So überprüfen Sie eine Website auf Viren: Schritt-für-Schritt-Anleitung

So überprüfen Sie eine Website auf Viren: Schritt-für-Schritt-Anleitung

Wenn sich eine Website seltsam verhält, bemerkt man das normalerweise nicht sofort. An manchen Stellen gibt es einen zusätzlichen Redirect, an anderen Orten warnt der Browser vor gefährlichen Inhalten, und manchmal tritt das Problem erst nach einer Beschwerde des Benutzers oder einer E-Mail vom Hosting-Anbieter auf. In einem solchen Moment ist es wichtig, nicht in Panik zu geraten und nicht wahllos auf alle Schaltflächen im Admin-Bereich zu klicken. Zuerst muss man verstehen, wonach man suchen und wie man die Website sicher überprüfen kann.

Die Überprüfung einer Website auf Viren besteht nicht nur darin, einen Online-Scanner zu starten. Manchmal geht es um eingebetteten Schadcode im Template, manchmal um eine Phishing-Seite, die jemand in den Ordner der Website geschoben hat, und manchmal um einen versteckten Redirect, der den Besucher nur unter bestimmten Bedingungen auf eine fremde Ressource leitet. Es kann auch vorkommen, dass die Website formal "sauber" ist, aber eine der Dateien des Themas infiziert ist, und das reicht bereits aus, damit Suchmaschinen misstrauisch werden.

Wenn Sie sich schnell in einem verwandten Thema orientieren möchten, ist auch Leitfaden zur Überprüfung von Websites auf Betrug. Dort stimmt die Logik teilweise überein: Es ist wichtig, nicht nur auf die Technik zu achten, sondern auch auf den Ruf, das Verhalten der Seiten und seltsame Spuren auf der Website.

Was bedeutet „eine Website auf Viren überprüfen“ und wann ist das notwendig

Unter dem Wort „Viren“ versteht man im umgangssprachlichen Gebrauch oft alles Mögliche: schädlichen JavaScript, Phishing-Seiten, eingebettete iframes, Link-Manipulation, Spam-Skripte, versteckte Weiterleitungen und sogar unerwünschte Pop-ups. In der Praxis ist es nützlich, diese Dinge zu unterscheiden, da die Methode zur Überprüfung und Entfernung unterschiedlich sein wird.

Phishing ist, wenn eine Website oder ihre Seite sich als etwas anderes ausgibt: Anmeldeformular, Bank, Online-Shop, Zahlungsseite. Das Ziel ist einfach – Daten zu stehlen. Schadcode ist ein weiter gefasster Begriff. Das kann ein Skript sein, das Werbung einfügt, eine externe Datei lädt, Sitzungen stiehlt oder einem Angreifer Zugang gewährt. Eine versteckte Weiterleitung ist eine eigene Geschichte: Der Besucher öffnet scheinbar Ihre Website, landet aber nach einer Sekunde auf einer ganz anderen Adresse. Und all das kann bei normalem Besuch der Startseite unsichtbar sein.

Eine schnelle Überprüfung der Website auf schädlichen Code ist erforderlich, wenn:

• der Browser oder das Antivirenprogramm vor Gefahren warnt;
• Besucher beschweren sich über Pop-ups, Weiterleitungen oder seltsame Anfragen;
• Die Suchmaschine markiert die Website als verdächtig;
• Im Admin-Bereich sind unbekannte Benutzer oder Dateien aufgetaucht;
• Die Website verhält sich nach der Installation eines Plugins, Themas oder Updates nicht mehr normal;
• In den Logs sind Zugriffe auf Dateien zu sehen, die Sie nicht hinzugefügt haben.

Und noch ein praktischer Punkt: Nicht jedes Problem hängt mit der Website selbst zusammen. Manchmal wird der Computer des Administrators infiziert, und dann wird der schädliche Code über FTP oder das Kontrollpanel zurück in das CMS eingeschleust. Daher erfolgt die Überprüfung der Website fast immer zusammen mit der Überprüfung der Arbeitsgeräte.

