Ein UpdraftPlus Sicherheitsvorfall bei TeamUpdraft sorgt seit dem 19. Oktober 2026 für Unruhe. Wenn du UpdraftPlus nur als reines, kostenloses Plugin ohne Online-Konto nutzt, kannst du diesen Artikel eigentlich überspringen. Wenn du aber UpdraftCentral, UpdraftVault oder UpdraftClone verwendest – also eines der Cloud-Zusatzprodukte rund um das Backup-Plugin – betrifft dich das hier direkt, und zwar ziemlich dringend.
TeamUpdraft, das Unternehmen hinter UpdraftPlus, hat am 19. Oktober 2026 einen Sicherheitsvorfall auf der eigenen Website teamupdraft.com öffentlich gemacht [teamupdraft.com]. Entdeckt wurde der unautorisierte Zugriff am Wochenende des 17./18. Oktober. Wichtig vorab: Das Plugin selbst und seine Downloads sind laut TeamUpdraft nicht betroffen, ebenso wenig Backups, die in deinem eigenen externen Speicher liegen. Betroffen ist die Kundendatenbank von teamupdraft.com.
UpdraftPlus Sicherheitsvorfall: Was genau kompromittiert wurde
Laut eigener Angabe von TeamUpdraft hatten die Angreifer Zugriff auf:
- Namen, E-Mail- und Rechnungsadressen, Bestellhistorie
- gehashte Account-Passwörter
- Zwei-Faktor-Authentifizierung-Einstellungen
- Verbindungsschlüssel für UpdraftCentral, UpdraftVault und UpdraftClone
Kartendaten waren nicht betroffen – die Zahlungsabwicklung läuft über Stripe und PayPal, nicht über TeamUpdraft selbst. Das Unternehmen hat den Vorfall dem britischen Information Commissioner’s Office (ICO) gemeldet, der zuständigen Datenschutzbehörde in Großbritannien.
Was du jetzt tun solltest
Je nachdem, was du von UpdraftPlus nutzt, sieht die Checkliste etwas anders aus:
Du nutzt UpdraftCentral (zur Fernsteuerung mehrerer Seiten)
Das ist der dringendste Fall. TeamUpdraft rät: UpdraftPlus auf jeder angebundenen Seite auf die reparierte Version aktualisieren (1.26.12 kostenlos, 2.26.12 Premium – diese trennen automatisch alle UpdraftCentral-Verbindungen, die vor dem 18. Oktober, 22 Uhr britischer Zeit, erstellt wurden), den bestehenden Verbindungsschlüssel entfernen, Benutzer und Plugins (auch Must-Use-Plugins) auf unbekannte Einträge prüfen und alle Admin-Passwörter ändern. Findest du etwas Verdächtiges: von einem Backup vor dem 17. Oktober wiederherstellen, dann neu verbinden.
Du nutzt UpdraftVault
Deine Seiten wurden laut TeamUpdraft bereits getrennt. Neu verbinden mit deiner teamupdraft.com-E-Mail und einem neuen Passwort, danach einmal manuell sichern, um zu prüfen, ob es funktioniert.
Du nutzt UpdraftClone
Alte Client-Schlüssel funktionieren nicht mehr. Hast du Schlüssel an Kunden weitergegeben, brauchen die die neuen aus ihrem Konto – sonst schlägt die Klon-Erstellung fehl.
Du hast irgendein teamupdraft.com-Konto
Passwort ändern – und zwar, indem du die Adresse direkt eintippst, nicht über einen Link aus einer E-Mail. Dasselbe Passwort woanders wiederverwendet? Dort auch ändern. Zwei-Faktor-Authentifizierung im eigenen Konto zurücksetzen. Und grundsätzlich: In den nächsten Wochen skeptisch bei E-Mails sein, die angeblich von TeamUpdraft kommen.
Was das für deine DSGVO-Pflichten bedeutet
Ich bin kein Anwalt, deshalb nur die Einordnung, keine Rechtsberatung: TeamUpdraft selbst hat als Verantwortlicher für die eigene Kundendatenbank die Meldung an die britische Aufsichtsbehörde übernommen. Für dich als UpdraftPlus-Nutzer in Deutschland, Österreich oder der Schweiz ändert das grundsätzlich nichts an deinen eigenen Melde- oder Informationspflichten – es sei denn, die kompromittierten Verbindungsschlüssel hätten tatsächlich Zugriff auf deine eigenen Kundendaten ermöglicht (dann wärst du selbst betroffen und müsstest das für deinen Betrieb einschätzen, DE/AT Art. 33/34 DSGVO, CH Art. 24 revDSG). Genau deshalb lohnt sich der Admin- und Plugin-Check oben wirklich, nicht nur aus Vorsicht.
Häufige Fragen
Ist das kostenlose UpdraftPlus-Plugin selbst unsicher?
Nein. Betroffen ist die Website teamupdraft.com und ihre Kundendatenbank, nicht der Plugin-Code oder die Download-Dateien. Nutzt du nur das Plugin ohne verbundenes Konto, musst du nichts weiter tun außer wie immer aktuell zu bleiben.
Woher weiß ich, ob mein UpdraftCentral-Zugang betroffen ist?
TeamUpdraft geht grundsätzlich von allen Verbindungen aus, die vor dem 18. Oktober 22 Uhr (britische Zeit) bestanden. Am sichersten: Verbindungsschlüssel entfernen und mit der aktualisierten Version neu verbinden, statt zu raten.
Muss ich jetzt sofort handeln, oder reicht das nächste reguläre Update?
Wenn du UpdraftCentral, UpdraftVault oder UpdraftClone nutzt: ja, jetzt. Bei reiner lokaler Nutzung des kostenlosen Plugins ohne Konto reicht das übliche zeitnahe Update.
Was, wenn ich gar nicht mehr weiß, welche Verbindungen ich eingerichtet habe?
Dann im Zweifel alle entfernen und neu aufsetzen – lieber einmal zu viel neu verbinden, als einen alten Schlüssel übersehen, der noch gültig sein könnte.
Wer das lieber nicht alleine durchgehen möchte – also UpdraftPlus-Update, Verbindungsschlüssel prüfen, Admin-Konten kontrollieren – kann sich einfach bei mir melden, ich gehe das mit dir durch. Ich übernehme solche Checks ohnehin regelmäßig im Rahmen der WordPress-Wartung.
Quellen
- TeamUpdraft: Security Incident – October 2026 (19. Oktober 2026, aktualisiert 19:03 BST)
