Warum 80 % aller WordPress-Hacks über veraltete Plugins laufen

Wie Angriffe tatsächlich ablaufen

Die häufigste Fehlannahme lautet: „Meine Website ist zu klein, um interessant zu sein.“ Angriffe auf WordPress laufen jedoch selten zielgerichtet, sondern automatisiert. Bots durchsuchen das Netz nach Websites, die eine bestimmte Plugin-Version einsetzen, für die eine Schwachstelle öffentlich dokumentiert ist. Ob dahinter ein Konzern oder eine Zahnarztpraxis steht, spielt für den Scan keine Rolle.

Ein solcher Angriff besteht aus drei Schritten: Erkennung der eingesetzten Software, Abgleich mit einer Liste bekannter Lücken und Ausnutzung. Alle drei Schritte laufen ohne menschliches Zutun in Sekunden ab. Erfolgreiche Treffer werden protokolliert und später weiterverwendet – für Spam-Versand, Weiterleitungen auf fremde Seiten oder als Sprungbrett auf andere Konten des gleichen Servers.

Das Zeitfenster zwischen Lücke und Angriff

Wird eine Schwachstelle veröffentlicht, erscheint meist gleichzeitig ein Update. Ab diesem Moment ist die Lücke öffentlich bekannt – und damit auch für automatisierte Scans nutzbar. Websites, die das Update nicht einspielen, sind ab der Veröffentlichung nachweislich angreifbar, nicht erst irgendwann später.

Genau hier entscheidet die Update-Frequenz. Wer monatlich aktualisiert, hält im Schnitt ein Fenster von mehreren Wochen offen. Wer zweimal wöchentlich prüft, reduziert es auf wenige Tage. Diese Differenz ist der eigentliche Gegenstand professioneller Wartung.

Typische Einstiegspunkte

In der täglichen Betreuung wiederholen sich einige Muster. Vier davon verursachen die meisten Zwischenfälle:

Woran man einen Vorfall erkennt

Sichtbare Defacements sind selten. Häufiger sind unauffällige Anzeichen: plötzlich ansteigender Serverauslastung, unbekannte Administratorkonten, veränderte Dateizeitstempel, Weiterleitungen, die nur bei mobilen Geräten greifen, oder eine Google-Warnung in der Search Console. Deshalb ist Monitoring Teil der Wartung und nicht optional.

Was in der Praxis hilft

Wirksam ist eine Kombination aus wenigen, konsequent durchgeführten Maßnahmen – nicht eine möglichst lange Liste installierter Security-Plugins.

Fazit

WordPress ist nicht unsicher – veraltete Installationen sind es. Der Unterschied zwischen einer gewarteten und einer ungewarteten Website liegt nicht in der Software, sondern in der Regelmäßigkeit. Wer Updates, Backups und Überwachung verbindlich organisiert, reduziert das Risiko auf ein Maß, das für Unternehmenswebsites vertretbar ist.