Auch eine kleine WordPress-Website muss nicht gezielt ausgewählt werden, um angegriffen zu werden. Automatisierte Systeme können das Internet großflächig nach bekannten Schwachstellen durchsuchen. Entscheidend ist daher oft weniger, wie groß oder bekannt eine Website ist, sondern ob sie verwundbar ist.
Der Bedarf nach WordPress-Sicherheit hat sich dramatisch verändert
Früher stellte man sich in Punkto WordPress-Sicherheit vielleicht noch die Frage: „Warum sollte jemand gerade meine kleine Website angreifen?“ Heute ist die wesentlich relevantere Frage: „Was passiert, wenn ein automatisiertes System Millionen Websites nach genau dieser Schwachstelle durchsucht, die auch vielleicht meine Website betrifft?“
Meine Website ist doch viel zu klein, um für Cyberkriminelle interessant zu sein
Diese Überlegung ist nachvollziehbar. Ein regionales Unternehmen, ein kleiner Dienstleister oder eine überschaubare Firmenwebsite scheint auf den ersten Blick kein besonders attraktives Ziel zu sein. Doch genau hier hat sich die Art vieler Angriffe verändert. Eine Website muss heute nicht mehr persönlich ausgewählt werden, um angegriffen zu werden.
Viele Angriffe funktionieren automatisiert. Dabei wird nicht zuerst entschieden, welches Unternehmen angegriffen werden soll. Stattdessen suchen automatisierte Systeme nach Websites, die bestimmte technische Merkmale oder bekannte Schwachstellen aufweisen und daher leicht anzugreifen sind.
Nicht der Mensch sucht – die Software sucht
Ich möchte an dieser Stelle die Gelegenheit nutzen das Prinzip so einfach wie nur möglich zu erklären, zum Beispiel mit einer Analogie: Ein Einbrecher sucht sich ein bestimmtes Haus aus. Stellen Sie sich stattdessen ein System vor, das automatisch eine ganze Stadt entlangfährt und bei jedem Haus überprüft, ob eine Tür offen steht. Übertragen auf Websites bedeutet das, dass eine bekannte Schwachstelle (offene Haustüre) öffentlich vom System wahrgenommen wird. Es wird klar, welche Software-Versionen betroffen sind. Automatisierte Systeme prüfen in kurzer Zeit große Mengen von Websites. Verwundbare Systeme können nach dieser Prüfung schnell und sehr gezielt angegriffen werden.
Patchstack berichtet darüber hinaus, dass im ersten Halbjahr 2025 mehr als die Hälfte der untersuchten WordPress-Schwachstellen ohne vorherige Anmeldung (WordPress-Login) ausnutzbar waren und sich deshalb grundsätzlich für automatisierte Angriffe eignen können.
WordPress-Sicherheitsdaten aus dem Jahr 2025 - 2026
Aktuelle WordPress-Sicherheitsdaten stützen diese Einordnung der Situation rund um WordPress-Websites und deren Sicherheit. Patchstack berichtete rückblickend auf das Jahr 2025 von 11.334 neu gefundenen Schwachstellen im WordPress-Ökosystem. 17 % dieser Schwachstellen (weitere Infos dazu siehe weiter unten im Beitrag) wurden als besonders relevant für automatisierte Angriffe im großen Maßstab eingestuft. In einem groß angelegten Test beliebter Webhosting-Unternehmen wurden nur 26 % aller Schwachstellenangriffe serverseitig (die erste Verteidigungslinie) blockiert.
Regelmäßige Updates sind eine wichtige Sicherheitsmaßnahme, aber sie sind nur ein Teil einer mehrschichtigen Sicherheitsstrategie. Da Angreifer innerhalb weniger Stunden neue Schwachstellen (gerne ausgelöst durch neue Updates) identifizieren und schnell ausnutzen, ist dies dauerhaft keine praktikable und verlässliche Verteidigung.
Es gibt allerdings reaktive Lösungen, wie zum Beispiel Malware-Erkennung und rasche Bereinigung. Das WordPress-Ökosystem war bislang viel zu sehr darauf angewiesen, Sicherheit als etwas zu behandeln, um „Post-Boom“ (erst nach dem Angriff zu handeln: reparieren, wiederherstellen, …) zu beheben, aber Angreifer entwickeln sich weiter, ebenso wie ihre Malware.
