![[NEU] Duplicator DB Optimizer: Bereinigen Sie Ihre WordPress-Datenbank, bevor sie zu einem Problem wird](https://duplicator.com/wp-content/uploads/2026/06/Announcement-DB-Optimizer.jpg)
4 WordPress Malware-Entfernungs-Plugins, die infizierte Dateien bereinigen (nicht nur markieren)
Joella Dunn
Joella Dunn
John Turner
John Turner
Ihre Website ist bei einer Google Safe Browsing-Prüfung durchgefallen. Oder ein Kunde hat einen Screenshot der Warnung „Diese Website wurde möglicherweise gehackt“ per E-Mail gesendet und gefragt, was passiert sei.
Zu diesem Zeitpunkt haben Sie zwei Möglichkeiten. Räumen Sie es selbst auf oder bezahlen Sie jemanden, der davon lebt.
Die Entfernung von WordPress-Malware deckt einen größeren Bereich ab, als die meisten Leute erwarten. Einige Plugins erkennen eine Infektion und hören dort auf, die Bereinigung bleibt Ihnen überlassen.
Andere entfernen sie automatisch. Einige lagern die Bereinigung an ein echtes menschliches Sicherheitsteam aus.
Nichts davon spielt eine Rolle, wenn die Bereinigung selbst Ihre Website lahmlegt.
Dieser Beitrag behandelt die besten Plugins zur Entfernung von WordPress-Malware (und den einen Schritt, den die meisten Anleitungen überspringen, bevor Sie eines davon anfassen).
Hier sind die wichtigsten Erkenntnisse:
- Machen Sie das zuerst, jedes Mal: Duplicator sichert Ihre Website, bevor ein Scan oder eine Bereinigung durchgeführt wird. Wenn Sie ein Backup von vor der Infektion haben, entfernt die Wiederherstellung die Malware in einem Schritt, kein Scannen erforderlich.
- Am besten insgesamt für die tatsächliche Entfernung: MalCares Auto-Clean entfernt Malware mit einem Klick, ohne dass Sie eine einzige Datei bearbeiten müssen.
- Bester kostenloser Scanner mit Firewall: Wordfence schützt über 3 Millionen Websites und enthält in seiner kostenlosen Version einen funktionierenden Scanner.
- Am besten für eine menschliche Note: Sucuri bietet bei jedem kostenpflichtigen Plan unbegrenzte manuelle Bereinigungen durch sein eigenes Sicherheitsteam sowie Firewall- und Härtungseinstellungen, sobald Sie bereinigt sind.
Inhaltsverzeichnis
Kann ein Plugin tatsächlich Malware entfernen oder nur erkennen?
Die meisten kostenlosen Sicherheits-Plugins erkennen Malware. Weniger entfernen sie tatsächlich.
Erkennung bedeutet, dass das Plugin eine verdächtige Datei oder Datenbankeintrag markiert und Ihnen sagt, wo sie sich befindet. Entfernung bedeutet, dass es den infizierten Code selbst löscht oder repariert, ohne dass Sie einen Dateimanager öffnen müssen.
Wordfence's kostenlose Version erkennt. MalCares kostenpflichtige Version entfernt Malware automatisch. Sucuri tut beides, verlässt sich aber auf ein menschliches Team für alles, was sein Scanner nicht selbst beheben kann.
Entscheiden Sie, was Sie wirklich brauchen, bevor Sie etwas installieren.
Wenn Sie mit dem Lesen von PHP vertraut sind, können Sie mit einem reinen Erkennungs-Scanner und etwas Geduld dorthin gelangen. Wenn Sie möchten, dass die Infektion verschwindet, ohne Code anzufassen, benötigen Sie eine automatisierte oder menschlich unterstützte Bereinigung.
So oder so, sichern Sie zuerst.
Was scannt ein Malware-Entfernungs-Plugin?
Ein gründliches Malware-Entfernungs-Plugin prüft vier Bereiche:
- Core-WordPress-Dateien
- Plugin- und Theme-Dateien
- Die Datenbank
- Die .htaccess-Datei
Malware kann sich in all diesen Bereichen verstecken.
