WordPress betreibt einen erheblichen Teil des Webs, und das macht es zum lohnendsten Ziel überhaupt. Nur: Die meisten kompromittierten Seiten fallen nicht durch einen gezielten Angriff. Sie fallen durch automatisierte Scanner, die das ganze Netz nach bekannten Lücken absuchen — und fündig werden, weil ein Plugin seit Monaten kein Update bekommen hat.
Das ist eine gute Nachricht: Wer die Grundlagen im Griff hat, ist für die überwiegende Mehrheit dieser Angriffe kein Ziel mehr.
Wo die Risiken tatsächlich liegen
Plugins und Themes, nicht der Kern
Der WordPress-Kern selbst ist gut gepflegt und bekommt Sicherheitsupdates zügig. Die Einfallstore sind fast immer Erweiterungen.
Ein durchschnittlicher Unternehmensauftritt läuft mit fünfzehn bis dreißig Plugins. Jedes davon ist Code von einem fremden Autor, mit eigenem Wartungsstand. Manche werden seit Jahren nicht mehr weiterentwickelt — sie funktionieren noch, deshalb fällt es nicht auf.
Das größte Risiko sind nicht die Plugins, die Sie kennen, sondern die, an die niemand mehr denkt. Das Formular-Plugin von einer Kampagne vor drei Jahren. Der Slider, der nur noch auf einer Unterseite läuft. Der Import-Helfer, der nach der Migration installiert blieb.
Nulled Themes
Kostenlose Kopien kostenpflichtiger Themes aus zweifelhaften Quellen sind praktisch immer manipuliert. Das ist keine Vermutung, das ist das Geschäftsmodell dahinter. Wenn ein Theme, das regulär Geld kostet, irgendwo gratis liegt, zahlen Sie mit Ihrer Website.
Zugänge
Ein Administratorkonto mit dem Benutzernamen admin und einem schwachen Passwort ist in Minuten geknackt. Dazu kommen Konten, die nach dem Ausscheiden von Mitarbeitern oder Dienstleistern nie gelöscht wurden.
Veraltetes PHP
Läuft die Seite auf einer PHP-Version, die keine Sicherheitsupdates mehr bekommt, hilft das beste WordPress-Update wenig. Das kommt häufiger vor, als man denkt, weil ein Update der PHP-Version das Risiko birgt, dass ein altes Plugin nicht mehr läuft — und deshalb aufgeschoben wird.
Was Wartung konkret umfassen muss
"Wartung inklusive" steht in vielen Angeboten. Was gemeint ist, unterscheidet sich erheblich. Ein tragfähiger Wartungsumfang enthält mindestens:
Regelmäßige Updates mit Test. Kern, Plugins, Themes — und zwar in einem Rhythmus, nicht wenn jemand daran denkt. Wichtig ist der zweite Teil: Updates werden vorher auf einer Testumgebung eingespielt. Ein Plugin-Update, das den Checkout zerlegt, ist kein theoretisches Szenario.
Backups, die getestet sind. Ein Backup, das nie zurückgespielt wurde, ist eine Hoffnung, kein Backup. Wichtig sind Aufbewahrungsdauer und Speicherort: Ein Backup, das auf demselben Server liegt, ist bei einer Kompromittierung genauso betroffen.
Erreichbarkeitsüberwachung. Sie sollten nicht von einem Kunden erfahren, dass die Seite seit dem Wochenende offline ist.
PHP- und Serverpflege. Gehört dazu, auch wenn es unsichtbar ist.
Ein definierter Ablauf im Ernstfall. Wen rufen Sie an, wie schnell wird reagiert, wer entscheidet über eine Wiederherstellung?
Woran Sie eine kompromittierte Seite erkennen
Moderne Kompromittierungen zerstören selten etwas — sie wollen unbemerkt bleiben. Typische Zeichen:
- In den Suchergebnissen erscheinen zu Ihrer Domain plötzlich fremde Seiten, oft zu Pharmazie, Glücksspiel oder Finanzthemen
- Google Search Console meldet Seiten, die Sie nie angelegt haben
- Die Seite ist ohne erkennbaren Grund deutlich langsamer geworden
- Besucher berichten von Weiterleitungen, die Sie selbst nicht reproduzieren können — häufig wird nur bei mobilen Geräten oder nur bei Besuchern aus Suchmaschinen umgeleitet
- Es gibt Administratorkonten, die niemand angelegt hat
- Der Hoster meldet auffälligen Mailversand
Der vorletzte Punkt ist der heimtückischste: Weil Sie als eingeloggter Nutzer nichts merken, kann so etwas monatelang laufen, während Ihre Domain in den Suchergebnissen abgestraft wird.
Was im Ernstfall zu tun ist
- Seite offline nehmen oder in den Wartungsmodus. Solange sie erreichbar ist, verteilt sie möglicherweise Schadcode weiter.
- Passwörter ändern — WordPress-Konten, FTP/SSH, Datenbank, Hosting-Panel.
- Nicht einfach das Backup zurückspielen. Wenn Sie nicht wissen, wann die Kompromittierung stattfand, spielen Sie den Angreifer möglicherweise wieder ein. Zuerst klären, seit wann.
- Ursache finden. Ohne das passiert es wieder. Serverlogs, Dateiänderungszeiten, unbekannte Dateien in Upload-Verzeichnissen.
- Erst dann bereinigen und wieder online nehmen.
- Bei Google eine Überprüfung beantragen, falls die Seite als schädlich markiert wurde.
Schritt 3 ist der, bei dem am meisten Zeit verloren geht — weil der Reflex ist, schnell wiederherzustellen.
Wann WordPress nicht mehr die richtige Grundlage ist
WordPress ist ein solides System für inhaltsgetriebene Websites. Es wird zum Problem, wenn es zweckentfremdet wird: als Basis für komplexe Anwendungslogik, mit zwanzig Plugins, die Funktionen nachrüsten, für die das System nicht gedacht war.
Ein Anhaltspunkt: Wenn ein wesentlicher Teil Ihrer Geschäftslogik in Plugin-Einstellungen steckt und niemand mehr sicher sagen kann, welches Plugin wofür zuständig ist, sind Sie an dieser Grenze. Dann ist jedes Update ein Risiko, und die Wartung wird teurer als eine eigenständige Lösung.
Das ist kein Argument gegen WordPress. Es ist ein Argument dafür, ehrlich zu prüfen, ob das eingesetzte Werkzeug noch zur Aufgabe passt.
Wenn Sie nicht wissen, in welchem Zustand Ihre Installation ist — welche Plugins laufen, wie alt sie sind, ob Backups funktionieren — sehen wir uns das gerne an und sagen Ihnen, was dringend ist und was warten kann.
