SEO
Websites & Shops
Design
Die Website ist erreichbar, das Kontaktformular funktioniert und die letzten Änderungen wurden vor Monaten erledigt. Aus Sicht vieler Unternehmen gibt es deshalb keinen unmittelbaren Grund, sich mit WordPress zu beschäftigen. Der Gedanke ist verständlich: Solange nichts sichtbar kaputt ist, kann ein Update doch noch warten.
Dann kommt eine Nachricht der betreuenden Agentur. Für WordPress oder eine Erweiterung wurde ein Sicherheitsupdate veröffentlicht. Die Agentur empfiehlt, die Aktualisierung zeitnah durchzuführen, und bietet Unterstützung an. Die Nachricht wird gelesen, intern weitergeleitet und schließlich von den dringend erledigten Aufgaben verdrängt.
Einige Wochen später wird die Website langsamer, leitet Besucher auf fremde Seiten weiter oder ist plötzlich gar nicht mehr erreichbar. Spätestens jetzt ist das Thema dringend. Dann stellt sich häufig die Frage, warum niemand früher gewarnt hat.
Die unangenehme Wahrheit lautet: In vielen Fällen wurde gewarnt. Es wurde nur nicht reagiert.
Eine fertige Website ist nicht wirklich fertig
WordPress macht es vergleichsweise einfach, eine professionelle Website aufzubauen und laufend mit Inhalten zu pflegen. Genau diese Flexibilität ist einer der Gründe, warum das System weltweit so häufig eingesetzt wird. WordPress besteht jedoch nicht nur aus sichtbaren Seiten und Texten. Im Hintergrund arbeiten das eigentliche WordPress-System, ein Theme, mehrere Plugins, Schnittstellen und die technische Serverumgebung zusammen.
Alle diese Bestandteile werden laufend weiterentwickelt. Fehler werden behoben, Sicherheitslücken geschlossen und bestehende Funktionen an neue technische Anforderungen angepasst. Eine WordPress-Website ist deshalb kein abgeschlossenes Produkt, das einmal gebaut und anschließend mehrere Jahre unverändert betrieben werden sollte.
Bei einem Firmenauto würde kaum jemand davon ausgehen, dass nach dem Kauf kein Service mehr notwendig ist. Bei einer Website scheint diese Erwartung dagegen erstaunlich verbreitet zu sein. Sie wurde schließlich bezahlt, funktioniert noch und sieht unverändert aus. Warum sollte man also Geld in etwas investieren, das der Besucher nicht einmal bemerkt?
Weil ein Update nicht in erster Linie dafür sorgt, dass Besucher etwas Neues sehen. Es verhindert, dass Angreifer bekannte Schwachstellen ausnutzen, Funktionen nach einer technischen Änderung ausfallen oder ein späteres Update zu einem unnötig großen Projekt wird.
Wartung ist damit kein Zusatz zur Website. Sie ist Teil ihres laufenden Betriebs.
Sicherheitslücken müssen nicht sichtbar sein, um gefährlich zu werden
Eine Website kann von außen völlig normal aussehen und trotzdem eine bekannte Sicherheitslücke enthalten. Im Hintergrund kann eine veraltete WordPress-Version laufen, ein Plugin seit Monaten nicht mehr aktualisiert worden sein oder eine Erweiterung Zugriff auf Bereiche besitzen, die für ihre eigentliche Funktion gar nicht notwendig wären.
Für Angreifer ist nicht entscheidend, ob eine Website modern aussieht oder regelmäßig neue Inhalte veröffentlicht. Viele Angriffe laufen automatisiert ab. Programme durchsuchen das Internet nach bestimmten WordPress-Versionen, verwundbaren Plugins oder bekannten technischen Merkmalen. Wird eine passende Installation gefunden, kann der Angriff innerhalb kurzer Zeit erfolgen.
Die Größe oder Bekanntheit eines Unternehmens ist dabei kein verlässlicher Schutz. Eine kleine Website ist nicht uninteressant, nur weil sie wenige Besucher hat. Sie kann für Spam, Phishing, Schadcode, unerlaubte Weiterleitungen oder als Ausgangspunkt für weitere Angriffe verwendet werden. Häufig geht es gar nicht gezielt um das Unternehmen. Die Website ist lediglich erreichbar und weist eine bekannte Schwachstelle auf.
Das macht Sicherheitsupdates so wichtig. Sobald eine Lücke öffentlich bekannt und ein Patch verfügbar ist, wissen nicht nur Agenturen und Administratoren davon. Auch Angreifer können analysieren, welche Systeme betroffen sind und automatisiert nach ungepatchten Installationen suchen.
Zwischen „Update verfügbar“ und „erste Angriffsversuche“ liegen deshalb manchmal nicht Wochen, sondern nur Stunden.
