Die 6 häufigsten Plugin-Sicherheitslücken

Ein einziges veraltetes Plugin reicht, um eine sonst gut gepflegte WordPress-Website angreifbar zu machen. Dieser Beitrag zeigt, welche Arten von Sicherheitslücken in Plugins am häufigsten vorkommen, wie Angreifer sie ausnutzen und mit welchen Maßnahmen Sie Ihre Website wirksam schützen.

Kurz gesagt: Die häufigsten Sicherheitslücken in WordPress-Plugins sind Cross-Site-Scripting (XSS), fehlerhafte Zugriffskontrollen, Cross-Site Request Forgery (CSRF), SQL-Injection und unsichere Datei-Uploads. Ausgenutzt werden fast immer veraltete Plugin-Versionen, für die der Hersteller längst ein Update bereitgestellt hat. Wer Plugins zeitnah aktualisiert, ungenutzte Erweiterungen löscht und die Website überwacht, schließt die meisten Einfallstore.

Warum Plugins das größte Sicherheitsrisiko für WordPress sind

Der WordPress-Kern wird von einem eigenen Sicherheitsteam gepflegt und erhält kleinere Sicherheitsupdates automatisch. Plugins dagegen stammen von tausenden unterschiedlichen Entwicklern – von großen Softwarefirmen bis zu Einzelpersonen, die ein Projekt nebenbei betreuen. Entsprechend unterschiedlich sind Code-Qualität, Testabdeckung und Reaktionszeit bei gemeldeten Lücken.

Sicherheitsanbieter wie Patchstack und Wordfence veröffentlichen regelmäßig Auswertungen zu gemeldeten WordPress-Schwachstellen. Das Bild ist seit Jahren gleich: Der weit überwiegende Teil – deutlich über 90 Prozent – betrifft Plugins, ein kleiner Teil Themes und nur sehr selten den WordPress-Kern selbst. Jedes zusätzliche Plugin ist zusätzlicher Code auf Ihrem Server und damit zusätzliche Angriffsfläche.

Die 6 häufigsten Arten von Plugin-Schwachstellen

Die folgende Übersicht zeigt die Schwachstellen-Typen, die in Plugins am häufigsten gemeldet werden, und was sie im Ernstfall für Ihre Website bedeuten.

Schwachstelle	Was passiert	Typische Folge
Cross-Site-Scripting (XSS)	Angreifer schleusen JavaScript-Code in Seiten, Formulare oder Einstellungen ein	Weiterleitungen auf Spam- oder Phishing-Seiten, Übernahme von Admin-Sitzungen
Fehlerhafte Zugriffskontrolle	Eine Funktion prüft nicht, ob der Nutzer dafür berechtigt ist	Nicht angemeldete Besucher ändern Einstellungen oder Inhalte
Cross-Site Request Forgery (CSRF)	Ein angemeldeter Nutzer löst über einen präparierten Link unbemerkt eine Aktion aus	Änderungen im Namen eines Administrators
SQL-Injection	Eingaben werden ungefiltert an die Datenbank weitergegeben	Auslesen von Kundendaten, Bestellungen oder Passwort-Hashes
Unsicherer Datei-Upload	Die Upload-Funktion prüft Dateityp und Inhalt nicht ausreichend	Hochladen von Schadcode (Web-Shell) und vollständige Übernahme
Rechteausweitung	Nutzer mit geringen Rechten verschaffen sich Administratorrechte	Neue Admin-Konten und dauerhafter Zugriff für Angreifer

Cross-Site-Scripting: der häufigste Fehler

XSS entsteht, wenn ein Plugin Eingaben – etwa aus einem Formular, einem Shortcode oder einer URL – ohne Maskierung wieder ausgibt. Besonders gefährlich ist sogenanntes Stored XSS: Der Schadcode wird in der Datenbank gespeichert und bei jedem Seitenaufruf ausgeführt, auch dann, wenn ein Administrator das Backend öffnet. So können Angreifer im Hintergrund neue Admin-Konten anlegen.

