Gründe, WordPress 2026 NICHT zu nutzen

Im Juli 2026 veröffentlichten Sicherheitsforscher zwei Schwachstellen in der WordPress-Software selbst, die es zusammen einem völlig Fremden erlaubten, sein eigenes Administratorkonto auf einer Website anzulegen — kein Passwort, keine Anmeldeseite, gar nichts (Rapid7, 17. Juli 2026). Kein defektes Plugin. Keine Phishing-Mail. WordPress selbst.

Am 21. Juli, vier Tage später, nahm die US-Cybersicherheitsbehörde CISA beide Lücken in ihre Liste der Schwachstellen auf, die bereits für echte Angriffe genutzt werden. Da kursierten schon mehrere fertige Angriffsskripte.

WordPress veröffentlichte Korrekturen (Versionen 6.9.5 und 7.0.2) und spielte sie zwangsweise auf Websites ein, bei denen automatische Updates eingeschaltet waren. Alle anderen blieben offen, bis jemand von Hand aktualisierte. Und eine so übernommene Website zeigt womöglich nichts weiter als ein Administratorkonto, an dessen Anlage sich niemand erinnert.

Das war kein Einzelfall. 2026 war das Jahr, in dem sich die Sicherheitsbilanz von WordPress kaum noch ignorieren ließ. Und nicht, weil WordPress Pech hatte. Sondern wegen der Art, wie WordPress aufgebaut ist.

Das Jahr, in dem das Argument von der «sicheren Basis» starb

Jahrelang hieß es: WordPress selbst ist sicher. Sorgen machen Sie sich um die Plugins. Halten Sie einfach alles aktuell — dann wird schon gut.

2026 hörte dieser Rat auf zu funktionieren. Die sichere Basis entpuppte sich als das Problem.

Der Juli-Angriff — von den Forschern „wp2shell“ genannt — verkettete zwei Schwachstellen im WordPress-Kern, der Hauptsoftware, auf der jede WordPress-Site läuft. GitHubs Hinweis stuft ihn als kritisch ein; der veröffentlichte Schweregrad liegt bei 7,5 von 10. Wichtiger als die Zahl: Der Angriff braucht kein Konto und keine Mithilfe auf der Website, und solche Lücken schließt man noch am selben Tag.

Das Ergebnis: Ein Fremder ohne Passwort, ohne Admin-Zugriff und ohne spezielles Wissen konnte eine Site vollständig übernehmen. Er konnte den echten Eigentümer aussperren, sein eigenes Admin-Konto anlegen und mit der Site machen, was er wollte — Kundendaten stehlen, Malware einschleusen, Besucher auf Betrugsseiten umleiten oder die Site als Sprungbrett für weitere Angriffe nutzen.

Was das für Sie bedeutet: Sie können sich nicht mehr auf «WordPress selbst ist sicher» verlassen. Die Software, die Ihre Website betreibt, kann der Einbruchspunkt sein. Und Sie erfahren es erst, wenn es zu spät ist.

Der Angriff über das, was sicher sein sollte

Im April 2026 wurde bekannt, dass Dutzende WordPress-Plugins der Firma Essential Plugin — Slider, Galerien, Marketing-Werkzeuge — eine versteckte Hintertür enthielten. WordPress.org zählte die betroffenen Plugins auf mehr als 20.000 aktiven Websites; der Anbieter selbst sprach von über 400.000 Installationen (TechCrunch, 14. April 2026).

Das Beunruhigende: Die Malware kam nicht von einer dubiosen Download-Seite. Sie kam über das normale WordPress-Update-System. Jenes System, dem WordPress-Nutzer vertrauen sollen. Jenes System, das Plugins automatisch aktualisiert, wenn eine neue Version verfügbar ist.

Jemand hatte das Plugin-Geschäft 2025 gekauft. Kurz darauf schmuggelte ein Update, das als routinemäßige Kompatibilitätsprüfung beschriftet war, versteckten Code ein, der bis April 2026 ungenutzt blieb (Patchstack). Wer auf „Aktualisieren“ geklickt hatte, hatte eine versteckte Hintertür installiert — einen geheimen Zugang, über den der Angreifer jederzeit zurückkommen kann.

Die Malware schrieb sich in die wichtigste Konfigurationsdatei der Site. Dann befolgte sie Anweisungen von einem entfernten Server: Spam-Links einfügen, falsche Seiten erzeugen, Besucher umleiten.

Am 7. April schloss WordPress.org die Plugins endgültig und spielte ein Zwangsupdate ein, das versucht, die Hintertür zu entfernen. Patchstack nennt Änderungen an eben dieser Konfigurationsdatei als Anzeichen einer Infektion; das Plugin zu entfernen reicht also womöglich nicht.

