# Malware und Webshells von der Website entfernen lassen

> Malware auf der Website entfernen lassen: Wir finden Webshells und Hintertüren, bereinigen aus sauberen Quellen und schließen das Einfallstor dauerhaft.

Quelle: https://phpsos.de/leistungen/malware-entfernung/  
Stand: 25.10.2026  
Anbieter: PHP SOS, PHP-Notfallhilfe und Server-Sicherheit. Soforthilfe per WhatsApp: https://wa.me/491736494914?text=Hallo%20PHP%20SOS%2C%20wir%20brauchen%20Hilfe%20mit%20unserem%20PHP-Server.%20Firma%3A%20%E2%80%A6%20Website%3A%20%E2%80%A6

**Kurz gesagt:** Wenn Sie Malware von Ihrer Website entfernen lassen möchten, reicht Löschen einzelner Dateien selten aus. Wir sichern zuerst den Befund, finden Webshells, Hintertüren und versteckte Aufgaben, bauen aus vertrauenswürdigen Quellen neu auf und schließen das Einfallstor. Erst dann ist die Bereinigung belastbar.

## Woran Sie Malware auf der Website erkennen

Schadcode auf Websites fällt oft erst indirekt auf. Typisch sind Weiterleitungen auf fremde Seiten, nur für Suchmaschinen oder Mobilgeräte sichtbare Spam-Inhalte, eine Google-Warnung im Suchergebnis, Beschwerden von Kunden oder eine Sperre durch den Hoster wegen Spamversand. Auf dem Server zeigen sich unbekannte PHP-Dateien, neue Admin-Konten, veränderte `.htaccess`-Dateien oder unerklärliche Cronjobs.

Nach PHP2Shell kommt eine weitere Sorge dazu: Über CVE-2026-109618 und CVE-2026-109619 können Angreifer ohne Anmeldung Code ausführen. Es gibt keine veröffentlichten, bestätigten Indicators of Compromise; Erkennung beruht auf Verhaltensanalyse. Wie Webshells typischerweise aussehen und wo sie liegen, beschreibt [Webshells erkennen und entfernen](https://phpsos.de/ratgeber/webshell-erkennen/).

## Malware von der Website entfernen: warum gründlich wichtiger ist als schnell

Angreifer legen selten nur eine Datei ab. Üblich sind mehrere Hintertüren an unterschiedlichen Orten: in Upload-Ordnern, in Plugins oder Themes, in Must-Use-Plugins, in der Datenbank, in Cronjobs oder in zusätzlichen Benutzerkonten. Wird nur die auffälligste Datei gelöscht, kommt der Schadcode zurück.

Gleichzeitig ist der befallene Zustand ein Beweismittel. Wer vorschnell bereinigt, verliert die Möglichkeit festzustellen, ob Kundendaten betroffen sind. Deshalb sichern wir vor jeder Änderung. Das kostet wenig Zeit und hält Ihnen alle Wege offen, auch eine spätere Meldung an Aufsichtsbehörde oder Versicherer.

> **Wichtig:**
> Ein PHP-Update oder ein CMS-Update entfernt keine Schadsoftware, die bereits auf dem Server liegt. Und eine bereinigte Website wird erneut befallen, solange das Einfallstor offen ist.

## Wo sich Schadcode typischerweise versteckt

Die folgenden Orte prüfen wir bei jeder Bereinigung, weil sie in der Praxis immer wieder betroffen sind:

| Ort | Typischer Befund |
|---|---|
| Upload-Ordner | PHP-Dateien mit harmlos wirkenden Namen oder als Bild getarnt |
| Plugins, Themes, Module | zusätzliche Dateien oder veränderte Originaldateien |
| Konfiguration | eingeschleuste Zeilen in `.htaccess`, `.user.ini` oder Einstiegsdateien |
| Datenbank | fremde Admin-Konten, Skripte in Inhalten oder Optionen |
| System | Cronjobs, zusätzliche SSH-Schlüssel, Prozesse ohne erkennbaren Zweck |
| Caches und temporäre Ordner | Kopien von Schadcode, die nach dem Löschen wieder auftauchen |

Wichtig ist der Zusammenhang: Ein einzelner Fund erklärt selten den ganzen Vorfall. Erst das Gesamtbild zeigt, wie der Angreifer vorgegangen ist und ob er Zugangsdaten mitgenommen hat.

