WordPress aktuell halten: Warum veraltete Plugins das größte Risiko sind

WordPress betreibt mittlerweile über 40 % aller Websites weltweit – genau diese Verbreitung macht es zum lohnendsten Ziel für automatisierte Angriffe. Aber die Schlagzeile “WordPress gehackt” ist fast immer irreführend: In den allermeisten Fällen ist nicht der WordPress-Kern das Problem, sondern ein veraltetes Plugin oder Theme.

Warum Plugins das eigentliche Risiko sind

WordPress-Core wird von einem großen, gut finanzierten Team gepflegt und automatisch sicherheitsrelevant aktualisiert. Plugins dagegen stammen von tausenden unterschiedlichen Entwicklern mit sehr unterschiedlichem Sicherheitsniveau – manche werden monatelang nicht gepflegt, bevor eine gefundene Lücke öffentlich bekannt wird. Genau dieser Zeitraum zwischen “Lücke ist bekannt” und “Website-Betreiber hat aktualisiert” ist das Zeitfenster, in dem automatisierte Scanner reihenweise Seiten kompromittieren – nicht gezielt, sondern nach dem Gießkannenprinzip: Bots durchsuchen systematisch das halbe Internet nach genau der Plugin-Version mit der bekannten Lücke.

Das Muster hinter den meisten Hacks

1. Eine Sicherheitslücke in einem populären Plugin wird öffentlich (z. B. über die WPScan-Datenbank).
2. Der Hersteller veröffentlicht ein Update.
3. Automatisierte Scanner durchsuchen ab sofort gezielt das Netz nach Seiten mit der alten, verwundbaren Version.
4. Wer in den folgenden Tagen oder Wochen nicht aktualisiert hat, wird mit hoher Wahrscheinlichkeit automatisiert kompromittiert – oft ohne dass je ein Mensch gezielt “angegriffen” hat.

Das erklärt auch, warum kleine, unscheinbare Seiten genauso betroffen sind wie große: Es geht den Angreifern selten um dich persönlich, sondern um Rechenleistung, Backlinks für SEO-Spam oder eine weitere Adresse für Phishing-Mails.

Was “aktuell halten” konkret bedeutet

• WordPress-Core: Minor-Updates (Sicherheitsfixes) laufen bei den meisten Installationen automatisch im Hintergrund – prüfen lohnt sich trotzdem gelegentlich.
• Plugins & Themes: Hier ist aktives Handeln nötig. Jedes installierte, aber ungenutzte Plugin ist zusätzliche Angriffsfläche ohne Gegenwert – regelmäßig aufräumen, nicht nur aktualisieren.
• PHP-Version: Oft übersehen, aber genauso wichtig. Veraltete PHP-Versionen bekommen irgendwann gar keine Sicherheitsupdates mehr, unabhängig davon, wie aktuell WordPress selbst ist.

Warum das in der Praxis trotzdem liegen bleibt

Die Theorie ist niemandem neu – trotzdem bleiben Updates liegen, weil sie Zeit kosten, ein Update ein Layout kaputt machen könnte, und “läuft doch gerade” ein starkes Argument fürs Nichtstun ist. Genau deshalb ist das ein Fall für ein laufendes Wartungs-Abo statt für gute Vorsätze: Updates werden getestet und eingespielt, bevor sie zum Problem werden, nicht erst, nachdem Google eine Warnung anzeigt.