KARMA Lass uns reden

WordPress Sicherheit & Wartung

Eure WordPress-Website wird angegriffen. Jeden Tag. Vollautomatisch.

WordPress betreibt über 40 % aller Websites weltweit – und ist genau deshalb Ziel Nummer eins für automatisierte Angriffe. Wird eine neue Sicherheitslücke bekannt, starten die ersten Massenangriffe im Schnitt nach nur 5 Stunden. Wir halten eure Website aktuell, sichern sie ab und greifen ein, bevor aus einer Lücke ein Problem wird.

Erstgespräch buchen Mehr erfahren

Die Lage, ungeschönt

Während ihr diesen Satz lest,
wird WordPress tausendfach angegriffen.

Passwort-Angriffe auf WordPress-Websites, seit ihr diese Seite geöffnet habt

Hochrechnung: rund 1.700 Passwort-Angriffe pro Sekunde.

Hochrechnung: rund 1.739 pro Sekunde. Grundlage sind über 55 Milliarden Passwort-Angriffe, die die Firewall von Wordfence 2024 blockiert hat – und das nur auf den Websites, die Wordfence schützt.

5 Stunden.
So lange dauert es im Schnitt, bis eine neue Lücke massenhaft angegriffen wird.

  1. 0 h Sicherheitslücke wird öffentlich
  2. 5 h Erste Massenangriffe (Median)
  3. 24 h Rund die Hälfte der kritischen Lücken wird bereits ausgenutzt
… und euer nächstes Update? Wer nur alle paar Wochen aktualisiert, lässt die Tür tagelang offen.

Neu: KI auf der Seite der Angreifer

300 kritische Lücken in 72 Stunden.
Gefunden von einer KI – für rund 20 Dollar pro Lücke.

Sicherheitsforscher von TrendAI und CHT Security haben 2026 eine KI-Pipeline gebaut, die WordPress-Plugins automatisch nach Schwachstellen durchsucht. Nach 72 Stunden standen über 300 kritische, bis dahin unbekannte Lücken fest – darunter Fälle, über die Angreifer ohne Login Code auf dem Server ausführen können. Das Fazit der Forscher: Jeder motivierte Angreifer mit Kreditkarte kann das nachmachen.

Lücken finden wird billig

Was früher Wochen an Expertenarbeit war, erledigt KI heute für ein paar Dollar – und durchsucht dabei tausende Plugins gleichzeitig.

Angriffe laufen autonomer

Laut Patchstack bekommen Angreifer KI-Werkzeuge, die Lücken zunehmend selbstständig finden und ausnutzen.

KI-Code bringt neue Lücken

Immer mehr Plugins entstehen per KI („Vibe Coding"). Patchstack hat bereits Sicherheitslücken in KI-generierten Plugins aufgedeckt.

Mehr gefundene Lücken heißt: mehr Updates – und immer weniger Zeit, sie einzuspielen.

11.334

neue Sicherheitslücken im WordPress-Ökosystem – allein 2025. Das sind 42 % mehr als im Jahr davor.

91 %

davon stecken in Plugins. Nicht im WordPress-Kern, sondern in dem, was ihr zusätzlich installiert.

46 %

der Lücken hatten bei Veröffentlichung noch keinen Fix. Umso wichtiger: sofort reagieren, sobald einer da ist.

26 %

der Angriffe auf Lücken wurden von klassischen Hosting-Schutzmaßnahmen abgefangen. Der Rest kam durch.

Vor 30 Tagen

~ 930

neue Sicherheitslücken in WordPress-Plugins und -Themes wurden in dieser Zeit im Schnitt veröffentlicht.

~ 4,5 Mrd.

Passwort-Angriffe in diesem Zeitraum – allein auf Websites, die Wordfence schützt.

Sicherheits-Check anfragen

Quellen: Patchstack – State of WordPress Security in 2026 (Daten aus 2025) · Help Net Security – „$20 per zero-day is already the WordPress plugin reality" (22.05.2026) · Patchstack – State of WordPress Security in 2025 · Wordfence – 2024 Annual WordPress Security Report. Zähler und Regler sind Hochrechnungen aus Jahreswerten.

Kurz gesagt

Wie wird eine WordPress-Website sicher?

Eine WordPress-Website wird sicher durch regelmäßige Updates von Core, Plugins und Themes, ein gehärtetes Setup (starke Logins, Zwei-Faktor-Authentifizierung, minimale Rechte), tägliche externe Backups und laufendes Monitoring. Die meisten Hacks nutzen bekannte Lücken in veralteten Plugins – und neue Lücken werden laut Patchstack im Schnitt schon 5 Stunden nach Bekanntwerden massenhaft angegriffen. Wer zeitnah aktualisiert, schließt den Großteil der Angriffsfläche.

  • Updates für Core, