Website vom Hoster gesperrt: So kommen Sie nach einem Malware-Fund wieder online

Welche Sperre hat Ihr Hoster verhängt?

Ist Ihre Website vom Hoster wegen Malware gesperrt, lesen Sie in seiner Mail nach, was er gesperrt hat: das ganze Hosting-Paket, nur den Dateizugang und einzelne Dateien oder nur den Mailversand. Davon hängt ab, ob Sie selbst noch an Dateien und Datenbank herankommen.

Warum reicht es nicht, die gemeldeten Dateien zu löschen?

Eine Fundliste nennt die Dateien, die Ihr Hoster als befallen erkannt hat. Die Liste zeigt aber nicht, welche Zugänge der Angreifer sonst noch hat: ein fremdes Administratorkonto, eine noch gültige Anmeldung oder Code in der Datenbank, den keine Dateiliste erfassen kann. Wenn Sie nur die gemeldeten Dateien löschen, bleiben diese Zugänge bestehen.

In einer Bereinigung 2026 lagen mir die Scan-Meldungen des Hosters vor: mehrere Dutzend Dateien, alle in alten Verzeichnissen neben der eigentlichen Website. Mindestens drei Bausteine des Angriffs lagen dagegen nur in der Datenbank: eine Regel (ein Trigger), die das gelöschte Administratorkonto des Angreifers beim nächsten Speichern eines Beitrags neu anlegte, ein Code-Schnipsel, der dieses Konto in der Benutzerliste versteckte, und eine Weiterleitung in einer Plugin-Einstellung. Das ist ein einzelner Fall, in dem der Hoster gemeldet und nicht gesperrt hat; er zeigt, wo ich nach der Fundliste weitersuche, nicht, wie oft es so ist.

„Infiziert heißt, es liegt etwas auf der Website, das dort nicht hingehört. Kompromittiert heißt, jemand hat einen Schlüssel – und den nimmt ihm keine Deinstallation ab.“

— Sascha Fix

Auch eine Neuinstallation von WordPress hilft deshalb nicht, denn sie ersetzt nur die Kerndateien; Hintertüren in Plugins, Uploads oder der Datenbank bleiben. Ein weiteres Versteck sind die Must-Use-Plugins (MU-Plugins) im Ordner wp-content/mu-plugins, denn sie erscheinen nicht in der normalen Plugin-Liste; dort legen laut WordPress-Dokumentation aber auch Hoster eigene Dateien ab. Dazu kommen andere Websites im selben Hosting-Paket.

Wie kommen Sie Schritt für Schritt wieder online?

Ist Ihre Website vom Hoster gesperrt, kommen Sie in fünf Schritten bis zum Antrag auf Freischaltung: Sie sichern den befallenen Zustand, erneuern die Zugänge, bereinigen Dateien und Datenbank, schließen das Einfallstor und bitten erst dann um eine neue Prüfung. Über die Freischaltung entscheidet Ihr Hoster.

Die Befehle unten (Stand Oktober 2026) brauchen das WordPress Command Line Interface (WP-CLI) auf dem Server; sonst prüfen Sie dieselben Stellen über SFTP und das Backend.

1. Befallenen Zustand sichern

   Exportieren Sie die Datenbank mit wp db export, laden Sie die Exportdatei herunter und löschen Sie sie danach vom Webspace. Bitten Sie Ihren Hoster außerdem um die Zugriffsprotokolle. Damit gibt es einen Weg zurück, und der befallene Zustand bleibt für die Ursachensuche erhalten.

2. Zugänge erneuern

   Nach den neuen Passwörtern erneuern Sie die Sicherheitsschlüssel in der wp-config.php und beenden alle Anmeldesitzungen. Danach muss sich jeder Benutzer neu anmelden, auch der Angreifer:

   wp config shuffle-salts
   wp user list --field=ID | xargs -n 1 wp user session destroy --all
   

3. Dateien und Datenbank bereinigen

   Diese Befehle schreiben selbst nichts; sie gleichen Kern- und Plugin-Dateien mit den Originalen ab und listen MU-Plugins, Administratoren, geplante Aufgaben und in den letzten sieben Tagen geänderte Dateien auf. Außer wp core verify-checksums laden die wp-Befehle WordPress und führen so auch den Code Ihrer Website aus, MU-Plugins eingeschlossen.

   wp core verify-checksums
   wp plugin verify-checksums --all
   wp plugin list --status=must-use
   wp user list --role=administrator
   wp cron event list
   find /pfad/zu/wordpress -type f -mtime -7
   

   Der mitgeladene Code kann Konten auch vor wp user list verstecken; prüfen Sie deshalb in der Datenbank die Benutzertabelle, Trigger und gespeicherten Code. Fremde Anwendungspasswörter für Programme widerrufen Sie in jedem Benutzerprofil. Wie Sie Funde entfernen, beschreibt der Ratgeber Malware erkennen und entfernen.

