Ende August und Anfang September 2026 haben sich die Meldungen über kritische Sicherheitslücken in WordPress-Plugins regelrecht überschlagen. Betroffen waren keine Nischenprodukte, sondern Werkzeuge, die auf Hunderttausenden bis Millionen von Websites laufen: das Backup-Plugin «All-in-One WP Migration and Backup» mit über fünf Millionen Installationen, das Formular-Plugin «Everest Forms», das Übersetzungs-Plugin «TranslatePress» und der Page Builder «Elementor Pro». In allen Fällen konnten Angreifer ohne Login Schadcode einschleusen und im schlimmsten Fall die komplette Website übernehmen.

Das Muster ist immer dasselbe: Der Hersteller veröffentlicht eine korrigierte Version, wenige Stunden später scannen automatisierte Bots das ganze Internet nach Websites, die das Update noch nicht eingespielt haben. Wer wartet, verliert. Die gute Nachricht: Mit ein paar klaren Regeln und den Werkzeugen, die in jedem FireStorm Webhosting bereits enthalten sind, lässt sich das Risiko drastisch senken. In diesem Beitrag zeigen wir Ihnen, worauf es ankommt.

Eine gepflegte WordPress-Installation ist für automatisierte Angriffe ein deutlich schwierigeres Ziel.

Zu unseren Webhosting-Angeboten

Warum Plugins das grösste Risiko sind

Der WordPress-Kern selbst wird von einem grossen Team gepflegt und erhält Sicherheitsupdates innert Stunden. Die allermeisten erfolgreichen Angriffe laufen deshalb nicht über den Kern, sondern über Erweiterungen: Plugins und Themes. Dort ist die Qualität sehr unterschiedlich, und viele Erweiterungen werden nach dem Kauf oder der Installation nie wieder angefasst. Typische Schwachstellen der letzten Wochen:

• Datei-Uploads ohne Prüfung: Formular-Plugins nehmen Dateien entgegen, prüfen aber Typ und Ablageort nicht sauber. Ein Angreifer lädt ein PHP-Skript hoch und ruft es direkt auf.
• SQL-Injection: Eingaben wandern ungefiltert in die Datenbank. Beim Backup-Plugin genügte ein präparierter Trackback, der später beim Import durch einen Administrator ausgeführt wurde.
• Fehlende Berechtigungsprüfung: Eine Funktion, die eigentlich nur Administratoren zur Verfügung stehen sollte, ist ohne Anmeldung erreichbar. Ergebnis: Account-Übernahme oder Rechteausweitung.
• Verwaiste Plugins: Erweiterungen, die seit Jahren kein Update mehr erhalten haben, aber weiterhin aktiv sind. Für sie wird es nie einen Patch geben.

Die Konsequenz ist einfach: Jedes Plugin, das Sie nicht brauchen, ist ein Risiko ohne Nutzen. Und jedes Plugin, das Sie brauchen, muss aktuell gehalten werden.

Regel 1: Updates automatisch einspielen

Das mit Abstand wirksamste Mittel gegen die beschriebenen Angriffe ist Geschwindigkeit. Wer Updates am selben Tag einspielt, an dem sie erscheinen, ist für die Bot-Welle danach kein Ziel mehr. In jedem FireStorm Webhosting ist das WordPress Toolkit enthalten, das genau das übernimmt. Sie finden es im Plesk-Panel unter WordPress. Dort legen Sie pro Installation fest, was automatisch aktualisiert werden soll:

• WordPress-Kern: Empfehlung «alle Updates» oder mindestens «kleinere Updates (Sicherheit)».
• Plugins: Empfehlung «alle Updates». Bei sehr komplexen Websites können Sie einzelne, heikle Plugins ausnehmen und diese manuell nach einem Test aktualisieren.
• Themes: Empfehlung «alle Updates». Eigene Anpassungen gehören in ein Child-Theme, damit sie ein Update überstehen.

Über durchgeführte Updates informiert Sie das Toolkit auf Wunsch per E-Mail. Für grössere Sites mit vielen Plugins lohnt sich zusätzlich ein Blick auf die Funktion Klonen: Damit erstellen Sie in wenigen Klicks eine Kopie der Website auf einer Subdomain, testen dort die Updates und übernehmen sie erst danach auf die produktive Website.

Regel 2: Ausmisten, was nicht gebraucht wird

Nehmen Sie sich eine halbe Stunde Zeit und gehen Sie die Plugin-Liste Ihrer Website durch. Für jedes Plugin stellen Sie sich drei Fragen: Wird es aktiv genutzt? Wann wurde es zuletzt vom Hersteller aktualisiert? Ist es mit der aktuellen WordPress-Version 7.1 getestet? Plugins, die deaktiviert, aber noch installiert sind, sollten Sie löschen. Deaktivierte Plugins liegen weiterhin als Dateien auf dem Server und lassen sich unter Umständen trotzdem angreifen. Dasselbe gilt für nicht verwendete Themes. Ein einziges Standard-Theme als Fallback genügt.

Weniger Plugins, aktuelle Versionen und starke Zugangsdaten: Die Grundregeln sind unspektakulär, aber wirksam.

