WordPress-Sicherheit: Warum ich WordPress nicht mehr mit gutem Gewissen empfehle

Ich habe WordPress selbst verkauft

Bevor ich gegen etwas schreibe, muss ich etwas gestehen. Ab 2020 habe ich die Websites meiner Kunden mit WordPress gebaut, zuerst mit Elementor. Damit habe ich lange gearbeitet und als Einziger in Österreich eine Auszeichnung der Elementor-Community bekommen. Später bin ich auf Bricks umgestiegen, weil Bricks weniger Divception hatte, also weniger Kästen in Kästen in Kästen, und die Seiten schneller und sauberer ausgeliefert hat. Auf meinen Unterlagen von 2023 stand „Wartung & Security“, und meine eigene Website lief bis Oktober 2026 auf WordPress. Wer hier also einen Ex-Raucher vermutet, der auf dem Balkon anderen die Zigarette aus der Hand nimmt: ungefähr so, ja.

Ich schreibe es trotzdem, oder gerade deshalb. Ich kenne beide Seiten. Das gute Gefühl, wenn ein Kunde seine Seite selbst pflegen kann. Und den Moment, in dem man ein Plugin-Update einspielt und hofft, dass danach noch alles steht.

Lange galt dabei eine Regel: WordPress selbst ist ordentlich gebaut, die Probleme stecken in den Erweiterungen und in der Art, wie solche Seiten gebaut und danach liegen gelassen werden. Für 2025 stimmt das noch, da hat Patchstack im Kern 6 Lücken gezählt, alle mit niedriger Priorität. Für diesen Herbst stimmt es nicht mehr. Dazu kommt eine Zahl, die WordPress für Angreifer sehr bequem macht.

Vier von zehn Websites: warum Angreifer bei WordPress anfangen

Laut W3Techs läuft WordPress im Oktober 2026 auf 40,1 Prozent aller Websites. Unter den Seiten mit erkennbarem Redaktionssystem sind es 58,6 Prozent. Der Anteil sinkt seit Monaten leicht, er ist trotzdem mehr als siebenmal so groß wie der von Shopify auf Platz zwei.

Angreifer rechnen wie jeder andere Betrieb. Eine Lücke in einem verbreiteten Plugin öffnet nicht eine Tür, sondern jede, hinter der dieses Plugin installiert ist. Niemand sucht dabei gezielt nach deiner Seite. Programme gehen das Netz Adresse für Adresse ab und stellen überall dieselbe Frage: Läuft hier Plugin X in Version Y? Wenn ja, wird es probiert. Ohne Termin, ohne Feierabend.

Wie viel da läuft, zeigt Wordfence, ein Anbieter von Sicherheits-Plugins für WordPress. Im zweiten Quartal 2026 hat seine Firewall auf den geschützten Seiten 18,2 Milliarden Angriffe auf Passwörter abgewehrt, umgerechnet rund 200 Millionen am Tag. Dazu kommen 10,4 Milliarden Anfragen, die seine Firewall-Regeln abgefangen oder protokolliert haben, und 573.000 Seiten, auf denen der Scanner Schadcode gefunden hat.

Das Problem ist nicht WordPress, sondern was daneben installiert ist

Patchstack sammelt und koordiniert Meldungen zu Lücken in WordPress-Erweiterungen. Für 2025 hat das Unternehmen 11.334 neue Schwachstellen gezählt, 42 Prozent mehr als im Jahr davor. 91 Prozent davon steckten in Plugins, 9 Prozent in Themes. 1.966 waren so schwer, dass sie als Kandidaten für automatisierte Angriffe in großem Stil gelten. Von diesen gefährlichen Lücken gab es 2025 mehr als in den beiden Jahren davor zusammen.

Ruhiger wird es 2026 nicht. Wordfence veröffentlicht jede Woche, was neu in seiner Datenbank gelandet ist. In drei Wochen zwischen September und Oktober 2026 waren es 1.181 Lücken, allein in einer dieser Wochen 501 in 367 Plugins und 9 Themes. Für 52 davon gab es zu dem Zeitpunkt noch kein Update.

Jedes Plugin ist Code einer anderen Firma, der auf deinem Server mit denselben Rechten läuft wie WordPress selbst. Bei einer Firmenseite kommt einiges zusammen: ein Seitenbaukasten, ein Formular, eines für SEO, eines für das Cookie-Banner, ein Slider, eine Galerie, ein Backup, ein Cache. Und für jedes Problem, das eines davon macht, noch eines.

Bezahlt heißt dabei nicht sicher. Bei Premium-Erweiterungen waren laut Patchstack 76 Prozent der gefundenen Lücken ausnutzbar, und es gab dort dreimal so viele Lücken, die nachweislich angegriffen wurden, wie bei kostenlosen.

