Ihre WordPress-Website zeigt plötzlich nur noch „Access Denied“, leitet Besucher auf fremde Seiten weiter oder ist überhaupt nicht mehr erreichbar? Dann kann eine sogenannte Webshell oder Backdoor eingeschleust worden sein.

Bei einem von uns bearbeiteten Fall fanden wir mehrere manipulierte PHP-Dateien, getarnte Must-use Plugins und verschlüsselten Schadcode. Über eine versteckte Webshell konnten beliebige Befehle auf dem Webserver ausgeführt werden. Der Angreifer hatte damit weitreichenden Zugriff auf die WordPress-Installation.

Wir konnten den Schadcode identifizieren, die Website vollständig bereinigen und den normalen Betrieb wiederherstellen.

Was ist der WP2Shell Hack?

Als WP2Shell Hack wird eine Infektion bezeichnet, bei der Angreifer schädliche PHP-Dateien innerhalb einer WordPress-Installation ablegen. Diese Dateien dienen als Webshell oder laden weiteren, häufig stark verschleierten Schadcode.

Eine Webshell ermöglicht es Angreifern, Befehle auf dem Server auszuführen. Abhängig von den verfügbaren Berechtigungen können sie dadurch unter anderem:

• WordPress-Dateien verändern oder löschen
• Schadcode und weitere Backdoors installieren
• Zugangsdaten aus der wp-config.php auslesen
• Datenbankinhalte abrufen oder manipulieren
• unbekannte Administratoren anlegen
• Besucher auf fremde Websites umleiten
• Spam-Seiten und schädliche Inhalte veröffentlichen
• den Zugang zur Website für Betreiber und Besucher blockieren

Besonders problematisch sind sogenannte Must-use Plugins im Verzeichnis wp-content/mu-plugins. Diese werden automatisch von WordPress geladen und lassen sich im normalen Plugin-Bereich nicht deaktivieren. Für Angreifer sind sie deshalb ein geeigneter Ort, um Schadcode dauerhaft in einer Website zu verankern.

Mögliche Anzeichen einer infizierten WordPress-Website

Ein WP2Shell Hack oder eine vergleichbare WordPress-Webshell kann sich auf unterschiedliche Weise bemerkbar machen.

Typische Symptome sind:

• Die Website zeigt nur noch „Access Denied“ oder „Not Found“
• Das WordPress-Backend ist nicht mehr erreichbar
• Besucher werden auf unbekannte oder unseriöse Seiten weitergeleitet
• Im Hauptverzeichnis befinden sich unbekannte PHP-Dateien
• Es existieren Plugins, die nicht über WordPress installiert wurden
• In wp-content/mu-plugins befinden sich unbekannte Dateien
• Ein fremder Administrator erscheint in WordPress
• Dateien werden nach dem Löschen automatisch wiederhergestellt
• Google oder der Browser warnt vor Schadsoftware
• Der Hosting-Anbieter sperrt die Website
• Die Website versendet unerwünschte E-Mails
• Dateinamen ähneln absichtlich bekannten WordPress-Dateien

Dabei tarnen Angreifer schädliche Dateien häufig mit unauffälligen Bezeichnungen. Namen wie plugins.php, api.php, cache.php oder absichtlich falsch geschriebene Varianten von WordPress-Dateien sollen den Eindruck erwecken, dass es sich um reguläre Bestandteile der Website handelt.

Warum das Löschen einer einzelnen Datei nicht ausreicht

Eine Webshell ist häufig nur ein Teil der Infektion. Angreifer legen meist mehrere Zugangsmöglichkeiten an, damit sie auch nach einer oberflächlichen Bereinigung wieder auf die Website zugreifen können.

Dazu gehören beispielsweise:

• zusätzliche Webshells
• verschlüsselte PHP-Loader
• manipulierte WordPress-Core-Dateien
• Schadcode in Themes und Plugins
• versteckte Must-use Plugins
• unbekannte WordPress-Administratoren
• schädliche Datenbankeinträge
• manipulierte Cronjobs
• Änderungen an .htaccess, php.ini oder .user.ini
• PHP-Dateien im Upload-Verzeichnis

Wird lediglich die zuerst gefundene Datei gelöscht, kann eine zweite Backdoor den Schadcode erneut installieren. Eine gehackte WordPress-Website muss deshalb systematisch untersucht und vollständig bereinigt werden.

