Hoster meldet „Schadsoftware gefunden“: Was Sie jetzt tun sollten

Eine E-Mail vom Hoster mit dem Betreff „Schadsoftware gefunden“ ist erst einmal ein Schreck. Viele Betreiber löschen daraufhin reflexartig die genannte Datei und hoffen, dass damit alles erledigt ist. Genau das ist der häufigste Fehler. In einem Kundenprojekt im Juni 2026 haben wir aus erster Hand gesehen, warum: Die Hoster-Sperre einer Datei beseitigt nicht den Befall, sie macht ihn nur kurz unsichtbar.

Wenn Ihr Hoster „Schadsoftware gefunden“ meldet, ist das ein ernstes Warnsignal, aber keine Entwarnung und auch keine Bereinigung. In diesem Beitrag erfahren Sie, wie Sie prüfen, ob die Mail echt ist, was der Hoster wirklich tut und was nicht, und welche ersten Schritte jetzt richtig sind.

Ist die E-Mail überhaupt echt?

Bevor Sie irgendetwas anklicken, klären Sie zuerst, ob die Nachricht wirklich von Ihrem Hoster kommt. Denn Kriminelle ahmen genau solche Warnmeldungen nach. Eine gefälschte „Ihr Webspace ist infiziert“-Mail mit einem Link zum „Bereinigen“ ist ein klassischer Phishing-Versuch, der an Ihre Zugangsdaten will.

So erkennen Sie eine echte Hoster-Meldung:

Was der Hoster tut, und was nicht

Hier liegt das größte Missverständnis. Der automatische Scanner eines Hosters durchsucht den Webspace nach bekannten Mustern von Schadcode. Findet er eine Übereinstimmung, meldet er die Datei und stellt sie oft in Quarantäne, das heißt, er sperrt oder verschiebt diese eine Datei, damit sie nicht mehr ausgeführt wird.

Das klingt beruhigend, ist aber nur ein winziger Teil der Lösung. Der Scanner sieht meist nur das, was er kennt. Er entfernt nicht die Mechanismen, mit denen sich die Schadsoftware dauerhaft festsetzt, und er schließt nicht die Lücke, durch die der Angreifer hereingekommen ist.

In unserem Kundenprojekt im Juni 2026 wurde genau das deutlich. Der Hoster meldete „Schadsoftware gefunden“ auf einer Joomla-5-Website auf Shared Hosting und sperrte einzelne als schädlich erkannte Dateien. Der eigentliche Befall blieb aber aktiv. Wir fanden mehrere Mechanismen, die der Scanner gar nicht angerührt hatte:

• Persistenz: versteckte Vorkehrungen, die dem Angreifer auch nach dem Löschen einzelner Dateien weiter Zugriff sicherten.
• Ein Dropper: ein Hilfsprogramm, das etwa alle 10 Minuten neue Schaddateien anlegte. Wer eine Datei löschte, hatte kurz darauf neue.
• Ein gsocket-Relay: eine getarnte Fernverbindung, die nach außen Kontakt hält, auch durch Schutzmaßnahmen hindurch.
• Gefälschte Zeitstempel: die Schaddateien trugen alte Datumsangaben, damit sie bei einem Blick auf „neue Dateien“ nicht auffielen.
• Befall über mehrere Sites: der Befall hatte sich über mehrere Websites im selben Hosting-Account ausgebreitet.

Genau deshalb scheitert der erste Reflex, einfach nur die gemeldete Datei zu löschen. Die Symptome verschwinden für ein paar Minuten, dann legt der Dropper neue Dateien an, oder der Angreifer nutzt erneut die offene Lücke. Das Ergebnis ist eine Seite, die sich immer wieder selbst infiziert.

Soforthilfe: die ersten Schritte

Wenn Sie eine echte Hoster-Meldung erhalten haben, gehen Sie ruhig und strukturiert vor. Diese ersten Schritte verschaffen Ihnen Überblick und verhindern, dass Sie die Lage versehentlich verschlimmern.

Diese Schritte sind die Soforthilfe. Die eigentliche Bereinigung folgt einer klaren Reihenfolge: zuerst die dauerhaften Mechanismen entfernen, dann laufende Schadprozesse beenden, dann die Dateien löschen und zuletzt das Einfallstor schließen. Wie das im Detail funktioniert, beschreiben wir im Beitrag Joomla-Website gehackt: so bereinigen Sie richtig. Einen kompletten Leitfaden vom Erkennen bis zum dauerhaften Schutz finden Sie unter Joomla gehackt: erkennen, bereinigen, schützen.

Häufige Ursachen

Wenn der Scanner Schadcode findet, ist die spannendere Frage: Wie kam er dort hinein? In den allermeisten Fällen war eine veraltete Erweiterung das Einfallstor. Erweiterungen sind die Zusatzprogramme, die Joomla um Funktionen ergänzen. Werden sie nicht aktualisiert, bleiben bekannte Lücken offen, und genau die werden automatisiert ausgenutzt.

Ein prominentes Beispiel ist der weit verbreitete Editor JCE, mit vollem Namen JoomlaContentEditor, technisch die Komponente com_jce. In Versionen unter 2.9.99.5 erlaubte ein Fehler in den Editor-Profilen das Hochladen von Dateien ohne Anmeldung. Das ist ein sogenannter unauthentifizierter Datei-Upload, bei dem ein Fremder ohne Konto und Passwort Dateien auf den Server legen kann. Behoben ist das in den Versionen 2.9.99.5 und 2.9.99.6.^[1] In unserem Kundenprojekt war genau eine veraltete JCE-Erweiterung die Eintrittstür.

Wann Sie einen Profi holen sollten

Nicht jede Hoster-Meldung lässt sich allein im Joomla-Backend lösen. Sobald sich der Befall festgesetzt hat, reicht das einfache Löschen einzelner Dateien nicht mehr, und die Bereinigung erfordert Zugriff auf Server-Ebene und Erfahrung. Holen Sie sich spätestens dann Unterstützung, wenn einer dieser Punkte zutrifft:

Eine professionelle Bereinigung entfernt nicht nur den sichtbaren Schadcode, sondern alle dauerhaften Mechanismen, beendet laufende Schadprozesse und schließt das Einfallstor. Anschließend lässt sich die Seite mit laufenden Updates und Monitoring dauerhaft absichern. Für allgemeine Fragen oder eine Einschätzung erreichen Sie uns über das Kontaktformular.

Ihre nächsten Schritte

Eine Hoster-Meldung über Schadsoftware ist ein Warnsignal, das Sie ernst nehmen, aber nicht in Panik beantworten sollten. Prüfen Sie zuerst, ob die Mail echt ist. Verstehen Sie, dass die Hoster-Sperre nur ein Symptom behandelt. Und denken Sie daran: Erst wenn Persistenz entfernt und die Lücke geschlossen ist, ist die Seite wirklich sauber.

Häufige Fragen

Quellen