WordPress-Sicherheit: Plugins als Einfallstor

Der technische Schaden ist dabei selten der teuerste Teil. Kritisch wird es, wenn über die Seite personenbezogene Daten laufen: Formularanfragen, Bestellungen, Kundenkonten. Dann verschiebt sich das Thema von der IT auf den Schreibtisch der Geschäftsführung — mit Fristen, die in Stunden gemessen werden.

Warum WordPress so häufig betroffen ist — und was das nicht bedeutet

WordPress wird laut W3Techs (Stand 15. September 2026) von 40,3 Prozent aller Websites eingesetzt und hält 58,8 Prozent des CMS-Markts. Diese Verbreitung ist der Grund für die Angriffszahlen: Für automatisierte Suchprogramme lohnt es sich, das Netz gezielt nach den Merkmalen dieses einen Systems abzusuchen. Ihre Website ist dabei kein Ziel, sondern ein Treffer.

Dass der Kern unsicher wäre, folgt daraus nicht — Patchstack zählte für 2025 sechs Lücken im WordPress-Kern, alle mit niedriger Priorität. Das Risiko sitzt fast vollständig in dem, was drumherum installiert ist. Was ein Content-Management-System selbst leistet und was Erweiterungen übernehmen, ist deshalb auch eine Sicherheitsfrage.

Das Einfallstor Nummer eins: Erweiterungen, die niemand mehr pflegt

Die Zahlen aus dem Patchstack-Report für 2025: 11.334 neu gemeldete Sicherheitslücken im WordPress-Umfeld, ein Plus von 42 Prozent gegenüber dem Vorjahr, davon 17 Prozent mit hohem Risiko massenhafter Ausnutzung. Und die wirklich unbequeme Zahl: Bei stark ausgenutzten Lücken liegt die mediane Zeit bis zur massenhaften Ausnutzung bei fünf Stunden nach Bekanntwerden.

Das ist das Fenster zwischen „Lücke wird öffentlich“ und „automatisierte Zugriffe laufen“. Entsprechend empfiehlt das BSI, Updates „möglichst rasch, sobald diese verfügbar sind“ einzuspielen: Kriminelle versuchten, „die Schwachstellen gleich in den ersten Tagen auszunutzen“.

Verwaiste Plugins: installiert, vergessen, offen

Besonders heikel sind Erweiterungen, die gar kein Update mehr bekommen. Patchstack gibt für 2025 an, dass 46 Prozent der Lücken bis zur öffentlichen Bekanntgabe nicht behoben waren — es gab also schlicht nichts einzuspielen. Woran Sie ein verwaistes Plugin erkennen:

Letzte Aktualisierung liegt über ein Jahr zurück. Das Datum steht im offiziellen Verzeichnis bei jedem Plugin.
„Nicht getestet mit Ihrer WordPress-Version“ — ein deutliches Zeichen, dass die Pflege eingeschlafen ist.
Support-Forum ohne Antworten, offene Themen seit Monaten unbeantwortet.
Das Plugin ist aus dem Verzeichnis verschwunden, bleibt aber installiert. Der gefährlichste Fall, weil kein Update-Hinweis mehr auftaucht.

Deaktiviert ist nicht entfernt

Ein weit verbreiteter Irrtum: Wer ein Plugin deaktiviert, hat es nicht entschärft. Die Dateien liegen weiter auf dem Server und sind je nach Konfiguration direkt aufrufbar — die Lücke bleibt erreichbar. Was Sie nicht mehr brauchen, wird deinstalliert und gelöscht. Wer das nicht dauerhaft selbst im Blick behalten will, gibt es in die laufende Website-Pflege; warum Wartung mehr ist als ein Klick auf „Aktualisieren“, steht im Beitrag zur regelmäßigen Webseitenpflege.

Plugins aus unbekannten Quellen und „nulled“ Versionen

Ein kostenpflichtiges Premium-Plugin, irgendwo kostenlos zum Download — solche Angebote existieren nicht aus Großzügigkeit. Die Einnahmequelle steckt in aller Regel in den Dateien: Code, der Zugangsdaten ausleitet, unbemerkt ein zusätzliches Administratorkonto anlegt oder die Website an fremde Werbenetzwerke anschließt. Dazu kommt, dass solche Kopien keine Sicherheitsupdates bekommen — jede später bekannt werdende Lücke bleibt offen. Der lizenzrechtliche Teil gehört in fachkundige Hände; der technische ist eindeutig.