So entfernen wir den WP2Shell Hack

1. Schadcode und verdächtige Dateien identifizieren

Zunächst prüfen wir die WordPress-Installation auf unbekannte oder veränderte Dateien. Dabei untersuchen wir insbesondere:

• das WordPress-Hauptverzeichnis
• wp-admin
• wp-includes
• installierte Plugins und Themes
• wp-content/mu-plugins
• das Upload-Verzeichnis
• Cache- und temporäre Verzeichnisse
• Konfigurationsdateien des Servers

Verdächtiger Code ist häufig verschlüsselt oder stark verschleiert. Typische Techniken sind Base64-Kodierung, komprimierte PHP-Payloads, dynamisch zusammengesetzte Funktionsnamen und die Ausführung entschlüsselten Codes über eval().

2. Webshells und Backdoors entfernen

Gefundene Webshells, Loader und weitere Backdoors werden aus der WordPress-Installation entfernt. Dabei achten wir darauf, nicht nur offensichtliche Schadsoftware zu löschen, sondern auch zusätzliche Dateien zu finden, über die der Angreifer erneut Zugriff erhalten könnte.

3. WordPress-Core kontrollieren und ersetzen

Manipulierte WordPress-Core-Dateien lassen sich nicht immer zuverlässig von Hand reparieren. Deshalb vergleichen oder ersetzen wir die betroffenen Dateien durch saubere Originaldateien der passenden WordPress-Version.

Dabei bleiben individuelle Inhalte wie Themes, Plugins, Uploads und die Konfiguration zunächst separat erhalten und werden gezielt geprüft.

4. .htaccess, wp-config.php und PHP-Konfiguration prüfen

Bestimmte Dateien können Schadcode automatisch laden oder den Zugriff auf die Website blockieren. Wir prüfen deshalb unter anderem:

.htaccess
wp-config.php
php.ini
.user.ini
index.php

Manipulierte Weiterleitungen, automatisch eingebundene PHP-Dateien und unbekannte Serverregeln werden entfernt.

5. WordPress-Datenbank untersuchen

Auch nach der Bereinigung der Dateien können sich schädliche Einträge in der Datenbank befinden. Wir kontrollieren unter anderem:

• alle WordPress-Benutzer
• Administratorrechte und Benutzerrollen
• aktive Plugins
• geplante WordPress-Aufgaben
• verdächtige Optionen
• injizierten JavaScript- oder HTML-Code
• manipulierte Elementor-Inhalte
• unbekannte Weiterleitungen

Fremde Administratoren und schädliche Datenbankeinträge werden entfernt.

6. Plugins und Themes überprüfen

Veraltete oder unsichere Plugins und Themes sind ein häufiger Ausgangspunkt für WordPress-Angriffe. Wir prüfen die vorhandenen Erweiterungen und entfernen:

• unbekannte Plugins
• nicht mehr benötigte Erweiterungen
• manipulierte Plugin-Dateien
• unsichere oder veraltete Versionen
• Themes und Plugins aus nicht vertrauenswürdigen Quellen

Anschließend werden benötigte Komponenten aus offiziellen oder verifizierten Quellen neu installiert beziehungsweise aktualisiert.

7. Zugangsdaten und Sicherheitsschlüssel erneuern

Nach der technischen Bereinigung müssen alle möglicherweise kompromittierten Zugänge geändert werden. Das betrifft je nach Installation:

• WordPress-Administratoren
• Hosting-Zugang
• FTP- und SFTP-Zugänge
• Datenbankpasswort
• E-Mail- und SMTP-Zugänge
• API-Schlüssel
• CDN- und Cloudflare-Zugänge
• WordPress-Sicherheitsschlüssel

Dadurch wird verhindert, dass bereits gestohlene Zugangsdaten weiterhin verwendet werden können.

8. Website abschließend testen

Zum Abschluss kontrollieren wir, ob:

• die Website wieder vollständig erreichbar ist
• das WordPress-Backend funktioniert
• keine verdächtigen Weiterleitungen mehr auftreten
• Formulare und Shop-Funktionen arbeiten
• Elementor-Inhalte korrekt geladen werden
• keine unbekannten Administratoren vorhanden sind
• der Schadcode nach dem Löschen erneut erscheint

Bei WooCommerce-Websites prüfen wir zusätzlich zentrale Shop-Funktionen wie Warenkorb, Checkout und Kundenkonto.

