüft, sieht nur, was die Seite ausliefert. Deshalb empfiehlt WordPress.org, beide Arten von Scannern zu nutzen, solche von außen und solche innerhalb von WordPress („together you improve your odds greatly“, WordPress.org, FAQ „My site was hacked“, gelesen am 16.10.2026). Dieser Scanner ist die schnelle erste Stufe, kein Ersatz für die Prüfung auf dem Server.

Ergebnis lesen: Schritt für Schritt

1. Erst die roten Zeilen. Rot steht für Dinge, die auf einer sauberen Seite nicht vorkommen, etwa ein iframe mit null Pixeln Größe oder eine PHP-Datei im Upload-Ordner. Ein roter Fund ist ein Grund, sofort zu handeln.
2. Dann die grauen Hinweise. Sie können harmlos sein, etwa ein verschleiertes Skript eines Statistik- oder Chat-Dienstes. Ein einzelner grauer Hinweis ist kein Alarm; mehrere zusammen sind einer.
3. Die Weiterleitungszeile gesondert lesen. „Getarnte Weiterleitung“ heißt: Googlebot oder Besucher aus der Google-Suche landen woanders als normale Besucher. Das ist das klassische Muster einer Infektion, die der Betreiber nicht selbst sieht.
4. Die Versionszeile ansehen. Eine WordPress-Version in der wp2shell-Spanne ist kein bloßer Verdacht, sondern eine offene Tür. Das Update schließt sie, entfernt aber keine Konten oder Hintertüren, die seitdem angelegt wurden.
5. Mit der Google-Suche gegenprüfen. Geben Sie site:ihre-domain.de ein. Erscheinen dort Seiten, die Sie nie angelegt haben, oder fremde Titel, hat Google den Schadcode bereits gesehen.
6. Bei grünem Ergebnis die vier Backend-Stellen prüfen: Benutzerliste, unbekannte Plugins, mu-plugins und den Upload-Ordner. Die Anleitung steht im Beitrag WordPress gehackt – was tun?.

Befund → was tun

Selbst bereinigen oder beauftragen: wo es aufhört

Wer Code lesen kann, eine saubere Sicherung hat und die Zugänge geändert hat, schafft die Säuberung mit der Anleitung im Beitrag WordPress gehackt – was tun? allein. Google schreibt, das erfordere, Code lesen und verstehen zu können (Google, Security issues report, gelesen am 16.10.2026). Hilfe lohnt sich, wenn:

• Sie Code lesen müssten, den Sie nicht verstehen,
• Sie das Einfallstor nicht finden und die Seite sonst wieder befallen werden könnte,
• ein Shop oder Kundendaten betroffen sind oder der Hoster die Seite schon gesperrt hat,
• Sie keine saubere Sicherung haben.

Ist die Seite nur kaputt und nicht befallen, hilft die Übersicht WordPress-Notfall.

Weiterlesen und weitere Werkzeuge

• WordPress gehackt – was tun? — Erkennen und Säubern, Schritt für Schritt
• wp2shell: die WordPress-Lücke vom Juli 2026 — betroffene Versionen und die vier Backend-Prüfungen
• Zwei-Faktor-Anmeldung einrichten und ein Backup, das den Ernstfall übersteht — damit es nicht wieder passiert
• Security-Header-Check — die Sicherheits-Header Ihrer Seite
• Website-Check — Sicherheit im Rundum-Durchlauf mit Schulnote
• Alle kostenlosen Werkzeuge

Häufige Fragen

Kann ich meine WordPress-Seite kostenlos auf Malware prüfen?

Ja. Adresse oben eingeben, nach wenigen Sekunden steht das Ergebnis da, ohne Anmeldung, ohne Plugin und ohne E-Mail-Adresse. Der Scan sieht die Seite von außen, so wie ein Besucher oder Google. Was nur auf dem Server liegt, sieht er nicht.

Heißt ein grünes Ergebnis, dass meine Seite sauber ist?

Nein. Grün heißt: Von außen sind keine der geprüften Spuren sichtbar. Hintertüren in Plugin-Dateien, fremde Administrator-Konten und Einträge in der Datenbank erscheinen im ausgelieferten Quelltext nicht. Viele Infektionen laden Schadcode außerdem nur für bestimmte Besucher aus.

Welche Spuren sucht der Scanner?

Verschleierte Inline-Skripte (eval, unescape, fromCharCode oder Base64 mit langen kodierten Daten), unsichtbare iframes, Spam-Vokabular im sichtbaren Text, Verweise auf PHP-Dateien im Upload-Ordner und getarnte Weiterleitungen. Dazu liest er die WordPress-Version und prüft, ob sie von der Lücke wp2shell betroffen ist.

Was ist Cloaking, und warum sehe ich es selbst nicht?

Beim Cloaking leitet eine infizierte Seite nur bestimmte Besucher um, zum Beispiel Menschen, die aus der Google-Suche kommen, oder den Googlebot. Sie selbst rufen die Seite direkt auf und sehen nichts. Der Scanner fragt deshalb mit vier Kennungen an (Desktop, Smartphone, Googlebot, Besucher von Google) und vergleicht, wo jede landet.

Der Scanner zeigt einen grauen Hinweis. Ist das ein Alarm?

Nicht allein. Graue Zeilen, etwa lange Base64-Blöcke oder viele fremde Skript-Hosts, haben oft eine harmlose Erklärung, zum Beispiel einen Statistik- oder Chat-Dienst. Ein roter Fund oder mehrere graue zusammen sind ein Grund, genauer hinzusehen.

Der Scanner meldet einen roten Fund. Was tue ich zuerst?

Nichts löschen. Zuerst aufschreiben, was Sie sehen, den jetzigen Stand sichern und alle Zugänge ändern (WordPress, FTP/SFTP, Hoster, Datenbank). Wer Dateien vorschnell entfernt, verwischt Spuren und lässt oft die Hintertür stehen, die sie wieder anlegt. Die vollständige Reihenfolge steht im Beitrag „WordPress gehackt – was tun?“.

Kann ich Malware selbst entfernen?

Wenn Sie PHP-Code und Datenbankeinträge lesen können und eine saubere Sicherung haben, ja. Google schreibt, das Entfernen von Schadsoftware verlange die Fähigkeit, Code zu lesen und zu verstehen (Google, Security issues report, gelesen am 16.10.2026). Sonst ist das der Punkt, an dem sich Hilfe lohnt.

Speichern Sie meine Adresse oder das Ergebnis?

Nein. Wir rufen nur ab, was öffentlich erreichbar ist, und speichern weder Adresse noch Ergebnis. Bitte scannen Sie nur eigene Seiten oder solche, für die Sie die Zustimmung haben.