Datenbankinfektionen sind die, die die meisten Scanner übersehen. Ich habe Spam-Links gesehen, die leise im Beitragsinhalt sitzen, bösartige Weiterleitungen, die in Widget-Einstellungen versteckt sind, und bösartige Admin-Konten, die direkt in der wp_users-Tabelle erstellt wurden, ohne dass eine Datei markiert wird.
Die besten Plugins zur Entfernung von WordPress-Malware
Hier ist ein genauerer Blick auf unsere bevorzugten Malware-Entfernungs-Plugins:
- Duplicator: Automatisiert vollständige Backups Ihrer Website und Datenbank, bevor sich etwas ändert, mit einer Wiederherstellungsoption, die Malware mit einem Schritt beseitigt (wenn sie vor der Infektion vorhanden war).
- MalCare: Automatisiert die Malware-Entfernung mit einem Klick und scannt Ihre Dateien und Datenbank von seinen eigenen Servern aus.
- Wordfence: Eine kostenlose Scanner- und Firewall-Kombination, die auf über 5 Millionen Websites verwendet wird.
- Sucuri: Unbegrenzte manuelle Malware-Bereinigung durch ein engagiertes Sicherheitsteam, plus Firewall und Härtungseinstellungen, sobald Sie bereinigt sind.
1. Duplicator: Am besten für Backups vor der Bereinigung
Jede Option auf dieser Liste ändert Ihre Dateien oder Datenbank, sobald sie etwas findet. Duplicator ist der Schritt, der diese Änderungen rückgängig machbar macht.
Duplicator erstellt ein vollständiges Backup Ihrer WordPress-Website und Datenbank. Sie können Ihre Daten auf Ihrem Server oder extern mit Duplicator Cloud, Google Drive, Dropbox und anderen Cloud-Speicherorten speichern.
Der Vorteil zeigt sich in dem Moment, in dem etwas schiefgeht.
Ich habe ein Malware-Entfernungs-Skript gesehen, das eine Datei gelöscht hat, von der das Theme abhing, und die Homepage damit lahmgelegt hat. Ein fünf Minuten zuvor erstelltes Backup machte daraus eine Wiederherstellung in zwei Minuten statt eines Neuaufbaus.
Außerdem kann Duplicator Malware-Entfernungs-Plugins überflüssig machen. Wenn Sie ungefähr wissen, wann die Website infiziert wurde, und Sie ein Backup von vor diesem Datum haben, beseitigt die Wiederherstellung die Malware vollständig.
Sie überspringen den Scan- und Bereinigungsprozess komplett!
Im Gegensatz zu anderen Backup-/Wiederherstellungs-Plugins kann Duplicator Ihre Website wiederherstellen, auch wenn WordPress selbst nicht mehr funktioniert.
Geraten Sie nicht in Panik, wenn Sie sich nicht anmelden können. Laden Sie einfach Ihre Backup-Dateien erneut in das Stammverzeichnis Ihrer Website hoch und starten Sie das Installationsprogramm.
Nach der Wiederherstellung ist die Schwachstelle, die die Malware ursprünglich eingeschleust hat, jedoch immer noch offen. Stellen Sie ein sauberes Backup wieder her, um Ihre Website wieder zum Laufen zu bringen, und härten Sie dann die Sicherheit Ihrer Website, um sicherzustellen, dass dies nicht wieder vorkommt.
Aktualisieren Sie die Plugin-, Theme- oder WordPress-Core-Version, die es durchgelassen hat. Ändern Sie alle exponierten Passwörter, bevor die Website wieder online geht. Andernfalls stellen Sie nur eine saubere Website in dieselbe offene Tür wieder her.
Was uns gefallen hat:
- Die URL für die Notfallwiederherstellung stellt eine Website wieder her, auch wenn wp-admin nicht geladen wird, was der Zustand ist, in dem Sie sich bei einer aktiven Infektion befinden.
- Die Wiederherstellung eines Backups vor der Infektion entfernt Malware vollständig, ohne jede infizierte Datei von Hand identifizieren zu müssen.
- Ein-Klick-Wiederherstellung direkt aus dem Cloud-Speicher; kein erneutes Hochladen eines Multi-Gigabyte-Archivs über FTP.