Vorbereitung vor der Überprüfung: Was zu speichern und wo nicht zu klicken

Bevor Sie eine verdächtige Website öffnen und Scanner starten, sollten Sie einen minimalen Schutz vorbereiten. Das ist keine Paranoia, sondern normale Hygiene. Sie greifen ja auch nicht mit bloßen Händen in den elektrischen Verteilerkasten — beim Website-Besuch gilt die gleiche Logik, nur das Risiko ist anders.

Zuerst sichern Sie wichtige Daten. Wenn Sie Zugriff auf das Hosting und das Control Panel haben, erstellen Sie eine Sicherungskopie der Dateien und der Datenbank. Selbst wenn die Kopie bereits alt ist, hilft sie, zu vergleichen, was sich geändert hat. Wenn kein Zugriff besteht, laden Sie zumindest die Dateiliste herunter und dokumentieren Sie den aktuellen Stand: Änderungsdatum, Größe, verdächtige Namen.

Seien Sie dann vorsichtig beim Öffnen der Website. Besuchen Sie sie nicht von Ihrem Hauptarbeitsgerät, wenn Sie Zweifel haben. Es ist besser, ein separates Browserprofil, ein aktualisiertes Antivirenprogramm und, wenn möglich, eine isolierte Umgebung zu verwenden. Laden Sie nichts manuell von der Website herunter, bis Sie verstehen, um welche Datei es sich handelt. Melden Sie sich nicht im Admin-Bereich über öffentliches Wi‑Fi an. Und öffnen Sie keine Anhänge oder Archive, die plötzlich „empfohlen“ werden, heruntergeladen zu werden, nachdem Sie auf einen Link geklickt haben.

Wenn die Website bereits Verdacht erregt hat, sollten Sie nicht sofort den Cache leeren, "alles Überflüssige" löschen und das CMS blind neu installieren. Zuerst sollten Sie die Spuren festhalten. Danach wird es einfacher zu verstehen, woher das Problem kam. Manchmal sagt eine seltsame Datei im Wurzelverzeichnis mehr aus als drei Stunden chaotisches Aufräumen.

Online-Überprüfung der Website auf Viren: schnelle Dienste und wie man sie nutzt

Die Online-Überprüfung der Website auf Viren ist der schnellste Start, um zu verstehen, ob es offensichtliche Anzeichen einer Infektion gibt. Solche Dienste erfordern normalerweise keinen Zugang zum Hosting: Sie geben die Adresse der Website ein, und der Scanner überprüft die Seite, externe Ressourcen, verdächtige Weiterleitungen, schwarze Listen und manchmal auch Teile der zugehörigen Dateien.

Solche Dienste lassen sich grob in mehrere Typen unterteilen. Einige suchen nach Signaturen von schädlichem Code in HTML und JavaScript. Andere überprüfen den Ruf der Domain und die Anwesenheit in Sperrlisten. Wieder andere untersuchen das Verhalten der Seite: Leitet sie nicht auf eine andere Adresse weiter, lädt sie keinen gefährlichen Inhalt nach, tarnt sie sich nicht als Phishing-Formular. Es gibt auch kombinierte Lösungen, die mehrere Überprüfungen gleichzeitig durchführen.

Es ist einfach, mit ihnen zu arbeiten, aber die Ergebnisse müssen sorgfältig interpretiert werden. Ein alarmierendes Signal bedeutet nicht immer eine Infektion. Zum Beispiel kann ein externes Skript ein legitimer Analytics-Zähler, ein Werbeblock oder ein Widget sein. Wenn der Dienst jedoch eine verdächtige Weiterleitung anzeigt und der andere einen unbekannten iframe im Seitenquellcode, ist das ein Grund, tiefer zu graben.