Was nun durch Patchstack und Monarx ermittelt wurde, ist die Erkenntnis, dass Angreifer in ihren Methoden strategischer und ausgefeilter werden. Malware wird immer schwieriger zu finden und noch schwieriger zu entfernen.
Im Jahr 2025 wurden insgesamt 11.334 neue Sicherheits-Schwachstellen im WordPress-Ökosystem gefunden
Das ist ein Anstieg von 42% im Vergleich zum Jahr 2024. Von allen gefundenen neuen Schwachstellen stellten 4.124 (36%) eine tatsächliche Bedrohung dar und waren schwerwiegend genug, um RapidMitigate-Schutzregeln erforderlich zu machen. 1.966 WordPress-Sicherheitslücken (17%) hatten einen hohen Schweregrad und wurden von Patchstack als besonders relevant für eine mögliche Ausnutzung in automatisierten Angriffen im großen Maßstab eingestuft.
Kleine Websites sind nicht unbedingt das Ziel, aber Teil der Masse
Eine kleine WordPress-Website wird nicht zwangsläufig gezielt ausgewählt, weil das Unternehmen selbst interessant ist. Die Website kann lediglich ein kleiner Teil einer großen Menge von Websites sein, die automatisiert auf bekannte Schwachstellen geprüft werden.
Für ein automatisiertes System spielt es keine Rolle, ob eine Website zu einem internationalen Konzern oder zu einem kleinen regionalen Unternehmen gehört. Entscheidend kann allein sein, ob eine bekannte Schwachstelle vorhanden ist. Das ist für ein automatisiertes System Grund genug um anzugreifen, nach dem Motto „alles erobern was möglich ist“.
Warum überhaupt eine kleine WordPress-Website angreifen?
Viele Menschen denken: „Aber was soll ein Angreifer denn mit meiner Website anfangen?“
Die Antwort kann beunruhigend sein. Die Website selbst muss erst gar nicht das eigentliche Ziel sein. Eine kompromittierte Website kann beispielsweise missbraucht werden für:
- Spam und Versand unerwünschter Nachrichten
- Manipulierte oder unerwünschte Inhalte
- Weiterleitungen auf betrügerische Webseiten
- Hosting von Phishing-Inhalten
- Verbreitung von Schadsoftware
- SEO-Spam und Manipulation von Suchergebnissen
- oder als Teil einer größeren kriminellen (oftmals unentdeckten) Infrastruktur.
Fakt ist: Eine Website kann für Angreifer als technische Ressource sehr wertvoll sein, auch wenn das dahinterstehende Unternehmen selbst kein besonders attraktives Ziel darstellt.
Beispiele, die reale Bedrohungen auch für kleine Websites darstellen können
Website-Kidnapping
Unter dem Titel Website-Kidnapping hat die WKO bereits im Jahr 2025 einen interessanten Beitrag veröffentlicht, in welchem die Problematik speziell auch für KMUs erklärt wird. Seriöse Unternehmens-Websites werden angegriffen, um betrügerische Weiterleitungen auf Fake-Shops, pornografische Inhalte oder Ähnliches zu platzieren. Die dramatische Begleiterscheinung ist, dass Betreiber der eigenen Website oft gar nichts von einer Manipulation, die im Verborgenen stattfindet, mitbekommen. Daher bleibt der Missbrauch auch oft lange Zeit unbemerkt.
Nun kann es beispielsweise der Fall sein, dass die kompromittierte Firmen-Website, die auch eine Marke repräsentiert, in Suchmaschinen zu unerwünschten Suchbegriffen erscheint und damit in ein rufschädliches Licht gerückt wird. Mit dem Klick auf das jeweilige Sucherergebnis könnten Interessenten dann auf einen Fake-Shop umgeleitet werden. Was bleibt, ist die Schädigung des renommierten Firmen-Rufes. Denn neben „Anabole Steroide online kaufen“ steht in den Suchergebnissen der Name Ihrer Website.
