WordPress-Sicherheit: Plugin-Risiken brauchen feste Update- und Prüfprozesse
WordPress bleibt durch seine Plugin-Landschaft ein häufiges Angriffsziel. Betreiber sollten Updates, Rechte, Backups und Plugin-Auswahl konsequent prüfen.
WordPress bleibt das meistgenutzte Content-Management-System im Netz, und damit auch ein primäres Angriffsziel. Ein aktueller Lieferkettenangriff auf die Plugins OptinMonster, TrustPulse und PushEngage, der laut heise online über 1,2 Millionen Instanzen gefährdet, zeigt: Das Risiko sitzt nicht im WordPress-Kern, sondern in der Plugin-Landschaft. Administratoren und Betreiber brauchen feste Prozesse, um damit umzugehen.
Warum Plugins das größte Risiko sind
Plugins erweitern WordPress tiefgreifend: Formulare, Shops, SEO, Caching und Mediatheken laufen häufig mit weitreichenden Berechtigungen. Sicherheitslücken können deshalb schnell zu Datenabfluss, Spam-Injection, Malware-Hinterlegung, Weiterleitungen oder vollständiger Übernahme der Website führen. Die Angriffsfläche wächst mit jeder installierten Erweiterung, unabhängig davon, ob das Plugin aktiv verwendet wird oder nur deaktiviert herumliegt.
Besonders tückisch sind Supply-Chain-Angriffe, bei denen Angreifer nicht die Website direkt angreifen, sondern die Update-Pipeline des Plugin-Herstellers kompromittieren. Das betroffene Plugin liefert die Malware dann scheinbar legitím über den WordPress-eigenen Update-Mechanismus aus. Ein aktuelles Beispiel ist der Angriff auf ShapePlugin-Pro-Plugins, bei dem Backdoors über offizielle Update-Server verbreitet wurden. Für den Betreiber ist ein solcher Angriff schwer zu erkennen, weil das Update als vertrauenswürdig signiert war.
Konkrete Maßnahmen für Betreiber
Wer WordPress-Websites betreibt, sollte folgende Punkte systematisch angehen:
| Maßnahme | Begründung | Empfohlene Häufigkeit |
|---|---|---|
| Plugin-Inventory | Aktive und inaktive Plugins erfassen, verantwortliche Personen benennen | Quartalsweise |
| Inaktive Plugins löschen | Deaktivierte Plugins bleiben angreifbar und erweitern die Angriffsfläche | Sofort, mindestens monatlich |
| Updates einspielen | Vorher Backup anlegen, dann Update im Staging oder direkt | Wöchentlich, bei kritischen Lücken sofort |
| Quellen prüfen | Wordfence und Patchstack Feeds abonnieren, CISA-KEV-Katalog beobachten | Wöchentlich |
| Admin-Konten schützen | MFA aktivieren, starke Passwörter, minimale Administratorzahl | Dauerhaft |
| Backups testen | Restore-Prüfung durchführen, nicht nur Backup-Datei erzeugen | Quartalsweise |
Supply-Chain-Angriffe erkennen
Lieferkettenangriffe sind besonders schwer zu erkennen, weil die schädliche Software über den offiziellen Update-Kanal kommt. Folgende Signale können auf eine Kompromittierung hindeuten:
- Unerwartete Dateiänderungen im
wp-content/plugins/-Verzeichnis - Neue, unbekannte Administratorkonten in der WordPress-Benutzerverwaltung
- Verbindungen zu unbekannten externen Servern in den Webserver-Logs
- Auffällige Änderungen an
wp-config.phpoder.htaccess - Plugin-Updates, die außerhalb des normalen Veröffentlichungszyklus des Herstellers auftreten
Wer eines dieser Signale entdeckt, sollte die Website sofort in den Wartungsmodus setzen, ein vollständiges Backup für die Forensik sichern, das betroffene Plugin deaktivieren und entfernen, und alle Zugangsdaten rotieren: WordPress-Admin, FTP/SFTP, Datenbank, Hosting-Panel.
Passende Anleitungen auf S-EDV
- WordPress nativ auf Ubuntu installieren – Saubere Installation mit LAMP-Stack, Härtung direkt ab dem Start.
- ShapePlugin Supply-Chain-Angriff – Konkretes Beispiel für einen Plugin-Lieferkettenangriff mit Backdoor.
- WordPress mit einem Klick im netcup Webhosting installieren – Managed Installation mit automatisierten Updates.
