Hinweise zusammenführen statt Dateien blind löschen
Eine unbekannte Skriptdatei in einem Uploadverzeichnis, ungewöhnliche Aufrufe oder unerklärliche Änderungen können zusammen einen konkreten Verdacht ergeben. Zunächst werden Fundort, Rechte, Änderungsinformationen und zugehörige Zugriffe dokumentiert. Die Originaldatei sollte geschützt gesichert werden, bevor über Entfernung oder Ersatz entschieden wird.
Verdächtige Skripte werden nicht durch Aufrufen auf dem Produktivserver getestet. Solche Tests können zusätzliche Aktionen auslösen. Für die Untersuchung sind eine kontrollierte Analyseumgebung und ein Abgleich mit legitimen Anwendungsdateien sinnvoll. Auch stark komprimierter oder verschleierter Code kann in regulären Komponenten vorkommen und braucht Kontext.
Den Zugangsweg und die Reichweite klären
Die wichtige Frage lautet nicht nur, wie die Datei aussieht, sondern wie sie an diesen Ort gelangen konnte. In Betracht kommen beispielsweise missbrauchte Verwaltungszugänge oder eine verwundbare Anwendung. Welcher Weg tatsächlich vorlag, muss durch Spuren und Systemzustand eingegrenzt werden.
Zusätzlich ist zu prüfen, welche Rechte der Webdienst besitzt und welche Dateien, Datenbanken oder Geheimnisse erreichbar waren. Eine gefundene Webshell kann nur ein Zugang unter mehreren sein. Benachbarte Websites unter derselben Benutzerkennung verdienen daher ebenfalls Aufmerksamkeit, ohne ihre Kompromittierung vorschnell zu behaupten.
Nach der Entfernung die Wiederkehr verhindern
Der Bereinigungsplan verbindet Entfernung oder Neuaufbau mit Updates, geeigneten Dateirechten und der Überprüfung betroffener Geheimnisse. Ein Sollbestand vertrauenswürdiger Dateien erleichtert spätere Kontrollen. Wo Uploads erforderlich sind, sollte ihre Verarbeitung technisch vom Ausführen von Anwendungscode getrennt werden.
Für eine erste Anfrage genügen Systemtyp, Fundpfad und die Quelle der Warnung. Senden Sie den verdächtigen Code nicht offen per Messenger. Das Ziel ist ein dokumentierter Befund mit nachvollziehbaren Grenzen, kein pauschales Gütesiegel auf Grundlage eines einzelnen Scans.
Ihre Checkliste für den nächsten Schritt
- Verdächtige Datei nicht auf dem Produktivsystem ausführen.
- Fundort, Rechte und zugehörige Logzeiträume festhalten.
- Nach Entfernung Eintrittsweg und weitere Zugänge prüfen.
Häufige Fragen
Reicht das Löschen der Webshell?
Damit wird möglicherweise ein Zugang entfernt. Die Ursache, andere Zugänge und bereits erfolgte Aktivitäten bleiben gesondert zu prüfen.
Kann ein sauberer Scan eine Webshell ausschließen?
Nicht sicher. Individuelle oder neuartige Manipulationen können zusätzliche Datei-, Konfigurations- und Protokollprüfung erfordern.
Quellen & weiterführende Informationen
WordPress: Hinweise zur Untersuchung gehackter Websites ↗Fachliche Orientierung, Stand 25.10.2026. Der konkrete Befund erfordert Zugriff auf die betroffene Umgebung und eine abgestimmte Prüfung.