Wer eine WordPress-Website betreibt kennt sie wahrscheinlich: Die kleine Meldung im Backend, dass ein neues Update verfügbar ist. Für viele ist das erst einmal nichts Besonderes. Die Website läuft, Kunden können sie aufrufen und im Alltag gibt es Wichtigeres zu erledigen. Also wird das Update auf später verschoben.
Genau diese Einstellung sorgt jedoch immer wieder dafür, dass Websites gehackt werden.
Mit wp2shell wurde eine der kritischsten Sicherheitslücken der vergangenen Jahre bekannt. Das Besondere daran: Die Schwachstelle befindet sich nicht in einem Plugin oder Theme, sondern direkt im WordPress-Core. Dadurch betrifft sie potenziell Millionen Websites weltweit und zeigt einmal mehr warum regelmäßige Wartung kein optionales Extra, sondern ein wichtiger Bestandteil jeder professionellen WordPress-Website ist.
Als WordPress-Freelancer beschäftige ich mich täglich mit Websites – von kleinen Unternehmensseiten bis hin zu größeren Projekten mit individuellen Funktionen. Immer wieder sehe ich dieselben Fehler: veraltete Plugins, alte PHP-Versionen oder WordPress-Installationen die seit Monaten kein Update mehr erhalten haben. Meist passiert lange nichts. Bis plötzlich doch etwas passiert.
Warum wp2shell so viel Aufmerksamkeit bekommt
Fast jede Woche werden Sicherheitslücken in WordPress-Plugins veröffentlicht. Die meisten betreffen allerdings nur einen kleinen Teil aller Websites, nämlich diejenigen auf denen das jeweilige Plugin installiert ist.
Bei wp2shell sieht das anders aus.
Hier liegt die Schwachstelle direkt im WordPress-Core. Das bedeutet, dass nicht ein einzelnes Plugin das Problem ist, sondern die eigentliche Software, auf der Millionen Websites basieren. Genau deshalb haben Sicherheitsforscher und Medien die Lücke innerhalb kürzester Zeit als besonders kritisch eingestuft.
Nach aktuellen Erkenntnissen handelt es sich um eine sogenannte Remote Code Execution (RCE). Vereinfacht bedeutet das: Unter bestimmten Voraussetzungen kann ein Angreifer eigenen Code auf dem Server ausführen. Gelingt das ist der Weg für weitere Angriffe oft frei. Je nach Umgebung können Dateien manipuliert, Schadsoftware installiert oder sogar die komplette Website übernommen werden. Sicherheitsforscher haben zudem berichtet, dass kurz nach der Veröffentlichung bereits erste Angriffe auf ungepatchte Systeme beobachtet wurden.
Das eigentliche Problem beginnt nach der Veröffentlichung
Viele glauben, eine Sicherheitslücke werde erst gefährlich, wenn Hacker sie irgendwann entdecken.
In Wirklichkeit passiert genau das Gegenteil.
Sobald ein Sicherheitsupdate veröffentlicht wird, analysieren Sicherheitsforscher den Quellcode um zu verstehen, welche Schwachstelle behoben wurde. Dasselbe machen allerdings auch Angreifer. Sie vergleichen die alte und neue Version und können daraus häufig ableiten, wie sich die Sicherheitslücke ausnutzen lässt.
Anschließend dauert es oft nur wenige Stunden oder Tage bis automatisierte Bots das Internet nach verwundbaren Websites durchsuchen.
Diese Bots greifen nicht gezielt dein Unternehmen an. Sie kennen weder deinen Namen noch deine Branche. Sie testen einfach tausende Websites pro Stunde und prüfen ob eine bekannte Schwachstelle vorhanden ist.
Genau deshalb ist der Satz „Meine Website ist doch viel zu klein, um gehackt zu werden“ einer der größten Irrtümer überhaupt.
Warum ich Updates bei Kunden nie unnötig verschiebe
In meiner täglichen Arbeit betreue ich unterschiedliche WordPress-Projekte. Manche bestehen aus wenigen Seiten, andere sind umfangreiche Unternehmenswebsites oder Onlineshops.
Eines haben jedoch alle gemeinsam:
Sicherheitsupdates werden möglichst zeitnah installiert.
Natürlich nicht blind. Vor jedem größeren Update gehört ein vollständiges Backup dazu. Gerade bei komplexeren Projekten teste ich Änderungen zunächst in einer Entwicklungs- oder Staging-Umgebung. Aber Sicherheitsupdates wochenlang liegen zu lassen, ist aus meiner Sicht keine gute Strategie.
Denn wenn eine kritische Sicherheitslücke öffentlich bekannt wird, läuft die Uhr.
Je länger eine Website ungepatcht bleibt, desto größer wird das Risiko.
