🛡️ SiteGuardian Scanner – dein kostenloser Bodyguard für WordPress
Jede neue WordPress-Seite wird innerhalb von Minuten nach der Installation von automatisierten Bots angegriffen. Login-Versuche, bekannte Plugin-Lücken, Web-Shells – das Internet schläft nie. Die meisten guten Sicherheits-Lösungen kosten Geld: Ein Premium-Abo hier, eine „Website-Reinigung“ für 100€+ da, wenn’s schon zu spät ist.
SiteGuardian Scanner macht das kostenlos. Komplett. Ohne Haken, ohne Pro-Version, ohne Kreditkarte.
✅ Was SiteGuardian Scanner für dich tut
✅ Kern-Dateien-Wächter: Vergleicht deine WordPress-Dateien laufend mit dem offiziellen Original von WordPress.org. Findet eine Abweichung? Wird automatisch repariert – mit Backup, versteht sich.
✅ Schadcode-Scanner: Durchsucht Themes, Plugins und Uploads nach bekannten Backdoor- und Verschleierungs-Mustern. Web-Shells, eingeschleuster Code, verdächtige Dateien im Uploads-Ordner – alles im Blick.
✅ Änderungs-Überwachung: Merkt sich, wie deine Dateien aussehen sollten, und schlägt Alarm, wenn sich plötzlich etwas verändert, das sich nicht verändern sollte.
✅ Login-Schutz: Sperrt Angreifer nach ein paar Fehlversuchen automatisch aus, bevor sie durch reines Ausprobieren ins Dashboard kommen.
✅ Härtung mit einem Klick: XML-RPC aus, WordPress-Version verstecken, Datei-Editor sperren, PHP-Ausführung im Uploads-Ordner blockieren, Benutzernamen-Erraten verhindern – die wichtigsten Basis-Schutzmaßnahmen, ohne dass du dich mit .htaccess-Zeilen rumschlagen musst.
✅ Erkennt andere Sicherheits-Plugins: Läuft neben AIOS, Wordfence & Co., ohne sich zu bekriegen – überschneidende Funktionen werden automatisch pausiert.
✅ E-Mail-Alarm: Findet der tägliche Hintergrund-Scan etwas, landet die Nachricht direkt in deinem Postfach.
🔒 Ehrlich und DSGVO-konform
Kein Scanner der Welt – auch keiner der teuren – erkennt 100% aller Bedrohungen. Das verspreche ich dir nicht. Was ich dir verspreche: SiteGuardian Scanner deckt die häufigsten, real vorkommenden Angriffsmuster ab, arbeitet transparent, und geht mit deinen Daten sauber um – IP-Adressen werden ausschließlich gehasht gespeichert, alte Logs löschen sich automatisch, und bei einer Deinstallation räumt das Plugin restlos hinter sich auf.
🚀 Für wen ist das?
Für jeden, der eine WordPress-Seite betreibt und nicht erst nach dem Hack merken will, dass etwas schiefgelaufen ist. Egal ob Blog, Firmenseite oder Online-Shop – Installation dauert unter einer Minute, Einrichtung ist selbsterklärend.
📥 Download
Kostenlos, ohne Registrierung, ohne versteckte Kosten. Einfach herunterladen, als ZIP in WordPress hochladen, aktivieren – fertig.
Seite gehackt oder Schadcode installiert – was nun -Dateien gefunden !
🚨 Seite gehackt? So gehst du jetzt vor (Schritt für Schritt)
Du hast eine Hintertür gefunden, deine Seite leitet auf komische Werbung um, Google warnt Besucher, oder dein Hoster hat dich angeschrieben? Kopf hoch – das lässt sich in den allermeisten Fällen selbst in den Griff bekommen, wenn du strukturiert vorgehst. Hier ist der Fahrplan.
🔒 Schritt 1: Seite isolieren, bevor du irgendwas reparierst
Bevor du anfängst, Dateien zu löschen: Nimm die Seite kurz vom Netz oder aktiviere einen Wartungsmodus. Solange die Hintertür offen ist, kann der Angreifer währenddessen weiter Änderungen vornehmen – dann jagst du dich im Kreis.
✅ Wartungsplugin aktivieren oder Seite per .htaccess vorübergehend sperren ✅ Falls möglich: Passwort-Schutz auf Hosting-Ebene für den gesamten Ordner setzen (im Hosting-Control-Panel)
🔑 Schritt 2: Alle Zugänge sofort wechseln
Ein Angreifer, der einmal drin war, kennt vermutlich dein altes Passwort oder hat sich einen eigenen Zugang eingerichtet.
✅ WordPress-Admin-Passwort ändern – für ALLE Benutzer mit Admin-Rechten ✅ Alle aktiven Sessions beenden (Profil → „Von allen anderen Geräten abmelden“) ✅ FTP-/SFTP-Passwort beim Hoster ändern ✅ Datenbank-Passwort ändern (in wp-config.php entsprechend anpassen) ✅ Falls du dieselben Passwörter woanders nutzt: dort auch ändern
👤 Schritt 3: Nutzerliste durchgehen
Eine sehr beliebte Hintertür: Der Angreifer legt sich einfach einen eigenen Admin-Account an, oft mit unauffälligem Namen.
✅ Benutzer → Alle Benutzer: gibt es Admin-Konten, die du nicht kennst? ✅ Verdächtige Konten sofort löschen (nicht nur auf „Abonnent“ herabstufen) ✅ Bei Unsicherheit: alle Admin-Konten außer deinem eigenen kurzzeitig auf „Abonnent“ setzen, bis du sicher bist
🔍 Schritt 4: SiteGuardian Scanner laufen lassen
Jetzt kommt die eigentliche Fehlersuche.