Nun empfiehlt auch die WKO, dass Ihr CMS sowie alle installierten Plugins stets auf dem neuesten Stand sind. Regelmäßige Updates schließen Sicherheitslücken und verringern das Risiko eines Angriffs.
Missbrauch unter dem Deckmantel des Urheberrechts
Ein denkbares Missbrauchsszenario könnte auch darin bestehen, dass Angreifer ohne Wissen des Website-Betreibers Inhalte auf einer kompromittierten Website veröffentlichen. Sollte daraus anschließend ein rechtlicher oder finanzieller Konflikt entstehen, kann die technische Dokumentation einer möglichen Kompromittierung für die Aufklärung des Vorfalls von großer Bedeutung sein.
Unter dem Deckmantel des Urheberrechts könnte beispielsweise der Fall passieren, dass kriminelle Individuen vermeintlich urheberrechtliches Bildmaterial auf einer kleinen, gehackten Website hochladen und heimlich veröffentlichen, ohne dass es der unwissende Website-Betreiber mitbekommt. Nun könnte ein Komplize – der vermeintliche Urheber – den Betreiber der kleinen Website kontaktieren und einen erheblichen Geldbetrag für das Veröffentlichen des Bildmaterials unter dem Deckmantel des Urheberrechts verlangen.
Ohne entsprechende sicherheitsrelevante Vorkehrungen und Fachkenntnis fehlt dem kleinen Website-Betreiber eventuell jegliche Möglichkeit um seine Unschuld zu beweisen, da er keine Informationen dazu hat und auch nicht weiß wie das Bildmaterial überhaupt auf seine Website gelangt ist. Aus Angst vor noch härteren Androhungen und im Zweifelsfall bezahlen die Opfer oftmals ohne echte rechtliche Grundlage die Schadenersatzforderung. Das ist einerseits verständlich, aber auf der anderen Seite ein Signal für jene Straftäter, die sich damit nicht nur ein gutes Zusatzeinkommen verschaffen, sondern auch ungeschoren damit durchkommen.
Sind WordPress Sicherheitslücken tatsächlich häufiger geworden?
Die Entwicklung im WordPress-Ökosystem ist deutlich zu erkennen. Im Jahr 2024 wurden laut Patchstack rund 7.966 Schwachstellen erfasst. Im Jahr 2025 waren es 11.334 Schwachstellen, also rund 42 % mehr als im Jahr zuvor. Aber Vorsicht: mehr entdeckte Schwachstellen bedeutet nicht automatisch, dass WordPress plötzlich massiv unsicherer geworden ist. Auch die Sicherheitsforschung und Entwicklung zur Verteidigung ist professioneller geworden.
Wordfence weist beispielsweise darauf hin, dass die höhere Zahl veröffentlichter Schwachstellen auch mit verstärkter Sicherheitsforschung und Bug-Bounty-Programmen zusammenhängt. Im Jahr 2024 wurden dort 8.223 Schwachstellen dokumentiert, rund 68 % mehr als im Jahr 2023.
Wir sehen heute mehr Software Sicherheitsprobleme, weil es teilweise mehr komplexe Software gibt und weil teilweise besser und intensiver danach gesucht werden kann.
Die eigentliche Herausforderung für Website-Betreiber: Zeit
Nicht nur ob ein Update kommt, ist entscheidend, sondern wie schnell reagiert werden kann. Denn sobald eine Schwachstelle bekannt wird, beginnt ein Wettlauf zwischen dem Entwickler (der für das Sicherheitsupdate zuständig ist), dem Website-Betreiber (der das Update auf seiner Website installieren „lassen“ muss) und möglicherweise dem Angreifer (automatisierte Suche nach verwundbaren Websites).
Wer macht das Rennen?
Wenn Angreifer eine bekannte Schwachstelle ausnutzen können, bevor ein Sicherheitsupdate installiert oder andere Schutzmaßnahmen wirksam werden, kann sich das Risiko einer Kompromittierung deutlich erhöhen. Wird eine Website tatsächlich infiziert, kann die anschließende Analyse, Bereinigung und Wiederherstellung je nach Art und Umfang des Angriffs erheblichen Aufwand verursachen. Bis eine infizierte Website wieder sauber ist (falls das überhaupt dann noch möglich ist) können Wochen vergehen. Die Rettung von WordPress-Websites ist ein Thema für sich, bei welchem sich oft die Frage stellt ob ein kompletter Relaunch die bessere Option darstellt.
