Fachliche Einordnung, Stand Juni 2026.
Der Anruf, den niemand will
Vor Kurzem kam an einem gewöhnlichen Nachmittag die Mail eines Hosters bei einem Unternehmer an. Tenor: Ihre Website ist gesperrt. Der Malware-Scanner hat Schadcode gefunden, und bis das geklärt ist, sieht niemand mehr Ihre Seite, sondern nur eine Passwortabfrage.
Der Unternehmer leitete mir die Meldung weiter. Keine Stunde später saß ich am Fall und sicherte als Erstes den kompletten Webspace, so wie er war: über zehntausend Dateien, gut hundert Megabyte. Irgendwo darin saßen drei Verzeichnisse, die dort nichts verloren hatten.
Drei Plugins, die nie jemand installiert hat
Das erste hieß harmlos nach Sicherheit, ungefähr so, wie sich ein Einbrecher eine Warnweste anzieht. Das zweite war die eigentliche Waffe: eine Hintertür, die Befehle des Angreifers entgegennimmt und auf dem Server ausführt. Das dritte hinterließ nur eine winzige Markierung, damit der Angreifer infizierte Server später wiederfindet.
Auffällig war die Tarnung. Die Dateinamen lasen sich auf den ersten Blick wie ganz normale WordPress-Bestandteile. Erst beim zweiten Hinsehen fiel der vertauschte Buchstabe auf, ein „l“ statt einem „i“, an einer Stelle, die im Verzeichnislisting niemand prüft. Klein, unauffällig, wirksam.
Das ist der Moment, in dem die wichtige Entscheidung fällt. Nicht „Wie räume ich das weg?“, sondern: Kann ich dieser Installation überhaupt noch trauen?
„Was soll bei so einer kleinen Seite schon passieren?“
Das ist die Frage, die ich am häufigsten höre, und sie ist die gefährlichste. Denn dem Angreifer ist völlig gleich, ob auf Ihrer Seite drei Unterseiten stehen oder dreihundert. Ihr Inhalt interessiert ihn nicht. Ihn interessiert, was hinter der Seite steckt: ein Server, eine Domain, ein Name, dem Menschen vertrauen. Genau das macht er zu Geld.
Was dann passiert, läuft fast immer leise ab:
- Ihre Domain verschickt Spam. Binnen Stunden gehen Tausende Phishing-Mails in Ihrem Namen hinaus. Die Folge: Ihre Domain landet auf schwarzen Listen, und plötzlich kommen Ihre echten Mails, Angebote, Rechnungen, Antworten an Kunden, nicht mehr an. Das zieht sich über Wochen.
- Unter Ihrer Adresse entstehen fremde Seiten. Hunderte versteckte Unterseiten für Glücksspiel, gefälschte Medikamente oder Markenfälschungen, untergeschoben in Ihre Domain. Google findet sie und stuft Ihre Seite herab oder zeigt Besuchern eine rote Warnung: Diese Seite könnte Ihrem Gerät schaden. Ihre Sichtbarkeit ist weg.
- Ihre Seite wird zur Falle für andere. Auf Ihrer Domain liegt auf einmal eine täuschend echte Anmeldemaske einer Bank. Die Betrugsmail dazu trägt Ihren Domainnamen als Köder. Fremde geben dort ihre Passwörter ein, und Ihr guter Name war der Haken.
- Der Server arbeitet für Kriminelle. Er greift andere Seiten an, schürft Kryptowährung auf Ihre Kosten oder verteilt weiteren Schadcode an Ihre Besucher.
Und wenn auf der Seite ein Kontaktformular lief oder irgendwo Daten lagen, kann aus dem Hack schnell ein meldepflichtiger Datenschutzvorfall werden, mit Frist und unangenehmem Brief an die Betroffenen.
Das Tückische daran: Sie merken oft monatelang nichts. Kein lautes „Hacked by“-Banner, das war früher. Heute ist der Befall still, weil still mehr Geld bringt. Sie erfahren es, wenn der erste Kunde anruft und sagt: „Du, von dir kommt grad eine komische Mail.“ Oder wenn der Hoster die Seite sperrt, so wie in diesem Fall.