Was das für Sie bedeutet: Der Standardrat — «halten Sie Ihre Plugins aktuell» — war buchstäblich der Angriffsweg. Hacker nutzten das Update-System selbst, um Malware auszuliefern. Sie können dem Mechanismus nicht vertrauen, auf den Sie sich verlassen sollen.

Zwei Monate später passierte es wieder

Im Juni 2026 geschah es erneut, durch eine andere Tür. Angreifer drangen in das Update-System ein, über das ShapedPlugin seine bezahlten „Pro“-Plugins verteilt, und schleusten Code ein, der Admin-Zugangsdaten und Geheimnisse der Zwei-Faktor-Anmeldung stahl — und damit vollen Zugriff auf die Websites. Die kostenlosen Versionen auf WordPress.org waren nicht betroffen (Aardwolf Security, 23. Juni 2026).

Zwei Vorfälle in drei Monaten, beide Male dieselbe Idee: einen Update-Kanal vergiften, warten, bis die Leute auf „Aktualisieren“ klicken, und eintreten.

In der IT-Sicherheit nennt man das einen «Lieferkettenangriff». Die Malware ritt auf einem normalen Software-Update mit — das Update selbst war verseucht. Das ist, als würde man einen Tresor kaufen und der Hersteller hätte einen Zweitschlüssel, von dem er nichts sagte.

Was das für Sie bedeutet: Sie vertrauen nicht nur dem Plugin-Entwickler. Sie vertrauen seinem Update-System, seinen Sicherheitspraktiken, der Eigentumsgeschichte seiner Firma und seiner gesamten Lieferkette. Ganz schön viel Vertrauen in eine Firma, die Sie nie getroffen haben, für Software, die Sie wahrscheinlich kostenlos bezogen haben.

Auch Nischen-Websites sind im Visier

Wenn Sie denken, Ihre kleine Immobilien-Site oder Ihre lokale Website sei zu klein, um ein Ziel zu sein — der Januar 2026 bewies das Gegenteil.

RealHomes CRM, ein Plugin, das mit einem verbreiteten Theme für Immobilien-Websites geliefert wird, hatte eine Lücke: Jeder mit dem einfachsten Konto auf der Website konnte schädliche Dateien hochladen und die Website übernehmen. Es war auf mehr als 30.000 Websites installiert (Infosecurity Magazine, 22. Januar 2026). Die Korrektur kam mit Version 1.0.1, und jede Website ohne sie blieb offen.

Was das für Sie bedeutet: Wenn Sie in einer bestimmten Nische tätig sind — Immobilien, Recht, Medizin, jedes Feld mit spezialisierten Werkzeugen —, sind Sie nicht sicherer. In den Code von Nischen-Plugins schauen viel weniger Leute als in den der großen, bekannten, eine Lücke kann dort also länger sitzen. Und die Angreifer wissen, wo diese Plugins laufen.

Ihre gehackte Website wird zur Waffe gegen Ihre Besucher

Die gruseligste Geschichte des Jahres 2026 kam nicht aus einer Schwachstellenmeldung. Sie kam von Sicherheitsforschern bei Check Point, die eine kriminelle Operation mit dem Namen StopAndProtect aufdeckten (Bericht vom 18. August 2026).

Die Operation basierte auf knapp 2.000 gehackten WordPress-Websites. Die Kriminellen nutzten diese Sites als Infrastruktur: zum Hosten von Malware, zum Steuern infizierter Computer, zum Speichern gestohlener Dateien, Screenshots und Opfer-Protokolle.

Die eigenen Aufzeichnungen der Betreiber verzeichneten rund 2.000 kompromittierte WordPress-Domains. Mehr als 6.000 Opfer-IP-Adressen. Etwa 31.000 gesammelte Opfer-Screenshots. Mehr als 700 Archive mit gestohlenen Daten.

Und das fanden die Forscher heraus, als sie untersuchten, warum diese Sites so leicht zu hacken waren: Eine Site in der Operation lief seit 2021 mit derselben WordPress-Version — fast fünf Jahre alt — mit rund 40 bekannten Sicherheitslücken.

Die Kriminellen nutzten die gehackten Sites nicht nur als Lagerraum für ihre Beute. Sie verwendeten sie, um die eigenen Besucher der Sites zu infizieren. Wer auf einer gehackten WordPress-Site landete, sah eine falsche „Beweisen Sie, dass Sie ein Mensch sind“-Prüfung. Windows-Nutzer wurden aufgefordert, einen Befehl auf ihrem Computer auszuführen, und dieser Befehl installierte die Software der Kriminellen: auf manchen Rechnern Ransomware, die sämtliche Dateien sperrt.