Drei Regeln räumen den größten Teil dieses Risikos ab:

Nur offizielle Quellen — das WordPress-Verzeichnis oder die Herstellerseite. Keine Sammelportale.
Vor der Installation kurz prüfen: aktive Installationen, Datum des letzten Updates, Changelog und wie der Hersteller bisher auf gemeldete Lücken reagiert hat.
Lizenzen laufen lassen. Eine abgelaufene Lizenz bedeutet bei vielen Premium-Plugins: keine Updates mehr. Funktional merken Sie davon nichts — sicherheitstechnisch sehr wohl.

Hintertüren: warum ein Update allein nicht aufräumt

Wer einmal Zugriff hatte, sorgt fast immer dafür, zurückzukommen: über zusätzliche Administratorkonten, veränderte Rollen bestehender Konten, Dateien an unerwarteten Stellen im Webspace oder Einträge in geplanten Aufgaben, die eine gelöschte Datei stillschweigend wiederherstellen.

Daraus folgt etwas, das oft übersehen wird: Das Update, das die ursprüngliche Lücke schließt, entfernt keine bereits angelegte Hintertür. Besteht der Verdacht, dass jemand drin war, reicht Aktualisieren nicht — dann gehört die Seite geprüft und bereinigt. Wie das abläuft, steht auf unserer Seite zur Bereinigung gehackter Websites; die Schrittfolge für den Ernstfall steht in Website gehackt: Erste Hilfe in 10 Schritten.

Was Angreifer mit dem Zugang tatsächlich machen

Zerstörung ist die Ausnahme. Meist geht es um Geld, und zwar möglichst unauffällig:

Spam-Seiten und SEO-Spam: hunderte versteckte Unterseiten unter Ihrer Domain, die für fremde Produkte werben — für Besucher unsichtbar, für Suchmaschinen nicht.
Verdeckte Weiterleitungen: Besucher landen auf einer fremden Seite, häufig nur vom Handy oder nur aus einem Suchergebnis heraus. Wer die Seite direkt aufruft, sieht nichts.
Abgreifen von Zahlungsdaten im Checkout: Bei Shops wird Code in den Bestellprozess eingeschleust, der Eingaben mitliest, während die Bestellung normal weiterläuft. Wer einen Onlineshop betreibt, hat hier das größte Schadenspotenzial.
Zugriff auf Kundendaten: Formularanfragen, Bestelldaten, Kundenkonten, Newsletter-Listen.
Massenhafter Mailversand über Ihre Domain, bis der Hoster sperrt oder die Domain auf Sperrlisten landet und Ihre Geschäftspost im Spam-Ordner verschwindet. Wie sich das prüfen und beheben lässt, steht im Beitrag Ihre Mails landen im Spam.

Der gemeinsame Nenner: Die Seite funktioniert weiter, sie arbeitet nur nebenbei für jemand anderen. Deshalb bleiben Befälle oft wochenlang unbemerkt.

Zugangsdaten: der zweite große Hebel

Direkt nach veralteter Software stehen schwache und mehrfach verwendete Zugangsdaten. Was hier wirkt, ist unspektakulär:

Ein eigenes, langes Passwort pro Zugang, erzeugt und gespeichert im Passwortmanager. Keine Abwandlung des alten, nicht dasselbe für Hosting und CMS.
Zwei-Faktor-Anmeldung für alle Backend-Konten. Der wirksamste Einzelschutz gegen automatisiertes Durchprobieren gestohlener Zugangsdaten — und gegen gefälschte Login-Mails, wie sie der Beitrag Phishing, Spam und Betrugsanrufe beschreibt.
Rechte nach Bedarf. Wer Beiträge schreibt, braucht keine Administratorrechte. Jedes zusätzliche Administratorkonto ist ein zusätzliches Einfallstor.
Anmeldeversuche begrenzen. Eine Sperre nach wenigen Fehlversuchen stoppt massenhaftes Durchprobieren.
Getrennte Zugänge für Dienstleister. Jede Agentur bekommt ein eigenes benanntes Konto statt „des Admin-Zugangs“ per Chat, nach Projektende wird es deaktiviert. So bleibt nachvollziehbar, wer wann was geändert hat.
Zugangsdaten nie unverschlüsselt versenden — weder per E-Mail noch per Messenger. Und FTP durch SFTP ersetzen.

Konten, die niemand mehr braucht, werden gelöscht statt „erst mal drin gelassen“ — das sind genau die Zugänge, deren Passwörter nie wieder jemand wechselt. Was an Virenschutz, Zwei-Faktor und Passwörtern im Betrieb darüber hinaus wirkt, steht im Beitrag Virenschutz, Zwei-Faktor und Passwörter.