Regel 3: Den Login härten

Viele Übernahmen laufen nach wie vor über schwache oder wiederverwendete Passwörter. Drei Massnahmen, die jede Website umsetzen sollte:

• Kein Benutzer namens «admin»: Legen Sie einen neuen Administrator mit individuellem Namen an und löschen Sie den alten. Beiträge lassen sich dabei dem neuen Benutzer zuweisen.
• Zwei-Faktor-Authentifizierung: WordPress selbst bringt noch keinen zweiten Faktor mit. Das offizielle Plugin «Two Factor», das von Mitgliedern des WordPress-Kernteams gepflegt wird, ergänzt Authenticator-Apps, E-Mail-Codes und Backup-Codes. Aktivieren Sie es für alle Konten mit Administrator- oder Redakteursrechten.
• Login-Adresse ändern: Das WordPress Toolkit kann die Anmeldeseite von wp-login.php auf eine individuelle Adresse verschieben. Das hält den Grossteil der automatisierten Brute-Force-Versuche fern.

Regel 4: Die Sicherheitsprüfung des Toolkits nutzen

Im WordPress Toolkit finden Sie zu jeder Installation den Punkt Sicherheit prüfen. Mit einem Klick werden rund ein Dutzend Härtungsmassnahmen umgesetzt, darunter:

• Ausführung von PHP-Dateien im Upload-Verzeichnis unterbinden (genau der Angriffsweg der Formular-Lücke).
• Datei-Editor für Plugins und Themes im Backend deaktivieren.
• Verzeichnisauflistung abschalten und Versionsnummer von WordPress ausblenden.
• Dateiberechtigungen und Datenbank-Präfix absichern, XML-RPC-Schnittstelle sperren.

Die Massnahmen sind jederzeit einzeln rückgängig zu machen, falls ein Plugin eine davon zwingend benötigt. Ergänzend dazu läuft auf allen FireStorm Linux-Webhosting-Servern ein serverseitiger Malware-Scanner mit Web-Firewall, der bekannte Angriffsmuster bereits blockiert, bevor sie WordPress erreichen. Er ersetzt aber kein Update: Eine neue Lücke ist dem Scanner erst bekannt, wenn sie öffentlich ist.

Regel 5: Backups, die Sie selbst zurückspielen können

Der Fall des Backup-Plugins zeigt eine gewisse Ironie: Ausgerechnet das Werkzeug, das im Notfall helfen soll, öffnete die Tür. Verlassen Sie sich deshalb nicht allein auf ein Plugin. Alle FireStorm Webhosting-Pakete beinhalten tägliche Backups auf Serverebene, die Sie über den Backup Manager im Kundencenter selbst zurückspielen können, einzelne Dateien genauso wie die ganze Website oder nur die Datenbank. Wer eine Website nach einem Angriff bereinigen muss, ist mit einem sauberen Stand von gestern in Minuten wieder online.

Für Profis: Kontrolle über SSH

Wer ein Paket mit SSH-Zugang nutzt, kann den Zustand seiner Website auch per Kommandozeile prüfen. WP-CLI, das Kommandozeilenwerkzeug für WordPress, steht auf unseren Linux-Servern bereit:

wp plugin list --update=available
wp plugin update --all
wp core verify-checksums
wp plugin verify-checksums --all

Der Befehl verify-checksums vergleicht die Dateien des WordPress-Kerns und der Plugins aus dem offiziellen Verzeichnis mit den Originalen. Weicht eine Datei ab, wurde sie entweder von Hand verändert oder von einem Angreifer manipuliert. Ein schneller, zuverlässiger Test nach jedem Verdachtsfall.

Das passende Webhosting

Alle genannten Werkzeuge, also WordPress Toolkit mit automatischen Updates, Sicherheitsprüfung, Klon-Funktion, tägliche Backups, kostenlose SSL-Zertifikate und PHP bis Version 8.5, sind in jedem FireStorm Webhosting enthalten. Für eine einzelne WordPress-Website mit E-Mail empfehlen wir:

• FireSmall ab CHF 5.90 pro Monat: 100 GB Speicher, unbegrenzt Domains und E-Mail-Konten, 10 Datenbanken.
• FireLarge ab CHF 4.95 pro Monat im ersten Jahr (danach CHF 8.90): 200 GB Speicher, SSH-Zugang und Cronjobs, unbegrenzt Datenbanken. Die richtige Wahl für alle, die mit WP-CLI arbeiten möchten.
• FirePlus ab CHF 10.90 pro Monat: 300 GB Speicher, Prioritäts-Support mit Rückrufservice.

Fazit

Die Sicherheitslücken der letzten Wochen haben eines deutlich gemacht: Nicht die Frage, ob eine Lücke auftaucht, entscheidet über die Sicherheit einer Website, sondern wie schnell sie geschlossen wird. Automatische Updates über das WordPress Toolkit, eine schlanke Plugin-Liste, ein gehärteter Login und tägliche Backups, die Sie selbst zurückspielen können, decken den weitaus grössten Teil der realen Angriffe ab. Alle diese Werkzeuge stehen Ihnen in Ihrem FireStorm Webhosting ohne Aufpreis zur Verfügung.

Sind Sie unsicher, ob Ihre Website richtig konfiguriert ist, oder haben Sie einen Verdacht auf einen Angriff? Unser Support hilft Ihnen gerne weiter, prüft die Einstellungen im WordPress Toolkit mit Ihnen und unterstützt Sie bei der Bereinigung. Alle Details zu den Paketen finden Sie auf unserer Webhosting-Seite.

Webhosting bestellen