Kurz gesagt: Warnt Google, Ihr Browser, Ihr Hoster oder ein Kunde vor Ihrer Website, läuft sehr wahrscheinlich fremder Code auf Ihrem Server. Sind Sie betroffen, melden Sie sich jetzt. Wir klären remote, was ausgeliefert wird, sichern die Spuren, entfernen den Schadcode, schließen den Zugang und begleiten Sie bis zur erneuten Freigabe.
Jetzt nichts löschen und nichts neu aufsetzen. Setzen Sie die Seite bei Bedarf in den Wartungsmodus, damit Besucher geschützt sind, und lassen Sie Dateien und Logs unverändert. Notfall melden und wir übernehmen ab der ersten Nachricht.
Sind Sie betroffen? So zeigt sich eine Website, die Malware verbreitet
Eine Website, die Schadsoftware oder Spam verbreitet, fällt selten durch einen sichtbaren Defekt auf. Meist melden sich zuerst andere. Typische Hinweise:
- Der Browser blendet vor Ihrer Domain eine rote Warnseite ein, etwa „Deceptive site ahead“ oder eine Meldung über schädliche Software.
- In der Google Search Console steht eine Sicherheitsmeldung, oder Ihre Seite erscheint in den Suchergebnissen mit dem Zusatz „Diese Website kann Ihren Computer beschädigen“.
- Besucher berichten von Pop-ups, unerwarteten Weiterleitungen oder Downloads, die nur auf Mobilgeräten oder nur nach einem Klick aus der Suche auftreten.
- Ihre Suchergebnisse zeigen Seiten, die Sie nie angelegt haben, zum Beispiel Werbung für Medikamente oder Glücksspiel in fremder Sprache.
- Ihr Hoster schreibt wegen Missbrauchs, Spamversand oder auffälliger ausgehender Verbindungen.
- Mails Ihrer Firma landen beim Empfänger im Spam, oder es kommen auffällig viele Zustellfehler zurück.
- Ihr Virenscanner meldet nichts, die Beschwerden hören trotzdem nicht auf.
Mehrere dieser Punkte zusammen sprechen stark für eine Kompromittierung. Ein einzelner Hinweis kann auch eine harmlose Ursache haben. Prüfen lassen sollten Sie es trotzdem, denn jeder Tag mit Warnseite kostet Besucher, Anfragen und Vertrauen.
Was Sie jetzt sofort tun
- Besucher schützen: Schalten Sie die Website in den Wartungsmodus oder lassen Sie sie vom Hoster vorübergehend sperren, wenn Schadcode aktiv ausgeliefert wird.
- Nichts löschen: Keine Dateien entfernen, kein Backup zurückspielen, keine Neuinstallation über den alten Stand, bevor gesichert wurde.
- Logs bewahren: Bitten Sie Ihren Hoster, Zugriffs- und Fehlerprotokolle nicht zu überschreiben.
- Meldungen sammeln: Machen Sie Bildschirmfotos der Warnungen, notieren Sie Datum, Uhrzeit und betroffene Adressen.
- Zugänge benennen: Wer hat Zugriff über CMS, FTP, SSH oder Hosting-Panel? Passwörter ändern Sie erst nach Absprache und nur von einem sauberen Gerät.
- Intern informieren: Geschäftsführung, Datenschutzbeauftragte und bei bestehender Police der Versicherer sollten Bescheid wissen.
- Antrag bei Google noch nicht stellen: Eine Überprüfung bringt erst nach der Bereinigung etwas.
Wie hilft PHP SOS konkret?
- Lage aufnehmen: Wir klären, welche Warnungen vorliegen, seit wann, und welche Systeme und Daten betroffen sein können.
- Sichern und schließen: Wir sichern Dateien, Datenbank und Logs, bevor etwas verändert wird. Danach sperren wir verdächtige Zugänge und stoppen die Auslieferung des Schadcodes.
- Prüfen und bereinigen: Wir vergleichen die Dateien mit einem sauberen Stand, suchen Webshells, Hintertüren und Einträge in der Datenbank und entfernen sie. Mehr dazu unter Malware und Webshells entfernen lassen.
- Härten und berichten: Wir schließen die Einfallstür, prüfen den PHP-Stand und dokumentieren den Vorfall. Wir begleiten Sie bei der Aufhebung von Sperren und Warnungen.
Wir arbeiten remote, ohne Anfahrt, in ganz Deutschland und Europa.
Warum die Warnung oft zurückkommt
Wer nur sichtbare Spuren beseitigt, behandelt das Symptom. Angreifer legen meist mehrere Zugänge an: eine versteckte PHP-Datei in einem Upload-Ordner, ein manipuliertes Plugin, einen zusätzlichen Admin-Account oder einen geplanten Cronjob, der gelöschte Dateien nachlädt. Räumen Sie nur die Seite auf, die der Browser zeigt, ist wenige Tage später derselbe Schadcode wieder da.
