WordPress-Sicherheit im Rückblick: Was Unternehmen aus 2026 mitnehmen sollten

Eine Unternehmenswebsite soll Vertrauen schaffen, Anfragen bringen und Verkäufe ermöglichen. Sicherheitsmeldungen über WordPress und seine Plugins verunsichern deshalb zu Recht. Wer trägt die Verantwortung? Welche Erweiterungen sind verlässlich? Und lässt sich WordPress angesichts immer neuer Angriffsmöglichkeiten noch guten Gewissens einsetzen?

Unsere Antwort lautet: Ja. WordPress ist weiterhin eine der besten Optionen für professionelle Unternehmenswebsites: Das System ist offen, flexibel, seit Jahren erprobt und lässt sich unabhängig von einem einzelnen Anbieter betreiben. Diese Freiheit verlangt allerdings einen geregelten technischen Betrieb. Wer Updates, Zugriffe und Backups dem Zufall überlässt, macht aus einem guten System ein unnötiges Risiko. Ein installiertes Sicherheitsplugin allein genügt nicht.

Stand: 29. September 2026

Was die aktuellen Sicherheitsmeldungen tatsächlich bedeuten

Wordfence dokumentierte 2026 aktive Angriffe auf Schwachstellen in Ninja Forms – File Upload und Breeze Cache. In beiden Fällen begannen die beobachteten Angriffe bereits am Tag der öffentlichen Bekanntmachung. Das ist die wichtige Information: Sobald ein verwertbarer Angriff öffentlich ist, suchen automatisierte Systeme nach erreichbaren Installationen. Ein monatlicher Wartungstermin kann dann zu spät sein. [1], [2]

Gleichzeitig ist eine Sicherheitsmeldung kein Beleg für einen erfolgreichen Einbruch. Bei Breeze war beispielsweise eine Funktion betroffen, die standardmäßig ausgeschaltet war. Entscheidend ist deshalb nicht die Schlagzeile, sondern ob die eigene Installation die betroffene Erweiterung und Konfiguration verwendet.

Auch das WordPress-Kernsystem benötigt Sicherheitsupdates. WordPress 7.1.2 erschien am 22. September 2026 und schließt eine kritische Sicherheitslücke. Unter bestimmten Voraussetzungen bei Theme und Server konnte sie Angreifern ohne Anmeldung die Ausführung von Code ermöglichen. Das WordPress-Team empfiehlt die sofortige Aktualisierung. Für ältere Versionsreihen wurden ebenfalls Korrekturen bereitgestellt; aktiv unterstützt wird laut Projekt jedoch nur die jeweils neueste WordPress-Version. [3]

Für Betreiber heißt das: Jetzt den Update-Status kontrollieren. Ein aktualisierter WordPress-Core behebt keine separat vorhandene Plugin-Lücke.

1. Sicherheitsupdates brauchen einen Reaktionsweg

Für jede Website muss feststehen, wer eine Warnung erhält, wer ihre Relevanz prüft und wer die Änderung freigibt. Dazu gehört eine Vertretung. „Das macht vermutlich die Agentur“ ist kein Prozess; Aufgabe und Reaktionszeit gehören in die Vereinbarung mit Agentur oder Hostinganbieter.

Kritische, bereits ausgenutzte Lücken werden am selben Tag bewertet. Gibt es einen Fix, wird er nach einem kurzen Funktionstest eingespielt. Gibt es keinen, muss die betroffene Funktion vorübergehend abgeschaltet, ersetzt oder durch eine gezielte Firewall-Regel geschützt werden. Normale Funktionsupdates bleiben im geplanten Wartungsfenster.

Automatische Updates eignen sich für Erweiterungen, bei denen das Risiko eines kurzen Fehlers kleiner ist als das Risiko einer offenen Lücke. Shops, Buchungssysteme und individuelle Erweiterungen werden auf einer Staging-Kopie geprüft. Nach dem Update reichen keine grünen Statusmeldungen: Kontaktformular, Anmeldung, Buchung oder Checkout müssen tatsächlich funktionieren. [4]

2. Welchen Plugins kann man vertrauen?

Eine seriöse Antwort ist keine ewige Bestenliste. Auch verbreitete und kostenpflichtige Plugins können Schwachstellen enthalten. Vertrauen sollte deshalb aus nachvollziehbarer Pflege entstehen.