Das wp2shell-Duo zeigte, wie schnell eine normale Website zum Risiko wird
Wie ernst das Thema werden kann, zeigte sich im Juli 2026. Beim sogenannten wp2shell handelte es sich nicht um eine Sicherheitslücke in einem unbekannten Plugin, sondern um eine Kombination aus zwei Schwachstellen im WordPress-Core selbst.
Die beiden Lücken konnten so miteinander verbunden werden, dass ein Angreifer unter bestimmten Voraussetzungen ohne Anmeldung Administratorrechte erlangen und eigenen Schadcode auf dem Server ausführen konnte. Es war also weder ein kompromittiertes Benutzerkonto noch ein anfälliges Zusatzplugin notwendig. Eine öffentlich erreichbare WordPress-Installation mit einer betroffenen Version konnte ausreichen.
WordPress veröffentlichte am 17. Juli 2026 abgesicherte Versionen und aktivierte wegen der Schwere des Problems automatische Zwangsaktualisierungen für betroffene Installationen. Gepatcht wurde mit den Versionen 6.8.6, 6.9.5 und 7.0.2. Erste Angriffsversuche wurden bereits kurz nach Veröffentlichung der Updates beobachtet.
Für Website-Betreiber klingt „Ausführung von Schadcode“ zunächst sehr technisch. Die mögliche Auswirkung ist dagegen leicht verständlich: Im schlimmsten Fall übernimmt jemand die Kontrolle über die Website. Danach können neue Administratoren angelegt, Inhalte verändert, Schadprogramme hochgeladen oder Besucher auf betrügerische Seiten umgeleitet werden.
Dass WordPress automatische Updates verteilt hat, war wichtig. Trotzdem ist „Das wird schon automatisch passiert sein“ keine ausreichende Kontrolle. Automatische Aktualisierungen können deaktiviert sein, durch technische Probleme fehlschlagen oder eine Website bereits vor Abschluss des Updates betroffen gewesen sein.
Nach einem besonders kritischen Vorfall reicht es deshalb nicht immer, nur die sichtbare Versionsnummer zu kontrollieren. Je nach Situation sollten auch Benutzerkonten, Dateien, Plugins und kürzlich vorgenommene Änderungen geprüft werden.
Genau hier liegt der Wert einer betreuenden Agentur. Sie kann beurteilen, ob eine Kundenwebsite betroffen ist, ob das Update erfolgreich installiert wurde und ob zusätzliche Kontrollen sinnvoll sind. Das funktioniert allerdings nur, wenn die Agentur mit der Betreuung beauftragt ist oder der Kunde auf eine entsprechende Information reagiert.
Die Admin-Falle im Backup-Plugin machte das Problem noch anschaulicher
Nur wenige Wochen später folgte das nächste Beispiel. Im weitverbreiteten Plugin All-in-One WP Migration and Backup wurde eine als hoch eingestufte Sicherheitslücke bekannt. Das Plugin wird auf mehr als fünf Millionen Websites eingesetzt und dient unter anderem dazu, WordPress-Websites zu sichern, zu übertragen und wiederherzustellen.
Betroffen waren Versionen bis einschließlich 7.109. Die abgesicherte Version 7.110 wurde am 20. August 2026 veröffentlicht.
Das Ungewöhnliche an der Schwachstelle war ihr Ablauf. Ein Angreifer konnte manipulierte Daten zunächst unbemerkt in der Datenbank platzieren. Der eigentliche Angriff wurde erst später ausgelöst, wenn ein Administrator eine Website mit dem betroffenen Plugin exportierte und wieder importierte. Ausgerechnet die Wiederherstellung, die im Notfall Sicherheit geben sollte, konnte damit zur Falle werden. Im schlimmsten Fall war auch hier eine vollständige Übernahme der Website möglich.
Dieses Beispiel zeigt besonders deutlich, warum der Satz „Das Plugin verwenden wir kaum“ nicht automatisch Entwarnung bedeutet. Eine Erweiterung muss nicht täglich sichtbar im Einsatz sein, um ein Sicherheitsrisiko darzustellen. Sie ist installiert, besitzt Zugriff auf zentrale Bereiche und wird möglicherweise genau dann verwendet, wenn ohnehin bereits eine kritische Situation besteht.
Ebenso problematisch ist die Annahme, dass ein Sicherheitsupdate immer klar als solches erkennbar sein müsse. Changelogs und Update-Hinweise klingen teilweise nach einer kleinen technischen Korrektur, obwohl dahinter ein ernstes Sicherheitsproblem steckt. Website-Betreiber können die Dringlichkeit deshalb nicht immer allein anhand eines kurzen Update-Texts beurteilen. Erfahrung und die laufende Beobachtung verlässlicher Sicherheitsmeldungen sind hier entscheidend.