## Wie hilft PHP SOS konkret?

1. **Sichern:** Wir erstellen eine Kopie von Dateien, Datenbank und Logs im befallenen Zustand. Sie bleibt für eine spätere Auswertung erhalten.
2. **Suchen:** Wir vergleichen Programmdateien mit den Originalen des Herstellers, prüfen Upload-Ordner auf ausführbaren Code, durchsuchen Datenbank, Cronjobs, Benutzerkonten und Serverkonfiguration. Für WordPress-Umgebungen gehen wir vor wie unter [Backdoors in WordPress finden](https://phpsos.de/ratgeber/backdoor-wordpress-finden/) beschrieben.
3. **Bereinigen:** Kern, Erweiterungen und Themes installieren wir aus vertrauenswürdigen Quellen neu, statt verdächtige Dateien einzeln zu flicken. Eigene Inhalte und Uploads prüfen wir gesondert und übernehmen nur, was unbedenklich ist.
4. **Ursache schließen:** Wir patchen PHP und Anwendung, entfernen fremde Konten und tauschen alle Zugangsdaten und Schlüssel aus, die der Angreifer gesehen haben könnte.
5. **Nachkontrolle:** Wir beobachten die Website nach der Bereinigung auf erneute Veränderungen und unterstützen Sie, eine Google-Warnung über die Search Console prüfen zu lassen. Mehr dazu unter [Google-Warnung entfernen](https://phpsos.de/ratgeber/google-warnung-entfernen/).

Für Admins ein ungefährlicher erster Blick auf kürzlich veränderte PHP-Dateien:

```bash
# PHP-Dateien im Webverzeichnis, die in den letzten 10 Tagen geändert wurden
find /var/www -type f -name "*.php" -mtime -10 -printf "%TY-%Tm-%Td %TH:%TM %p\n" | sort
```

Das Ergebnis ist ein Hinweis, kein Beweis: Angreifer können Zeitstempel verändern.

## Was Sie bekommen und was wir brauchen

Sie erhalten einen Bericht mit den gefundenen Schadkomponenten und ihrem Fundort, den Maßnahmen zur Bereinigung, der Liste ausgetauschter Zugangsdaten und dem wahrscheinlichen Einfallstor. Wir trennen dabei klar, was belegt, was wahrscheinlich und was unbekannt ist.

Wir brauchen von Ihnen:

- **Zugang** zu Server oder Hosting-Panel, CMS-Backend und Datenbank
- **einen Ansprechpartner**, der Passwortwechsel und Abschaltungen freigeben kann
- **Informationen** zu Agentur, Entwickler oder Hoster und zu eigenen Anpassungen am System
- **vorhandene Backups** mit Datum, damit wir einschätzen können, welcher Stand sauber sein könnte
- **Zugriff auf die Google Search Console**, falls eine Warnung angezeigt wird

## Was wir nicht versprechen

Wir versprechen nicht, dass jede Hintertür auf jedem System sicher gefunden wird, wenn Logs fehlen oder der Befall lange zurückliegt. Bei unklarer Lage empfehlen wir den Neuaufbau auf einem frischen Server, auf den nur geprüfte Inhalte übertragen werden. Das ist aufwendiger, aber oft der verlässlichere Weg. Wir sagen auch nicht voraus, wann Google oder andere Dienste eine Warnung entfernen; das entscheiden diese Anbieter.

Wenn gerichtsfest geklärt werden muss, was genau passiert ist und welche Daten betroffen sind, ziehen wir die [IT-Forensik](https://phpsos.de/leistungen/it-forensik/) mit spezialisierten Partnern hinzu. Bei einem akuten, noch laufenden Angriff beginnt die Arbeit mit der [Notfallhilfe bei gehackter Website](https://phpsos.de/leistungen/website-gehackt-notfallhilfe/).


## Häufige Fragen

**Reicht ein Malware-Scanner-Plugin, um meine Website zu bereinigen?**  
Ein Scanner findet bekannte Muster, aber nicht jede Hintertür. Webshells sind oft verschleiert, liegen in Bildern, Caches oder der Datenbank oder sind als Cronjob verankert. Ein Scanner ist ein Hilfsmittel, keine vollständige Bereinigung.

**Kann ich einfach ein altes Backup zurückspielen?**  
Nur wenn sicher ist, dass das Backup vor dem Einbruch entstand, und wenn das Einfallstor danach geschlossen wird. Sonst ist die Website kurz sauber und wird auf demselben Weg erneut befallen.

**Warum taucht die Malware nach dem Löschen immer wieder auf?**  
Meist gibt es eine zweite Hintertür, einen Cronjob, ein manipuliertes Admin-Konto oder die Lücke ist noch offen. Erst wenn alle Persistenzmechanismen gefunden und die Ursache beseitigt ist, bleibt die Bereinigung bestehen.

**Entfernt ein PHP-Update vorhandene Malware?**  
Nein. Ein Patch schließt die Lücke, entfernt aber keine bereits eingeschleuste Schadsoftware. Beides sind getrennte Arbeitsschritte.

## Quellen

- [OWASP Cheat Sheet Series](https://cheatsheetseries.owasp.org/)
- [Google Search Console Hilfe](https://support.google.com/webmasters/)
- [php.net: Sicherheitsmeldungen](https://www.php.net/)