Hosting und Server: die Ebene, die meistens vergessen wird

Auch unter einem gepflegten WordPress bleibt eine Schicht übrig: Eine veraltete PHP-Version bekommt keine Sicherheitsupdates mehr — ein Risiko, das im Backend gar nicht auftaucht. Was hier zählt, sind aktuelle PHP-Version, saubere Trennung der Projekte, durchgängiges HTTPS, sinnvolle Dateirechte und die Sperre, dass im Upload-Verzeichnis abgelegte Skripte nicht ausgeführt werden. Beim Managed Hosting ist das Grundeinstellung; die Unterschiede der Hosting-Typen erklärt Website-Hosting: Bedeutung, Typen und Sicherheit.

Backups zählen erst, wenn sie einmal zurückgespielt wurden

Fast jeder Betrieb hat Backups, kaum jemand hat geprüft, ob daraus eine funktionierende Website entsteht. Drei Punkte entscheiden: Die Sicherung liegt getrennt vom Webspace (eine Kopie auf demselben Server ist im Ernstfall mitbetroffen), sie hält mehrere Versionen über Wochen vor (ein Befall fällt spät auf — bei sieben Tagen Aufbewahrung sind dann alle Stände infiziert), und sie wurde einmal testweise zurückgespielt, inklusive Formularen und Shop-Funktionen. Erst dieser Test macht aus einer Datei ein Backup.

Wenn Kundendaten betroffen sein könnten: die DSGVO-Seite

Sobald nicht auszuschließen ist, dass personenbezogene Daten eingesehen, verändert oder kopiert wurden, wird aus dem IT-Problem eine Meldefrage. Die Rechtslage in Kürze, Stand September 2026:

Artikel 33 DSGVO verpflichtet den Verantwortlichen, eine Verletzung des Schutzes personenbezogener Daten der zuständigen Aufsichtsbehörde „unverzüglich und möglichst binnen 72 Stunden, nachdem ihm die Verletzung bekannt wurde“ zu melden — „es sei denn, dass die Verletzung des Schutzes personenbezogener Daten voraussichtlich nicht zu einem Risiko für die Rechte und Freiheiten natürlicher Personen führt“. Erfolgt die Meldung später, ist laut Wortlaut der Verordnung eine Begründung für die Verzögerung beizufügen.

Artikel 34 DSGVO geht weiter: Hat die Verletzung „voraussichtlich ein hohes Risiko für die persönlichen Rechte und Freiheiten natürlicher Personen zur Folge, so benachrichtigt der Verantwortliche die betroffene Person unverzüglich von der Verletzung“. Absatz 3 nennt Ausnahmen, etwa wenn die Daten durch Verschlüsselung geschützt waren.

Dazu kommt Artikel 33 Absatz 5: Vorfälle sind zu dokumentieren — Fakten, Auswirkungen, Abhilfemaßnahmen —, und zwar so, dass die Aufsichtsbehörde die Einhaltung überprüfen kann. Diese Pflicht greift unabhängig davon, ob am Ende gemeldet wird.

Das ist keine Rechtsberatung, und die Bewertung im Einzelfall gehört nicht in einen Blogbeitrag. Klären Sie sie mit Ihrer oder Ihrem Datenschutzbeauftragten, der zuständigen Landesdatenschutzbehörde oder anwaltlich. Was wir technisch beitragen können, ist die saubere Dokumentation dessen, was tatsächlich passiert ist — die Grundlage jeder belastbaren Entscheidung. Vorbeugend lohnt der Blick darauf, welche Daten Ihre Website überhaupt erhebt: Die DSGVO-Checkliste für Websites geht die üblichen Punkte durch, Rechtssichere Websites: DSGVO-Compliance für KMU ordnet das Ganze ein.

Überwachung: den Befall bemerken, bevor Google es tut

Der schlechteste Weg, von einem Hack zu erfahren, ist der Anruf eines Kunden, der eine Browser-Warnung gesehen hat. Was stattdessen hilft: die Google Search Console einrichten und den Bericht „Sicherheitsprobleme“ im Blick behalten, in dem Google unter anderem zwischen gehackten Inhalten, Malware und Social Engineering unterscheidet — die Einrichtung erklärt SEO-Erfolg messen mit Search Console und GA4. Dazu Benachrichtigungen bei neuen Administratorkonten und installierten Plugins sowie regelmäßige Malware-Scans. Ein plötzlicher Einbruch bei der Ladezeit kann ebenfalls ein Symptom sein — nicht nur ein Fall für die Ladezeit-Optimierung.

