Wenn eine WordPress-Seite gehackt wird, heißt es hinterher meistens „WordPress ist eben unsicher“. Die Zahlen sagen etwas anderes, und sie sagen es ziemlich deutlich.
Im Jahr 2024 wurden im WordPress-Umfeld 7.966 neue Sicherheitslücken erfasst. Davon steckten 96 Prozent in Plugins und 4 Prozent in Themes. Im Kern von WordPress selbst waren es sieben. Nicht sieben Prozent. Sieben Stück.
Was daraus folgt
Die Software, die du nicht ausgesucht hast, ist praktisch nie das Problem. Das Problem ist die Software, die du selbst dazugestellt hast. Jedes Plugin ist Code von jemandem, den du nicht kennst, mit Vollzugriff auf deine Datenbank. Das ist keine Kritik an Plugins, ohne sie wäre WordPress nutzlos. Es ist nur der Grund, warum die Frage nicht lautet „Ist WordPress sicher?“, sondern „Wie viele fremde Programme laufen auf meiner Seite, und wer pflegt sie?“.
Drei Zahlen, die die Lage beschreiben
96 Prozent stecken in Plugins
Die Verteilung ist seit Jahren stabil. Wer die Zahl seiner Plugins halbiert, halbiert grob gesagt seine Angriffsfläche. In der Praxis finden wir auf gewachsenen Seiten regelmäßig zwanzig bis vierzig aktive Plugins, von denen ein Drittel eine Funktion erfüllt, die es längst nicht mehr braucht.
43 Prozent brauchen keine Anmeldung
Fast die Hälfte der 2024 gefundenen Lücken war ohne Zugangsdaten ausnutzbar. Das ist der Unterschied zwischen „jemand müsste erst ein Konto haben“ und „ein Skript klappert das halbe Internet ab“. Genau deshalb trifft es auch die Seite eines Handwerksbetriebs mit dreißig Besuchern am Tag: Niemand hat es auf sie abgesehen, sie steht nur auf einer Liste.
33 Prozent hatten bei Bekanntgabe keinen Patch
Ein Drittel der Lücken war zum Zeitpunkt der Veröffentlichung noch nicht behoben. Das ist die unbequemste Zahl, weil sie den Standardrat entwertet. „Einfach immer aktualisieren“ hilft, deckt aber ein Drittel der Fälle nicht ab. In diesen Fällen bleibt nur, das betroffene Plugin vorübergehend zu deaktivieren oder es dauerhaft zu ersetzen.
Was wirklich hilft, in der Reihenfolge der Wirkung
- Aufräumen. Geh die Plugin-Liste durch und beantworte bei jedem Eintrag eine Frage: Was passiert, wenn ich das lösche? Weißt du es nicht, ist das schon die Antwort. Deaktivieren reicht übrigens nicht, deaktivierte Plugins liegen weiterhin auf dem Server und können in bestimmten Konstellationen erreichbar sein. Löschen.
- Herkunft prüfen, bevor etwas dazukommt. Wann war das letzte Update, wie viele aktive Installationen, gibt es offene Supportanfragen ohne Antwort? Ein Plugin, das seit zwei Jahren nicht angefasst wurde, ist kein stabiles Plugin, es ist ein verlassenes.
- Ein festes Update-Fenster. Nicht automatisch alles sofort, nicht einmal im Jahr alles auf einmal. Ein fester Termin pro Monat, vorher ein Backup, hinterher ein Durchgang über Startseite, Kontaktformular und die wichtigsten Unterseiten. Sicherheitsupdates mit hoher Kritikalität laufen außer der Reihe.
- Backups, die du schon einmal zurückgespielt hast. Ein Backup, dessen Wiederherstellung noch nie getestet wurde, ist eine Vermutung. Das ist der Punkt, an dem im Ernstfall die meisten scheitern.
- Anmeldung absichern. Zwei-Faktor-Authentifizierung für alle Konten mit Administratorrechten, und die Zahl dieser Konten klein halten. Der frühere Praktikant braucht keinen Zugang mehr. Wie ein brauchbares Passwort aussieht, steht in unserem Beitrag zum sicheren Passwort.
- Anmeldeversuche begrenzen. Kostet fünf Minuten und nimmt den automatisierten Versuchen die Grundlage.
Was weniger hilft, als viele denken
Ein Sicherheits-Plugin allein. Es meldet Auffälligkeiten und blockiert bekannte Muster. Gegen eine Lücke in einem anderen Plugin, für die es noch keinen Patch gibt, richtet es oft wenig aus. Es ersetzt das Aufräumen nicht, es ergänzt es.
Die Anmeldeadresse verstecken. Die Standardadresse zu ändern verringert das Rauschen in den Logdateien. Eine Lücke, die ohne Anmeldung ausnutzbar ist, interessiert sich dafür nicht.
Die Versionsnummer verbergen. Angreifer prüfen nicht die angegebene Version, sie probieren einfach. Der Aufwand lohnt nicht.
Woran du merkst, dass etwas passiert ist
Ein sauber gemachter Einbruch sieht von außen nach nichts aus. Typische Anzeichen, die wir in der Praxis sehen:
- In der Suchmaschine erscheinen zu deiner Domain plötzlich Unterseiten mit fremden Themen.