- Elite-Pläne beinhalten ein Aktivitätsprotokoll, das nach einer Infektion verwendet werden kann, um das genaue Admin-Konto und die Datei zu verfolgen, die zuerst geändert wurde.
- Kostenlose Version deckt grundlegende Backups ab, genug, um die Gewohnheit aufzubauen, bevor Sie sie jemals brauchen.
Was uns nicht gefallen hat:
- Die Wiederherstellung eines alten Backups funktioniert nur, wenn es vor der Infektion liegt. Wenn die Malware wochenlang unentdeckt blieb, ist Ihr aktuellstes sauberes Backup möglicherweise älter als Sie möchten.
- Er erkennt oder entfernt Malware nicht von einer Live-, aktuell infizierten Website von selbst. Kombinieren Sie ihn für diesen Zweck mit einem der unten aufgeführten Scanner oder stellen Sie auf einen Zustand vor der Infektion wieder her und schließen Sie das Loch sofort danach.
Warum wir Duplicator gewählt haben: Die Bereinigung von Malware kann leise schiefgehen, und die Wiederherstellung eines sauberen Backups ist oft schneller als das Scannen von Datei zu Datei. Die Disaster-Recovery-URL von Duplicator kann eine Website wiederherstellen, selbst wenn WordPress selbst nicht mehr lädt, was kein anderes Tool auf dieser Liste für Sie leistet.
Duplicator Preise: Es gibt eine kostenlose Version für manuelle Backups. Duplicator Pro-Pläne beginnen bei 69,30 $/Jahr.
2. MalCare: Am besten für die automatisierte Ein-Klick-Entfernung
MalCare scannt Ihre Website von seinen eigenen Servern aus und nicht von Ihren, sodass ein vollständiger Scan Ihre Seiten nicht verlangsamt. Wenn es eine Infektion findet, entfernt Auto-Clean diese mit einem Klick.
Wir haben es gegen eine Testseite ausgeführt, die von Google Safe Browsing wegen injizierter Spam-Seiten markiert wurde. Der Scan war innerhalb weniger Minuten abgeschlossen, und Auto-Clean erledigte die Entfernung, ohne dass wir einen Dateimanager öffnen mussten.
Das ist hier der Reiz. Die meisten Scanner übergeben Ihnen einen Bericht und eine Entscheidung. MalCare übergibt Ihnen eine reparierte Website.
Was uns gefallen hat:
- Keine Leistungseinbußen, da das Scannen auf der Infrastruktur von MalCare und nicht auf Ihrer stattfindet
- Unbegrenzter Experten-Support für Infektionen, die das automatisierte Tool nicht beheben kann
- Zentrales Dashboard zur Verwaltung von Scans über mehrere Websites hinweg; nützlich, wenn Sie nicht nur eine Installation bereinigen
- Kostenloser Malware-Scanner, Firewall und laufende Sicherheitsüberprüfungen alle 7 Tage
Was uns nicht gefallen hat:
- Automatisierte Bereinigung ist eine kostenpflichtige Funktion. Die kostenlose Version scannt und berichtet, bereinigt aber nichts, bis Sie ein Upgrade durchführen.
- Bezahlte Pläne beginnen bei 99 $/Website/Jahr, was sich bei einer Agentur-Kundenliste schnell summiert
Warum wir MalCare gewählt haben: Nichts anderes auf dieser Liste macht die automatisierte Entfernung so einfach. Der Scan läuft außerhalb des Servers, und die Bereinigung ist eine echte Ein-Klick-Aktion.
MalCare Preise: Kostenlos zum Scannen. Bezahlte Pläne mit Auto-Clean beginnen bei 179 $/Jahr.
3. Wordfence: Am besten für kostenlosen Scanner und Firewall
Wordfence führt seinen Scanner und seine Firewall direkt auf Ihrem Server aus, was eine tiefere Einsicht in Dateiänderungen ermöglicht, aber mehr Ressourcen verbraucht als Cloud-basierte Tools.
Über 5 Millionen Websites nutzen es, und seine kostenlose Version enthält einen funktionierenden Malware-Scanner, den die meisten Konkurrenten für bezahlte Pläne reservieren. Wir haben einen vollständigen Scan auf einer mittelgroßen Testwebsite durchgeführt und einen umsetzbaren Bericht erhalten, ohne eine Kartennummer eingeben zu müssen.