Es ist hilfreich, nicht nur eine, sondern mehrere unabhängige Überprüfungen durchzuführen. So lässt sich ein echtes Problem leichter von einem Fehlalarm unterscheiden. Und achten Sie unbedingt darauf, was der Dienst genau gefunden hat: die URL der Seite, einen bestimmten Codeausschnitt, die Erwähnung einer Domain in schwarzen Listen, eine verdächtige Kette von Weiterleitungen. Die allgemeine Meldung „Bedrohung erkannt“ erklärt allein noch nichts.

Wenn Sie gleichzeitig die technische Seite des Schutzes verstehen möchten, sollten Sie sich auch ansehen, wie man das SSL-Zertifikat einer Website überprüft. Oft treten Sicherheitsprobleme gleichzeitig auf: irgendwo ist das Zertifikat beschädigt, irgendwo läuft der Datenverkehr nicht nach dem vorgesehenen Szenario, und der Benutzer sieht schließlich eine Warnung und verlässt die Seite.

Manuelle Überprüfung der Website auf schädlichen Code: Anzeichen einer Infektion

Automatische Dienste sind nützlich, aber die manuelle Überprüfung ist oft genauer. Besonders wenn die Infektion tief im Template versteckt ist oder so eingefügt wurde, dass sie nur auf einer bestimmten Seite aktiviert wird. Zuerst werden die HTML-Seiten und Templates betrachtet, dann die eingebundenen Skripte, und schließlich die Kette zum Laden externer Ressourcen.

Welche Anzeichen sollten misstrauisch machen:

• unbekannte

  script

  -Blöcke und Links zu externen Domains;
• iframe, der nicht zu Ihrer Website gehört und nicht durch die Aufgabe der Seite erklärt wird;
• Redirects über JavaScript, Meta-Refresh oder Server-Header;
• Code, der durch lange Zeilen ohne verständliche Logik obfuskiert ist;
• versteckte Formulare, Felder und Elemente mit display none;
• unerwartete Links im Footer, in der Seitenleiste, in Kommentaren oder Werbeblöcken;
• verdächtige Aufrufe von eval, document.write und ähnlichen Mechanismen;
• Dateien mit Namen wie cache.php, temp.php, update.php an unerwarteten Orten.

Wenn das Website-Template lange nicht aktualisiert wurde und plötzlich ein neuer Skriptblock erscheint, ist das fast immer ein Grund, innezuhalten und die Quelle zu überprüfen. Manchmal tarnt der Angreifer das Einfügen als „Systemcode“ oder fügt sogar Kommentare ein, damit die Datei normal aussieht. Und ja, böse Scherze wie „nun, das kommt wahrscheinlich vom Thema“ enden hier normalerweise mit Zeitverlust.

Überprüfen Sie die Weiterleitungen separat. Sie können nicht nur im Seitencode, sondern auch in .htaccess, in der Serverkonfiguration, in Plugins oder in JS-Dateien sein. Der Benutzer öffnet die Hauptseite und landet nach einer Sekunde auf einer anderen Website – und manchmal muss man die Ursache nicht auf der Seite, sondern in den Routing-Regeln suchen.

Schritt-für-Schritt-Überprüfung von Dateien, CMS und Datenbank

Wenn ein systematischer Ansatz erforderlich ist, überprüfen Sie die Website schichtweise. So ist es einfacher, die Infektionsquelle nicht zu übersehen und nichts Überflüssiges zu löschen.

1. Vergleichen Sie die aktuellen Dateien mit einer Sicherungskopie oder einer „sauberen“ Version des CMS. Suchen Sie nach neuen Dateien, geänderten Daten, ungewöhnlichen Größen und seltsamen Namen.

2. Überprüfen Sie den CMS-Kern. Wenn sich Systemdateien geändert haben, ist das ein alarmierendes Zeichen. Normalerweise sollte ein Update transparent und nachvollziehbar sein.

3. Untersuchen Sie die Plugins und Themes. Dort wird oft schadhafter Code nach einem Hack eingebaut, da diese Ordner am häufigsten geändert werden und weniger auffällig sind.