Fehlerhafte Zugriffskontrollen

Viele Plugins stellen Funktionen über AJAX- oder REST-Schnittstellen bereit. Fehlt dort die Prüfung der Benutzerrechte oder des Sicherheits-Tokens (in WordPress „Nonce“ genannt), kann jeder Besucher diese Funktion aufrufen. Typische Folgen sind geänderte Plugin-Einstellungen, gelöschte Inhalte oder die Aktivierung der Benutzerregistrierung mit Administratorrolle.

SQL-Injection, Datei-Uploads und Rechteausweitung

Diese Lücken werden seltener gemeldet als XSS, wiegen aber schwerer. Eine SQL-Injection kann den gesamten Datenbankinhalt offenlegen – bei einem Online-Shop inklusive Kundendaten. Unsichere Uploads und Rechteausweitungen führen fast immer zur vollständigen Übernahme der Website, weil Angreifer danach eigenen Code ausführen können.

Wie Angreifer Plugin-Lücken ausnutzen

Kaum ein Angriff auf eine WordPress-Website ist persönlich. Nach der Veröffentlichung einer Schwachstelle durchsuchen automatisierte Bots das Internet nach Websites, die die betroffene Plugin-Version einsetzen. Die Version lässt sich häufig aus öffentlich erreichbaren Dateien auslesen. Zwischen Veröffentlichung einer Lücke und den ersten Angriffsversuchen liegen oft nur Stunden bis wenige Tage. Warum das so ist, erklärt unser Beitrag Warum 80 % aller WordPress-Hacks über veraltete Plugins laufen.

Die Schwachstelle wird veröffentlicht, zum Beispiel in einer Schwachstellen-Datenbank oder im Änderungsprotokoll des Plugins.
Angreifer analysieren das Update und entwickeln daraus einen Angriff (Exploit).
Bots scannen massenhaft Websites nach der verwundbaren Plugin-Version.
Gefundene Installationen werden automatisch angegriffen – unabhängig von Größe oder Branche.
Der eingeschleuste Code verbreitet Spam, leitet Besucher um, sammelt Zugangsdaten oder nutzt den Server für weitere Angriffe.

Woran Sie eine gefährdete Plugin-Landschaft erkennen

Prüfen Sie Ihre Installation anhand dieser Warnzeichen. Jeder Punkt, der zutrifft, erhöht das Risiko spürbar.

Im Dashboard warten Plugin-Updates auf Installation.
Die letzte Aktualisierung eines Plugins liegt mehr als ein Jahr zurück.
Ein Plugin wurde aus dem offiziellen WordPress-Verzeichnis entfernt.
Premium-Plugins laufen ohne gültige Lizenz und erhalten keine Updates mehr.
Plugins stammen aus inoffiziellen Quellen (sogenannte „Nulled“-Versionen).
Deaktivierte Plugins sind weiterhin installiert.
Mehrere Plugins erfüllen dieselbe Aufgabe.

So schützen Sie Ihre Website: 8 wirksame Maßnahmen

Updates zeitnah einspielen: Sicherheitsupdates innerhalb von ein bis zwei Tagen installieren – nach einem aktuellen Backup und mit anschließender Funktionsprüfung.
Ungenutzte Plugins löschen: Deaktivieren reicht nicht, denn der Code bleibt auf dem Server erreichbar.
Nur vertrauenswürdige Quellen nutzen: Plugins ausschließlich aus dem offiziellen Verzeichnis oder direkt vom Hersteller beziehen.
Plugins vor der Installation prüfen: Anzahl aktiver Installationen, Datum der letzten Aktualisierung und Reaktionen im Support-Forum geben Hinweise auf die Pflege.
Schwachstellen überwachen: Scanner gleichen installierte Versionen laufend mit Schwachstellen-Datenbanken ab und melden betroffene Plugins.
Web Application Firewall einsetzen: Sie blockiert bekannte Angriffsmuster, teilweise schon bevor ein Update verfügbar ist.
Rechte begrenzen: Jede Person erhält nur die Rolle, die sie braucht; Administratoren sichern ihr Konto mit Zwei-Faktor-Authentifizierung.
Tägliche externe Backups: Wenn doch etwas passiert, ist die Website schnell wiederhergestellt. Mehr dazu in unserem Beitrag zur Backup-Strategie.

