Website-Malware kündigt sich nicht an. Sie ist darauf ausgelegt, unsichtbar zu arbeiten: Sie nutzt deine Website, um Daten zu stehlen, Besucher umzuleiten oder Angriffe auf andere Systeme auszuführen, während die Website völlig normal zu funktionieren scheint. Bis ein Website-Inhaber merkt, dass etwas nicht stimmt, hat die Malware oft schon Schaden angerichtet. Dieser Artikel zeigt, warum sie so hartnäckig ist und wie sie von innen aussieht.
Malware, kurz für Schadsoftware, ist Code, der ohne Wissen des Inhabers auf einer Website liegt und den Interessen des Angreifers dient. Sie kann über eine Lücke in veralteter Software, ein gestohlenes Admin-Passwort oder ein kompromittiertes Skript eines Drittanbieters auf die Seite kommen. Dort läuft sie neben den legitimen Inhalten, ohne eine auffällige Warnung auszulösen. Was Websites überhaupt angreifbar macht, erfährst du im Artikel Warum Website-Sicherheit wichtig ist.
Was ist Website-Malware?
Website-Malware ist keine einzelne Art von Bedrohung. Es ist eine Kategorie, die viele verschiedene Arten von Schadcode umfasst, die jeweils etwas anderes tun, sobald sie auf der Website sind. Wenn du die Arten kennst, verstehst du, warum Malware so schwer zu erkennen ist und warum sie oft lange Schaden anrichtet, bevor jemand merkt, dass sie da ist.
Häufige Arten von Website-Malware
- Umleitungs-Malware ändert, wohin deine Besucher gelangen, und schickt sie auf Phishing-Seiten, betrügerische Websites oder Seiten, die dem Angreifer Werbeeinnahmen bringen
- Skimming-Malware fängt Zahlungskartendaten ab, die auf Checkout-Seiten eingegeben werden, und überträgt sie in Echtzeit an den Angreifer, ohne dass Besucher oder Website-Inhaber es merken
- Backdoor-Malware installiert einen dauerhaften versteckten Zugang, über den der Angreifer zurückkehren kann, selbst nachdem die ursprüngliche Lücke geschlossen wurde
- Ransomware verschlüsselt die Dateien der Website und verlangt Geld für die Wiederherstellung des Zugriffs
- Cryptomining-Malware nutzt die Ressourcen der Geräte deiner Besucher, um für den Angreifer Kryptowährung zu schürfen, während sie deine Website ansehen
- Spam-Malware nutzt den Server der Website, um unerwünschte E-Mails zu versenden. Das kann dazu führen, dass deine Domain auf eine schwarze Liste kommt
Wie gelangt Malware auf eine Website?
Veraltete Software
- Wenn eine Lücke in einer Website-Plattform, einem Plugin oder einem Theme entdeckt wird, werden die Details zeitgleich mit dem Patch öffentlich gemacht
- Automatische Scanner suchen sofort nach Websites, die noch die alte Version nutzen. Das Zeitfenster zwischen dem Erscheinen eines Patches und seiner Anwendung ist die Phase mit dem höchsten Risiko
- Jeden Tag, an dem eine Website veraltete Software mit bekannter Lücke betreibt, ist sie ein dokumentiertes Ziel
Gestohlene Admin-Zugangsdaten
- Automatische Tools probieren Tausende Kombinationen aus Benutzername und Passwort an Login-Seiten aus, bis eine funktioniert. Schwache oder mehrfach verwendete Passwörter machen das einfach
- Zugangsdaten, die durch Phishing oder Datenlecks bei anderen Diensten gestohlen wurden, geben Angreifern direkten Zugang zum Admin-Bereich. Dort können sie Malware installieren, ohne eine technische Lücke auszunutzen
Anfälliger Code von Drittanbietern
- Plugins, Themes und Integrationen erweitern, was eine Website kann, und vergrößern auch die Zahl möglicher Einstiegspunkte
- Eine Lücke in einer beliebigen Komponente eines Drittanbieters kann ausgenutzt werden, egal wie sicher die Kernplattform ist
- Inaktive Plugins und Themes, die nicht aktuell gehalten werden, bleiben angreifbar, auch wenn sie auf der Website nicht genutzt werden
Kompromittierte externe Skripte
- Websites, die Skripte externer Anbieter laden (Analysetools, Werbenetzwerke, Chat-Widgets), sind gefährdet, wenn diese Anbieter kompromittiert werden
- Schadcode, der über ein vertrauenswürdiges externes Skript ausgeliefert wird, erreicht jede Website, die diesen Dienst nutzt, nicht nur eine
Was macht Malware mit deiner Website?