Dann sind da die Plugins, um die sich niemand mehr kümmert. Viele Erweiterungen hat einmal jemand geschrieben, der heute etwas anderes macht. Die Lücke bleibt, das Update kommt nie. 2024 hat das offizielle Verzeichnis laut Patchstack 1.614 Plugins und Themes wegen ungepatchter Sicherheitslücken entfernt, 1.450 davon mit Lücken hoher oder mittlerer Priorität. Das Unangenehme daran: Wer so ein Plugin installiert hat, bekommt im Backend keinen Hinweis. Es verschwindet aus dem Verzeichnis und läuft auf deiner Seite einfach weiter.

Für ältere Seiten ist das besonders heikel. Je länger eine Seite läuft und je weniger professionell sie gebaut und gewartet wurde, desto wahrscheinlicher steckt so ein verwaistes Plugin darin. Oft sogar eines, das niemand mehr bewusst nutzt.

Und sauber heißt auch nicht sicher. Bricks, auf das ich wegen des saubereren Codes umgestiegen bin, hatte im Februar 2024 eine Lücke mit der Bewertung 9,8 von 10: Bis Version 1.9.6 konnten Angreifer ohne Anmeldung eigenen Code auf dem Server ausführen. Behoben war sie mit 1.9.6.1. Wer das Update nicht eingespielt hatte, hatte ein offenes Fenster mit sehr gutem Code drumherum.

Manchmal kommt der Angriff gleich mit dem Update. Im Juni 2024 steckte Schadcode in Plugins aus dem offiziellen WordPress-Verzeichnis. Bemerkt hat es zuerst das Plugin-Team von WordPress, Wordfence fand danach vier weitere betroffene Plugins, fünf insgesamt. Wer brav aktualisiert hatte, bekam den Schadcode frei Haus. Wordfence riet danach, die Liste der Administratoren auf Konten zu prüfen, die dort nicht hingehören.

19 Sicherheitskorrekturen im Kern in 19 Tagen

Jetzt zu diesem Herbst. Im September 2026 erschien WordPress 7.1.1 mit 11 Sicherheitskorrekturen. Fünf Tage später kam 7.1.2 hinterher, nur wegen einer einzigen Lücke, die das Sicherheitsteam von WordPress als kritisch einstuft. Anfang Oktober folgte 7.1.3 mit 7 weiteren. Macht 19 Sicherheitskorrekturen im Kern in 19 Tagen.

Die Lücke aus 7.1.2 steckte seit Version 4.7 im Kern, also seit Ende 2016, und ließ sich ohne Anmeldung ausnutzen. Patchstack bewertet sie mit 9,2 von 10. Noch am Tag des Updates sah Patchstack die ersten Angriffsversuche und wenige Stunden später den ersten Versuch, über die Lücke eine Datei auf den Server zu schreiben. Einen Tag später lief mehr als zehnmal so viel Angriffsverkehr wie am ersten Abend, und fertige Werkzeuge zum Scannen waren im Umlauf.

Fairerweise: Das Sicherheitsteam hat die Korrektur bis zurück zu Version 4.7 nachgeliefert, und kleine Sicherheitsupdates spielt WordPress von sich aus automatisch ein. Das hilft, solange niemand die automatischen Updates abgeschaltet hat, aus Angst, dass etwas kaputtgeht. Wer sich auf die kostenlose Version von Wordfence verlässt, bekommt die passende Firewall-Regel erst 30 Tage später. Zahlende Kunden hatten sie am Tag des Updates.

Bemerkenswert ist, wer die Lücken in 7.1.3 gemeldet hat: drei davon Anthropic, eine Trail of Bits zusammen mit OpenAI. KI findet Lücken jetzt im Kern einer Software, die seit über zwanzig Jahren gepflegt wird. Für die Verteidiger ist das gut. Patchstack schreibt allerdings auch, dass Angreifer zunehmend mit KI arbeiten, die Lücken selbstständig findet und ausnutzt. Die Werkzeuge, mit denen ich heute Websites schneller baue, helfen auch der anderen Seite.

Fünf Stunden gegen einen Wartungstermin im Monat

Die Zahl, bei der ich beim Lesen kurz aufgehört habe zu scrollen, steht im Jahresbericht von Patchstack für 2025. Bei Lücken, die massenhaft ausgenutzt werden, vergehen vom Bekanntwerden bis zum Angriff im gewichteten Mittel 5 Stunden. Etwa die Hälfte der folgenreichen Lücken wird innerhalb von 24 Stunden angegriffen. Die Lücke im Kern vom September hat gezeigt, dass das keine Statistik von gestern ist.

