Viele gehackte Websites sehen für ihre Betreiber völlig normal aus. Der Schadcode arbeitet im Hintergrund: Er leitet einen Teil der Besucher auf Betrugsseiten, schiebt Google Spam-Inhalte unter oder lädt fremden Code in den Browser Ihrer Kunden. Bemerkt wird das oft erst, wenn Google warnt oder der Hoster die Seite sperrt.
Typische Anzeichen
- Besucher berichten von Weiterleitungen, Sie selbst sehen keine, vor allem nicht, wenn Sie angemeldet sind.
- In der Google-Suche erscheinen fremde Titel, japanische Schriftzeichen oder Pharma- und Casino-Begriffe zu Ihrer Domain.
- Chrome oder Firefox zeigen eine rote Warnseite, oder die Google Search Console meldet Sicherheitsprobleme.
- Der Hoster meldet Schadsoftware oder hat die Seite gesperrt.
- In Ihren JavaScript-Dateien steht am Ende unlesbarer Code, oft nach einem Block wie „if(ndsw===undefined)“.
Was der Malware-Check sieht und was nicht
Der Check sieht alles, was Ihr Server öffentlich ausliefert: HTML, eingebettete und eingebundene Skripte, Weiterleitungen, Zertifikat und Header. Er ruft die Seite als Desktop-Browser, iPhone, Googlebot und Besucher von Google auf und vergleicht, wo jeder landet. Verschleierten Code entschlüsselt er und zeigt den Klartext. Nicht sehen kann er Dateien auf dem Server, die nichts ausgeben, die Datenbank und Zugänge. Dafür braucht es eine Prüfung von innen.
Sofortmaßnahmen bei Befall
- Alle Zugänge ändern: Hosting, FTP, Datenbank und alle Administratoren, von einem sauberen Gerät aus.
- Den Zustand sichern, bevor etwas gelöscht wird. Die Kopie hilft, die Ursache zu finden.
- Nicht nur die auffällige Datei tauschen: Hintertüren stecken oft an mehreren Stellen und in der Datenbank.
- Lücke schließen (Updates, unsichere Plugins entfernen) und erst dann bei Google die Überprüfung beantragen.
Ausführlich: WordPress gehackt, Joomla gehackt, Der Hoster meldet Schadsoftware, Versteckte Weiterleitungen auf verdächtige Seiten und Domain-Hijacking.
Häufige Fragen
Kann ein Online-Scanner Malware sicher ausschließen?
Nein. Jeder Scanner von außen sieht nur, was der Server öffentlich ausliefert. Hintertüren in PHP-Dateien, manipulierte Datenbankeinträge oder Schadcode, der nur bei bestimmten IP-Adressen oder Ländern auftaucht, bleiben unsichtbar, bis sie etwas ausgeben. Der Malware-Check verringert diese Lücke, indem er die Seite als vier verschiedene Besucher abruft und Skripte entschlüsselt. Sicherheit gibt aber nur eine Prüfung von innen.
Meine Website leitet nur auf dem Handy auf fremde Seiten um. Warum?
Das ist typisch für gehackte Seiten. Der Schadcode prüft das Gerät, die Herkunft des Besuchers oder ob er zum ersten Mal kommt, und leitet nur einen Teil um. Angemeldete Betreiber sehen dadurch meist nichts. Der Malware-Check ruft die Seite deshalb als Desktop-Browser, iPhone, Googlebot und Besucher von Google auf und vergleicht die Ziele.
Google zeigt eine Warnung, der Check findet aber nichts. Wie passt das zusammen?
Google bewertet einzelne Adressen der ganzen Website, wir prüfen die eingegebene Seite. Die Warnung kann von einer Unterseite stammen, oder die Seite ist bereinigt und Google hat noch nicht neu geprüft. Den Stand sehen Sie in der Google Search Console unter „Sicherheitsprobleme“. Dort beantragen Sie nach der Bereinigung auch die Überprüfung.
Welche Sperrlisten fragt der Malware-Check ab?
Die Sicherheitsfilter von Cloudflare (1.1.1.2) und Quad9. Beide sperren Domains, die ihre Bedrohungsdaten als Quelle von Schadsoftware oder Betrug führen. Wir prüfen Ihre Domain, die Zieladressen aller Weiterleitungen und jede unbekannte Domain, von der Ihre Seite Skripte lädt. Googles Warnliste ist in Vorbereitung. Bis dahin verlinkt das Ergebnis den Transparenzbericht von Google.
Was tun, wenn der Check Schadcode findet?
Zuerst alle Zugänge ändern (Hosting, FTP, Datenbank, Administratoren), dann den Zustand sichern, bevor etwas gelöscht wird. Eine einzelne Datei zu ersetzen reicht selten: Angreifer legen Hintertüren an mehreren Stellen ab. Lassen Sie die Website vollständig bereinigen, die Lücke schließen und danach bei Google die Überprüfung beantragen.
Speichern Sie die geprüfte Website?
Das Ergebnis liegt bis zu 30 Minuten im Zwischenspeicher, damit eine erneute Abfrage schnell geht. Ein Konto brauchen Sie nicht. Mit „Erneut prüfen“ holen Sie jederzeit einen frischen Stand.