Das Wichtigste in Kürze:
- Bekannter Code: WordPress, seine Themes und Plugins sind öffentlich. Wer eine Lücke findet, kann sie auf Millionen Websites gleichzeitig ausprobieren.
- Plugins als Einfallstor: Rund 91 % der neuen Lücken im WordPress-Umfeld stecken in Plugins, nicht im Kern. Jedes Plugin ist eine weitere Tür.
- Stunden statt Wochen: Bei stark angegriffenen Lücken vergehen im Mittel nur 5 Stunden bis zum Massenangriff. Wer erst am Wochenende aktualisiert, ist zu spät.
- KI beschleunigt Angreifer: Das BSI warnt: KI senkt Aufwand, Zeit und Einstiegshürden für Angriffe. Das trifft verbreitete Systeme zuerst.
- Weniger ist sicherer: Eine schlanke Website ohne CMS und Plugin-Sammlung bietet weniger Angriffsfläche – und ist kein Massenziel.
Wie sicher ist WordPress wirklich?
Pauschal lässt sich nicht sagen, dass jede WordPress-Website schlecht oder unsicher ist. Es gibt gut gepflegte Installationen mit wenigen Plugins, täglichen Updates und einer guten Firewall. In unserem Alltag sehen wir aber meist das Gegenteil: Websites, die über Jahre gewachsen sind, mit vielen Erweiterungen, einem alten Theme und niemandem, der jeden Tag nachsieht.
Was heißt „gehackt“ eigentlich? Ein Hack kann vieles bedeuten: eingeschleuste Werbung oder Weiterleitungen, für die Google die Website abstraft, abgegriffene Kontaktdaten aus Formularen, eine Website, die tagelang offline ist – oder eine Erpressung. Wer es auf Geld und Daten abgesehen hat, sucht sich dabei nicht gezielt Ihr Unternehmen aus. Er sucht alle Websites, die dieselbe Lücke haben.
Genau das macht die Größe von WordPress zum Problem. Laut W3Techs läuft WordPress auf 39,5 % aller Websites weltweit (W3Techs). Der Quellcode ist offen, die beliebtesten Plugins sind bekannt, ihre Versionen lassen sich von außen oft auslesen. Wird in einem Plugin eine Lücke bekannt, suchen automatisierte Programme alle Websites, auf denen genau dieses Plugin läuft – weltweit und rund um die Uhr.
Wie groß das Feld ist, zeigen die Zahlen von Patchstack: Im Jahr 2025 wurden 11.334 neue Sicherheitslücken im WordPress-Umfeld gemeldet, 42 % mehr als im Jahr davor. Das sind rechnerisch rund 31 neue Lücken pro Tag. Rund 91 % davon steckten in Plugins, nur sechs im WordPress-Kern selbst. Bei 46 % gab es zum Zeitpunkt der Veröffentlichung noch kein Update (Patchstack). Wordfence zählte allein in drei Wochen von Mitte Oktober bis Anfang November 2026 zusammen 1.339 neue Lücken – im Schnitt rund 64 pro Tag (Wordfence).
Auch der Kern bleibt nicht verschont: Ende Oktober 2026 schloss WordPress mit Version 7.1.4 eine Lücke, über die Angreifer Schadcode ausführen können. Die Angriffsversuche begannen am Tag der Veröffentlichung; die Firewall von Wordfence blockte in rund acht Tagen mehr als 240.000 davon, also etwa 30.000 am Tag (heise online, Wordfence). Schon im September 2026 wurde eine andere Lücke im Kern nur wenige Stunden nach dem Update angegriffen (heise online).
Warum KI das Risiko weiter steigen lässt
Früher brauchte ein Angriff Wissen, Zeit und Handarbeit. Heute übernehmen KI-Werkzeuge einen großen Teil davon: Sie lesen Sicherheitsmeldungen, bauen daraus Angriffscode und probieren ihn automatisch auf Tausenden Websites aus. Das Bundesamt für Sicherheit in der Informationstechnik schreibt dazu: „KI senkt Aufwand, Zeitbedarf und Einstiegshürden für offensive Cyberfähigkeiten maßgeblich.“ Sein Rat: die Angriffsfläche grundsätzlich verkleinern (BSI).
Patchstack sieht dasselbe in Zahlen: Bei stark angegriffenen Lücken vergehen im gewichteten Mittel nur 5 Stunden bis zum Massenangriff, etwa die Hälfte der schweren Lücken wurde innerhalb von 24 Stunden ausgenutzt. Die Firewalls der Hoster hielten nur 12 % der WordPress-spezifischen Angriffe auf. Beim Plugin Bricksforge begannen die Angriffe sogar, bevor die Lücke überhaupt öffentlich war (Patchstack). In einer Studie von BSI und TÜV-Verband gaben 17 % der befragten Unternehmen an, in zwölf Monaten Angriffe mit KI-Bezug erlebt zu haben; nur 11 % haben feste Abläufe für solche Vorfälle (BSI).