Hinzu kommt, dass viele Schädlinge ihr Verhalten tarnen. Sie liefern Schadcode nur an Besucher aus, die über eine Suchmaschine kommen, oder nur an Mobilgeräte. Der Inhaber ruft die Seite direkt auf und sieht nichts. Wie solche Umleitungen entstehen, beschreibt der Beitrag Website leitet auf fremde Seiten um, und warum Scanner dabei an Grenzen stoßen, steht unter Grenzen von Malware-Scannern.
Google-Warnung und Spam im Suchindex
Hat Google Ihre Seite als gefährlich markiert, läuft die Aufhebung über die Search Console. Dort beantragen Sie eine Überprüfung, sobald der Server nachweislich sauber ist. Welche Schritte dafür sinnvoll sind, erklärt der Ratgeber Google-Warnung entfernen. Haben Angreifer zusätzlich Spam-Seiten in Ihrem Namen erzeugt, gehört deren Entfernung aus dem Index dazu; Hinweise finden Sie in SEO-Spam im Google-Index.
Verschickt Ihr Server Spam, ist meist ein Formular, ein Skript oder ein Mail-Konto missbraucht worden. Dann lohnt der Blick auf Server verschickt Spam, denn der Ruf Ihrer Domain und Ihrer IP-Adresse leidet mit jeder weiteren Mail.
Wie sich Webshells zeigen, lesen Sie unter Webshell erkennen. Seit PHP2Shell kommt eine zusätzliche Frage hinzu: Ein Update schließt die Lücke, entfernt aber keine Schadsoftware, die schon da ist. Das gilt laut BSI-Lage und Fachpresse gleichermaßen.
Was Sie uns schicken sollten
- die Meldungen im Wortlaut oder als Bildschirmfoto, mit Datum
- die betroffenen Adressen und, falls bekannt, Zugangswege (Hosting-Panel, SSH, CMS)
- Namen von Agentur, Entwicklern und Hoster, die das System kennen
- Hinweise, was zuletzt geändert wurde: Updates, neue Plugins, neue Mitarbeiter mit Zugriff
- Angaben zu Backups und deren Alter
- eine Person mit Entscheidungsbefugnis, die erreichbar ist
Unvollständige Angaben sind kein Hindernis. Wir fragen nach, was fehlt.
Warum PHP SOS
Wir sind ein Dienstleister Made in Germany und seit über 25 Jahren mit unserem Partnernetzwerk aus Cyber-Profis auf IT-Sicherheit spezialisiert. Sie haben einen festen Ansprechpartner, wir arbeiten remote und dokumentieren jeden Schritt, sodass Sie gegenüber Hoster, Versicherer und Kunden Belege in der Hand haben. Wir versprechen nichts, was niemand halten kann, und sagen offen, was belegt, wahrscheinlich oder unbekannt ist. Rechtsberatung leisten wir nicht; Fragen zu Haftung und Meldepflichten gehören zu Datenschutzbeauftragten und Anwalt.
Sind Sie betroffen? Rufen Sie an. Wir helfen.
Wenn Ihre Website Besucher warnt, Schadcode ausliefert oder Spam versendet, zählt jeder Tag, an dem sie so im Netz steht. Melden Sie sich jetzt: Rufen Sie an oder schreiben Sie per WhatsApp. Wir übernehmen ab der ersten Nachricht und bleiben dabei, bis der Vorfall abgeschlossen und dokumentiert ist. Jetzt Notfall melden
Häufige Fragen
Warum zeigt der Browser eine Warnung vor meiner Website?
Browser greifen auf Listen bekannter gefährlicher Seiten zurück. Wird Ihre Domain dort geführt, blockiert der Browser den Aufruf mit einer roten Warnseite. Meist steckt fremder Code auf dem Server dahinter, der Besucher umleitet oder Schadsoftware nachlädt.
Reicht es, die Warnung bei Google als erledigt zu melden?
Nein. Eine Überprüfung bei Google bringt nur etwas, wenn der Schadcode vorher vollständig entfernt und die Einfallstür geschlossen wurde. Sonst erscheint die Warnung kurz darauf erneut, und ein abgelehnter Antrag kostet Zeit.
Mein Virenscanner findet nichts, die Warnung bleibt trotzdem. Woran liegt das?
Scanner erkennen vor allem bekannte Muster. Schadcode, der nur bei bestimmten Besuchern, Suchmaschinen oder Geräten ausgeliefert wird, bleibt häufig unentdeckt. Dann hilft nur ein Abgleich der Dateien mit einem sauberen Stand und die Auswertung der Logs.
Warum landen Mails meiner Firma plötzlich im Spam-Ordner?
Wenn Ihr Server oder Ihr Konto zum Versand von Spam missbraucht wurde, sinkt der Ruf Ihrer Domain und Ihrer IP-Adresse. Empfänger-Server stufen Ihre Mails dann als verdächtig ein. Erst nach der Bereinigung lässt sich der Ruf wieder aufbauen.
Kann ich meine Website einfach offline nehmen?
Ja, und bei aktiver Schadcode-Auslieferung ist das oft sinnvoll, um Besucher zu schützen. Löschen Sie dabei aber nichts. Logs und Dateien zeigen, wie der Angreifer hineingekommen ist.