Ein Update ist nicht einfach eine lästige technische Meldung und Updates sind keine 100%ige Sicherheitsgarantie
Ich persönlich nehme das Thema „WordPress Updates“ sehr ernst und bin grundsätzlich der Meinung, dass automatisierte Update-Prozesse immer wieder zu Problemen führen können, die man als Website-Bertreiber lieber nicht haben will. Automatisierte Updates können in vielen Fällen durchaus sinnvoll sein und helfen, bekannte Sicherheitslücken schneller zu schließen. Bei individuell aufgebauten oder komplexeren Websites können Updates jedoch auch Auswirkungen auf Plugins, Themes und andere technische Komponenten haben. Deshalb ist es wichtig, für jede Website eine passende Update-Strategie zu wählen und die Funktionsfähigkeit des Gesamtsystems im Blick zu behalten.
Genauso bin ich der Meinung, dass schnelles Updaten (One-Klick-Update) im WordPress-Backend auch nicht unbedingt der richtige Weg ist, um die eigene Website sicher und up2date zu halten. Viel wichtiger ist eine solide Strategie, wie man mit WordPress Updates im Allgemeinen umgeht. Hier kommt mein WordPress Website Service zum Einsatz. Mit diesem Service biete ich Unternehmen und ihren WordPress Websites einen soliden und schnellen Update-Service, der so rasch wie möglich Sicherheitslücken durch verfügbare Sicherheitsupdates schließt.
Manchmal verkürzt ein Sicherheitsupdate schlicht aber auch nur das Zeitfenster, in dem eine bekannte Schwachstelle auf einer Website offen bleibt. Daher ist auch mein Service keine 100%ige Sicherheitsgarantie, jedoch reduziere ich die Gefahr erheblich.
Aktuelle Wordfence-Daten zeigen die Dimension automatisierter Aktivitäten sehr deutlich. Allein im 4. Quartal 2025 wurden in dem von Wordfence beobachteten Netzwerk 9,1 Milliarden verdächtige Anfragen durch Web Application Firewalls blockiert und 13,8 Milliarden Brute-Force-Angriffe abgewehrt. Das sind keine Zahlen für „kleine Websites allein“, aber sie zeigen, wie stark automatisiert Angriffe im WordPress-Ökosystem stattfinden können.
Die meisten Schwachstellen liegen nicht im WordPress-Core
An dieser Stelle möchte ich unbedingt vermeiden, dass der Eindruck erweckt wird, WordPress als System sei unsicher. Das stimmt so nicht, denn mit diesem Thema haben alle Software-Systeme, die vom Internet abhängig sind, zu kämpfen. WordPress ist grundsätzlich ein sehr sicheres CMS-System und es wird ständig an der Sicherheit gearbeitet. Der steigende Sicherheitsaufwand lässt sich nicht auf WordPress oder ein einzelnes Software-System reduzieren. Er hängt vielmehr mit der zunehmenden Komplexität moderner Software, der großen Zahl an Drittanbieter-Komponenten, intensiverer Sicherheitsforschung und der zunehmenden Automatisierung von Angriffen zusammen.
Patchstack ordnete beispielsweise im Jahr 2025 rund 91 % der dort erfassten WordPress-Schwachstellen Plugins zu, etwa 9 % Themes und nur einen sehr kleinen Anteil dem WordPress-Core selbst. Die Sicherheit von WordPress ist heute nicht nur eine Frage des WordPress-Grundsystems. Entscheidend ist das gesamte Ökosystem aus Plugins, Themes und weiteren technischen Komponenten, sowie dem persönlichen Umgang mit der eigenen Website. Die menschliche Komponente (meistens wegen fachlicher Mängel, Unwissen) trägt leider auch einen nicht unwesentlichen Beitrag dazu bei. Daher zahlt es sich aus, im Bedarfsfall eine WordPress Schulung in Anspruch zu nehmen.