Dazu kommt: 46 Prozent der Lücken hatten zum Zeitpunkt der Veröffentlichung noch kein Update vom Hersteller. Die Beschreibung, wie man hineinkommt, ist dann öffentlich, das Schloss ist noch nicht getauscht.

Jetzt leg das neben einen klassischen Wartungsvertrag mit Updates einmal im Monat. Ich habe selbst Wartung und Pluginpflege als Monatspaket angeboten. Das ist kein schlechter Vertrag. Er ist für eine Zeit geschrieben, in der Angreifer Wochen gebraucht haben.

Bleibt die Firewall beim Hoster. Patchstack hat getestet, wie viel klassische Schutzsysteme abfangen. Bei Angriffen auf bekannte, gezielt ausgenutzte WordPress-Lücken waren es 12 Prozent, in einem zweiten, breiteren Test 26 Prozent. Das inkludierte Sicherheitspaket beruhigt also mehr, als es schützt.

Was ein Einbruch kostet, auch wenn nichts gestohlen wird

Bei einem Einbruch denkt man an gestohlene Daten. Bei Firmenseiten sieht er oft leiser aus und ist dafür lästiger:

• Unter deiner Domain tauchen fremde Seiten im Google-Index auf, mit Casino-Werbung oder in Sprachen, die in deiner Firma niemand spricht.
• Wer vom Handy kommt, landet auf einer fremden Seite. Am Desktop im Büro merkt man nichts.
• Browser warnen vor deiner Seite, und deine Mails landen im Spam, weil dein Server nebenbei welchen verschickt.
• Lagen über dein Formular Personendaten auf dem Server, ist das eine Datenschutzverletzung. Die musst du laut DSGVO in der Regel binnen 72 Stunden der Datenschutzbehörde melden.

Das Aufräumen dauert Tage, das Vertrauen zurückholen länger. Und bezahlt wird es vom Betrieb, nicht vom Plugin.

Wie weit das gehen kann, zeigt KNP, eine Spedition aus Northamptonshire in England, 158 Jahre alt. 2023 erriet eine Erpresserbande vermutlich das Passwort eines Mitarbeiters, verschlüsselte die Daten und legte die Systeme lahm. Die Lösegeldforderung schätzte ein Verhandlungsspezialist auf bis zu 5 Millionen Pfund, so viel Geld hatte KNP nicht. Die Daten waren verloren, die Firma ging unter, rund 700 Menschen verloren ihre Arbeit. So hat es die BBC im Juli 2025 aufgearbeitet.

Das war kein WordPress, sondern das Firmennetz. Das Prinzip ist dasselbe: ein schwacher Zugang, kein Backup, das trägt, und kein Weg zurück. Der Geschäftsführer hat dem Mitarbeiter nie gesagt, dass es wohl sein Passwort war. Seine Frage dazu: Würdest du es wissen wollen?

Was ich heute stattdessen empfehle

1. Statisch, wo sich wenig ändert. Für Firmenseiten, Leistungsseiten und Ratgeber reicht fertiges HTML auf dem Server. Kein Login, keine Datenbank, keine Plugins, also deutlich weniger, was man aufbrechen kann. Diese Website ist so gebaut. Nebenbei sind solche Seiten schnell, und warum das gerade zählt, steht im Ratgeber zu Performance und KI.
2. Die Redaktion getrennt von der Website, wo viele oft schreiben. Pflegen mehrere Leute jede Woche Inhalte, bekommt das Team ein Redaktionssystem, das getrennt von der öffentlichen Seite läuft. Gepflegt wird dort, ausgeliefert wird eine fertige Seite. Den Login findet dann niemand mehr, der einfach /wp-admin an deine Adresse hängt.
3. Ein Framework statt eines Baukastens, wo die Seite mehr können muss. Der Skiverleih läuft mit Next.js: kein WordPress-Backend, keine Sammlung fremder Plugins, sondern Code, den das Team kennt und selbst aktualisiert. Wartungsfrei ist das nicht, auch ein Framework bekommt Sicherheitsupdates. Aber man weiß, was drin ist.
4. Für Shops: gehostet oder maßgeschneidert. Für einen einfachen Shop kann Shopify sinnvoll sein. Der Anbieter hält die Plattform aktuell, dein Risiko schrumpft auf Apps, Zugänge und Passwörter. Dafür zahlst du monatlich, und mit jeder App wird es mehr. Das kann schnell teuer werden. Dazu kommt die Abhängigkeit: Deine Daten, deine Abläufe und dein Design leben auf der Plattform eines anderen, und ein Umzug ist später ein eigenes Projekt. Wächst der Shop über den Standard hinaus, baut die Crew von clickpuls eigene Lösungen, zum Beispiel mit Medusa, einem quelloffenen Shop-System. Dann gehört der Shop dir, mit allem, was drin ist.
5. WordPress, wenn es gute Gründe gibt. Tausende bestehende Beiträge, ein Shop mit WooCommerce und vielen Erweiterungen, ein Team, das seit Jahren darin arbeitet. Dann zieht man nicht um, nur weil ich einen Ratgeber geschrieben habe. Beim Industrie-Distributor habe ich 2026 die bestehende WordPress-Seite in eine neue, saubere Installation auf der neuen Domain umgezogen. Domain und Technik wechseln dort in zwei getrennten Stufen. Wer bei WordPress bleibt, bleibt aber unter Bedingungen.