Sie leitet deine Besucher um
- Umleitungs-Malware schickt Besucher auf Seiten, mit denen du nichts zu tun hast, oft ohne jedes sichtbare Zeichen, dass eine Umleitung stattgefunden hat
- Diese Ziele versuchen unter Umständen, Schadsoftware auf dem Gerät des Besuchers zu installieren, Zugangsdaten abzugreifen oder einen Betrug auszuführen
- Die Umleitung ist oft an Bedingungen geknüpft und trifft nur Besucher, die aus den Suchergebnissen kommen, oder nur mobile Nutzer. So bleibt sie vor dem Inhaber unentdeckt, der die Website direkt aufruft
Sie schadet deiner Sichtbarkeit in der Suche
- Suchmaschinen, die Malware auf einer Website erkennen, fügen ihrem Eintrag in den Ergebnissen einen Warnhinweis hinzu. Die Klickrate sinkt auf nahezu null, sobald diese Warnung erscheint
- In schwereren Fällen wird die Website ganz aus den Ergebnissen entfernt, bis sie bereinigt und ein Überprüfungsantrag genehmigt wurde
- Browserwarnungen blockieren Besucher schon, bevor sie die Seite erreichen, und nehmen jedem den Weg, der auf sie trifft
Sie legt die Daten deiner Besucher offen
- Skimming-Malware fängt sensible Angaben ab, während Besucher sie eingeben. Zahlungsdaten, Passwörter und Kontaktangaben gehen an den Angreifer, während das Absenden des Formulars ganz normal abgeschlossen wird
- Weder der Besucher noch der Website-Inhaber bemerken es
- Die Offenlegung von Besucherdaten hat in Regionen mit Datenschutzvorschriften rechtliche Folgen, und der Imageschaden kann jede technische Lösung überdauern
Sie nimmt deine Website als Geisel
- Ransomware verschlüsselt die Dateien der Website und sperrt den Inhaber komplett aus. Um wieder Zugriff zu bekommen, musst du entweder das Lösegeld zahlen oder ein sauberes Backup einspielen
- Website-Inhaber mit aktuellen Backups, die getrennt vom Server gespeichert sind, können wiederherstellen, ohne zu zahlen. Wer kein Offline-Backup hat, hat kaum Optionen
Woran erkennst du, dass deine Website Malware hat?
Anzeichen, die du als Inhaber selbst siehst
- Dateien im Website-Verzeichnis, die niemand aus deinem Team hinzugefügt hat
- Änderungen an Kerndateien oder Konfigurationsdateien, die niemand gemacht hat
- Neue Admin-Konten, die im Dashboard auftauchen
- Die Website lädt spürbar langsamer, ohne dass sich Inhalt oder Code geändert haben
- Du kommst nicht mehr in den Admin-Bereich
Anzeichen, die von außen gemeldet werden
- Besucher melden, dass ihr Browser sie davor warnt, deine Website zu besuchen
- Ein Warnhinweis erscheint neben dem Eintrag deiner Website in den Suchergebnissen
- Besucher melden, dass sie nach Klicks auf Links deiner Website auf unbekannte Seiten umgeleitet wurden
- E-Mail-Rückläufer oder Meldungen über schwarze Listen im Zusammenhang mit deiner Domain
Warum du vielleicht nichts bemerkst
- Viele Arten von Malware sind gezielt darauf ausgelegt, für Website-Inhaber unsichtbar zu bleiben und nur Besucher zu treffen
- Umleitungs-Malware wird oft nur bei Besuchern aktiv, die aus Suchmaschinen kommen. Wenn du die Website direkt aufrufst, sieht sie normal aus
- Regelmäßige Sicherheitsscans sind der einzige verlässliche Weg, Infektionen zu entdecken, die absichtlich nicht gesehen werden sollen
Wie entfernst du Malware von einer Website?
Ein sauberes Backup einspielen
- Wenn du ein Backup einspielst, das vor dem Eindringen der Malware erstellt wurde, ersetzt du jede infizierte Datei durch eine geprüfte saubere Version der Website
- Nach der Wiederherstellung muss die Lücke, die den Angriff erlaubt hat, gefunden und geschlossen werden, bevor die Website wieder online geht. Sonst kehrt dieselbe Infektion zurück
- Wie du Backups einrichtest, bevor etwas passiert, erklärt der Artikel So sicherst du deine Website per Backup
Manuelle Entfernung, wenn kein Backup vorhanden ist
- Infizierte Dateien müssen mit einem Sicherheitsscanner gefunden und bereinigt oder durch saubere Versionen aus der Originalquelle ersetzt werden
- Backdoors, die der Angreifer hinterlassen hat, müssen gefunden und entfernt werden. Bleibt irgendein Teil der Infektion bestehen, behält der Angreifer den Zugang
- Die manuelle Entfernung ist langsamer und weniger zuverlässig als die Wiederherstellung aus einem Backup, besonders wenn Backdoors installiert wurden
Nachdem die Website sauber ist
- Ändere alle Zugangsdaten, die mit der Website zu tun haben, einschließlich Admin-Konten, Hosting-Panel, FTP und Datenbank
- Aktualisiere die gesamte Software, um alle ausgenutzten Lücken zu schließen
- Reiche bei den Suchmaschinen einen Überprüfungsantrag wegen Malware ein, damit Warnungen in den Ergebnissen entfernt werden können
- Beobachte die Website mehrere Wochen genau, um sicherzugehen, dass die Malware nicht wieder eingeschleust wurde
Eine vollständige Anleitung, wie du verhinderst, dass Malware überhaupt auf deine Website gelangt, findest du im Artikel So schützt du deine Website vor Hackern. Was SSL-Zertifikate schützen und was nicht, erklärt der Artikel Was ist ein SSL-Zertifikat und wie funktioniert es?