Prüfen Sie vor der Installation:

• Herkunft: Stammt die Erweiterung aus dem offiziellen WordPress-Verzeichnis oder direkt vom nachvollziehbaren Hersteller? Vermeiden Sie inoffizielle Downloads kostenpflichtiger Plugins.
• Wartung: Gibt es aktuelle Kompatibilitätsangaben, verständliche Änderungsprotokolle und erkennbar bearbeitete Supportanfragen?
• Sicherheitsverhalten: Werden gemeldete Lücken transparent behandelt und zeitnah behoben? Prüfen Sie Sicherheitsmeldungen zur konkret eingesetzten Version.
• Notwendigkeit: Brauchen Sie diese Funktion wirklich? Lässt sie sich mit vorhandenen Mitteln umsetzen?
• Fortbestand: Wer betreut die Erweiterung, und wie ließe sie sich bei eingestellter Entwicklung ersetzen?

Das WordPress-Verzeichnis bietet Informationen zu Kompatibilität, Dokumentation und Support. Diese sind nützliche Prüfpunkte, aber kein Sicherheitszertifikat. [5] Eine frühere, sauber behobene Sicherheitslücke ist allein auch kein Ausschlussgrund. Entscheidend ist der Umgang damit.

Führen Sie eine einfache Liste mit Zweck, Hersteller, Version und zuständiger Person für jedes Plugin. Entfernen Sie unbenötigte Erweiterungen nach Prüfung ihrer Abhängigkeiten vollständig. Eine starre Höchstzahl ist wenig hilfreich: Relevant sind Funktion, Qualität und Pflege.

3. Sicherheitsplugins gezielt auswählen

Drei nachvollziehbare Kandidaten für unterschiedliche Aufgaben sind:

Diese Auswahl ist keine Garantie für Fehlerfreiheit und kein Auftrag, alle drei zu installieren. Klären Sie zuerst, welche Funktionen Hosting und vorhandene Werkzeuge bereits abdecken. Vermeiden Sie unnötige Überschneidungen und prüfen Sie die aktuelle Dokumentation vor der Einführung.

Ein Scanner erkennt außerdem nicht zwingend jeden Einbruch. Eine Firewall kann bestimmte Angriffe abfangen; die verwundbare Software bleibt trotzdem reparaturbedürftig.

4. Menschliche Fehler durch gute Abläufe abfangen

Menschen werden weiterhin falsche Links anklicken, Geräte verlieren oder Aufgaben übersehen. Gute Sicherheitsprozesse berücksichtigen das.

Verwenden Sie persönliche Benutzerkonten statt eines gemeinsam genutzten Administratorzugangs. Wer Inhalte pflegt, benötigt normalerweise keine Berechtigung, Plugins zu installieren. WordPress bietet dafür unterschiedliche Rollen. Prüfen Sie Zugriffe regelmäßig und entziehen Sie ausgeschiedenen Mitarbeitenden oder früheren Dienstleistern ihre Berechtigungen. [9]

Nutzen Sie einen Passwortmanager und für jeden Dienst ein eigenes, langes Passwort. Aktivieren Sie Mehrfaktor-Authentifizierung auch beim Hosting, beim Domainanbieter und beim E-Mail-Konto, über das Passwörter zurückgesetzt werden können. Die US-Cybersicherheitsbehörde CISA nennt Passwortmanager, MFA, Phishing-Prävention und Updates als grundlegende Maßnahmen für kleinere Unternehmen. [10]

Eine einfache Teamregel hilft: Sicherheitsupdates werden über das bekannte Dashboard oder den verifizierten Anbieterzugang eingespielt. Unerwartete E-Mails mit angeblichen „dringenden WordPress-Patches“ und Installationsdateien werden unabhängig überprüft. Für neue Administratoren und Plugin-Installationen empfehlen wir bei mehreren Beteiligten eine zweite Freigabe.

5. Die bestehende Infrastruktur festigen

Sicherheit endet nicht im WordPress-Dashboard. Lassen Sie Hosting und technische Betreuung gemeinsam prüfen:

• Werden Betriebssystem, Webserver, Datenbank und PHP noch mit Sicherheitsupdates versorgt?
• Ist HTTPS durchgängig aktiv, und erfolgen Dateiübertragungen verschlüsselt, etwa per SFTP?
• Sind produktive Website, Testumgebung und andere Projekte angemessen voneinander getrennt?
• Sind Dateirechte möglichst knapp vergeben und sensible Konfigurationsdateien vor öffentlichem Zugriff geschützt?
• Lassen sich der integrierte Datei-Editor abschalten und die Ausführung von PHP in Upload-Verzeichnissen unterbinden, ohne benötigte Funktionen zu beschädigen?