Wie schnell kann eine gehackte Website wieder erreichbar sein?

Die Dauer hängt vom Umfang der Infektion und vom verfügbaren Zugriff ab. Kleinere Infektionen lassen sich häufig kurzfristig eingrenzen und beheben. Bei mehreren Backdoors, manipulierten Plugins oder schädlichen Datenbankeinträgen ist eine umfangreichere Bereinigung notwendig.

Auch wenn nur ein WebFTP-Zugang und phpMyAdmin verfügbar sind, können wir viele WordPress-Infektionen untersuchen und beheben. Ein vollständiger Hosting-, SSH- oder SFTP-Zugang erleichtert die Analyse, ist aber nicht in jedem Fall zwingend erforderlich.

Wichtig ist, nach der Entdeckung nicht wahllos Dateien zu löschen. Ohne vorherige Prüfung können Inhalte verloren gehen, während versteckte Backdoors auf dem Server verbleiben.

Können Inhalte und Elementor-Seiten erhalten bleiben?

In den meisten Fällen ja. Ziel unserer Arbeit ist es, die WordPress-Installation zu bereinigen, ohne Seiten, Beiträge, Produkte oder Elementor-Layouts unnötig zu verändern.

Wir trennen dabei zwischen:

• sauberen Website-Inhalten
• legitimen individuellen Anpassungen
• veränderten WordPress-Core-Dateien
• schädlichen PHP-Dateien
• manipulierten Datenbankeinträgen

Ein kompletter Neuaufbau ist deshalb nicht automatisch erforderlich. Ob die vorhandene Installation sicher bereinigt werden kann, entscheiden wir nach einer ersten Prüfung.

Was muss nach der Bereinigung verbessert werden?

Die Entfernung der Malware behebt zunächst die aktuelle Infektion. Zusätzlich muss die ursprüngliche Sicherheitslücke geschlossen werden, damit die Website nicht erneut kompromittiert wird.

Je nach Ursache gehören dazu:

• WordPress, Plugins und Themes aktualisieren
• nicht benötigte Erweiterungen entfernen
• unsichere Administratorzugänge löschen
• starke, individuelle Passwörter verwenden
• Zwei-Faktor-Authentifizierung einrichten
• regelmäßige externe Backups erstellen
• Dateibearbeitung über das WordPress-Backend deaktivieren
• Login-Versuche begrenzen
• Sicherheits- und Änderungsprotokolle aktivieren
• Hosting-Account und weitere Websites kontrollieren

Befinden sich mehrere Websites im selben Hosting-Paket, sollten diese ebenfalls überprüft werden. Eine infizierte Installation kann unter Umständen weitere Websites innerhalb desselben Accounts kompromittieren.

Ihre WordPress-Website zeigt „Access Denied“?

Wenn Ihre WordPress- oder WooCommerce-Website gehackt wurde, zählt eine schnelle und strukturierte Vorgehensweise. Wir analysieren die Installation, entfernen Webshells und Backdoors, prüfen die Datenbank und stellen die Erreichbarkeit Ihrer Website wieder her.

Sie erhalten Unterstützung bei:

• der Analyse verdächtiger WordPress-Dateien
• der Entfernung des WP2Shell Hacks
• der Bereinigung von Webshells und Malware
• der Wiederherstellung einer blockierten Website
• der Kontrolle unbekannter Administratoren
• der Prüfung von WordPress, Elementor und WooCommerce
• der Absicherung gegen einen erneuten Angriff

Jetzt schnelle Hilfe anfordern

Ihre Website zeigt „Access Denied“, leitet Besucher um oder enthält unbekannte PHP-Dateien?

Kontaktieren Sie uns und senden Sie uns eine kurze Beschreibung des Problems. Wenn möglich, teilen Sie uns außerdem mit, seit wann der Fehler auftritt, welcher Hosting-Anbieter verwendet wird und welche Zugänge verfügbar sind.

Wir prüfen den Vorfall und besprechen mit Ihnen die nächsten Schritte zur schnellen Bereinigung Ihrer WordPress-Website.

👉 Jetzt unverbindliche Anfrage senden