Was ist Malware?
Malware setzt sich aus „malicious software“ zusammen, auf Deutsch Schadsoftware. Google beschreibt sie als Software, die eigens gebaut wurde, um Geräten, deren Programmen oder Nutzern zu schaden. Das Bundesamt für Sicherheit in der Informationstechnik (BSI) fasst darunter alle bekannten Typen zusammen:
Typ
Was er macht
Virus
hängt sich an Dateien und verbreitet sich mit ihnen
Wurm
verbreitet sich selbst im Netzwerk
Trojaner
versteckt sich in scheinbar nützlicher Software
Ransomware
sperrt Daten und verlangt Lösegeld
Spyware
spioniert Eingaben und Daten aus
Adware
blendet ungewollte Werbung ein
Moderne Malware kann laut BSI oft mehreres zugleich und lässt sich kaum einer einzigen Schublade zuordnen.
Wie groß das Problem ist
Laut BSI-Lagebericht 2025 entstanden zwischen Juli 2024 und Juni 2025 jeden Tag rund 280.000 neue Schadprogramm-Varianten. Täglich wurden 119 neue Sicherheitslücken bekannt, rund 24 % mehr als im Jahr davor. Kleine und mittlere Unternehmen traf es laut BSI vor allem durch Ransomware und Datenleaks.
Bei Websites ist WordPress das größte Ziel, schlicht weil es so verbreitet ist. Der Schwachpunkt sind selten das System selbst, sondern Erweiterungen.
Befund · WordPress 2025
Wo die Lücken stecken
91 %
in Plugins
46 %
ohne Fix bei Bekanntwerden
Massenhaft ausgenutzt im Median nach 5 Stunden
Patchstack-Bericht 2026, 11.334 neue Lücken im WordPress-Umfeld. Wer nur einmal im Monat updatet, ist zu spät.
Befund · Gehackte Websites
Website-Scans von außen, 2024
1,66 %
der Scans infiziert
422.741
Websites mit SEO-Spam
Malware will oft deine Rankings, nicht deinen Rechner
Sucuri SiteCheck, 70,8 Mio. Scans. Eingeschleuste Spam-Seiten und Weiterleitungen nutzen den guten Ruf deiner Domain.
Was ein Befall für dein Marketing heißt
- Warnung in der Suche: Google zeigt unter deinem Ergebnis „Diese Website wurde möglicherweise gehackt“. Browser schalten bei Malware eine rote Warnseite davor. Google Safe Browsing schützt nach eigenen Angaben täglich über fünf Milliarden Geräte.
- Search Console: Der Bericht „Sicherheitsprobleme“ meldet gehackte Inhalte, Malware und Social Engineering. Erst nach der Bereinigung beantragst du eine Überprüfung — sie dauert laut Google mehrere Tage oder Wochen.
- Werbung: Anzeigen, die auf befallene Seiten führen, werden abgelehnt.
- Datenschutz: Greift die Malware Formular- oder Kundendaten ab, ist das eine Datenpanne.
Häufige Fehler
Fehler 1 · „Meine Seite ist zu klein für Hacker“
Niemand sucht sich deine Seite gezielt aus. Bots scannen automatisch Millionen Websites nach bekannten Lücken. Klein heißt nur: Es merkt später jemand.
Fehler 2 · Plugins liegen lassen
Deaktivierte oder verwaiste Plugins sind offene Hintertüren. Was du nicht nutzt, lösch. Was du nutzt, halte aktuell — am besten mit automatischen Updates für Sicherheitsfixes.
Fehler 3 · Nur aufräumen, nicht nachdenken
Wer die Seite säubert und weitermacht, vergisst oft die Frage: Sind Daten abgeflossen? Dann läuft die 72-Stunden-Frist schon. Notier, was du wann bemerkt und getan hast.
Fehler 4 · Überprüfung zu früh beantragen
Google prüft erst, wenn alle Probleme behoben sind, und rät vom erneuten Senden ab. Ein halbherziger Antrag kostet dich nur Zeit.
So schützt du deine Website
- Updates: WordPress, Theme und Plugins aktuell halten, Unnötiges löschen.
- Firewall und Scan: Wordfence oder Sucuri prüfen Dateien und blocken bekannte Angriffe.
- Backups woanders: Täglich, und nicht nur auf demselben Server.
- Search Console einrichten: Dann meldet Google dir einen Befall per Mail.
- Starke Zugänge: Zwei-Faktor-Anmeldung für alle Admin-Konten.
Häufige Fragen
Woran erkenne ich, dass meine Website Malware hat?
Typische Zeichen sind der Hinweis „Diese Website wurde möglicherweise gehackt“ in der Google-Suche, eine Meldung im Search-Console-Bericht „Sicherheitsprobleme“, fremde Weiterleitungen oder Spam-Seiten in deinem Namen im Index. Ein Scan mit Sucuri SiteCheck oder Wordfence gibt Gewissheit.
Muss ich einen Malware-Befall melden?
Wenn personenbezogene Daten betroffen sein können und ein Risiko für die Personen besteht, ja: unverzüglich und möglichst binnen 72 Stunden an die Datenschutz-Aufsichtsbehörde. Dokumentieren musst du jeden Vorfall. Lass dich im Zweifel beraten.
Wie lange dauert es, bis Google die Warnung entfernt?
Nach der Bereinigung beantragst du in der Search Console eine Überprüfung. Laut Google dauert sie mehrere Tage oder Wochen. Bis zur Entscheidung nicht erneut senden.
Was ist der Unterschied zwischen Malware und Phishing?
Malware ist Software. Phishing ist eine Betrugsmasche, die Menschen dazu bringt, Daten preiszugeben oder etwas anzuklicken. Oft hängt beides zusammen: Eine Phishing-Mail liefert die Malware aus.
Reicht ein Sicherheits-Plugin?
Es hilft, ersetzt aber keine Updates und Backups. Ein Plugin erkennt bekannte Muster, gegen eine frische Lücke in einem veralteten Plugin hilft vor allem das Update.
