Worum es bei diesem Update geht
Laut der Meldung von heise online können Angreifer WordPress dazu bringen, PHP-Dateien aufzurufen, die eigentlich gar nicht für einen direkten Zugriff vorgesehen sind. Genau darin liegt die Gefahr: Wenn eine Anwendung Dateien lädt oder ausführt, die sie eigentlich nicht laden sollte, kann das unter bestimmten Umständen dazu führen, dass Angreifer eigenen Code in das System einschleusen und ausführen lassen. Das ist im Kern eine der gefährlichsten Kategorien von Sicherheitslücken überhaupt, weil sie nicht "nur" Daten offenlegt, sondern potenziell die vollständige Kontrolle über eine Website ermöglicht.
Wichtig für die Einordnung: WordPress selbst reagiert hier verantwortungsvoll und liefert zeitnah ein Update. Das ist grundsätzlich ein gutes Zeichen, denn es zeigt, dass das Projekt aktiv gepflegt wird und Schwachstellen ernst nimmt. Das eigentliche Risiko entsteht nicht durch die Lücke an sich, sondern dadurch, dass viele Websites das Update nicht zeitnah einspielen und damit tagelang oder wochenlang angreifbar bleiben, obwohl der Fix längst verfügbar ist.
Warum WordPress so oft im Fokus steht
WordPress betreibt nach Schätzungen einen erheblichen Teil aller Websites weltweit, darunter sehr viele kleine und mittlere Unternehmen, Vereine, Arztpraxen, Handwerksbetriebe und lokale Dienstleister. Diese enorme Verbreitung macht das System zu einem besonders attraktiven Ziel für automatisierte Angriffe. Kriminelle scannen das Internet permanent und systematisch nach Websites mit bekannten, aber noch nicht geschlossenen Lücken. Ein Update-Rückstand von wenigen Tagen reicht in vielen Fällen bereits aus, damit eine Seite in einem solchen automatisierten Scan auffällt und angegriffen wird.
Hinzu kommt die Plugin- und Theme-Landschaft, die WordPress so flexibel macht, aber eben auch fehleranfällig. Der WordPress-Kern selbst wird von einer großen, erfahrenen Community gepflegt und vergleichsweise schnell gepatcht. Bei den tausenden Plugins und Themes von Drittanbietern sieht das oft anders aus. Viele werden nur unregelmäßig aktualisiert, manche gar nicht mehr, und trotzdem laufen sie auf aktiven Websites weiter, häufig ohne dass der Betreiber das überhaupt bemerkt. Genau diese Kombination aus großer Verbreitung und heterogener Update-Disziplin macht WordPress-Sicherheitsmeldungen zu einem wiederkehrenden Thema.
Wie sich so eine Schwachstelle in der Praxis auswirkt
Für Laien klingt "Angreifer können nicht vorgesehene PHP-Dateien aufrufen" zunächst abstrakt. In der Praxis bedeutet es, dass eine Website Anfragen entgegennimmt, die sie eigentlich abweisen sollte, und dadurch Programmcode ausführt, der gar nicht für diesen Aufruf gedacht war. Je nachdem, welche Datei betroffen ist und welche Rechte sie mitbringt, kann daraus alles Mögliche entstehen: von harmlosen Fehlermeldungen bis hin zur vollständigen Übernahme der Website.
Realistische Folgen einer erfolgreich ausgenutzten Lücke dieser Art sind zum Beispiel:
- Einschleusen von Schadcode, über den die Website Besucher auf betrügerische Seiten umleitet oder Schadsoftware verteilt.
- Anlegen versteckter Administrator-Zugänge, über die Angreifer dauerhaft und unbemerkt Zugriff behalten, selbst nachdem das eigentliche Update eingespielt wurde.
- Missbrauch des Servers zum Versand von Spam-Mails oder als Teil eines Botnetzes, was schnell zur Blockierung durch E-Mail-Anbieter oder Hosting-Provider führt.
- Diebstahl von Kundendaten, Kontaktformulardaten oder im schlimmsten Fall Zugangsdaten, wenn die Website mit weiteren Systemen verbunden ist.
- Löschung oder Verschlüsselung von Inhalten, etwa im Rahmen eines Erpressungsversuchs.
Besonders unangenehm: Viele dieser Folgen bleiben lange unentdeckt. Eine gehackte Website läuft oft optisch völlig normal weiter, während im Hintergrund längst Schadcode aktiv ist. Erst wenn Google die Seite als unsicher markiert, der Hosting-Provider den Account sperrt oder Kunden sich über seltsame Weiterleitungen beschweren, fällt der Vorfall auf, dann aber oft erst nach Wochen mit entsprechendem Schaden.