Was das für Sie bedeutet: Eine nicht gewartete WordPress-Site schadet nicht nur Ihnen. Sie wird zur Waffe gegen die Menschen, die Ihre Website besuchen. Ihre Kunden, Ihre potenziellen Auftraggeber, Ihre Nachbarn. Wenn Ihre Site gehackt und dazu benutzt wird, Besucher zu infizieren, ist das ein Vertrauen, das Sie nie zurückgewinnen.

Das strukturelle Problem, das kein Update beheben kann

Jeder Vorfall im Jahr 2026 war einer von diesen:

• Eine Schwachstelle in einem Drittanbieter-Plugin, die der Eigentümer nicht kannte und nicht beurteilen konnte
• Ein Update-Kanal, dem der Eigentümer vertrauen sollte
• Oder — einmal — der WordPress-Kern selbst

In jedem Fall musste der Eigentümer innerhalb von Stunden reagieren, nachdem eine Geschichte veröffentlicht wurde, die er fast sicher nie gesehen hat.

Und das ist das strukturelle Problem. Eine WordPress-Site ist kein Dokument. Sie ist ein laufendes Programm — mit Dutzenden Drittanbieter-Teilen, jedes betreut von einem anderen Unternehmen, jedes aktualisiert nach eigenem Zeitplan, jedes ein möglicher Einbruchspunkt für Angreifer.

Wer ist das Sicherheitsteam für eine selbst betriebene WordPress-Site? In der Praxis sind Sie es oft selbst — auch wenn Sie es nicht wissen.

Managed WordPress-Hosting existiert und hilft. Firmen wie WP Engine, Kinsta und SiteGround übernehmen Serversicherheit, schicken automatische Kern-Updates, erstellen tägliche Backups und scannen auf bekannte Malware. Für viele ist das eine echte Verbesserung gegenüber dem Alleingang.

Aber Managed Hosting löst das strukturelle Problem nicht. Die Angriffe 2026 kamen über ganz normale Updates — dieselben, die ein Managed Host für Sie einspielt. Als Essential Plugin und ShapedPlugin Malware über Plugin-Updates verteilten, hatte der Host keinen Grund, sie zu blockieren. Als der WordPress-Kern eine kritische Lücke hatte, waren gemanagte Sites bis zum Patch offen — wie alle anderen auch. Und kein Managed Host prüft den Code in jedem Plugin, das Sie installieren. Die Entscheidung, einem Plugin zu vertrauen — seinem Entwickler, seiner Eigentumsgeschichte, seiner gesamten Lieferkette —, liegt weiterhin bei Ihnen.

Diese Angriffe sind auf diese Schwäche zugeschnitten. Sie nutzen aus, dass jemand mit einem Klempnerbetrieb, einer Bäckerei, einem Salon oder einer Kanzlei in einer Kleinstadt keine Zeit hat, Sicherheitsnachrichten zu verfolgen, Plugin-Code zu prüfen und verdächtige Admin-Konten zu untersuchen — und dass Managed Hosting diese Lücke nicht vollständig schließt.

WordPress lässt sich durchaus absichern. Große Unternehmen tun es — mit dedizierten Sicherheits-Teams, Managed Hosting, individueller Plugin-Prüfung und Rund-um-die-Uhr-Überwachung. Für eine einzelne Person ist dieses Maß an Wachsamkeit aber unrealistisch.

Die ehrliche Alternative: Was eine statische Website anders macht

Wie lautet die Alternative?

Eine statische Website ist ein Satz vorgefertigter Dateien — Seiten, die bereits erstellt sind und einfach an den Browser des Besuchers geschickt werden. Es gibt kein laufendes Programm, keine Datenbank, keine Anmeldeseite und keine Plugins.