4. Suchen Sie nach verdächtigen Einfügungen in den Konfigurationsdateien. Manchmal lebt die Infektion an Orten, die selten manuell geöffnet werden.

5. Überprüfen Sie die Datenbank auf fremde Links, versteckte HTML-Einfügungen, neue Admin-Konten und seltsame Werte in den Einstellungfeldern.

6. Vergleichen Sie den Inhalt der Seiten vor und nach der Infektion, wenn Sie Archive haben. Achten Sie besonders auf Textblöcke, den Footer und Felder, die automatisch ausgegeben werden.

In der Datenbank werden manchmal nicht nur Inhalte, sondern auch der Code zum Laden externer Skripte versteckt. Daher kann, wenn auf der Website alles in den Dateien normal aussieht, das verdächtige Verhalten dennoch dort seinen Ursprung haben. Dies ist der Fall, wenn die mechanische Frage „Ich habe die Datei gelöscht, warum hat es nicht geholfen?“ nicht funktioniert.

Ein weiterer wichtiger Punkt ist die Überprüfung der Benutzer und Zugriffsrechte. Nach einem Hack bleiben oft neue Administratoren zurück, während alte Konten ohne ersichtlichen Grund erweiterte Rechte erhalten. Überprüfen Sie die Liste der Konten, die letzten Anmeldungen, Passwortänderungen und Aktivitäten im Admin-Bereich.

Wie man die Website mit Webmaster-Tools und Antivirus-Scannern überprüft

Wenn die grundlegende manuelle Überprüfung bereits durchgeführt wurde, ist es nützlich, Tools zu verwenden, die die Website von außen sehen. Sie ersetzen nicht die interne Diagnose, ergänzen sie jedoch hervorragend. Hier sind insbesondere Webmaster-Panels, Serverprotokolle, Antivirus-Scanner und Domain-Reputationsdienste wichtig.

Webmaster-Panels zeigen Warnungen zu bösartigen Seiten, Indexierungsproblemen, Phishing und verdächtigen Weiterleitungen an. Dies ist eines der ersten Zeichen, wenn die Website bereits ins Visier von Suchmaschinen geraten ist. In den Serverprotokollen kann man unerwartete Zugriffe auf Dateien, häufige Authentifizierungsfehler, verdächtige POST-Anfragen und Aktivitäten außerhalb der Arbeitszeiten sehen. Manchmal wird das Protokoll zum Ausgangspunkt: Es scheint alles ruhig zu sein, aber dann sieht man einen ganzen Strom von Anfragen an ein unbekanntes Skript.

Antivirus-Scanner auf dem Server sind nützlich, wenn Sie Zugriff auf das Dateisystem haben. Sie suchen nach Signaturen von bösartigem Code, verdächtigen Archiven, Shells und Dateien mit atypischem Verhalten. Allerdings ist auch hier ein gesunder Ansatz erforderlich: Der Scanner kann eine neue Modifikation übersehen oder umgekehrt eine legitime Datei als gefährlich markieren. Daher ist es besser, die Ergebnisse mit einer manuellen Überprüfung abzugleichen.

Domain-Reputationsdienste helfen zu verstehen, wie die Website von außen wahrgenommen wird. Wenn die Domain plötzlich auf schwarzen Listen landet, ist das nicht nur ein internes Problem. Das bedeutet, dass das Problem auch außerhalb Ihres Servers sichtbar ist. Für eine tiefere Bewertung ist es hilfreich, die Ergebnisse in mehreren Quellen zu überprüfen und sich nicht nur auf eine Warnung zu verlassen.

Wenn Sie den funktionalen Teil erweitern möchten, achten Sie auch auf die Überprüfung der Website auf versteckte Abonnements. Manchmal tarnen sich unerwünschte Schemen als gewöhnliche Dienste, und dann sieht die Infektion nicht wie ein „Virus“ aus, sondern wie eine Kette von aufgedrängten Aktionen.

