2/8 Warum WordPress-Webseiten so häufig angegriffen werden
Dass kompromittierte WordPress-Webseiten besonders oft auffallen, hat mehrere Gründe. Der wichtigste ist die enorme Verbreitung. Eine Sicherheitslücke in einer kaum genutzten Individualsoftware ist für Kriminelle nur begrenzt interessant. Eine Schwachstelle in einer Erweiterung, die auf Hunderttausenden oder sogar Millionen Webseiten installiert ist, bietet dagegen ein attraktives Ziel.
Angreifer suchen dabei meistens nicht persönlich nach einer bestimmten Firma. Automatisierte Bots durchsuchen das Internet rund um die Uhr nach bekannten CMS-Versionen, Plugins, Themes, Login-Seiten und typischen Fehlkonfigurationen. Wird eine passende Schwachstelle gefunden, beginnt der Angriff automatisch. Kleine Betriebe, Vereine und private Webseiten werden somit nicht angegriffen, weil sie besonders bekannt sind, sondern weil ihre Installation zufällig in das Suchraster eines Bots passt.
Die hohe Verbreitung sorgt außerdem dafür, dass sich die Entwicklung automatisierter Angriffswerkzeuge lohnt. Aufbau, Verzeichnisstruktur, Anmeldebereich und viele Schnittstellen einer WordPress-Installation sind bekannt. Selbst wenn die Versionsnummer verborgen wird, lässt sich das eingesetzte System häufig anhand von Pfaden, Dateien, Quelltexten oder typischem Verhalten erkennen.
Das bedeutet nicht, dass WordPress grundsätzlich schlecht programmiert ist. Im Gegenteil: Der Kern wird von vielen Fachleuten geprüft und vergleichsweise schnell aktualisiert. Das Problem liegt überwiegend im riesigen Ökosystem rund um den Kern.
Das größte Risiko sind häufig die Plugins
(https://wordpress.org/plugins/) wirbt mittlerweile mit mehr als 68.000 kostenlosen Plugins. Hinzu kommen zahlreiche kostenpflichtige Erweiterungen, die über andere Marktplätze oder direkt von den Herstellern vertrieben werden. Diese Vielfalt ist eine große Stärke von WordPress – und zugleich seine größte Schwäche.
Plugins stammen nicht von einem einzigen, zentral verantwortlichen Entwicklungsteam. Sie werden von Unternehmen, kleinen Agenturen, Einzelentwicklern oder Hobbyprogrammierern erstellt. Die Qualitätsunterschiede sind entsprechend groß. Manche Plugins werden professionell entwickelt, getestet und über viele Jahre gepflegt. Andere erhalten nur sporadisch Updates oder werden irgendwann vollständig aufgegeben.
Der Sicherheitsbericht (https://patchstack.com/whitepaper/state-of-wordpress-security-in-2026/) von Patchstack nennt für das Jahr 2025 insgesamt 11.334 neu entdeckte Schwachstellen im WordPress-Ökosystem. 91 Prozent davon wurden in Plugins und weitere neun Prozent in Themes gefunden. Im WordPress-Kern selbst wurden lediglich sechs Schwachstellen gemeldet, die laut Bericht nur eine geringe Priorität hatten. Besonders problematisch: 46 Prozent der Schwachstellen waren zum Zeitpunkt ihrer Veröffentlichung noch nicht durch den jeweiligen Hersteller behoben.
Diese Zahlen zeigen, warum die pauschale Aussage „WordPress ist unsicher“ zu kurz greift. Häufig ist nicht WordPress selbst das Einfallstor, sondern eine nachträglich installierte Komponente. Für den Betreiber macht diese Unterscheidung im Schadensfall allerdings kaum einen Unterschied: Die Webseite ist kompromittiert, unabhängig davon, aus welchem Ordner die Sicherheitslücke stammt.
Dies ist Artikel 2/8