So geht WEMASY mit dem Schutz vor Malware um
Die Hosting-Infrastruktur von WEMASY enthält Firewall-Schutz und Datenverkehrsfilterung auf Netzwerkebene. Das blockiert einen erheblichen Teil automatisierter Angriffe, bevor sie einzelne Websites erreichen. Software-Updates werden auf Plattformebene verwaltet, sodass Websites bei WEMASY keinen Lücken in veraltetem Plattformcode ausgesetzt sind.
Backups sind in allen Tarifen enthalten und werden automatisch verwaltet. Wiederherstellungsoptionen findest du im Dashboard. Im Ernstfall brauchst du für die Rückkehr zu einem sauberen Stand kein technisches Wissen und keinen separaten Backup-Dienst.
Was alles dabei ist, siehst du beim Website-Builder von WEMASY. Die Tarife findest du auf der Preisseite.
Häufig gestellte Fragen
Was ist Website-Malware?
Website-Malware ist Schadcode, der ohne Wissen des Inhabers auf einer Website liegt. Angreifer schleusen ihn über Lücken in der Software der Website, gestohlene Admin-Zugangsdaten oder infizierte Skripte von Drittanbietern ein. Auf der Website kann Malware Besucher umleiten, Daten stehlen, Spam versenden, Dateien gegen Lösegeld verschlüsseln oder die Geräte der Besucher für unbefugte Zwecke nutzen. Meist läuft sie im Hintergrund, während die Website normal zu funktionieren scheint. Mit dem Website-Builder von WEMASY richtest du das direkt auf deiner Website ein.
Wie gelangt Malware auf eine Website?
Die häufigsten Wege sind das Ausnutzen bekannter Lücken in veralteter Website-Software, der Zugang über schwache oder gestohlene Admin-Passwörter und die Kompromittierung von Plugins oder externen Skripten von Drittanbietern. Automatische Tools durchsuchen ununterbrochen Millionen von Websites nach diesen Lücken und nutzen sie aus, ohne eine bestimmte Website anzuvisieren. Wenn du Software aktuell hältst und Admin-Zugangsdaten stark und einmalig sind, deckst du die meisten Einstiegspunkte ab.
Woran erkenne ich, ob meine Website Malware hat?
Häufige Hinweise sind Besucher, die Umleitungen auf unbekannte Websites melden, Warnungen im Browser oder in den Suchergebnissen zu deiner Website, unerwartete Dateien im Website-Verzeichnis, neue Admin-Konten, die niemand angelegt hat, und eine deutlich langsamere Website als sonst. Viele Infektionen sind so gebaut, dass sie für den Inhaber unsichtbar bleiben und nur Besucher treffen. Regelmäßige Sicherheitsscans sind deshalb der einzige verlässliche Weg, sie früh zu entdecken.
Kann Malware das Suchranking beeinflussen?
Ja, direkt. Suchmaschinen, die Malware erkennen, fügen dem Eintrag der Website in den Ergebnissen einen Warnhinweis hinzu, wodurch die Klickrate auf nahezu null sinkt. In schweren Fällen wird die Website ganz aus den Ergebnissen entfernt, bis nach der Bereinigung eine Überprüfung bestanden ist. Browserwarnungen blockieren Besucher, bevor sie die Seite erreichen. Die Sichtbarkeit in der Suche nach einem Malware-Vorfall wiederzugewinnen, braucht Zeit und gelingt auch nach bestätigter Bereinigung nicht immer sofort.
Wie erholt man sich am schnellsten von einer Malware-Infektion?
Ein sauberes Backup einzuspielen ist der schnellste und zuverlässigste Weg. Es ersetzt alle infizierten Dateien durch eine geprüfte saubere Version der Website. Nach der Wiederherstellung muss die Lücke, die den Angriff erlaubt hat, geschlossen werden, bevor die Website wieder online geht, und alle Zugangsdaten sollten geändert werden. Gibt es kein sauberes Backup, müssen infizierte Dateien von Hand gefunden und bereinigt werden. Das dauert deutlich länger und lässt eher Reste zurück.
Schützt ein SSL-Zertifikat vor Malware?
Nein. SSL verschlüsselt Daten bei der Übertragung zwischen dem Browser des Besuchers und dem Server. Es schützt die Website selbst nicht vor Malware. Eine Website mit gültigem SSL-Zertifikat kann trotzdem infiziert werden, wenn der Server Lücken hat, Admin-Zugangsdaten schwach sind oder ein Plugin oder externes Skript eine Sicherheitslücke enthält. SSL und Malware-Schutz begegnen unterschiedlichen Bedrohungen, und beides ist nötig: SSL schützt die Daten, die Besucher senden, Sicherheitsmaßnahmen auf Serverseite schützen die Website vor Kompromittierung.