Solche Maßnahmen gehören in fachkundige Hände. Ungeprüfte Konfigurationsschnipsel können die Website lahmlegen. Das offizielle WordPress-Handbuch behandelt Hosting, Dateirechte und weitere Schutzmaßnahmen ausführlich. [11]

Bitten Sie Ihren Dienstleister um konkrete Nachweise: Welche Updates übernimmt er? Welche Warnungen bearbeitet er? Wie schnell reagiert er auf einen Vorfall? Der Begriff „Managed Hosting“ allein beantwortet diese Fragen nicht.

6. Backups müssen sich wiederherstellen lassen

Ein vollständiges WordPress-Backup umfasst Dateien und Datenbank. Bewahren Sie mehrere Versionen auf und speichern Sie mindestens eine Kopie getrennt vom laufenden Webhosting. Ein Backup im gleichen kompromittierten Konto kann ebenfalls verloren gehen. [12]

Wie häufig gesichert werden muss, ergibt sich aus Ihrem Geschäft: Wie viele Bestellungen, Buchungen oder Änderungen könnten Sie verlieren? Für einen aktiven Shop kann eine tägliche Sicherung zu selten sein.

Lassen Sie die Wiederherstellung regelmäßig in einer getrennten Umgebung testen und die benötigte Zeit dokumentieren. „Das Backup läuft“ ist erst dann eine brauchbare Aussage, wenn die Website daraus tatsächlich wieder funktioniert.

7. Warnungen und einen Notfallplan vorbereiten

Sorgen Sie dafür, dass Meldungen über bekannte Schwachstellen, fehlgeschlagene Backups oder neue Administratorkonten eine verantwortliche Person erreichen. Ein voller Posteingang ohne Zuständigkeit schützt niemanden.

Bei Verdacht auf einen Einbruch: Beobachtungen und Zeitpunkt dokumentieren, Hosting beziehungsweise Sicherheitsbetreuung einschalten und Protokolle sichern lassen. Je nach Vorfall muss die Website isoliert werden. Anschließend werden Ursache und Hintertüren beseitigt, betroffene Zugänge erneuert und die Wiederherstellung kontrolliert. Die offizielle WordPress-Anleitung empfiehlt ein dokumentiertes Vorgehen. [13]

Nur ein Update einzuspielen oder ein altes Backup zurückzuladen reicht nach einem Einbruch nicht zuverlässig aus: Der ursprüngliche Zugangsweg könnte weiterhin bestehen.

Starten Sie mit drei Fragen: Wer verantwortet unsere Updates? Wann wurde unser Backup zuletzt erfolgreich wiederhergestellt? Und wer besitzt heute Administratorrechte? Wer diese Fragen belastbar beantworten kann, hat eine konkrete Grundlage für einen sicheren WordPress-Betrieb.

Quellen

Verwendet wurden offizielle WordPress-Dokumentation, technische Originalberichte von Wordfence, Anbieterbeschreibungen im WordPress-Verzeichnis und Hinweise der staatlichen Cybersicherheitsbehörde CISA. Wordfence und Patchstack sind kommerzielle Sicherheitsanbieter; ihre Produktangaben werden hier als solche eingeordnet. Die genannten Vorfälle sind Beispiele, keine vollständige Jahresstatistik. Abrufstand: 29. September 2026.

1. Wordfence, 16.04.2026: Attackers Actively Exploiting Critical Vulnerability in Ninja Forms – File Upload Plugin.
2. Wordfence, 05.05.2026: Attackers Actively Exploiting Critical Vulnerability in Breeze Cache Plugin.
3. WordPress, 22.09.2026: WordPress 7.1.2 Release.
4. WordPress-Dokumentation: Plugin and themes auto-updates.
5. WordPress-Dokumentation: Manage Plugins.
6. Wordfence, Produktbeschreibung: Wordfence Security.
7. Patchstack, Produktbeschreibung: Patchstack – WordPress & Plugins Security.
8. Plugin-Projekt, Dokumentation: Two Factor.
9. WordPress-Dokumentation: Roles and Capabilities.
10. CISA: Small and Medium-Sized Business Resources.
11. WordPress Developer Handbook: Hardening WordPress.
12. WordPress Developer Handbook: Backups.
13. WordPress-Dokumentation: FAQ: My site was hacked.