Wenn eine WordPress-Seite gehackt wurde, denken viele zuerst an infizierte Dateien im Theme, Plugin oder Upload-Ordner. Das ist richtig, aber nicht vollständig: Schadcode kann sich auch in der Datenbank verstecken. Dort fällt er oft später auf, weil die Seite scheinbar normal lädt, aber plötzlich Spam-Links ausgibt, Weiterleitungen entstehen oder unbekannte Admin-Benutzer auftauchen.
In diesem Ratgeber zeige ich Dir, wie Du WordPress Datenbank Malware ruhig und systematisch prüfst. Du brauchst dafür kein tiefes Entwicklerwissen, solltest aber sorgfältig arbeiten und vor jeder Änderung ein vollständiges Backup erstellen. Wenn Du unsicher bist oder die Seite geschäftskritisch ist, kann Captain WordPress die Analyse und Bereinigung für Dich übernehmen.
Die WordPress-Datenbank speichert Inhalte, Einstellungen, Benutzer, Plugin-Konfigurationen und viele weitere Informationen. Genau deshalb ist sie für Angreifer interessant: Ein manipuliertes Feld kann reichen, um Besucher umzuleiten, unsichtbare Links einzubauen oder JavaScript in Beiträgen auszuführen.
Typische Ziele sind Tabellen wie wp_options, wp_posts und wp_users. Der Tabellenpräfix kann bei Deiner Installation anders heißen, zum Beispiel wp7_options. Entscheidend ist das Prinzip: Suche nicht nur nach Dateien, sondern prüfe auch Datenbankeinträge, wenn Du eine Infektion vermutest.
Nicht jede Auffälligkeit beweist sofort einen Hack. Wenn aber mehrere Symptome zusammenkommen, solltest Du die Datenbank gezielt prüfen. Besonders verdächtig sind Weiterleitungen auf fremde Domains, neue Links in alten Beiträgen oder Benutzerkonten, die niemand angelegt hat.
Bevor Du die Datenbank öffnest oder Einträge bearbeitest, erstelle ein vollständiges Backup aus Dateien und Datenbank. Ein Datenbank-Export allein reicht nicht, wenn später auch Theme-, Plugin- oder Core-Dateien geprüft werden müssen.
Speichere das Backup außerhalb der betroffenen Website, zum Beispiel lokal oder in einem getrennten Speicher. Wenn bei der Bereinigung etwas schiefgeht, kannst Du damit zurückrollen. Arbeite niemals direkt an einer produktiven Datenbank, ohne einen Wiederherstellungspunkt zu haben.
Öffne die Datenbank über phpMyAdmin oder das Datenbankwerkzeug Deines Hosters. Suche zuerst in wp_options nach den Optionsnamen siteurl und home. Beide sollten auf Deine echte Domain zeigen. Wenn dort eine fremde Adresse steht, ist das ein starkes Warnsignal.
Danach prüfst Du wp_posts auf typische Muster wie script, iframe, display:none, base64, eval, ungewöhnliche Tracking-Domains oder massenhaft externe Links. Nicht jedes Script ist automatisch Schadcode, denn manche Plugins speichern legitime Skripte. Entscheidend ist, ob der Eintrag zu Deiner Website passt und ob er unerwartet auftaucht.
Nutze die Suche nicht nur für eine einzelne Tabelle, sondern für die gesamte Datenbank. Manche Angriffe verstecken Einträge in Widget-, Plugin- oder Theme-Optionen. Wenn Du WordPress Datenbank Malware untersuchst, ist eine breite Suche oft zuverlässiger als ein Blick auf nur eine Tabelle.
Ein gutes Security-Plugin kann verdächtige Muster in Dateien und teilweise auch in Datenbankinhalten erkennen. Das ersetzt keine manuelle Prüfung, hilft Dir aber, Treffer zu priorisieren. Achte darauf, dass das Plugin aktuell ist und zur betroffenen WordPress-Version passt.