Reparieren heißt raten
Zurück zur Entscheidung. Die ehrliche Antwort auf die Vertrauensfrage lautet meistens nein. Wer einmal eine Hintertür im System hatte, weiß nie mit Sicherheit, ob es die einzige war. Ein zweiter, sauber versteckter Zugang reicht, und in ein paar Tagen steht derselbe Angreifer wieder im Haus. Sie putzen, er kommt zurück, Sie putzen wieder. Eine Arbeit, bei der die Last immer bei Ihnen liegt.
Dazu kommt das eigentliche Problem: Das Loch, durch das die Angreifer hereinkamen, ist nach dem Aufräumen oft noch da. Und dieses Loch sitzt fast nie im Kern von WordPress selbst. Es sitzt in den Erweiterungen.
Die Zahlen für 2025 sind eindeutig. Der Sicherheitsdienstleister Patchstack zählte über 11.000 neue Schwachstellen im WordPress-Umfeld, rein rechnerisch mehr als dreißig an jedem Tag. 91 Prozent davon steckten in Plugins, im Kern von WordPress selbst waren es sechs. Und bei fast der Hälfte gab es zum Zeitpunkt der Veröffentlichung noch gar keine Korrektur. Die Lücke ist also öffentlich bekannt, bevor das passende Update überhaupt existiert.
Ausgenutzt wird das in Rekordzeit. Bei den am stärksten attackierten Lücken vergingen im Mittel nur fünf Stunden von der Veröffentlichung bis zum ersten Angriff. Etwa die Hälfte der schweren Fälle war binnen eines Tages dran.
Lesen Sie das langsam. Eine Lücke wird bekannt, und bevor Sie zu Mittag gegessen haben, klopfen schon automatisierte Angriffe an Tausenden Seiten gleichzeitig. „Einfach regelmäßig updaten“ ist gegen dieses Tempo kein Plan, sondern ein Wettrennen, das Sie strukturell verlieren, sobald genug fremder Code auf Ihrer Seite läuft.
Die zweite Option: weglassen
Die betroffene Seite war eine Visitenkarte im Netz. Ein paar Seiten, eine Handvoll Texte, ein Impressum. Kein Shop, kein Login, kein Kundenbereich, nichts, was sich von Tag zu Tag ändert.
Trotzdem brachte WordPress die volle Maschinerie mit: eine Datenbank, eine Anmeldemaske, ein Dutzend Erweiterungen, eine ganze Software, die bei jedem Seitenaufruf Code ausführt. Lauter bewegliche Teile für Inhalte, die monatelang gleich bleiben. Genau diese beweglichen Teile sind die Angriffsfläche.
Also haben wir sie weggenommen. Aus der gehackten Installation wurde eine schlichte, statische Seite. Reines HTML, ausgeliefert wie ein Dokument. Keine Datenbank, in die jemand einbrechen könnte. Keine Anmeldung, die sich durchprobieren lässt. Keine beschreibbaren Verzeichnisse, in denen sich Schadcode einnistet. Dazu die passenden Sicherheits-Header und eine erzwungene Verschlüsselung.
Am selben Tag war die Seite wieder erreichbar. Diesmal ohne die Tür, durch die der Angreifer hereinspaziert war, weil es diese Tür schlicht nicht mehr gibt.
Wann ein CMS trotzdem das Richtige ist
Jetzt die faire Gegenrede, denn so einfach ist es nicht immer.
Es gibt gute Gründe für ein Redaktionssystem. Ein Shop mit Bestellungen. Ein Mitgliederbereich. Ein Blog, der täglich wächst. Buchungen, Formulare, alles, was wirklich lebt und sich ständig ändert. Wo das gebraucht wird, verdient ein CMS seinen Platz, und dann gehört es konsequent abgesichert: Zwei-Faktor-Anmeldung, so wenige Erweiterungen wie möglich, echte Backups, automatische Updates.