Was uns gefallen hat:
- Kostenlose Version enthält einen Malware-Scanner, nicht nur eine Firewall
- Live-Traffic-Ansicht
- Die massive Installationsbasis hält die Bedrohungssignaturdatenbank ständig auf dem neuesten Stand
- Länderspezifisches Blockieren in der Premium-Version ist eine schnelle Möglichkeit, den Traffic zu reduzieren, wenn Sie nicht global tätig sind
Was uns nicht gefallen hat:
- Scans laufen auf Ihrem eigenen Server, sodass größere Websites die Last spüren
- Die kostenlose Version erkennt Malware, entfernt sie aber nicht. Sie bearbeiten die Dateien selbst oder zahlen für die Bereinigung.
- Der professionelle Bereinigungsservice kostet etwa 590 $ pro Website, wenn Sie es lieber nicht selbst beheben möchten
Warum wir Wordfence gewählt haben: Es ist das Plugin, das die meisten WordPress-Benutzer bereits in ihrer Historie installiert haben. Die kostenlose Version ist keine abgespeckte Demo, und der dahinterstehende Scanner ist echt.
Wordfence Preise: Kostenlos für Scans und eine grundlegende Firewall. Premium beginnt bei 149 $/Jahr, aber der Bereinigungsservice kostet etwa 590 $/Jahr.
4. Sucuri: Am besten für manuellen Bereinigungsservice
Sucuri baute seinen Ruf auf Bereinigung, nicht nur auf Erkennung. Jeder bezahlte Plan beinhaltet unbegrenzte manuelle Malware-Entfernung durch Sucuris eigenes Sicherheitsteam.
Sobald Ihre Website bereinigt ist, haben Sie einfache Möglichkeiten, Ihre Website vor zukünftigen Angriffen zu schützen. Sucuri bietet eine Firewall, Zwei-Faktor-Authentifizierung und eine vollständige Reihe von Härtungsstandards.
Was uns gefallen hat:
- Unbegrenzte manuelle Malware-Bereinigung in jedem bezahlten Tarif enthalten; keine Gebühren pro Vorfall zusätzlich
- Web Application Firewall in bezahlten Tarifen
- Der Bericht nach der Bereinigung listet klar auf, was gefunden und entfernt wurde, nützlich, um einem Kunden zu erklären, was passiert ist
Was uns nicht gefallen hat:
- Teuerster Eintrag auf dieser Liste: Basic kostet 229 $/Jahr
- Das kostenlose Plugin allein bereinigt nichts. Der Bereinigungsservice erfordert einen bezahlten Plan
Warum wir Sucuri gewählt haben: Der unbegrenzte Bereinigungsservice ist der eigentliche Unterschied. Wenn der Scanner etwas übersieht, schaut eine echte Person auf Ihre Website und behebt es.
Sucuri Preise: Kostenlos zum Scannen mit SiteCheck. Bezahlte Pläne mit unbegrenzter Bereinigung beginnen bei 229 $/Jahr.
Häufig gestellte Fragen (FAQs)
Was ist das beste Plugin zur Entfernung von WordPress-Malware?
MalCare ist die stärkste Wahl für die aktive Bereinigung, da die Auto-Clean-Funktion Infektionen mit einem Klick entfernt, ohne manuellen Dateizugriff. Wordfence ist die bessere kostenlose Option, wenn Sie damit einverstanden sind, markierten Code selbst zu entfernen, und Sucuri passt für Besitzer, die ein menschliches Sicherheitsteam involviert haben möchten. Sichern Sie mit Duplicator, bevor Sie eines davon ausführen.
Kann ein WordPress-Plugin tatsächlich Malware entfernen oder nur erkennen?
Beides, je nach Plugin und Plan. Kostenlose Versionen der meisten Plugins erkennen und markieren Infektionen, überlassen die Entfernung aber Ihnen. Bezahlte Versionen von MalCare, Sucuri und Malcure fügen automatisierte oder menschlich unterstützte Bereinigung hinzu, was das Merkmal ist, auf das Sie achten sollten, bevor Sie davon ausgehen, dass ein Plugin etwas repariert.
