Wenn Besucher beim Aufruf Deiner Website eine rote Google-Warnseite sehen, ist der Schreck groß. Die Meldung „Diese Website enthält Schadsoftware" oder eine ähnliche Warnung wie „Täuschende Website voraus" bedeutet: Google Safe Browsing stuft Deine Seite aktuell als riskant ein und möchte Nutzer vor Malware, Phishing oder unerwünschten Downloads schützen.
Wichtig ist jetzt: ruhig bleiben, aber zügig handeln. In vielen Fällen lässt sich die Warnung wieder entfernen, wenn die Ursache sauber gefunden, die Website vollständig bereinigt und anschließend eine Überprüfung in der Google Search Console beantragt wird.
Google zeigt diese Warnung nicht als normale SEO-Abstrafung, sondern als Sicherheitsmaßnahme. Die Website kann weiterhin online sein, aber Browser wie Chrome blockieren den Besuch oder zeigen eine deutliche Zwischenwarnung an. Das kann Vertrauen, Anfragen und Verkäufe sofort beeinträchtigen.
Die Meldung kann erscheinen, wenn auf Deiner WordPress-Seite schädlicher Code gefunden wurde, wenn Besucher heimlich weitergeleitet werden, wenn schädliche Downloads verlinkt sind oder wenn eine Seite Phishing-Inhalte enthält. Auch gehackte Unterseiten, die Du selbst nie erstellt hast, können ausreichen.
WordPress selbst ist nicht automatisch unsicher. Probleme entstehen meist durch veraltete Komponenten, schwache Zugangsdaten, kompromittierte Plugins oder unsaubere Serverkonfigurationen. Angreifer nutzen solche Lücken, um fremden Code einzuschleusen oder neue Spam-Seiten anzulegen.
Deshalb reicht es meistens nicht, nur eine auffällige Datei zu löschen. Wenn die Hintertür offen bleibt, kommt die Warnung „Diese Website enthält Schadsoftware" oft nach kurzer Zeit zurück.
Öffne zuerst die Google Search Console für Deine Domain. Unter „Sicherheitsprobleme" zeigt Google an, welche Art von Problem erkannt wurde. Dort findest Du häufig Beispiele betroffener URLs. Diese Liste ist nicht zwingend vollständig, hilft aber bei der Eingrenzung.
Falls Du noch keinen Zugriff auf die Search Console hast, solltest Du die Website verifizieren. Ohne Search Console kannst Du zwar trotzdem bereinigen, aber die offizielle Überprüfung durch Google lässt sich darüber am zuverlässigsten starten.
Als Nächstes brauchst Du einen vollständigen Blick auf die Installation. Prüfe WordPress-Core, Plugins, Themes, Upload-Verzeichnis, Datenbank, Weiterleitungen und Benutzerkonten. Ein Security-Plugin kann beim Scan helfen, ersetzt aber keine saubere Analyse, wenn bereits ein Hack aktiv ist.
Viele Infektionen bestehen aus mehreren Teilen: sichtbarer Schadcode, versteckte Backdoor, kompromittierter Benutzer und manchmal ein externer Zugang über Hosting oder FTP. Entfernst Du nur den sichtbaren Code, kann die Seite kurz sauber wirken, aber später erneut infiziert werden.
Jetzt geht es um eine vollständige Bereinigung. Aktualisiere WordPress, ersetze manipulierte Core-Dateien durch frische Originaldateien, entferne unbekannte Plugins oder Themes und bereinige betroffene Datenbankinhalte. Setze außerdem alle relevanten Passwörter neu: WordPress-Admins, Hosting, FTP/SFTP, Datenbank und gegebenenfalls E-Mail-Konten.
Achte darauf, nicht nur einzelne Beispiel-URLs zu reparieren. Google erwartet, dass das Sicherheitsproblem auf der gesamten Website behoben ist. Wenn mehrere Probleme gemeldet sind, müssen alle bereinigt werden, bevor eine Überprüfung sinnvoll ist.
Wenn Du Dir bei PHP-Dateien, Datenbanktreffern oder Serverlogs unsicher bist, ist professionelle Hilfe sinnvoll. Captain WordPress kann im Ernstfall die Bereinigung übernehmen, die Ursache absichern und anschließend die nächsten Schritte für die Google-Überprüfung vorbereiten.
Sobald die Website wirklich sauber ist, gehst Du in der Search Console wieder zu „Sicherheitsprobleme" und wählst „Überprüfung beantragen". Beschreibe knapp, was passiert ist, welche Maßnahmen Du durchgeführt hast und dass die betroffenen Bereiche erneut getestet wurden.
Die Prüfung kann einige Tage dauern, in manchen Fällen auch länger. Reiche die Anfrage nicht vorschnell mehrfach ein. Wenn Google noch Schadcode findet, kann sich der Prozess verlängern. Erst wenn Google die Bereinigung akzeptiert, verschwindet die Warnung „Diese Website enthält Schadsoftware" wieder aus Browsern und Suchergebnissen.
Nach der akuten Bereinigung solltest Du Deine Website härten. Sicherheitsprobleme entstehen oft nicht durch einen einzelnen Fehler, sondern durch fehlende Wartung über längere Zeit. Ein klarer Wartungsrhythmus reduziert das Risiko deutlich.
Fazit: Die Meldung „Diese Website enthält Schadsoftware" ist ernst, aber lösbar. Entscheidend ist, die Ursache vollständig zu entfernen, alle Zugänge abzusichern und erst dann die Google-Überprüfung zu beantragen. Wenn Du den technischen Teil nicht selbst machen möchtest, kann Captain WordPress Deine Website bereinigen und dauerhaft besser absichern.
Google Safe Browsing hat Hinweise auf Malware, Phishing, schädliche Downloads oder gehackte Inhalte gefunden. Die Warnung schützt Besucher, bis das Problem behoben wurde.
Nein. Die Warnung wird von Google beziehungsweise vom Browser ausgelöst, nicht von WordPress. Du musst die Ursache bereinigen und danach eine Überprüfung beantragen.
Google nennt keinen festen Zeitraum. Eine Sicherheitsüberprüfung kann einige Tage dauern, in manchen Fällen auch länger.
Nur wenn das Backup sicher vor dem Hack erstellt wurde und die ursprüngliche Sicherheitslücke danach geschlossen wird. Sonst kann die Infektion wiederkommen.
Ja. Ändere mindestens WordPress-Admin-, Hosting-, FTP/SFTP- und Datenbank-Passwörter und entferne unbekannte Benutzerkonten.