Informieren kann die Agentur. Entscheiden muss der Kunde
Eine verantwortungsvolle Agentur beobachtet relevante Sicherheitsmeldungen und informiert betroffene Kunden, wenn ein wichtiges WordPress- oder Plugin-Update verfügbar ist. Sie erklärt die Dringlichkeit, empfiehlt die nächsten Schritte und bietet die technische Umsetzung an.
Damit endet aber nicht automatisch die Verantwortung des Website-Betreibers.
Wenn kein Wartungsvertrag besteht, darf eine Agentur nicht ohne Auftrag beliebig Änderungen an einer Kundenwebsite durchführen. Ein Update kann Auswirkungen auf das Theme, Plugins, Formulare oder individuelle Funktionen haben. Deshalb muss vorher geklärt sein, ob die Aktualisierung beauftragt ist, welche Prüfungen erforderlich sind und welcher Aufwand freigegeben wird.
Eine Nachricht der Agentur ist daher keine unverbindliche Information, die man ablegen und bei Gelegenheit wieder hervorholen kann. Sie ist eine Aufforderung, eine Entscheidung zu treffen. Der Kunde muss entweder die Durchführung beauftragen, intern selbst aktualisieren oder bewusst entscheiden, warum eine Aktualisierung vorerst nicht erfolgt.
Nicht zu antworten ist ebenfalls eine Entscheidung. Nur meistens die schlechteste.
Natürlich sollte eine Agentur sicherheitskritische Hinweise verständlich und nicht unnötig technisch formulieren. Sie sollte klar benennen, welche Website oder Erweiterung betroffen ist, welches Risiko besteht und welcher nächste Schritt empfohlen wird. Ebenso sinnvoll ist es, transparent über die voraussichtlichen Kosten zu informieren.
Der Kunde muss darauf aber reagieren. Wer einen Sicherheitshinweis ignoriert und erst nach einem Vorfall aktiv wird, hat nicht nur eine technische Empfehlung unbeachtet gelassen. Er hat ein bekanntes Risiko bewusst offengelassen.
Die Kosten eines Updates sind meist überschaubar. Die Folgen eines Angriffs nicht
Ein häufiger Grund für aufgeschobene Updates ist die Sorge vor zusätzlichen Kosten. Gerade bei kleineren Unternehmenswebsites entsteht schnell der Gedanke, dass eine funktionierende Seite möglichst keinen weiteren Aufwand verursachen sollte.
In vielen Fällen ist die kontrollierte Durchführung eines Sicherheitsupdates jedoch überschaubar. Der genaue Aufwand hängt von der Website, den installierten Erweiterungen und möglichen individuellen Anpassungen ab. Bei einer gepflegten Installation kann die Agentur die Aktualisierung prüfen, ein Backup erstellen, das Update durchführen und die wichtigsten Funktionen anschließend testen.
Teuer wird es meistens dann, wenn über längere Zeit nichts gemacht wurde.
Muss eine kompromittierte Website bereinigt werden, reicht ein Update allein häufig nicht mehr. Dann müssen Dateien und Datenbank analysiert, verdächtige Benutzerkonten entfernt, Passwörter geändert und mögliche Hintertüren gesucht werden. Zusätzlich können die Wiederherstellung aus einem sauberen Backup, die Prüfung weiterer Systeme und die Abstimmung mit Hosting- oder Datenschutzverantwortlichen notwendig werden.
Hinzu kommen Folgen, die sich schwerer kalkulieren lassen. Eine Website kann ausfallen, Besucher können auf betrügerische Inhalte umgeleitet werden oder Suchmaschinen können die Domain als gefährlich einstufen. Im schlimmsten Fall sind Kundendaten oder interne Informationen betroffen.
Verglichen damit ist ein rechtzeitig beauftragtes Update selten der relevante Kostenfaktor. Sparen am Update bedeutet daher nicht automatisch, Kosten zu vermeiden. Häufig werden überschaubare Wartungskosten gegen ein deutlich größeres, aber zunächst unsichtbares Risiko getauscht.
Wartungsvertrag oder Einzelauftrag: Hauptsache, die Zuständigkeit ist klar
Es gibt unterschiedliche Wege, eine WordPress-Website aktuell zu halten. Bei regelmäßig betreuten Websites ist ein Wartungsvertrag häufig die sinnvollste Lösung. Darin kann festgelegt werden, welche Updates überprüft und durchgeführt werden, welche Tests enthalten sind und wie bei besonders kritischen Sicherheitsmeldungen reagiert wird.
Der Vorteil liegt weniger darin, dass jemand gelegentlich auf „Aktualisieren“ klickt. Entscheidend sind klare Zuständigkeiten. Die Agentur weiß, welche Systeme betreut werden, und der Kunde muss nicht für jede übliche Wartungsmaßnahme einen eigenen technischen Vorgang organisieren.