Wenn ein Scan Datenbankeinträge meldet, lösche sie nicht blind. Öffne den Fund, prüfe den Kontext und vergleiche ihn mit einem sauberen Backup, wenn vorhanden. Manche Treffer sind Fehlalarme, andere sind Teil einer aktiven Infektion.
Wenn Du einen eindeutig schädlichen Eintrag gefunden hast, entferne nur den schädlichen Teil und nicht unnötig den gesamten Inhalt. Bei einem Beitrag kann das bedeuten, ein fremdes Script oder einen versteckten Link zu löschen. Bei wp_options kann es bedeuten, eine manipulierte URL wieder auf Deine echte Domain zurückzusetzen.
Prüfe anschließend die Seite im Frontend und Backend. Leere Caches von WordPress, Cache-Plugins, CDN und Browser, damit Du nicht auf alte ausgelieferte Inhalte schaust. Wenn die Malware wieder auftaucht, ist die Ursache noch aktiv, zum Beispiel über eine infizierte Datei, ein kompromittiertes Plugin oder gestohlene Zugangsdaten.
Nach der Bereinigung ist Absicherung Pflicht. Ändere alle relevanten Passwörter: WordPress-Admin, Hosting, FTP/SFTP, Datenbank, E-Mail-Konten mit Admin-Zugriff und gegebenenfalls CDN oder externe Dienste. Entferne unbekannte Benutzer und prüfe, ob vorhandene Benutzer wirklich die nötigen Rechte haben.
Erneuere außerdem die WordPress Security-Keys und Salts in der wp-config.php. Dadurch werden bestehende Logins ungültig, was besonders wichtig ist, wenn Session-Cookies oder Zugangsdaten kompromittiert wurden. Aktualisiere danach WordPress Core, Plugins und Themes, sofern Updates verfügbar sind.
Eine einmalige Bereinigung reicht nicht, wenn die Eintrittsstelle offen bleibt. Halte Erweiterungen aktuell, entferne ungenutzte Plugins und Themes, verwende starke Passwörter und aktiviere Zwei-Faktor-Authentifizierung für Admin-Konten. Regelmäßige Backups sind ebenfalls wichtig, weil sie Dir im Ernstfall Vergleichs- und Wiederherstellungsmöglichkeiten geben.
Plane außerdem wiederkehrende Sicherheitschecks ein. Gerade bei Business-Websites ist es sinnvoll, Datenbank, Dateien und Benutzerrechte regelmäßig zu prüfen. Captain WordPress unterstützt Dich dabei dezent im Hintergrund: bei akuter Malware-Bereinigung, gehärteter Wartung und sauberer Nachkontrolle nach einem Vorfall.
Fazit: WordPress Datenbank Malware ist unangenehm, aber mit einer klaren Reihenfolge beherrschbar. Sichere zuerst alles, prüfe gezielt Tabellen und verdächtige Muster, bereinige nur belegte Funde und rotiere danach Zugänge sowie Security-Keys. So reduzierst Du das Risiko, dass der Schadcode wiederkommt.
Ja, Schadcode kann in Datenbankfeldern gespeichert sein, zum Beispiel in Beiträgen, Optionen oder Widget-Inhalten. Häufig gibt es aber zusätzlich infizierte Dateien oder kompromittierte Zugangsdaten.
Starte mit wp_options, wp_posts, wp_users und wp_usermeta. Wenn Dein Tabellenpräfix anders lautet, heißen die Tabellen entsprechend anders.
Nur, wenn Du sicher bist und vorher ein Backup erstellt hast. Entferne möglichst gezielt den schädlichen Teil, damit keine legitimen Inhalte oder Einstellungen verloren gehen.
Damit gestohlene Zugangsdaten und bestehende Sessions unbrauchbar werden. Das ist ein wichtiger Schritt, um eine erneute Kompromittierung zu verhindern.
Ein Plugin kann helfen, ersetzt aber keine sorgfältige Prüfung. Besonders bei aktiven Hacks solltest Du Dateien, Datenbank, Benutzer und Zugangsdaten zusammen kontrollieren.