Sicherheitslücken und automatisierte Angriffe existieren
Die Tatsache, dass Sicherheitslücken und automatisierte Angriffe existieren, bedeutet nicht, dass jede Website zwangsläufig kompromittiert wird. Sie zeigt aber, warum eine Website nicht über Jahre hinweg unverändert bleiben sollte. Regelmäßige Updates, Sicherheitsmaßnahmen und eine laufende technische Betreuung reduzieren bekannte Risiken und sorgen dafür, dass notwendige Maßnahmen möglichst zeitnah umgesetzt werden können. Genau deshalb gehört die laufende Aktualisierung und technische Betreuung bei meinen betreuten WordPress-Websites zum festen Bestandteil des Website-Betriebs.
Häufige Fragen zur Sicherheit von WordPress
Warum sollte jemand eine kleine WordPress-Website angreifen?
Die kleine WordPress-Website selbst muss erst gar nicht das eigentliche Ziel sein um dennoch interessant für Cyberangriffe zu sein. Eine kompromittierte Website kann beispielsweise missbraucht werden für:
- Spam und dessen Versand
- Manipulierte Inhalte und Verlinkungen
- Weiterleitungen auf betrügerische Webseiten
- Hosting von Phishing-Content
- Verbreitung von Schadsoftware
- SEO-Spam und Manipulation von Suchergebnissen
- oder als Teil einer größeren kriminellen Infrastruktur.
Eine Website kann für Angreifer als technische Ressource sehr wertvoll sein, auch wenn das dahinterstehende Unternehmen selbst kein besonders attraktives Ziel darstellt.
Werden kleine Websites gezielt von Cyberkriminellen ausgesucht?
Grundsätzlich kann das im Einzelfall mit Begründung (Motiv) natürlich vorkommen, aber in der Regel sind kleine Websites für Cyberkriminelle und gezielte Angriffe eher uninteressant. Hier muss man aber unterscheiden zwischen Hackern (Personen) und automatisierten Cyberangriffen, für die kleine Websites ein gefundenes Fressen darstellen können. Insofern sind kleine Websites für großflächige automatisierte Angriffe auf viele Websites tatsächlich interessant.
Reicht es aus, WordPress regelmäßig zu aktualisieren?
Nein. Updates sind wichtig, aber nur ein Teil einer Sicherheitsstrategie.
Sind WordPress-Websites grundsätzlich unsicher?
Nein. WordPress selbst ist nicht grundsätzlich unsicher. Relevant ist das gesamte Ökosystem inklusive Plugins, Themes, Konfiguration und Nutzerverhalten.
Was passiert, wenn eine WordPress Sicherheitslücke bekannt wird?
Sobald eine Schwachstelle bekannt wird, beginnt ein Wettlauf zwischen dem Entwickler, dem Website-Betreiber und dem Angreifer. Wenn Angreifer eine bekannte Schwachstelle ausnutzen können, bevor ein Sicherheitsupdate installiert oder andere Schutzmaßnahmen wirksam werden, kann sich das Risiko einer Kompromittierung deutlich erhöhen. Wird eine Website tatsächlich infiziert, kann die anschließende Analyse, Bereinigung und Wiederherstellung je nach Art und Umfang des Angriffs erheblichen Aufwand verursachen.
Wie schnell sollten WordPress Sicherheitsupdates installiert werden?
So rasch wie es unter Berücksichtigung der Schwere der Schwachstelle, der Verfügbarkeit eines Updates und der jeweiligen Website sinnvoll und möglich ist.
Bedeutet ein aktuelles WordPress-System, dass meine Website zu 100 % sicher ist?
Nein. Absolute Sicherheit gibt es nicht. Updates reduzieren bekannte Risiken und schließen bekannte Schwachstellen, können aber keinen Schutz gegen jedes denkbare Sicherheitsproblem garantieren.
Weitere Fragen?
Wenn Sie Fragen zu diesem speziellen WordPress-Thema haben, dann stehe ich Ihnen gerne beratend zur Verfügung. Senden Sie mir bitte einfach Ihre unverbindliche Anfrage.