Bricht das Entfernen von Malware meine WordPress-Website?
Das kann es. Das Löschen einer infizierten Datei, die auch tragend für ein Theme ist, oder das Quarantänisieren der falschen Datenbankzeile kann eine Website komplett lahmlegen. Sichern Sie Ihre Website, bevor Sie eine Bereinigung durchführen, und halten Sie eine Wiederherstellungsoption bereit, falls die Reparatur mehr Schaden verursacht als die Infektion.
Wie viel kostet die professionelle Entfernung von WordPress-Malware?
Das variiert je nach Anbieter. Wordfence's manueller Bereinigungsservice kostet etwa 590 $ pro Website. Sucuri beinhaltet unbegrenzte manuelle Bereinigung ab 229,99 $/Jahr. MalCare bündelt automatisierte Bereinigung in bezahlte Pläne ab 179 $/Website/Jahr.
Brauche ich ein Sicherheit plugin, wenn mein Hoster bereits nach Malware scannt?
Die meisten Hoster scannen auf Serverebene, was einige Infektionen erfasst, aber keine malware auf Datenbankebene oder in Inhalten, die sich in Ihren Beiträgen oder Widgets versteckt. Ein dediziertes Plugin fügt eine zweite Ebene hinzu, die prüft, was der Scan Ihres Hosters normalerweise übersieht.
Sollte ich meine Website sichern, bevor ich Malware entferne?
Ja, und es lohnt sich zu prüfen, ob ein älteres Backup vor der Infektion liegt. Wenn ja, kann die Wiederherstellung es in einem Schritt entfernen, schneller als das Scannen und Bereinigen von Datei zu Datei. Aktualisieren Sie einfach das Plugin, das Theme oder die Core-Version, die die Infektion zugelassen hat, bevor Sie die Website wieder online schalten, sonst werden Sie auf die gleiche Weise wieder infiziert. Die Notfallwiederherstellungs-URL von Duplicator deckt auch den Fall ab, dass Sie aus wp-admin ausgesperrt sind und nichts wiederherstellen können.
Welches Malware-Entfernungs-Plugin ist das richtige für Sie?
Wenn Sie eine automatische Bereinigung wünschen, erledigt MalCare dies mit einem Klick. Wenn Sie es lieber kostenlos halten und die markierten Dateien selbst bearbeiten möchten, bringt Sie Wordfence dorthin. Wenn Sie ein menschliches Team in Bereitschaft haben möchten, ist der unbegrenzte Bereinigungsservice von Sucuri dafür ausgelegt.
Überprüfen Sie vorher Ihre Backups. Wenn Sie eines von vor Beginn der Infektion haben, kann die Wiederherstellung schneller sein als das Scannen und Bereinigen von Datei zu Datei. Es löscht die Malware in einem Schritt, anstatt jede infizierte Datei von Hand zu jagen.
Patchen Sie einfach, was auch immer die Malware eingeschleust hat (ein veraltetes Plugin, ein schwaches Passwort, ein ungepatchtes Theme), bevor die Website wieder online geht. Stellen Sie sie in die gleiche offene Tür wieder her, und Sie werden diesen Monat wieder damit beschäftigt sein, sie zu bereinigen.
Die kostenlose Version von Duplicator erledigt die Grundlagen, und es lohnt sich, sie zu installieren, bevor Sie sie jemals brauchen. Wenn Sie schnelle Wiederherstellungen mit einem Klick und eine Notfallwiederherstellung wünschen, die auch ohne laufendes WordPress funktioniert, aktualisieren Sie auf Duplicator Pro.
Während Sie hier sind, denke ich, dass Ihnen diese anderen Sicherheitsleitfäden gefallen werden:
- So bereinigen Sie eine WordPress-Website
- Was tun, wenn Sie aus WordPress ausgesperrt sind
- So stellen Sie eine gehackte WordPress-Site wieder her
- 22 häufigste WordPress-Fehler (und einige schnelle Lösungen)
- Ihre WordPress-Site könnte morgen verschwinden (es sei denn, Sie tun dies)