Der Fehler ist ein anderer. Es ist die fünfseitige Firmenseite, die sich zweimal im Jahr ändert und trotzdem das volle Risiko einer ausgewachsenen Software trägt. Aus reiner Gewohnheit. Weil man es halt so macht.
Ich habe nichts gegen WordPress. Gut gehärtet und auf das Nötige reduziert, läuft es zuverlässig. Es trägt die Hack-Statistiken auch deshalb an, weil es schlicht das verbreitetste System im Netz ist und damit das lohnendste Ziel. Aber nach einem Einbruch ist „reparieren“ oft kein Sicherheitsgewinn, sondern nur das Gefühl davon. Und Gefühl ist gegen den nächsten automatisierten Angriff eine schlechte Verteidigung.
Die eigentliche Lehre ist einfach: Jedes Stück Code, das Sie nicht brauchen, kann gegen Sie verwendet werden.
Wenn Ihre Seite plötzlich gesperrt ist
Ein Befall lebt vom Tempo und davon, dass im ersten Schreck überstürzt das Falsche passiert. Wenn Ihre Seite ohne Vorwarnung offline geht oder der Hoster Schadcode meldet, ist das ein Fall für die Schadensabwehr. Wir sehen uns gemeinsam an, was wirklich passiert ist, und entscheiden dann, ob aufräumen reicht oder der saubere Schnitt klüger ist. Reden wir.
Häufige Fragen
Meine WordPress-Seite wurde gehackt. Kann ich sie nicht einfach bereinigen lassen?
Manchmal ja, aber mit einem Vorbehalt. Nach einem Einbruch lässt sich kaum je beweisen, dass wirklich jede Hintertür gefunden wurde. Ein einziger übersehener Zugang genügt für die nächste Infektion. Vor allem aber bleibt die ursprüngliche Schwachstelle nach dem Putzen oft offen. Ob Reparatur sinnvoll ist oder der Neuaufbau, hängt davon ab, was die Seite überhaupt können muss.
Woran erkenne ich, dass meine Seite betroffen ist?
Oft meldet sich der Hoster zuerst, weil sein Scanner anschlägt und die Seite sperrt. Andere Anzeichen: unerklärliche neue Dateien oder Benutzer, Weiterleitungen auf fremde Seiten, Warnungen in der Google Search Console, oder plötzlich versendet Ihre Domain Spam. Im Zweifel gilt: lieber einmal zu früh nachsehen lassen als zu spät.
Ist eine statische Seite nicht ein Rückschritt?
Im Gegenteil. Für eine Seite, deren Inhalte selten wechseln, ist statisch schneller, günstiger im Betrieb und deutlich schwerer anzugreifen, weil es fast nichts zum Angreifen gibt. Aussehen und Funktion für den Besucher bleiben dieselben. Was wegfällt, ist die Technik im Hintergrund, die Sie nie gesehen, aber immer mitbezahlt haben, an Risiko.
Was passiert beim Umstieg mit meinen Inhalten und meiner Auffindbarkeit?
Texte, Bilder und Struktur werden übernommen, die Adressen Ihrer Seiten bleiben erhalten. Für Google ändert sich an der Sichtbarkeit dadurch nichts Negatives, im Gegenteil hilft die höhere Geschwindigkeit. Wichtig ist nur, dass der Umzug sauber gemacht wird, damit keine Adresse ins Leere läuft.
Wie schnell kann eine Ersatzseite online sein?
Bei einer überschaubaren Firmenseite oft noch am selben Tag, wie in dem Fall, der diesem Beitrag zugrunde liegt. Entscheidend ist nicht die Geschwindigkeit allein, sondern dass die Lücke, die zum Einbruch geführt hat, danach geschlossen ist und nicht bloß überdeckt.
Dieser Beitrag schildert einen realen Vorfall in anonymisierter Form. Er ist fachliche Einordnung und keine Sicherheitsberatung im Einzelfall.