Wer glaubt, seine WordPress-Website sei zu klein für einen gezielten Angriff, unterschätzt, wie moderne Cyberangriffe funktionieren. Angreifer suchen nicht nach Ihrer Website – sie suchen nach einer Plugin-Version. Und die finden sie in Sekunden, automatisiert, rund um die Uhr. Nach Auswertungen aus der täglichen Betreuung von über 500 Unternehmenswebsites lässt sich ein Muster klar benennen: Etwa 80 Prozent aller erfolgreichen WordPress-Kompromittierungen führen auf ein veraltetes oder nicht mehr gepflegtes Plugin zurück.
Wie Angriffe tatsächlich ablaufen
Die häufigste Fehlannahme lautet: „Meine Website ist zu klein, um interessant zu sein.“ Angriffe auf WordPress laufen jedoch selten zielgerichtet, sondern automatisiert. Bots durchsuchen das Netz nach Websites, die eine bestimmte Plugin-Version einsetzen, für die eine Schwachstelle öffentlich dokumentiert ist. Ob dahinter ein Konzern oder eine Zahnarztpraxis steht, spielt für den Scan keine Rolle.
Ein solcher Angriff besteht aus drei Schritten: Erkennung der eingesetzten Software, Abgleich mit einer Liste bekannter Lücken und Ausnutzung. Alle drei Schritte laufen ohne menschliches Zutun in Sekunden ab. Erfolgreiche Treffer werden protokolliert und später weiterverwendet – für Spam-Versand, Weiterleitungen auf fremde Seiten oder als Sprungbrett auf andere Konten des gleichen Servers.
Angegriffen wird nicht die Website, sondern die Version.
Das Zeitfenster zwischen Lücke und Angriff
Wird eine Schwachstelle veröffentlicht, erscheint meist gleichzeitig ein Update. Ab diesem Moment ist die Lücke öffentlich bekannt – und damit auch für automatisierte Scans nutzbar. Websites, die das Update nicht einspielen, sind ab der Veröffentlichung nachweislich angreifbar, nicht erst irgendwann später.
Genau hier entscheidet die Update-Frequenz. Wer monatlich aktualisiert, hält im Schnitt ein Fenster von mehreren Wochen offen. Wer zweimal wöchentlich prüft, reduziert es auf wenige Tage. Diese Differenz ist der eigentliche Gegenstand professioneller Wartung.
Sicherheit entsteht nicht durch ein einzelnes Plugin, sondern durch die Verkürzung der Zeit zwischen Veröffentlichung eines Updates und dessen Einspielung.
Typische Einstiegspunkte
In der täglichen Betreuung wiederholen sich einige Muster. Vier davon verursachen die meisten Zwischenfälle:
- Verwaiste Plugins. Erweiterungen, die vom Entwickler nicht mehr gepflegt werden, erhalten keine Sicherheitsupdates mehr – bleiben aber aktiv installiert.
- Deaktivierte, aber vorhandene Plugins. Deaktivierung entfernt den Code nicht. Dateien bleiben über die URL erreichbar.
- Abgelaufene Premium-Lizenzen. Ohne gültige Lizenz liefert das Plugin keine Updates mehr aus – oft unbemerkt über Monate.
- Ungeschützter Login. Ohne Begrenzung der Anmeldeversuche bleibt wp-login.php ein dauerhaft offenes Ziel.
Woran man einen Vorfall erkennt
Sichtbare Defacements sind selten. Häufiger sind unauffällige Anzeichen: plötzlich ansteigende Serverauslastung, unbekannte Administratorkonten, veränderte Dateizeitstempel, Weiterleitungen, die nur bei mobilen Geräten greifen, oder eine Google-Warnung in der Search Console. Deshalb ist Monitoring Teil der Wartung und nicht optional.
Was in der Praxis hilft
Wirksam ist eine Kombination aus wenigen, konsequent durchgeführten Maßnahmen – nicht eine möglichst lange Liste installierter Security-Plugins.
| Maßnahme | Wirkung | Aufwand |
|---|---|---|
| Updates 2× wöchentlich | schließt bekannte Lücken zeitnah | laufend |
| Ungenutzte Plugins entfernen | verkleinert die Angriffsfläche | einmalig |
| Login-Schutz & 2FA | stoppt Brute-Force-Versuche | einmalig |
| Externe Tagesbackups | verkürzt die Wiederherstellung | laufend |
| Monitoring | macht Vorfälle früh sichtbar | laufend |
Wie professionelle WordPress-Wartung das Risiko reduziert
Regelmäßige Wartung durch einen externen Dienstleister löst das Kernproblem: das fehlende Zeitbudget. In der Praxis scheitern Updates nicht an mangelndem Wissen, sondern daran, dass niemand im Unternehmen die Aufgabe verbindlich übernimmt. Professionelle Wartung schließt diese Lücke durch feste Prozesse: Updates werden nach einem definierten Rhythmus durchgeführt, jede Änderung dokumentiert, jeder Vorfall protokolliert.
Darüber hinaus prüft ein erfahrener Wartungsdienstleister vor dem Update, ob Abhängigkeiten bestehen – ein Plugin-Update, das eine genutzte Funktion bricht, ist genauso schädlich wie ein ausgelassenes. Dieser Qualitätsschritt fehlt bei automatischen Updates ohne menschliche Kontrolle.
Was ein Wartungsvertrag konkret abdeckt
- Regelmäßige Plugin-, Theme- und Core-Updates mit Funktionskontrolle
- Tägliche externe Backups mit getesteter Wiederherstellung
- Firewall-Konfiguration und Brute-Force-Schutz am Login
- Laufendes Monitoring der Erreichbarkeit und Serverauslastung
- Monatlicher Wartungsreport mit Nachweis aller durchgeführten Maßnahmen
Fazit
WordPress ist nicht unsicher – veraltete Installationen sind es. Der Unterschied zwischen einer gewarteten und einer ungewarteten Website liegt nicht in der Software, sondern in der Regelmäßigkeit. Wer Updates, Backups und Überwachung verbindlich organisiert, reduziert das Risiko auf ein Maß, das für Unternehmenswebsites vertretbar ist.
Das Zeitfenster zwischen einer veröffentlichten Schwachstelle und dem ersten automatisierten Angriff beträgt oft weniger als 24 Stunden. Welcher Update-Rhythmus auf Ihrer Website gilt, entscheidet dieses Risiko maßgeblich mit.
Weitere Beiträge
WordPress Wartung selbst machen oder auslagern? Der VergleichWas zur WordPress Wartung gehört, wie viel Zeit sie kostet und wann sich ein externer Wartungsservice lohnt –…
WordPress gehackt – was tun? Die Anleitung Schritt für SchrittWoran Sie einen Hack erkennen, was Sie in der ersten Stunde tun sollten, wie Sie Malware entfernen, die…
Wie oft sollte man WordPress updaten?Wie oft Sie WordPress-Kern, Plugins und Themes aktualisieren sollten, wie ein sicheres Update abläuft und wann automatische Updates…Updates, Backups und Sicherheit – von uns übernommen
Ab 39 € pro Monat, monatlich kündbar, hostingunabhängig.
