Warum werden WordPress-Seiten gehackt? Wo die Lücken stecken

Warum Angreifer auf WordPress zielen

WordPress ist das verbreitetste System für Websites. W3Techs zählt es auf 39,2 % aller Websites und auf 57,9 % der Websites, deren Content-Management-System es erkennt (Stand 12. November 2026).

Für Angreifer heißt das: Ein Werkzeug passt auf Millionen Seiten. Jede WordPress-Seite hat dieselbe Anmeldeseite und dieselben Ordner. Ein Bot muss nur herausfinden, welche Plugins eine Seite nutzt und in welcher Version. Welche Spuren das verraten, zeigt der Ratgeber Wie finden Bots WordPress-Seiten?.

Die meisten Angriffe gelten nicht dir persönlich. Bots probieren jede Seite, die sie finden. Ein kleiner Blog ist für sie so nützlich wie ein großer Shop, zum Beispiel für Spam-Seiten oder für Weiterleitungen auf Betrugsseiten.

Wo die Lücken stecken

Patchstack sammelt Lücken in WordPress-Software und hat für 2025 Folgendes gezählt:

Jedes Plugin bringt Code eines anderen Entwicklers mit. Manche Plugins stammen von großen Firmen, viele von einer einzelnen Person. Eine Seite mit 30 Plugins hängt von der Sorgfalt von 30 Entwicklern ab. WordPress selbst wird genau geprüft: Patchstack zählte im Kern nur sechs Lücken.

Wie schnell Angriffe folgen

Wird eine Lücke bekannt, gleichen Angreifer sie mit den Seiten ab, die ihre Bots gefunden haben. Patchstack hat gemessen: Stark ausgenutzte Lücken wurden etwa fünf Stunden nach der Veröffentlichung zum ersten Mal angegriffen. Etwa die Hälfte der Lücken mit großer Wirkung wurde innerhalb von 24 Stunden angegriffen.

Ein Fix hilft erst, wenn er installiert ist. Für 46 % der Lücken hatte der Entwickler noch keinen Fix, als sie bekannt wurden. Dann bleibt nur, das Plugin zu entfernen oder den Angriff abzufangen, bevor er deine Seite erreicht, etwa mit einer Firewall-Regel.

Auch Sicherheits-Plugins haben Lücken

Dieses Archiv hat die CVE-Einträge der Plugins gezählt, die auf dieser Seite stehen. Ein CVE-Eintrag ist ein öffentlicher Eintrag zu einer Sicherheitslücke. Gezählt sind die Einträge in der US-amerikanischen National Vulnerability Database (NVD), die das jeweilige Plugin selbst betreffen und seit 2021 veröffentlicht wurden:

Ein Sicherheits-Plugin ist Code wie jedes andere Plugin. Mehr Einträge heißen nicht einfach weniger Sicherheit, denn bekannte Plugins werden öfter geprüft. Entscheidend ist, dass Lücken schnell behoben werden und du den Fix installierst.

Was du tun kannst

Nächster Schritt

Die Seite Tools für Web-Sicherheit zeigt Firewalls, Backup-Plugins und Sicherheits-Plugins mit ihren Zahlen von WordPress.org und ihren CVE-Einträgen.