Automatische Updates: Lösung oder Risiko?

Seit WordPress 5.5 lassen sich automatische Updates für einzelne Plugins aktivieren. Für die Sicherheit ist das ein Gewinn, weil Lücken ohne Verzögerung geschlossen werden. Das Risiko: Ein fehlerhaftes Update kann Layout, Formulare oder den Checkout eines Shops lahmlegen, ohne dass es jemand bemerkt. Für einfache Websites sind automatische Updates mit Monitoring meist sinnvoll. Bei Shops und geschäftskritischen Seiten empfehlen wir kontrollierte Updates mit Test auf einer Staging-Umgebung. Wie wir dabei vorgehen, lesen Sie auf der Seite WordPress Updates.

Was tun, wenn eine Lücke bereits ausgenutzt wurde?

Alle Passwörter ändern: WordPress-Konten, Datenbank, FTP/SFTP und Hosting.
Unbekannte Administrator-Konten und verdächtige Dateien identifizieren.
Schadcode aus Dateien und Datenbank entfernen oder ein sauberes Backup einspielen.
Die ausgenutzte Lücke durch ein Update oder das Entfernen des Plugins schließen.
In der Google Search Console prüfen, ob Sicherheitswarnungen vorliegen.

Wenn Sie unsicher sind, holen Sie sich Unterstützung: Unser Service bei gehackten WordPress-Websites entfernt Malware und schließt die Ursache.

Häufige Fragen zu Plugin-Sicherheitslücken

Ist WordPress grundsätzlich unsicher?

Nein. Der WordPress-Kern gilt als gut gepflegt und wird schnell aktualisiert. Die allermeisten erfolgreichen Angriffe nutzen veraltete Plugins oder Themes, schwache Passwörter oder unsicheres Hosting aus – also Punkte, die sich durch regelmäßige Wartung beheben lassen.

Wie oft sollte ich meine Plugins aktualisieren?

Sicherheitsupdates sollten innerhalb von ein bis zwei Tagen eingespielt werden. Alle anderen Updates prüfen Sie mindestens einmal pro Woche. Vor jedem Update sollte ein aktuelles Backup vorhanden sein.

Reicht ein Sicherheits-Plugin als Schutz aus?

Ein Sicherheits-Plugin mit Firewall und Scanner ist ein wichtiger Baustein, ersetzt aber keine Updates. Es kann Angriffe erschweren, eine verwundbare Plugin-Version bleibt jedoch verwundbar, bis sie aktualisiert oder entfernt wird.

Sind Premium-Plugins sicherer als kostenlose Plugins?

Nicht automatisch. Entscheidend ist, wie aktiv ein Plugin gepflegt wird und wie schnell der Hersteller auf gemeldete Lücken reagiert. Premium-Plugins ohne gültige Lizenz sind besonders riskant, weil sie keine Updates mehr erhalten.

Wie erfahre ich, ob ein installiertes Plugin eine bekannte Lücke hat?

Öffentliche Schwachstellen-Datenbanken wie WPScan, Patchstack oder Wordfence Intelligence listen bekannte Lücken nach Plugin und Version. Einfacher ist ein automatischer Scan – oder unser kostenloser WordPress Sicherheits-Check.

Fazit

Plugin-Schwachstellen sind das mit Abstand häufigste Einfallstor für Angriffe auf WordPress. Die gute Nachricht: Für fast jede ausgenutzte Lücke gab es vorher ein Update. Mit zeitnahen Updates, einer schlanken Plugin-Auswahl, laufender Überwachung und täglichen Backups ist Ihre Website gegen die allermeisten Angriffe geschützt. Wenn Sie diese Aufgaben abgeben möchten, übernimmt unsere WordPress Wartung sie ab 39 € im Monat.

Updates, Backups und Sicherheit – von uns übernommen

Ab 39 € pro Monat, monatlich kündbar, hostingunabhängig.

Jetzt Wartung starten Kostenlose Beratung