WordPress-Dateiänderungen erkennen: Leitfaden zur Integritätsprüfung

Auf WordPress-Websites ändern sich regelmäßig Dateien: Ein Plugin-Update ersetzt PHP-Code, ein Theme erhält neue Ressourcen und Administratoren passen gelegentlich bewusst Dateien an. Eine unerwartete Dateiänderung sollte jedoch geprüft werden. Die WordPress-Dateiintegritätsprüfung macht nachvollziehbar, welche überwachten Dateien sich verändert haben.

Nach einem geplanten WordPress-Update ist Dateiänderungen nach Plugin-Updates prüfen eine hilfreiche praktische Checkliste.

Wie das praktisch aussieht, zeigt Pluginivo File Integrity Monitor PRO. In der interaktiven Demo können Sie den Ablauf kennenlernen. Die folgenden Grundsätze gelten auch unabhängig vom verwendeten Werkzeug.

Was bedeutet Dateiintegritätsüberwachung?

Bei einer Integritätsprüfung werden aktuelle Dateien mit einem zuvor gespeicherten Referenzzustand, der sogenannten Baseline, verglichen. Neue, geänderte oder entfernte Dateien können als Ereignisse protokolliert werden. Ein SHA-256-Hash bildet dabei einen Fingerabdruck des Dateiinhalts: Ändert sich die Datei, ändert sich mit sehr hoher Wahrscheinlichkeit auch der Hash.

Das Verfahren beantwortet die Frage: Welche überwachten Dateien haben sich seit dem Referenzzustand geändert? Es beweist weder einen Angriff noch sagt es automatisch, wer die Änderung vorgenommen hat. Ein legitimes Update und eine unerlaubte Bearbeitung können zunächst ähnlich aussehen.

Welche WordPress-Dateien gehören in die Überwachung?

• WordPress-Core: zentrale Programmdateien des CMS.
• Plugins und Themes: Code, der sich bei Updates und Deployments ändern kann.
• Must-use-Plugins und Drop-ins: zusätzliche Komponenten, die bei einer normalen Update-Übersicht leicht übersehen werden.

Davon zu unterscheiden sind dynamische Dateien wie Medien-Uploads und Caches. Sie ändern sich häufig und können unnötig viele Meldungen verursachen. Legen Sie den Überwachungsumfang gezielt fest, statt jedes Verzeichnis wahllos einzubeziehen.

Schritt 1: Eine vertrauenswürdige Baseline erstellen

Erstellen Sie zunächst ein vollständiges Backup. Prüfen Sie, ob WordPress, Plugins und Themes auf einem bekannten, sauberen Stand sind. Dokumentieren Sie Versionsnummern und beabsichtigte Anpassungen. Eine Baseline, die erst nach einem unbemerkten Vorfall erstellt wird, kann bereits manipulierte Dateien als normal behandeln.

Für jede überwachte Datei wird ein Referenzwert gespeichert. Spätere Scans vergleichen den aktuellen Inhalt mit diesem Wert. Bei einer neuen Datei, einer entfernten Datei oder einer geänderten Prüfsumme entsteht ein Ereignis. Wichtig: Die Baseline ist kein Ersatz für eine wiederherstellbare Datensicherung.

Schritt 2: Ein sinnvolles Scan-Intervall wählen

Häufige Scans können Änderungen schneller sichtbar machen, benötigen aber Ressourcen. Ein kleiner Blog braucht oft einen anderen Rhythmus als eine geschäftskritische Website. WordPress-Aufgaben werden zudem häufig über WP-Cron ausgeführt. Deshalb bedeutet ein Intervall von 15 Minuten nicht, dass jeder Scan exakt alle 15 Minuten abgeschlossen wird.

File Integrity Monitor PRO unterstützt manuelle Scans und wählbare Intervalle: alle 15 oder 30 Minuten, stündlich, zweimal täglich oder täglich. Beginnen Sie mit einem praktikablen Wert und beobachten Sie die Auslastung des Hostings.