✅ SiteGuardian Scanner installieren (falls noch nicht drauf) und einen vollständigen Scan starten ✅ Kern-Dateien-Funde: werden automatisch repariert (Original von WordPress.org) ✅ Unbekannte Dateien (z.B. im Uploads-Ordner oder an ungewöhnlichen Stellen): über „In Quarantäne“ verschieben – lieber einmal zu viel als zu wenig ✅ Eingeschleuster Code in eigentlich echten Dateien: über „Code entfernen“ gezielt herausnehmen (nie die ganze Datei löschen, sonst fehlt dir echter Code)
⏰ Schritt 5: Nach kürzlich veränderten Dateien suchen
Eine Hintertür hinterlässt fast immer Spuren im Änderungsdatum. Wenn du Zugriff auf die Konsole/SSH hast (oder deinen Hoster fragst):
✅ Dateien der letzten 7–14 Tage auflisten lassen, sortiert nach Änderungsdatum ✅ Alles, was du nicht erklären kannst (unbekannte .php-Dateien, plötzlich geänderte Kern-Dateien), genauer prüfen ✅ Besonders verdächtig: PHP-Dateien im Uploads-Ordner, in Cache-Ordnern, oder mit kryptischen Namen wie „wp-tmp.php“ oder „class-cache-x92.php“
⚙️ Schritt 6: wp-config.php und .htaccess manuell prüfen
Diese beiden Dateien fasst SiteGuardian Scanner bewusst nie automatisch an – hier lohnt sich ein eigener Blick.
✅ wp-config.php: stehen dort fremde define()-Zeilen, base64-kodierter Code, oder unbekannte Datenbank-Zugangsdaten? ✅ .htaccess: gibt es Weiterleitungen (RewriteRule) zu fremden Domains, die du nicht selbst eingebaut hast?
🗄️ Schritt 7: Datenbank checken
Nicht jede Hintertür sitzt in Dateien – manche verstecken sich direkt in der Datenbank.
✅ In phpMyAdmin (oder vergleichbar) die Tabelle wp_options nach verdächtigen Einträgen durchsuchen, speziell active_plugins und Einträge mit Base64- oder Skript-Inhalten ✅ wp_users auf unbekannte Accounts prüfen (siehe Schritt 3) ✅ Bei Unsicherheit: Datenbank-Export ziehen und in Ruhe mit einem Text-Editor nach „eval(„, „base64_decode(“ oder fremden Domains durchsuchen
♻️ Schritt 8: Sauberes Backup nutzen, wenn vorhanden
Wenn du ein Backup von VOR dem Hack hast: Das ist oft der schnellste und sicherste Weg. Wichtig dabei:
✅ Erst das Einfallstor finden (siehe unten), sonst bist du in ein paar Tagen wieder an derselben Stelle ✅ Nach der Wiederherstellung trotzdem alle Passwörter wechseln (siehe Schritt 2) – ein altes Backup hilft nichts gegen ein bereits kompromittiertes Passwort
🕳️ Schritt 9: Das Einfallstor finden
Die Hintertür zu entfernen reicht nicht, wenn die Tür, durch die der Angreifer reingekommen ist, offen bleibt. Häufigste Ursachen:
✅ Veraltete Plugins oder Themes mit bekannten Sicherheitslücken → alle Plugins/Themes aktualisieren, nicht mehr benötigte komplett löschen (nicht nur deaktivieren) ✅ Schwaches Admin-Passwort → siehe Schritt 2 ✅ Veraltete WordPress-Kernversion → auf die aktuelle Version aktualisieren ✅ Unsichere Datei-Berechtigungen (777 statt 755/644) → beim Hoster prüfen lassen
🛡️ Schritt 10: Danach richtig absichern
Wenn die Seite wieder sauber ist:
✅ SiteGuardian Scanner → Härtung: alle Schutzmaßnahmen aktivieren (XML-RPC aus, Datei-Editor sperren, Login-Schutz usw.) ✅ Täglichen automatischen Scan aktivieren, damit ein erneuter Befall sofort auffällt ✅ E-Mail-Alarm einrichten ✅ Regelmäßige, automatische Backups einrichten (falls noch nicht vorhanden) – idealerweise extern gespeichert, nicht nur auf demselben Server
🌐 Schritt 11: Blacklist-Status prüfen
Falls Google oder Browser vor deiner Seite gewarnt haben:
✅ Google Search Console: Sicherheitsprobleme prüfen, nach Bereinigung „Überprüfung anfordern“ ✅ Das kann ein paar Tage dauern – Geduld, das pendelt sich ein, sobald Google die Seite erneut crawlt und sauber findet
🆘 Wann du dir Hilfe holen solltest
Ganz ehrlich: Wenn die Seite geschäftskritisch ist (Shop, Firmenseite mit Kundendaten), du dir bei der Bereinigung unsicher bist, oder personenbezogene Daten betroffen sein könnten (dann ggf. auch meldepflichtig nach DSGVO!) – dann lieber einmal zu früh einen erfahrenen WordPress-Sicherheitsdienstleister oder deinen Hoster-Support hinzuziehen, statt sich zu verzetteln. Für private Blogs und kleinere Seiten reicht die Anleitung oben in aller Regel völlig aus.