Bei kleineren Websites oder anderen Betreuungsmodellen können Updates auch einzeln beauftragt werden. Dann ist jedoch wichtig, dass Sicherheitsinformationen nicht im allgemeinen Tagesgeschäft verschwinden. Es sollte intern klar sein, wer solche Nachrichten erhält, bewertet und freigibt.
Egal, welches Modell gewählt wird, einige Fragen müssen eindeutig beantwortet sein:
- Wer beobachtet relevante Sicherheitsmeldungen?
- Wer entscheidet über die Durchführung?
- Wer erstellt und kontrolliert das Backup?
- Wer testet die Website nach dem Update?
- Wer reagiert, wenn eine Aktualisierung Probleme verursacht?
Wenn jede Seite davon ausgeht, dass sich die andere kümmern wird, kümmert sich im entscheidenden Moment oft niemand.
Updates sollten kontrolliert und nicht blind durchgeführt werden
Die Lösung besteht nicht darin, jede verfügbare Aktualisierung ohne Prüfung sofort auf der Live-Website zu installieren. Auch Updates können Probleme verursachen, insbesondere wenn individuelle Anpassungen oder mehrere voneinander abhängige Plugins im Einsatz sind.
Professionelle Wartung bedeutet deshalb mehr als das Einspielen einer neuen Version. Je nach Website gehören ein aktuelles Backup, eine Prüfung der Änderungen, Tests auf einer separaten Umgebung und eine Funktionskontrolle nach der Aktualisierung dazu. Kritische Bereiche wie Formulare, Login, Suche, Mehrsprachigkeit oder Schnittstellen sollten gezielt getestet werden.
Gleichzeitig darf dieser Anspruch nicht als Ausrede dienen, Updates monatelang aufzuschieben. Zwischen „blind aktualisieren“ und „gar nichts tun“ liegt ein vernünftiger, kontrollierter Prozess.
Besonders bei aktiv ausgenutzten Sicherheitslücken zählt Zeit. Dann muss die Agentur beurteilen, ob sofort aktualisiert, vorübergehend eine Schutzmaßnahme eingerichtet oder eine betroffene Funktion deaktiviert werden sollte. Genau dafür braucht es Erfahrung und einen erreichbaren Ansprechpartner auf Kundenseite.
Fazit: Die Agentur kann warnen, aber nicht für den Kunden entscheiden
Die jüngsten Fälle zeigen, wie unterschiedlich WordPress-Sicherheitsprobleme auftreten können. Beim wp2shell-Duo lag das Risiko im WordPress-Core selbst. Bei All-in-One WP Migration betraf es ein weitverbreitetes Backup-Plugin. In beiden Fällen konnte eine von außen normal wirkende Website ein ernstes Sicherheitsproblem aufweisen.
Eine Website einmal zu erstellen und danach sich selbst zu überlassen, ist deshalb zu wenig. WordPress braucht laufende Aufmerksamkeit, genau wie jedes andere geschäftlich eingesetzte System. Dazu gehören Updates, Backups, Sicherheitsprüfungen und klare Zuständigkeiten.
Eine gute Agentur informiert ihre Kunden, ordnet Risiken ein und bietet eine konkrete Lösung an. Der Website-Betreiber muss diese Information jedoch ernst nehmen und reagieren. Ohne Auftrag kann die Agentur in vielen Betreuungsmodellen nicht eigenständig handeln.
Wer Sicherheitsupdates wegen überschaubarer Kosten verschiebt, spart an der falschen Stelle. Die Bereinigung einer übernommenen Website ist fast immer aufwendiger als ihre rechtzeitige Wartung.
Und wenn nach einem Vorfall die Frage gestellt wird, warum niemand etwas gesagt hat, lohnt sich manchmal ein Blick in den alten E-Mail-Verlauf.
Sie möchten nicht bei jedem WordPress-Update neu entscheiden müssen?
IXSOL informiert betreute Kunden über relevante Sicherheitsupdates und unterstützt bei der kontrollierten Aktualisierung von WordPress, Themes und Plugins. Je nach Bedarf übernehmen wir einzelne Updates oder vereinbaren eine laufende Wartung mit klar geregelten Leistungen und Zuständigkeiten.
Sprechen Sie mit uns über ein Wartungsmodell, das zu Ihrer Website passt.
Hinweis: Dieser Beitrag dient der allgemeinen Information und ersetzt keine individuelle Sicherheitsprüfung oder Rechtsberatung.
Quellen und weiterführende Informationen:
Wordfence: Informationen und technische Einordnung zum wp2shell-Vorfall im WordPress-Core
Wordfence und Heise Security: Sicherheitslücke in All-in-One WP Migration and Backup, CVE-2026-19949