Kurz gesagt: 2026 vergehen zwischen der Veröffentlichung einer WordPress-Schwachstelle und dem ersten Massenangriff im Schnitt nur wenige Stunden. Plugins sind das größte Einfallstor – und bei fast der Hälfte der Lücken gibt es zum Zeitpunkt der Meldung noch kein Update. Wer nur einmal im Monat manuell aktualisiert, ist zu langsam. Dieser Beitrag zeigt dir die Zahlen und was deine Seite wirklich schützt.
Die Bedrohungslage 2026 in Zahlen
Die Sicherheitsanbieter Patchstack und Wordfence werten jedes Jahr tausende gemeldete WordPress-Schwachstellen aus. Vier Kernaussagen aus den 2026er-Auswertungen:
- Median rund 5 Stunden von der öffentlichen Meldung bis zur ersten breiten Ausnutzung.
- Über 11.000 dokumentierte Schwachstellen – ein Plus von etwa 42 % gegenüber dem Vorjahr.
- Rund 91 % davon stecken in Plugins, nicht im WordPress-Kern.
- Bei etwa 46 % der Plugin-Lücken gibt es zum Zeitpunkt der Meldung noch keinen Patch.
Dazu kommt: Branchenscans zufolge läuft auf mehr als der Hälfte der geprüften WordPress-Installationen mindestens ein Plugin mit einer bekannten, ungepatchten Lücke.
Warum das klassische Update-Modell scheitert
Viele KMU-Seiten werden nach einem einfachen Muster gepflegt: Einmal im Monat einloggen, Updates klicken, fertig. Das hat jahrelang gereicht. 2026 nicht mehr.
Rechne es durch: Wenn eine kritische Lücke veröffentlicht wird und die ersten Angriffe nach fünf Stunden laufen, dein Update-Termin aber erst in drei Wochen ist – dann steht deine Seite drei Wochen lang offen. Angreifer suchen nicht gezielt nach deiner Firma. Sie scannen automatisiert das halbe Netz nach genau der einen verwundbaren Plugin-Version.
Noch unangenehmer sind die 46 % der Fälle, in denen es beim Bekanntwerden noch gar kein Update gibt. Da kannst du klicken, so viel du willst – es gibt schlicht nichts zu installieren. Genau in diesem Fenster passieren die meisten erfolgreichen Angriffe.
Beispiel: Gravity SMTP, Juni 2026
Wie schnell das geht, hat der Fall Gravity SMTP gezeigt: Eine ungeschützte Schnittstelle gab API-Keys und Systemdaten preis. Innerhalb von Tagen blockierten Sicherheitsanbieter Millionen Angriffsversuche pro Tag. Wer erst beim nächsten Monats-Update reagiert hätte, war längst betroffen.
Was deine Seite wirklich schützt
1. Automatische Sicherheitsupdates
Sicherheitsrelevante Plugin- und Kern-Updates gehören automatisiert – nicht in den Monatsrhythmus. Die Betonung liegt auf sicherheitsrelevant: Funktions-Updates darfst du weiter kontrolliert einspielen, damit nichts unbemerkt bricht.
2. Virtual Patching per Web Application Firewall
Eine WAF (etwa von Wordfence oder Patchstack) rollt eine Schutzregel aus, sobald eine Lücke bekannt ist – auch wenn es noch kein Plugin-Update gibt. Genau das schließt das gefährliche Zeitfenster, in dem du sonst schutzlos bist.
3. Weniger Plugins, bewusster ausgewählt
91 % der Lücken stecken in Plugins. Jedes Plugin, das du nicht brauchst, ist eine Angriffsfläche weniger. Miste regelmäßig aus und setze auf gepflegte, aktiv weiterentwickelte Erweiterungen.
4. Monitoring und saubere Backups
Du musst wissen, wenn sich etwas ändert – neue Admin-Nutzer, veränderte Dateien, verdächtige Logins. Und du brauchst ein Backup, das sich im Ernstfall wirklich zurückspielen lässt. Falls es doch passiert: die Soforthilfe-Checkliste für gehackte WordPress-Seiten.
5. Betreute Wartung statt Selbstläufer
Die Punkte 1 bis 4 kosten Zeit und Fachwissen – jede Woche, nicht einmal im Jahr. Genau dafür gibt es betreute WordPress-Wartung: Updates, Firewall, Monitoring und Backups laufen im Hintergrund, und im Notfall ist jemand erreichbar.
Für wen lohnt sich das?
Wenn deine Website Umsatz bringt, Anfragen generiert oder einfach dein digitales Aushängeschild ist, ist ein Ausfall teuer – in Zeit, Geld und Vertrauen. Ab diesem Punkt ist betreute Wartung keine Kür, sondern Günstigversicherung. Was so ein Vertrag realistisch kostet und enthält, liest du im Beitrag WordPress-Wartungsvertrag.
FAQ
Reicht ein Security-Plugin nicht aus?
Ein Security-Plugin mit WAF ist ein wichtiger Baustein, aber kein Autopilot. Es muss richtig konfiguriert, aktuell gehalten und überwacht werden. Ohne jemanden, der die Meldungen liest und reagiert, bleibt die halbe Wirkung liegen.
Wie oft sollten Updates laufen?
Sicherheitsupdates möglichst automatisch und zeitnah. Funktions- und Theme-Updates kontrolliert, idealerweise nach einem kurzen Test – damit ein Update nicht das Layout oder den Checkout zerlegt.
Was ist Virtual Patching genau?
Eine Firewall-Regel, die einen bekannten Angriff blockiert, bevor er das verwundbare Plugin erreicht. So bist du geschützt, auch wenn der Hersteller noch kein Update veröffentlicht hat.
Meine Seite läuft seit Jahren problemlos – brauche ich das trotzdem?
Dass bisher nichts passiert ist, heißt nur, dass du Glück hattest oder es nicht bemerkt hast. Angriffe laufen automatisiert und lautlos. Der Aufwand für Wiederherstellung und Reputationsschaden ist um ein Vielfaches höher als Vorsorge.
Nächster Schritt
Du willst wissen, wie sicher deine WordPress-Seite gerade wirklich ist? Schreib mir – ich schaue mir deine Installation an und sage dir ehrlich, wo der dringendste Handlungsbedarf liegt.