Der eigentliche Schwachpunkt: die Zeit zwischen Meldung und Update
Das eigentliche Risiko bei Sicherheitslücken wie dieser liegt selten im Update selbst, sondern in der Lücke, die zwischen Bekanntwerden der Schwachstelle und dem tatsächlichen Einspielen des Patches entsteht. Sobald ein Sicherheitsupdate veröffentlicht wird, ist damit öffentlich bekannt, dass eine Lücke existiert, oft sogar recht genau, wo sie liegt. Für Angreifer ist das ein Startsignal: Sie analysieren den Unterschied zwischen der alten und der neuen Version, um herauszufinden, wie die Lücke funktioniert, und beginnen kurz danach mit automatisierten Angriffswellen auf noch nicht aktualisierte Seiten.
Genau in diesem Zeitfenster entscheidet sich, ob eine Website betroffen ist oder nicht. Wer Updates halbautomatisch alle paar Wochen von Hand einspielt, hat in diesem Fenster praktisch keine Chance. Wer dagegen eine funktionierende Update-Routine hat, sei es durch automatische Sicherheitsupdates, ein festes wöchentliches Wartungsfenster oder einen Managed-Hosting-Vertrag, der das für einen übernimmt, reduziert dieses Risiko erheblich.
Warum "irgendwann updaten" bei kleinen Unternehmen so häufig vorkommt
In der Praxis sehen wir bei vielen mittelständischen Kunden ein ähnliches Muster: Die Website wurde vor einigen Jahren von einer Agentur oder einem Freelancer aufgesetzt, läuft seitdem zuverlässig und wird deshalb "nicht angefasst", nach dem Motto "never change a running system". Updates werden aus Sorge vor Kompatibilitätsproblemen aufgeschoben, besonders wenn viele Plugins im Einsatz sind, die schon einmal für Ärger gesorgt haben. Das ist menschlich absolut nachvollziehbar, aus Sicherheitssicht aber genau das falsche Verhalten.
Das Grundproblem: Eine Website ist kein Möbelstück, das einfach so weiter funktioniert, solange man nichts daran verändert. Sie ist über das Internet erreichbar und wird permanent von automatisierten Systemen abgetastet, die gezielt nach veralteten, angreifbaren Versionen suchen. Stillstand bedeutet hier nicht Stabilität, sondern wachsendes Risiko, weil sich der Abstand zur aktuellen, abgesicherten Version mit jedem Monat vergrößert.
Was das für den Mittelstand bedeutet
Für Unternehmen, die eine WordPress-Website betreiben, sei es der eigene Onlineshop, die Firmenpräsenz oder ein Kundenportal, lohnt sich jetzt ein realistischer Blick auf den eigenen Wartungszustand. Ein paar konkrete Schritte, die sich in der Praxis bewährt haben:
1. Aktuellen Stand prüfen, nicht raten. Im WordPress-Backend unter "Dashboard" und "Updates" sieht man auf einen Blick, ob Kern, Themes und Plugins aktuell sind. Wer das nicht selbst einschätzen kann oder möchte, sollte sich den Zustand von außen bestätigen lassen, etwa über ein strukturiertes Website-Audit, das neben Sicherheitsaspekten auch Performance und technische Grundlagen mit prüft.
2. Updates zeitnah einspielen, nicht sammeln. Sicherheitsrelevante Updates gehören idealerweise innerhalb von 24 bis 48 Stunden eingespielt, nicht in den nächsten geplanten Wartungstermin in vier Wochen. Wer Sorge vor Kompatibilitätsproblemen hat, testet auf einer Staging-Kopie, bevor live aktualisiert wird, aber verzögert nicht generell aus Bequemlichkeit.
3. Verantwortung klar zuweisen. In vielen kleinen Unternehmen ist unklar, wer eigentlich für WordPress-Updates zuständig ist: die interne Marketingperson, die Agentur, der Hosting-Anbieter oder niemand. Diese Verantwortung gehört schriftlich festgelegt, idealerweise mit einem festen Ansprechpartner und einer klaren Reaktionszeit bei kritischen Meldungen.
4. Auf gepflegte Plugins und Themes setzen. Plugins, die seit über einem Jahr kein Update mehr bekommen haben, sind ein wachsendes Risiko, unabhängig davon, wie nützlich sie sind. Ein regelmäßiger Plugin-Check, bei dem ungenutzte oder verwaiste Erweiterungen konsequent entfernt werden, reduziert die Angriffsfläche spürbar.
5. Backups nicht nur haben, sondern testen. Ein aktuelles, funktionierendes Backup ist die Lebensversicherung jeder Website. Es nützt aber nichts, wenn im Ernstfall niemand weiß, wie man es einspielt oder ob es überhaupt vollständig ist. Wer sich hier unsicher ist, sollte das Vorgehen einmal im Vorfeld durchspielen, damit im Fall der Fälle nicht kostbare Zeit verloren geht und eine Datenrettung nicht zur einzigen Option wird.