- Es gibt ein Administratorkonto, das niemand angelegt hat.
- Der Speicherplatz wächst ohne erkennbaren Grund, weil fremde Dateien abgelegt werden.
- E-Mails von deiner Domain landen plötzlich überall im Spam, weil der Server für Versand missbraucht wird.
- Dateien im Verzeichnis für Uploads haben ein Änderungsdatum, das nicht zu deiner Arbeit passt.
Wenn du eines davon findest, ist die richtige Reihenfolge: Seite offline nehmen, Backup sichern (auch das befallene, für die Analyse), Passwörter tauschen, dann erst aufräumen. Wer sofort die Dateien löscht, vernichtet die Spur und meist auch den Hinweis auf die eigentliche Eintrittsstelle.
Das Muster, das sich immer wiederholt
Der typische Ablauf sieht nicht nach einem Angriff aus, sondern nach nichts. Vor Jahren wurde ein Plugin installiert, weil eine Bildergalerie mit Wasserzeichen gebraucht wurde. Die Galerie wurde später ersetzt, das Plugin blieb aktiv, weil niemand sich traute, es zu löschen. Der Entwickler hat das Projekt irgendwann aufgegeben. Dann wird eine Lücke veröffentlicht, ein Patch kommt nicht, und innerhalb weniger Tage klappern automatisierte Skripte alle Installationen ab, die dieses Plugin noch mitschleppen.
Der Betreiber hat in dieser Kette nichts falsch gemacht, außer nie aufgeräumt zu haben. Genau deshalb steht das Aufräumen in der Liste oben an erster Stelle und nicht das Sicherheits-Plugin.
Woran du erkennst, dass ein Plugin verlassen ist
Im WordPress-Verzeichnis stehen drei Angaben, die zusammen ein ziemlich klares Bild ergeben:
- Zuletzt aktualisiert. Liegt das Datum mehr als ein Jahr zurück, ist Vorsicht angebracht. Bei kleinen, sehr stabilen Werkzeugen kann das trotzdem in Ordnung sein, bei allem mit Formularen, Dateizugriff oder Benutzerverwaltung nicht.
- Getestet bis. Steht dort eine WordPress-Version, die zwei Hauptversionen alt ist, hat sich seit Langem niemand mehr damit befasst.
- Supportforum. Unbeantwortete Anfragen aus mehreren Monaten sind das deutlichste Zeichen. Ein gepflegtes Plugin hat dort Antworten, auch kurze.
Wenn du dich von einem verlassenen Plugin trennen musst, gibt es drei Wege. Ersetzen durch ein gepflegtes Plugin mit derselben Funktion. Die Funktion in das eigene Theme oder ein kleines eigenes Plugin übernehmen, was sich bei sehr einfachen Aufgaben lohnt. Oder die Funktion streichen, wenn ehrlich betrachtet niemand sie vermisst. Der dritte Weg ist häufiger der richtige, als es sich anfühlt.
Was der Hoster beitragen kann
Ein guter Server verhindert keine Lücke in einem Plugin. Er entscheidet aber darüber, wie schnell du nach einem Vorfall wieder arbeitsfähig bist. Drei Punkte sind dafür ausschlaggebend: tägliche Sicherungen mit mehreren Rückspielpunkten, Zugriff auf die Logdateien, damit sich der Weg des Angreifers nachvollziehen lässt, und eine aktuelle PHP-Version, weil abgelaufene Versionen keine Sicherheitsupdates mehr bekommen.
Häufige Fragen
Ist ein anderes System sicherer als WordPress?
Der Kern von WordPress hatte 2024 sieben Lücken. Das ist für eine Software, die einen großen Teil des Webs betreibt, ein sehr guter Wert. Der Unterschied zwischen Systemen liegt weniger in der Software als in der Zahl der Erweiterungen, die daran hängen.
Reichen automatische Updates?
Für Sicherheitsupdates des Kerns ja, die laufen ohnehin automatisch. Für Plugins sind sie zweischneidig: Sie schließen Lücken schnell, können aber eine Seite mitten in der Nacht zerlegen, ohne dass jemand es merkt. Wir aktivieren sie für Sicherheitsupdates und prüfen Funktionsupdates von Hand.
Wie oft sollte geprüft werden?
Monatlich reicht für eine normale Firmenseite. Bei Shops und Seiten mit Anmeldung eher wöchentlich. Was in unserer Betreuung enthalten ist, steht dort im Detail, und warum sich das für viele rechnet, steht in unserem älteren Beitrag zum Betreuungsvertrag.
Was kostet eine Bereinigung nach einem Einbruch?
Deutlich mehr als die Vorsorge, und vor allem kostet sie Zeit, die du nicht planen kannst. Der eigentliche Schaden ist selten die Arbeit am Server, sondern die Tage, in denen die Seite nicht erreichbar ist oder von der Suchmaschine als schädlich markiert wird.
Quellen
- Patchstack: State of WordPress Security in 2025, Auswertung des Jahres 2024 mit allen hier genannten Zahlen