Seien wir ehrlich, was das bedeutet:

Was WordPress gut kann — und warum Sie es vielleicht wollen:

• Ein riesiges Ökosystem an Themes und Plugins
• Eine vertraute Oberfläche zum Bearbeiten
• Die Möglichkeit, komplexe Funktionen ohne Entwickler hinzuzufügen
• Eine riesige Community von Designern und Entwicklern, die es kennen

Was eine statische Website aufgibt:

• Sie können sich nicht einloggen und Seiten direkt bearbeiten — Änderungen macht, wer die Website baut (bei unseren Websites: Sie schicken die Änderung, wir setzen sie um; kleine Änderungen sind im ersten Monat kostenlos, danach 20 € pro Änderung, zzgl. MwSt.)
• Sie können kein Plugin spontan installieren — neue Funktionen erfordern Ihren Entwickler
• Sie können keinen komplexen Online-Shop oder eine Mitglieder-Site betreiben — dafür ist dynamische Funktionalität nötig

Was eine statische Website Ihnen dafür gibt:

• Keine Anmeldeseite für Angreifer — es gibt buchstäblich nichts, woran man sich einloggen kann
• Keine Plugins, die ausgenutzt werden können — es gibt keine Drittanbieter-Bausteine
• Keine Datenbank, die man stehlen kann — es gibt keine Datenbank
• Kein Update-Kanal, den man vergiften kann — auf dem Server gibt es nichts zu aktualisieren

Plugin-Schwachstellen, vergiftete Updates, Kern-Lücken — die Angriffe, die 2026 das ganze Jahr über WordPress-Sites trafen, finden auf einer statischen Site nichts, woran sie ansetzen könnten. Nicht, weil die statische Site bessere Sicherheit hätte. Sondern weil sie die Teile nicht hat, die angegriffen werden. Gestohlene Passwörter bleiben ein Thema: Wer in Ihr Hosting- oder Domain-Konto kommt, kann die Website ändern. Darum ist die Anmeldung in zwei Schritten für diese Konten das Schloss, auf das Sie nicht verzichten sollten.

Das ist keine Behauptung, statische Sites seien unhackbar. Nichts, was mit dem Internet verbunden ist, ist wirklich unhackbar. Aber eine statische Site beseitigt die Angriffsfläche — die Stellen, über die Hacker normalerweise eindringen.

Für einen Klempner, eine Bäckerei, einen Salon, eine kleine Kanzlei deckt eine statische Website oft alles ab, was die Website leisten muss: eine schnelle, professionelle Site, die den Leuten sagt, wer Sie sind, was Sie tun und wie man Sie erreicht. Und das, ohne dass Sie nebenbei Sicherheitsadministrator werden müssen.

Wie exponiert ist Ihre Site? Ein 30-Sekunden-Check

Nehmen Sie sich 30 Sekunden und antworten Sie ehrlich:

• ☐ Meine Site läuft auf WordPress
• ☐ Ich habe 5 oder mehr Plugins installiert
• ☐ Ich weiß nicht, wann ich sie zuletzt aktualisiert habe
• ☐ Ich weiß nicht, wer mein Sicherheitsverantwortlicher ist
• ☐ Ich habe von den 2026er-Vorfällen in diesem Artikel erfahren

Wenn Sie drei oder mehr Felder angekreuzt haben, ist Ihre Site genau die Art von Ziel, die die Angreifer von 2026 suchten. Nicht, weil Sie nachlässig sind — sondern weil das System, das Sie nutzen, mehr Wachsamkeit verlangt, als irgendjemand aufbringen sollte.

Fazit

2026 war das Jahr, in dem sich das Sicherheitsargument um WordPress wandelte. Die sichere Basis stellte sich als verwundbar heraus. Der Update-Kanal entpuppte sich als Angriffsvektor. Und tausende Websites gerieten ins Kreuzfeuer, eingesetzt als Werkzeuge in kriminellen Operationen, von denen ihre Eigentümer nichts ahnten.

Es geht nicht um Panikmache. Es geht um eine einfache Wahrheit: Eine WordPress-Site verlangt ständige Sicherheitswachsamkeit, die für eine einzelne Person unrealistisch ist. Eine statische Website entfernt die Teile, die angegriffen werden — und damit die Last, Ihr eigenes Sicherheitsteam zu sein.

Wenn Ihre Website existiert, um den Leuten zu sagen, wer Sie sind und was Sie tun, brauchen Sie kein laufendes Programm mit Dutzenden Drittanbieter-Teilen. Sie brauchen veröffentlichte Dateien — schnell, sicher und langweilig, im bestmöglichen Sinne.

Passend dazu: Was ist eine statische Website und warum Sie eine brauchen — die vollständige Erklärung, wie statische Sites funktionieren und was sie nicht können.

Passend dazu: Warum Ihre WordPress-Website immer wieder ausfällt — das Wartungsproblem, von Abstürzen bis zum ständigen Unterhalt.

Macht Ihnen Ihre WordPress-Site Sorgen? Wir bauen WordPress-Websites als statische Websites neu, zum Festpreis, nachdem wir uns Ihre jetzige Website kostenlos angesehen haben. Ihre alten Seitenadressen leiten auf die neuen Seiten weiter.

So läuft ein Redesign ab →