Wenn es WordPress bleibt: meine Bedingungen

In meinen Angeboten von 2021 und 2022 stand schon eine Liste, was bei Sicherheit drin ist: eine Basis-Firewall, Zwei-Faktor-Anmeldung für Admins, Backups, Security-Header. Das war damals ordentlich. Heute ist es der Anfang.

• Plugins halbieren. Jedes Plugin braucht einen Grund und jemanden, der dafür zuständig ist. Was seit einem Jahr kein Update bekommen hat, fliegt. Deaktivierte Plugins werden gelöscht, nicht nur ausgeschaltet, sonst liegen ihre Dateien weiter auf dem Server.
• Updates in Stunden, nicht in Wochen. Sicherheitsupdates am selben Tag, kleine Versionen automatisch, große erst auf einer Testumgebung. Dazu ein Dienst, der meldet, wenn ein installiertes Plugin eine bekannte Lücke hat, und der nach Möglichkeit schon vor dem Update schützt.
• Wenige Schlüssel. Zwei-Faktor-Anmeldung für alle mit Admin-Rechten, so wenige Admins wie möglich, keine geteilten Konten. Agenturen und Freelancer bekommen eigene Zugänge, die nach dem Projekt gelöscht werden.
• Keine gecrackten Premium-Plugins. Die kostenlose Pro-Version von irgendwoher bringt gern etwas mit, das du nicht bestellt hast.
• Backups, die zurückgespielt wurden. Täglich, außerhalb des Servers, und mindestens einmal im Jahr zur Probe eingespielt. Ein Backup, das nie zurückgespielt wurde, ist eine Hoffnung mit Dateiendung.
• Weniger Daten am Server. Anfragen aus dem Formular per Mail weiterleiten, statt sie in der Datenbank zu sammeln. Was nicht da ist, kann nicht gestohlen werden.
• Ein Wartungsvertrag mit Reaktionszeit. In Stunden, nicht nur mit Updates im Monat, und mit einem Namen, der sich meldet.

Selbst prüfen in zehn Minuten

• Plugins: Im Backend unter Plugins zählen und bei jedem fragen: Wofür ist das, und wann kam das letzte Update? Liegt das über ein Jahr zurück oder findest du das Plugin im offiziellen Verzeichnis nicht mehr, ist es vermutlich verwaist. Deaktivierte gleich löschen.
• Benutzer: Unter Benutzer nach der Rolle Administrator filtern. Kennst du jeden Namen auf der Liste?
• Website-Zustand: Unter Werkzeuge, dann Website-Zustand, zeigt WordPress selbst, was veraltet oder falsch eingestellt ist.
• Google: In der Search Console den Bereich Sicherheitsprobleme öffnen. Und bei Google nach site:deinedomain.at suchen. Fremde Sprachen oder Casino-Titel in der Liste bedeuten nichts Gutes.
• Deine Agentur: Wann war das letzte Update? Wo liegt das letzte Backup, und wann wurde zuletzt eines zurückgespielt? Wer bekommt den Anruf, wenn deine Seite um 22 Uhr Werbung für Potenzmittel zeigt?

Die unbequeme Wahrheit zum Schluss

WordPress ist nicht von Haus aus unsicher. Unsicher ist eine Website, die gebaut, übergeben und vergessen wird. WordPress macht es leicht, sehr viel zu bauen, und noch leichter, es zu vergessen. Ein Plugin ist in zwei Minuten installiert und bleibt dann jahrelang, auch wenn niemand mehr weiß, wofür.

Darum empfehle ich es nicht mehr als Standard. Nicht, weil ich es nicht kann, sondern weil ich weiß, wie so eine Seite nach drei Jahren aussieht, wenn niemand Zeit für sie hatte. Wenn ich einen Relaunch leite, kommt die Frage nach dem System deshalb nicht aus der Technik, sondern aus dem Budget: Wer pflegt das in drei Jahren, und wie schnell? Ist die Antwort ehrlich, ist die Wahl meistens schnell getroffen.