6. Über professionelle Betreuung nachdenken. Wer selbst keine Kapazitäten hat, sich laufend um Updates, Monitoring und Absicherung zu kümmern, ist mit Managed Hosting oft besser bedient, bei dem Sicherheitsupdates, Backups und Überwachung von Fachleuten übernommen werden. Das kostet etwas mehr als klassisches Hosting, spart im Ernstfall aber deutlich mehr, sowohl an Zeit als auch an Reputationsschaden.
Grundsätzlich gilt: Eine einzelne Sicherheitslücke ist selten das eigentliche Problem, sie ist eher ein Symptom. Das dahinterliegende Muster, nämlich fehlende oder unregelmäßige Wartung, ist der eigentliche Risikofaktor. Unternehmen, die ihre Website als produktives Geschäftssystem behandeln und nicht als einmal erstellte Visitenkarte, kommen an diesem Punkt deutlich entspannter durch solche Meldungen. Wer seine gesamte digitale Absicherung einmal grundsätzlich durchleuchten lassen möchte, findet im Bereich IT-Sicherheit einen guten Ausgangspunkt, unabhängig vom eingesetzten CMS.
Ein Blick über WordPress hinaus
So ärgerlich einzelne Sicherheitsmeldungen im Alltag sein können, sie sind auch eine Gelegenheit, die eigene IT-Sicherheitsstrategie grundsätzlich zu überdenken. Gerade für Unternehmen, die künftig unter regulatorische Anforderungen wie NIS2 fallen oder freiwillig ein höheres Sicherheitsniveau anstreben, lohnt sich ein strukturierter Blick auf Prozesse statt auf Einzelmaßnahmen. Dazu gehört nicht nur die Website, sondern die gesamte IT-Landschaft eines Unternehmens, von E-Mail-Systemen über interne Netzwerke bis zu den Endgeräten der Mitarbeitenden.
Wer in einer Region mit direktem Ansprechpartner Wert legt statt auf ein anonymes Callcenter, findet mit regionalem IT-Service Friesland einen persönlichen Zugang zu genau diesen Themen, von der einmaligen Absicherung bis zur laufenden Betreuung.
Häufige Fragen
Muss ich das WordPress-Update sofort einspielen?
Ja, bei sicherheitsrelevanten Updates sollte das möglichst innerhalb weniger Tage geschehen, idealerweise innerhalb von 24 bis 48 Stunden. Je länger eine bekannte Lücke offen bleibt, desto wahrscheinlicher wird sie von automatisierten Angriffen gefunden und ausgenutzt.
Reicht es, nur den WordPress-Kern zu aktualisieren?
Nein. Viele Sicherheitsprobleme entstehen über veraltete Plugins und Themes, nicht über den Kern selbst. Eine vollständige Update-Routine muss Kern, Plugins und Themes gleichermaßen umfassen.
Woran merke ich, ob meine Website bereits kompromittiert wurde?
Typische Anzeichen sind unerklärliche Weiterleitungen, neue unbekannte Benutzerkonten im Backend, veränderte Dateien, Warnungen von Google Search Console oder eine plötzlich schlechtere Ladezeit. Im Zweifel hilft ein professionelles Website-Audit, um den tatsächlichen Zustand objektiv zu klären.
Was kostet es, wenn meine Website gehackt wird?
Das lässt sich pauschal nicht beziffern, hängt aber stark davon ab, wie schnell der Vorfall erkannt wird und wie gut die Backups sind. Neben der reinen Bereinigung entstehen häufig Folgekosten durch Ausfallzeit, Suchmaschinen-Abstrafungen und im Fall betroffener Kundendaten auch rechtliche und Reputationsrisiken.
Lohnt sich Managed Hosting für ein kleines Unternehmen?
Für Unternehmen ohne eigene IT-Abteilung häufig ja, weil Updates, Monitoring und Backups dort professionell und regelmäßig erledigt werden, statt im Tagesgeschäft unterzugehen. Die laufenden Mehrkosten stehen in der Regel in einem guten Verhältnis zum vermiedenen Risiko.
Was tun, wenn wir gar nicht wissen, welche Plugins auf unserer Website installiert sind?
Das ist ein häufiger und ernstzunehmender Zustand, gerade bei älteren, historisch gewachsenen Websites. Ein erster sinnvoller Schritt ist eine vollständige Bestandsaufnahme aller aktiven Plugins und Themes samt letztem Update-Datum, auf deren Basis dann entschieden wird, was aktualisiert, ersetzt oder entfernt werden sollte.
Quellen
Weiterführende Leistungen & Ratgeber
Sie möchten wissen, ob eine dieser Lücken Ihre Systeme betrifft? Wir prüfen Ihre IT und richten ein passendes Schutzkonzept ein. Fordern Sie einen Sicherheits-Check an oder rufen Sie direkt an: +49 1556 7039821.
Warten Sie!
Wie gut ist Ihre Website wirklich?
Finden Sie es in 30 Sekunden heraus, kostenlos.