Und die PHP-Lücke? Im Oktober 2026 wurde „PHP2Shell“ bekannt: zwei kritische Lücken in PHP selbst, betroffen waren laut heise alle PHP-Versionen der letzten 20 Jahre. Die Angriffe begannen schon vor der Veröffentlichung (heise online). Allein in Deutschland zählte Censys rund 4,2 Millionen verwundbare PHP-Dienste (heise online).
Ehrlich gesagt: Eine solche Lücke trifft jede Website, auf der PHP läuft – auch eine schlanke. Dagegen hilft nur, dass der Hoster schnell aktualisiert. Der Unterschied liegt in allem, was danach kommt: Eine WordPress-Installation bringt zusätzlich Dutzende Plugins und Themes mit, die jeweils eigene Lücken haben können, und einen Anmeldebereich unter einer Adresse, die jeder kennt. Eine schlanke Website hat diese zweite und dritte Tür gar nicht.
So kommen Sie aus der Schusslinie
- Bestand aufnehmen: Welche Plugins und Themes laufen, welche werden nicht mehr gepflegt, wer spielt die Updates ein? Diese Liste ist der erste Schritt.
- Sofort absichern: Bis zum Umstieg: Updates täglich einspielen, ungenutzte Plugins löschen, die Anmeldung mit einem zweiten Faktor schützen und eine Sicherung außer Haus anlegen.
- Schlank neu aufbauen: Texte, Bilder und Struktur übernehmen und die Website ohne CMS und ohne Plugin-Sammlung neu bauen. Gepflegt wird über ein eigenes Werkzeug statt über einen bekannten Admin-Bereich.
- Umziehen und weiterleiten: Alte Adressen sauber weiterleiten, damit die Platzierungen bei Google erhalten bleiben, und die alte WordPress-Installation vollständig entfernen.
- Laufend prüfen: Sicherungen, Updates beim Hoster und Auffälligkeiten regelmäßig kontrollieren – automatisch und mit Meldung, wenn etwas nicht stimmt.
Wie wir Websites heute bauen
Wir haben selbst lange mit WordPress gearbeitet und kennen seine Stärken. Gerade deshalb bauen wir Websites heute ohne klassisches CMS: schlanker Code, keine Plugin-Sammlung, keine Anmeldeseite unter einer Adresse, die jeder Angreifer kennt. Das heißt nicht, dass eine solche Website unknackbar ist. Aber sie gehört nicht zum großen Massenziel, auf das automatisierte Angriffe zielen – und genau dort entstehen die meisten Schäden.
Texte, Bilder und Seiten pflegen Sie über das webentwickler.io CRM. Für die Sicherheit bringt es einiges mit:
- Doppelt abgesicherte Anmeldung: Zusätzlich zum Login fragen wir einen Code aus Ihrer Authenticator-App ab.
- Datensicherung, die sich meldet: Ihre Website wird regelmäßig gesichert. Geht dabei etwas schief, sehen Sie es sofort und bekommen eine E-Mail.
- Zweite Kopie bei uns: Liegt Ihre Website bei einem anderen Hoster, bewahren wir die Sicherungen zusätzlich auf unserem Server in Deutschland auf.
Wenn Sie tiefer einsteigen möchten: In Braucht man 2026 noch WordPress? vergleichen wir WordPress mit unserem CRM, in Warum wir Websites ohne CMS bauen erzählen wir, wie wir zu dieser Entscheidung gekommen sind.
Häufige Fragen
Wie sicher ist WordPress?
Der WordPress-Kern selbst ist gut gepflegt: Im Jahr 2025 entfielen nur sechs der gemeldeten Lücken auf ihn. Das Risiko entsteht durch Plugins, Themes und fehlende Updates. Weil WordPress so verbreitet ist, lohnt sich jeder Fehler für Angreifer besonders.
Meine WordPress-Website wurde gehackt – was tun?
Website vom Netz nehmen oder in den Wartungsmodus setzen, alle Passwörter ändern, eine saubere Sicherung von vor dem Angriff einspielen und die Lücke schließen. Sind personenbezogene Daten betroffen, kann eine Meldung an die Datenschutzaufsicht nötig sein – in der Regel innerhalb von drei Tagen.
Reicht ein Sicherheits-Plugin nicht aus?
Ein Sicherheits-Plugin hilft, ist aber selbst ein weiteres Plugin und muss genauso aktuell bleiben. Laut Patchstack hielten die Firewalls der Hoster nur 12 % der WordPress-spezifischen Angriffe auf. Weniger Angriffsfläche wirkt stärker als mehr Schutzschichten.
Sind Websites ohne CMS unhackbar?
Nein. Auch sie laufen auf einem Server und oft mit PHP, wie die Lücke PHP2Shell gezeigt hat. Sie bieten aber deutlich weniger Angriffsfläche und sind kein lohnendes Massenziel.
Wie aufwendig ist der Umstieg von WordPress?
Texte, Bilder und Adressen werden übernommen, alte Adressen weitergeleitet. Wie lange es dauert, hängt vom Umfang ab; für die meisten Websites kleiner Unternehmen ist es ein überschaubares Projekt.