Ein gehacktes WordPress verursacht oft mehr Schaden als gedacht
Viele stellen sich unter einem Hackerangriff eine komplett zerstörte Website vor.
In der Praxis sieht das häufig anders aus.
Die Website funktioniert scheinbar ganz normal. Besucher bemerken zunächst nichts. Im Hintergrund wurden jedoch neue Dateien angelegt, Schadcode eingebunden oder zusätzliche Administratoren erstellt.
Manche Websites verschicken plötzlich Spam-Mails.
Andere werden für Phishing-Kampagnen missbraucht.
Wieder andere erzeugen hunderte Spam-Unterseiten, die erst Wochen später bei Google auftauchen. Spätestens dann stellt sich die Frage warum plötzlich Seiten im Suchindex erscheinen, die nie erstellt wurden.
Die Bereinigung einer kompromittierten Website besteht deshalb nicht einfach daraus, eine verdächtige Datei zu löschen. Häufig muss das gesamte System überprüft werden. Dateien werden verglichen, Logdateien analysiert, Benutzerkonten kontrolliert und Hintertüren entfernt. Je nach Angriff kann das mehrere Stunden oder sogar Tage dauern.
So prüfst du, ob deine Website betroffen ist
Die gute Nachricht ist: Du musst kein IT-Sicherheitsexperte sein, um die wichtigsten Punkte selbst zu kontrollieren.
Melde dich zunächst im WordPress-Backend an und prüfe unter Dashboard → Aktualisierungen, welche WordPress-Version installiert ist.
Sind Updates verfügbar, solltest du zunächst ein vollständiges Backup erstellen und anschließend die Aktualisierung durchführen.
Danach lohnt sich ein kurzer Blick auf die installierten Plugins. Werden alle Erweiterungen noch aktiv gepflegt? Gibt es Plugins, die seit Jahren keine Updates mehr erhalten haben? Gerade solche Erweiterungen stellen häufig ein unnötiges Sicherheitsrisiko dar.
Auch die verwendete PHP-Version solltest du im Blick behalten. Viele Websites laufen noch auf veralteten Versionen, obwohl neuere Versionen nicht nur sicherer, sondern auch deutlich schneller sind.
Sicherheit besteht aus mehr als nur Updates
Auch wenn wp2shell aktuell für Schlagzeilen sorgt, wäre es falsch, sich ausschließlich auf diese eine Schwachstelle zu konzentrieren.
Eine sichere WordPress-Website entsteht immer durch mehrere Maßnahmen, die zusammenspielen.
Dazu gehören regelmäßige Backups, aktuelle Plugins und Themes, starke Passwörter für Administratoren und ein zuverlässiges Hosting. Ebenso wichtig ist ein regelmäßiger Blick auf die Website selbst. Funktioniert alles wie gewohnt? Gibt es unbekannte Benutzerkonten? Tauchen plötzlich Dateien auf, die dort nicht hingehören?
Wer seine Website regelmäßig wartet, erkennt viele Probleme bereits, bevor daraus ein ernsthafter Schaden entsteht.
Wartung ist günstiger als eine Notfallrettung
Ich erlebe immer wieder, dass Unternehmen mehrere tausend Euro in eine neue Website investieren, sich anschließend aber jahrelang nicht mehr um Wartung kümmern.
Das ist ungefähr so, als würdest du ein neues Auto kaufen und nie wieder zur Inspektion fahren.
Natürlich funktioniert das eine Zeit lang.
Aber irgendwann wird aus einer kleinen Wartung ein deutlich größeres Problem.
Bei WordPress ist das nicht anders. Ein paar Minuten für Updates und regelmäßige Kontrollen können im Ernstfall viele Stunden Arbeit und hohe Kosten sparen.
Mein Fazit als WordPress-Freelancer
Die Sicherheitslücke wp2shell ist ein gutes Beispiel dafür, wie wichtig eine kontinuierliche Wartung von WordPress ist. Nicht weil jede Website sofort gehackt wird, sondern weil bekannte Schwachstellen innerhalb kürzester Zeit automatisiert angegriffen werden.
Mein Rat ist deshalb einfach: Verschiebe Sicherheitsupdates nicht unnötig. Erstelle regelmäßige Backups, halte WordPress, Plugins und Themes aktuell und überprüfe deine Website in festen Abständen. So reduzierst du das Risiko erheblich und sorgst dafür, dass deine Website auch langfristig zuverlässig und sicher läuft.
Falls du keine Zeit hast, dich selbst um Updates, Wartung und Sicherheitsprüfungen zu kümmern oder dir unsicher bist, ob deine WordPress-Installation sauber abgesichert ist, unterstütze ich dich gerne dabei. So kannst du dich auf dein Unternehmen konzentrieren, während ich dafür sorge, dass deine Website technisch auf dem aktuellen Stand bleibt.