4. Einfallstor schließen

   Ein Angriff hinterlässt laut WordPress-Dokumentation Spuren in den Protokollen oder im Dateisystem. Suchen Sie deshalb dort nach dem Weg hinein, etwa einem veralteten Plugin oder einem abgegriffenen Passwort, und schließen Sie ihn.

5. Prüfung beim Hoster anfordern

   Schicken Sie Ihrem Hoster die Rückmeldung aus dem nächsten Abschnitt.

Und das Backup des Hosters? 2026 hatte ich einen Fall, in dem der Webspace über den Hoster nach dem Einbruch auf einen schon befallenen Stand zurückgesetzt worden war: Eine passwortgeschützte Hintertür in der wp-config.php blieb, ebenso die Administratorrechte eines gelöschten Angreiferkontos samt gültiger Sitzungen. Ein einzelner Fall zeigt, was ein Restore übersehen kann, nicht, wie oft das passiert. Für mich folgt daraus: Ein Backup des Hosters hilft nur, wenn es vor dem Befall entstanden ist, und ersetzt auch dann weder neue Sicherheitsschlüssel noch das Beenden der Sitzungen.

Was gehört in Ihre Rückmeldung an den Hoster?

In Ihre Rückmeldung an den Hoster gehört, was Sie gefunden, was Sie entfernt und wie Sie das Einfallstor geschlossen haben. Google liefert dafür ein Raster: Für den eigenen Überprüfungsantrag nennt die Hilfeseite zur Google Search Console drei Bestandteile, eine genaue Beschreibung des Problems, die Schritte zur Behebung und eine Dokumentation des Erfolgs (Stand Oktober 2026).

In beiden Fällen von 2026, in denen ein Hoster mit eigenen Scans oder einem Restore beteiligt war, saß ein Teil der Hintertüren in der Datenbank. Für mich gehört deshalb die Prüfung der Datenbank ausdrücklich in die Rückmeldung, auch wenn zwei Fälle zu wenig für eine Häufigkeit sind.

Was prüfen Sie nach der Freischaltung?

Nach der Freischaltung prüfen Sie drei Dinge: ob Google Ihre Seite noch als gefährlich markiert, ob die Zugriffsrechte wieder stimmen, falls Ihr Hoster darüber gesperrt hatte, und ob Schadcode zurückkommt. Die Search Console zeigt Warnungen im Bericht „Sicherheitsprobleme“ (Stand Oktober 2026); wie Sie diese aufheben lassen, steht im Beitrag zur Google-Blacklist nach einem Hack.

Die WordPress-Dokumentation zu Dateirechten nennt 755 oder 750 für Ordner und 644 oder 640 für Dateien, für die wp-config.php 440 oder 400; 777 soll kein Ordner bekommen. Wenn Ihr Hoster eigene Werte nennt, richten Sie sich nach ihm.

Ob Schadcode zurückkommt, zeigen die wiederholten Prüfbefehle und kostenlose Malware-Scanner. Was danach zuerst kommt, ordnet der Ratgeber zur WordPress-Sicherheit; eine Sicherung außerhalb des Webspace richten Sie mit der Anleitung zum WordPress-Backup ein.

Wann sollten Sie die Bereinigung abgeben?

Sie können selbst bereinigen, wenn Sie an Dateien und Datenbank herankommen, eine Kopie des befallenen Zustands haben und das Einfallstor gefunden haben. Wenn eines davon fehlt, personenbezogene Daten auf der Website liegen oder Ihr Hoster nach einer Freischaltung erneut gesperrt hat, geben Sie die Bereinigung besser ab.

Mein Vorgehen beschreibe ich auf der Seite zur Hilfe bei gehackten WordPress-Seiten: Die Erstanalyse ist kostenlos, und den Festpreis kennen Sie, bevor ich anfange. Für Websites ohne WordPress ist meine Website-Reparatur gedacht.