Über 90% der gehackten WordPress-Websites nutzen veraltete Plugins oder Themes. Diese Zahl ist erschreckend – und sie zeigt, dass die meisten Website-Betreiber unterschätzen, wie gefährlich ungepflegte Erweiterungen wirklich sind. Wenn du zu viele Plugins installiert hast oder Themes nutzt, die seit Monaten keine Updates mehr bekommen haben, öffnest du Angreifern Tür und Tor.
Das Problem: Warum Plugins und Themes zu Sicherheitslücken werden
WordPress selbst ist grundsätzlich sicher – wenn es regelmäßig aktualisiert wird. Das Problem entsteht durch die Erweiterungen: Jedes Plugin und jedes Theme ist Code, der auf deinem Server läuft. Und dieser Code kann Sicherheitslücken enthalten. Die meisten WordPress-Hacks entstehen nicht durch Schwachstellen im WordPress-Core, sondern durch veraltete oder schlecht programmierte Plugins und Themes.
Warum zu viele Plugins gefährlich sind
- Mehr Code, der Sicherheitslücken enthalten kann – Jedes Plugin ist potenziell fehleranfällig
- Mehr Abhängigkeiten – Plugins hängen oft voneinander ab
- Schwierigere Wartung – Je mehr Plugins, desto schwieriger den Überblick zu behalten
- Höhere Komplexität – Probleme sind schwerer zu identifizieren
Praxisbeispiel: Eine Kunden-Website hatte 45 installierte Plugins. Davon waren 12 seit über einem Jahr nicht mehr aktualisiert worden. Eines dieser veralteten Plugins hatte eine bekannte Sicherheitslücke, die es Angreifern ermöglichte, schädliche Dateien hochzuladen. Die Website wurde gehackt, der Kunde verlor Kundendaten und musste mehrere tausend Euro für die Bereinigung zahlen.
Warum ungepflegte Themes gefährlich sind
- Themes werden seltener aktualisiert – Oft jahrelang nicht angefasst
- Themes haben oft mehr Zugriff – Ein Theme kann auf fast alle WordPress-Funktionen zugreifen
- Custom-Themes ohne Support – Wenn der Entwickler nicht mehr verfügbar ist, bleibt jede Sicherheitslücke offen
- Premium-Themes mit veralteten Abhängigkeiten – Externe Bibliotheken können selbst Sicherheitslücken haben
Wie du problematische Plugins und Themes erkennst
Warnsignale bei Plugins
- Kein Update seit über 6 Monaten – Besonders kritisch, wenn WordPress selbst aktualisiert wurde
- Niedrige Installationszahlen – Plugins mit sehr wenigen Installationen werden oft nicht mehr gepflegt
- Schlechte Bewertungen oder keine Reviews
- Inkompatibilität mit aktueller WordPress-Version – „nicht getestet mit der neuesten WordPress-Version“
- Bekannte Sicherheitslücken – in WPScan oder Patchstack als gefährlich eingestuft
Warnsignale bei Themes
- Kein Update seit über 12 Monaten
- Nicht kompatibel mit aktueller WordPress-Version
- Veraltete PHP-Version – nicht kompatibel mit PHP 8.x
- Keine Support-Antworten vom Theme-Entwickler
Die konkreten Gefahren
Angreifer können durch Sicherheitslücken:
- Schädliche Dateien hochladen – PHP-Dateien als Backdoor oder Malware
- Admin-Zugriff erlangen – Alles ändern, löschen oder manipulieren
- Datenbank-Zugriff – Kundendaten stehlen, Passwörter ändern
- Website für Spam oder Phishing nutzen – Blacklist bei Google oder E-Mail-Anbietern
- SEO-Schäden – Versteckte Spam-Links, Google-Abstrafung
Sofort-Maßnahmen
Schritt 1: Plugin-Audit durchführen
- Gehe zu „Plugins“ → „Installierte Plugins“
- Prüfe jedes Plugin: Wann war das letzte Update? Ist es kompatibel? Gibt es bekannte Sicherheitslücken?
- Erstelle eine Liste: veraltete, nicht genutzte und problematische Plugins
Schritt 2: Veraltete Plugins entfernen oder ersetzen
- Nicht genutzte Plugins sofort löschen – jedes nicht genutzte Plugin ist ein unnötiges Sicherheitsrisiko
- Veraltete Plugins ersetzen – es gibt fast immer moderne Alternativen
- Kritische Plugins aktualisieren – oder Entwickler kontaktieren
Schritt 3: Theme-Status prüfen
- Gehe zu „Design“ → „Themes“
- Prüfe aktives und inaktive Themes
- Alte, nicht genutzte Themes löschen
Schritt 4: Sicherheits-Scan durchführen
Nutze Wordfence oder Sucuri, prüfe CVEs und nutze WPScan für bekannte Schwachstellen.
Schritt 5: Backup erstellen
Bevor du größere Änderungen vornimmst, erstelle ein vollständiges Backup.
Vergleichstabelle: Plugin- und Theme-Risiken
| Situation | Risiko-Level | Sofort-Maßnahme |
|---|---|---|
| Plugin ohne Update seit 6 Monaten | Mittel | Prüfen, ob Alternative existiert |
| Plugin ohne Update seit 12 Monaten | Hoch | Sofort ersetzen oder entfernen |
| Plugin mit bekannter Sicherheitslücke | Kritisch | Sofort deaktivieren und entfernen |
| Theme ohne Update seit 12 Monaten | Hoch | Prüfen, ob neues Theme verfügbar |
| Theme ohne Update seit 24 Monaten | Kritisch | Theme wechseln oder professionell prüfen lassen |
| Nicht genutztes Plugin/Theme | Mittel | Sofort löschen |
Fazit
Die meisten WordPress-Sicherheitsprobleme entstehen nicht durch den WordPress-Core, sondern durch veraltete oder schlecht gepflegte Plugins und Themes. Die Lösung ist einfach, aber erfordert Disziplin: Regelmäßige Audits, nur seriöse Erweiterungen nutzen, veraltete Plugins und Themes sofort entfernen oder ersetzen.