Was tun, wenn Viren oder schädlicher Code gefunden werden

Die wichtigste Regel ist, die Website nicht in Betrieb zu lassen, wenn Sie sich nicht sicher sind, dass das Problem lokalisiert ist. Isolieren Sie sie zunächst von den Besuchern, wenn möglich. Manchmal reicht es aus, den Zugang zu den infizierten Bereichen vorübergehend zu schließen oder den Wartungsmodus zu aktivieren.

Löschen Sie anschließend die infizierten Dateien oder ersetzen Sie sie durch saubere Versionen aus dem Backup. Wenn der Schadcode in das Theme, das Plugin oder den Kern eingebettet ist, ist es besser, die Komponente aus einer offiziellen Quelle neu zu installieren, anstatt sie manuell stückweise zu bereinigen. Wenn die Infektion die Datenbank betroffen hat, müssen verdächtige Einfügungen entfernt, die Benutzer überprüft und der Inhalt aller automatischen Felder überarbeitet werden.

Ändern Sie nach der Bereinigung unbedingt die Passwörter: für das Admin-Panel, FTP/SFTP, Hosting, Datenbank, E-Mail und verwandte Dienste. Wenn das Passwort irgendwo wiederholt wurde, ändern Sie es auch dort. Andernfalls wird das alte Schlupfloch sehr schnell zu einem neuen.

Aktualisieren Sie dann das CMS, die Plugins, die Themes und die Server-Software, wenn Sie Zugriff haben. Viele Infektionen nutzen alte Schwachstellen, und solange diese nicht geschlossen sind, ist ein erneutes Eindringen nur eine Frage der Zeit. Führen Sie danach eine erneute Überprüfung der Website auf Viren durch, am besten mit mehreren Methoden gleichzeitig.

Und noch etwas: Vergessen Sie nicht die Überwachung nach der Wiederherstellung. Die ersten Tage sind besonders wichtig. Überprüfen Sie die Protokolle, die Indizierung, den Inhalt der Seiten und das Verhalten der Formulare. Manchmal hinterlässt schadhafter Code ein "Backup" oder einen versteckten Pfad, der später aktiviert wird.

Wie man die Website vor einer erneuten Infektion schützt

Die beste Behandlung für die Website ist keine heldenhafte Reinigung nach einem Hack, sondern eine normale Prävention. Sie ist langweiliger, aber viel günstiger in Bezug auf Zeit und Nerven.

• aktualisieren Sie CMS, Plugins und Themes ohne Verzögerung;
• löschen Sie ungenutzte Erweiterungen und alte Vorlagen;
• beschränken Sie die Zugriffsrechte auf Dateien und Verzeichnisse;
• verwenden Sie keine identischen Passwörter für verschiedene Dienste;
• Aktivieren Sie die Zwei-Faktor-Authentifizierung, wo immer möglich;
• Erstellen Sie regelmäßige Backups und überprüfen Sie, ob sie wiederhergestellt werden können;
• Überwachen Sie die Protokolle und Warnungen des Hostings;
• Führen Sie regelmäßig einen Online-Scan der Website auf Viren durch und überprüfen Sie manuell die wichtigen Dateien.

Es ist auch wichtig, die Computer zu überprüfen, von denen aus Sie die Website verwalten. Wenn eine Infektion über einen FTP-Client oder eine Browsersitzung kommt, wird ein sauberer Server allein nicht helfen. Es ist auch nützlich, regelmäßig die Zugriffslisten zu überprüfen: Wer hat Zugang zum Admin-Bereich, wer kennt die Backup-Codes, wer kann DNS ändern. Manchmal liegt das Problem nicht im Code, sondern in zu weitreichenden Rechten.

Wenn man die Sache systematisch angeht, wird die Überprüfung der Website auf Viren zu einem regelmäßigen Teil der Wartung und nicht zu einem Notfallritual. Und das ist wohl das beste Ergebnis: nicht das Feuer zu löschen, sondern zu verhindern, dass es entfacht.