WordPress-Sicherheit hängt vor allem an den Erweiterungen, die auf Eurer Website laufen. Der Kern selbst ist gut gepflegt — im Jahr 2025 wurden dort sechs Schwachstellen gemeldet, während 91 Prozent aller neuen Lücken im WordPress-Umfeld aus Plugins stammten. Die wirksamen Hebel liegen also bei der Auswahl, der Pflege und der Überwachung dessen, was Ihr zusätzlich installiert habt. Drei Bereiche entscheiden dabei über das Ergebnis: das Update-Tempo, die Rechtevergabe und eine Wartung, die auch dann noch trägt, wenn niemand hinsieht.
Die Lücken sitzen in den Erweiterungen
The Sicherheitsreport von Patchstack zählt für das Jahr 2025 insgesamt 11.334 neue Schwachstellen im WordPress-Ökosystem, 42 Prozent mehr als im Jahr davor. 91 Prozent davon entfielen auf Plugins, 9 Prozent auf Themes und sechs Meldungen auf den Kern von WordPress. 1.966 Einträge (17 Prozent) hatten einen hohen Schweregrad, und die Zahl der besonders leicht ausnutzbaren Lücken stieg gegenüber dem Vorjahr um 113 Prozent. Bezahlte Erweiterungen schneiden dabei schlechter ab als kostenlose: 76 Prozent der in Premium-Komponenten gefundenen Lücken waren praktisch ausnutzbar, und die Zahl der nachweislich ausgenutzten Schwachstellen lag dort dreimal so hoch wie bei den freien Gegenstücken. Ein Kaufpreis ist damit kein Qualitätsmerkmal für Sicherheit. Wer die WordPress-Sicherheit seiner Website beurteilen will, schaut deshalb auf das Update-Verhalten des Anbieters und auf das Alter der letzten Version, nicht auf den Lizenzpreis.
Der August 2026 liefert dazu die Praxisbeispiele. Am 29. August meldeten Sicherheitsforscher fünf kritische Lücken in verbreiteten Erweiterungen, darunter GiveWP (CVE-2026-82222, CVSS 10.0), TranslatePress mit rund 400.000 Installationen und Pods mit rund 100.000. Zehn Tage vorher hatte Elementor die Version 4.2.2 veröffentlicht und damit eine Upload-Lücke geschlossen, über die Angreifer ohne Anmeldung ausführbare PHP-Dateien auf den Server bringen konnten — betroffen waren über sechs Millionen aktive Installationen. Keines dieser Probleme lag im Kern, und in allen Fällen genügte ein Update, um die Lücke zu schließen.
Fünf Stunden Vorsprung, mehr ist es nicht
Nach der Offenlegung einer Schwachstelle vergehen im gewichteten Median fünf Stunden bis zum ersten beobachteten Angriff. Rund die Hälfte der Lücken mit hoher Wirkung wird binnen 24 Stunden ausgenutzt. Angreifer scannen dafür breite Adressbereiche automatisiert nach der verwundbaren Version, was kleine Firmenseiten genauso trifft wie große Portale. Die Größe Eurer Website schützt Euch also nicht. Bei diesem Tempo trägt ein monatlicher Wartungstermin nicht mehr, und auch der klassische Ablauf aus Ticket, Freigabe und Deployment am nächsten Werktag liegt hinter dem Angriffsfenster.
Erschwerend kommt hinzu, dass sich ein Teil der Lücken zum Zeitpunkt der Veröffentlichung noch gar nicht schließen lässt: Bei 46 Prozent der Meldungen lag kein Update des Entwicklers vor. Für diese Fälle bleibt nur, die betroffene Erweiterung zu deaktivieren, sie zu ersetzen oder den Angriffsweg über eine Firewall zu blockieren, bevor er die Anwendung erreicht. Auf den Schutz des Hosters allein solltet Ihr Euch dabei nicht verlassen: Patchstack hat gemessen, dass die üblichen Abwehrmechanismen nur 26 Prozent der Angriffe blockierten, bei bereits bekannten Exploits sogar nur 12 Prozent. Wie schnell aus einer Meldung ein automatisierter Massenscan wird, hat der Fall wp2shell forces WordPress websites to update im Juli 2026 gezeigt.
Das Schaubild stellt die beiden Betriebsarten nebeneinander. Links läuft die Wartung nach Kalender, die Lücke bleibt offen und die Scanner sind längst da. Rechts greifen automatische Updates innerhalb von Stunden, und die wöchentliche Kontrolle stellt nur noch fest, dass alles durchgelaufen ist.
Zugänge und Rechte enger ziehen
Der zweite Hebel sind die Konten und die Berechtigungen im System. Die offizielle WordPress-Dokumentation beschreibt dafür einen Satz an Härtungsmaßnahmen, die ohne zusätzliche Software auskommen und in jeder Installation gleich funktionieren. Ihr Zweck ist die Schadensbegrenzung: Wenn eine Erweiterung doch einmal überrannt wird, entscheidet die Rechtevergabe darüber, ob ein Angreifer nur diese eine Komponente erreicht oder gleich die ganze Datenbank. Die Punkte lassen sich einmalig einrichten und müssen danach nur bei Änderungen am Team oder am Hosting nachgezogen werden.