Häufige Fragen

Warum sind veraltete Plugins das häufigste Einfallstor in WordPress? Weil dort die meisten Sicherheitslücken entstehen und bekannte Lücken sehr schnell automatisiert ausgenutzt werden. Laut dem Report „State of WordPress Security in 2026“ von Patchstack entfielen 91 Prozent der 2025 neu gemeldeten Lücken im WordPress-Umfeld auf Plugins, 9 Prozent auf Themes und nur sechs Lücken auf den WordPress-Kern.

Reicht es, ein Plugin zu deaktivieren, das ich nicht mehr brauche? Nein. Beim Deaktivieren bleiben alle Dateien auf dem Server liegen und sind je nach Konfiguration weiterhin erreichbar. Was Sie nicht mehr nutzen, gehört deinstalliert und gelöscht. Bei Themes gilt dasselbe: aktives Theme behalten, ein Standard-Theme als Rückfallebene, alles andere entfernen.

Was ist an raubkopierten oder „nulled“ Plugins gefährlich? Wer ein kostenpflichtiges Plugin kostenlos weitergibt, verfolgt damit ein Geschäftsmodell. In solchen Kopien steckt häufig Code, der Zugangsdaten ausleitet oder unbemerkt ein zusätzliches Administratorkonto anlegt. Dazu kommt: Sie erhalten keine Sicherheitsupdates, jede spätere Lücke bleibt also dauerhaft offen. Beziehen Sie Erweiterungen nur aus dem offiziellen Verzeichnis oder direkt vom Hersteller.

Wie erkenne ich, ob jemand ein zusätzliches Administratorkonto angelegt hat? Prüfen Sie die Benutzerverwaltung auf Konten mit Administratorrechten, die niemand im Betrieb kennt. Sehen Sie zusätzlich die hinterlegten E-Mail-Adressen der bekannten Konten durch: Eine geänderte Adresse ist eine Hintertür, weil sich darüber jederzeit ein Passwort zurücksetzen lässt. Frühzeitig erfahren Sie davon nur mit aktivierten Benachrichtigungen für neue Administratorkonten.

Muss ich eine Datenpanne melden, wenn meine Website gehackt wurde? Das hängt vom Einzelfall ab und lässt sich nicht pauschal beantworten. Artikel 33 DSGVO verlangt eine Meldung an die Aufsichtsbehörde „unverzüglich und möglichst binnen 72 Stunden, nachdem ihm die Verletzung bekannt wurde“ — es sei denn, sie führt „voraussichtlich nicht zu einem Risiko für die Rechte und Freiheiten natürlicher Personen“. Die Bewertung gehört zu Datenschutzbeauftragten, Aufsichtsbehörde oder Anwalt. Stand September 2026.

Wie viele Plugins sind zu viele? Eine feste Zahl gibt es nicht. Entscheidend ist, ob jede Erweiterung einen konkreten Zweck erfüllt, aktiv gepflegt wird und jemand im Betrieb weiß, wofür sie da ist. Bei gewachsenen WordPress-Seiten lassen sich in der Praxis fast immer mehrere Plugins ersatzlos entfernen.

Fazit

WordPress-Sicherheit ist kein Produkt, das man installiert, sondern eine Routine, die läuft. Die drei Hebel mit dem größten Effekt: Erweiterungen aktuell halten und Unnötiges wirklich löschen, Zugänge einzeln absichern und mit Zwei-Faktor-Anmeldung schützen, Backups so aufsetzen, dass sie im Ernstfall funktionieren. Damit fallen Sie aus dem Raster automatisierter Angriffe — und darum geht es, denn gezielt gemeint ist bei kleinen und mittleren Websites fast nie.

Besteht der Verdacht, dass es bereits passiert ist, zählt die Reihenfolge: Erste Hilfe in 10 Schritten, danach Bereinigung und Absicherung über Website gehackt — zum Festpreis nach kurzer Prüfung. Wer lieber vorbeugt, bekommt im kostenlosen Erstgespräch in 20 Minuten eine Einschätzung. Konditionen unter Preise und Beratung, Fachbegriffe im Lexikon.

nova.02:media ist eine inhabergeführte Webagentur aus Strausberg. Inhaber Marek Stein arbeitet seit 2002 im Web, über 1.600 umgesetzte Projekte, deutschlandweit und komplett remote.