Schritt 3: Dateiänderungen richtig bewerten

1. Pfad prüfen: Gehört die Datei zu WordPress selbst, einem Plugin, einem Theme oder einer individuellen Erweiterung?
2. Wartung abgleichen: Gab es zeitgleich ein Update, Deployment oder eine berechtigte Änderung?
3. Quellen vergleichen: Prüfen Sie vertrauenswürdige Release-Dateien, offiziellen Code oder die eigene Versionsverwaltung.
4. Status sinnvoll setzen: „Als geprüft markieren“ dokumentiert die Sichtung. „Als korrekt akzeptieren“ sollte die Referenz erst nach inhaltlicher Prüfung aktualisieren.
5. Unklare Fälle untersuchen: Belege sichern, Zugriffe überprüfen und bei ernstem Verdacht qualifizierte Hilfe hinzuziehen.

Beispiel: Eine geänderte Plugin-Datei direkt nach einem geplanten Update kann erwartbar sein. Eine neue ausführbare Datei im Core-Verzeichnis ohne passende Wartungsmaßnahme ist genauer zu untersuchen. Diese Beispiele sind keine automatische Sicherheitsbewertung.

Schritt 4: Offizielle WordPress-Prüfsummen nutzen

Für unterstützte WordPress-Core-Versionen veröffentlicht WordPress.org Prüfsummen. Der Vergleich muss zur installierten Version und Sprache passen. File Integrity Monitor PRO kann optional täglich die Core-Dateien anhand offizieller WordPress.org-Prüfsummen prüfen.

Diese zusätzliche Kontrolle deckt nicht jede individuelle Erweiterung ab und ist keine Malware-Erkennung. Eine Abweichung verlangt eine Untersuchung; sie beweist für sich allein keinen Befall.

Schritt 5: Benachrichtigungen in einen Prüfprozess einbinden

Eine gute Benachrichtigung führt zur passenden Datei und einem nachvollziehbaren Ereignis. Legen Sie zuständige Empfänger fest und berücksichtigen Sie die Gruppierung sowie den zeitlichen Mindestabstand zwischen Meldungen. Das Plugin stellt ein durchsuchbares Ereignisprotokoll mit Zuständen wie Neu, Benachrichtigt, Bestätigt und Akzeptiert bereit.

Unterscheiden Sie zwischen einer bestätigten Sichtung und einer wirklich akzeptierten Änderung. Wer jede Warnung ungeprüft akzeptiert, verliert den Nutzen der Integritätsprüfung.

Häufige Fehler vermeiden

• Jede Dateiänderung vorschnell als Malware einstufen.
• Eine ungeprüfte Installation als sichere Ausgangsbasis verwenden.
• Bei WP-Cron-Scans von einer garantierten Sofortmeldung ausgehen.
• Den Referenzzustand ohne Kontrolle automatisch übernehmen.
• Backups, Zugriffsschutz und Sicherheitsupdates durch Monitoring ersetzen wollen.

Häufig gestellte Fragen

Ist eine Integritätsprüfung ein Virenscanner?

Nein. Sie erkennt Änderungen in überwachten Dateien; ein Malware-Scanner sucht nach verdächtigen Mustern und anderen Indikatoren.

Melden sich auch reguläre Updates?

Das ist möglich. Erkannte WordPress-Updates können die passende Baseline aktualisieren; ungewöhnliche oder einzelne Dateiupdates können trotzdem als Änderung erscheinen.

Sollten Upload-Verzeichnisse überwacht werden?

Nicht automatisch. Sie sind häufig dynamisch. Pluginivo überwacht primär WordPress-Code und schließt Uploads und Cache-Verzeichnisse aus.

Ist WooCommerce erforderlich?

Nein. Die Dateiintegritätsprüfung ist für normale WordPress-Websites ebenso relevant wie für Shops.

File Integrity Monitor kennenlernen

Erstellen Sie eine vertrauenswürdige Baseline, führen Sie einen Testscan durch und prüfen Sie den Ablauf vom Ereignis bis zur Entscheidung. Alle Funktionen von File Integrity Monitor PRO finden Sie auf der Produktseite. Oder öffnen Sie vorher die Live-Demo.