- Den Benutzernamen „admin“ vermeiden und jedem Konto nur die Rolle geben, die es für seine Aufgabe braucht — Redakteure benötigen keine Administratorrechte.
- Starke Passwörter ohne Wörterbuchbegriffe vergeben und zusätzlich Zwei-Faktor-Authentifizierung aktivieren.
- Dem Datenbankbenutzer nur SELECT, INSERT, UPDATE und DELETE erlauben und strukturelle Rechte wie DROP oder ALTER entziehen.
- Die Datei
wp-config.phpmit den Dateirechten 400 oder 440 versehen und den direkten Zugriff per.htaccesssperren. - Verzeichnisse auf 755 und Dateien auf 644 setzen, damit der Webserver nur dort schreiben darf, wo es nötig ist.
- Erweiterungen ausschließlich aus dem offiziellen Verzeichnis oder direkt vom Hersteller beziehen und Nulled-Versionen konsequent meiden.
Wartung, die den Ernstfall übersteht
Der dritte Hebel ist die Routine, und sie entscheidet über die WordPress-Sicherheit im Alltag. Eine einmal gehärtete Installation verliert ihren Vorsprung, sobald das nächste Update aussteht oder ein Plugin ohne Betreuung weiterläuft. Für die Sichtbarkeit gilt dieselbe Mechanik, wie wir sie unter SEO is not a one-time project beschrieben haben. Die folgenden fünf Punkte lassen sich in einen festen Wochen- und Quartalsturnus übersetzen und decken den Betrieb einer typischen Unternehmenswebsite ab.
- Automatische Updates für Kern, Plugins und Themes aktivieren und wöchentlich kontrollieren, ob sie durchgelaufen sind.
- Wöchentlich eine vollständige Sicherung inklusive Datenbank anlegen und die Wiederherstellung einmal im Quartal an einer Testumgebung prüfen.
- Eine Liste aller installierten Erweiterungen führen und alles entfernen, was seit über einem Jahr kein Update erhalten hat.
- Anmeldeversuche und Dateiänderungen überwachen, damit ein Einbruch nicht erst über eine Google-Warnung auffällt.
- Für den Ernstfall festlegen, wer die Website vom Netz nimmt, wer das Backup einspielt und wer die Nutzer informiert.
Entscheidend ist dabei weniger der Umfang der einzelnen Prüfung als die Verlässlichkeit des Turnus. Ein wöchentlicher Blick auf Updates und Anmeldeversuche fängt die meisten Fälle ab, solange er tatsächlich jede Woche stattfindet und jemand namentlich dafür zuständig ist. Wer diese Aufgaben nicht selbst abdecken will, gibt sie an eine WordPress-Agentur Düsseldorf ab und bekommt dafür einen festen Turnus samt Protokoll.
FAQs zur WordPress-Sicherheit
Ist WordPress unsicher?
Nein. Der Kern von WordPress gilt als gut gepflegt, 2025 wurden dort sechs Schwachstellen gemeldet. Das Risiko entsteht durch Erweiterungen: 91 Prozent der 11.334 Meldungen des Jahres betrafen Plugins, 9 Prozent Themes. Eine schlanke Installation mit wenigen, gepflegten Erweiterungen ist damit deutlich sicherer als eine überfrachtete.
Wie schnell muss ich WordPress und die Plugins aktualisieren?
So schnell wie möglich, im Zweifel innerhalb von 24 Stunden nach Erscheinen eines Sicherheitsupdates. Die erste Ausnutzung einer offengelegten Lücke erfolgt im gewichteten Median nach fünf Stunden, und rund die Hälfte der Lücken mit hoher Wirkung wird binnen eines Tages angegriffen.
Reichen automatische Updates aus?
Automatische Updates decken den wichtigsten Teil der WordPress-Sicherheit ab, lassen aber eine Lücke offen. Bei 46 Prozent der 2025 gemeldeten Schwachstellen gab es zum Zeitpunkt der Offenlegung noch kein Update des Herstellers. Dort helfen nur Deaktivieren, Ersetzen oder virtuelles Patching über eine Firewall.
Brauche ich ein Sicherheits-Plugin?
Ein Sicherheits-Plugin ist für Monitoring und virtuelles Patching sinnvoll, es ersetzt jedoch keine Updates. Die üblichen Abwehrmechanismen blockierten laut Patchstack nur 26 Prozent der Angriffe und bei bereits bekannten Exploits 12 Prozent.
Woran erkenne ich, dass meine WordPress-Website gehackt wurde?
Typische Anzeichen sind unbekannte Administratorkonten, neu angelegte oder veränderte PHP-Dateien, unerwartete Weiterleitungen und Warnungen in der Google Search Console. Bei Verdacht nehmt Ihr die Website offline, spielt ein sauberes Backup ein und ändert danach alle Zugangsdaten, auch die für Datenbank und FTP.
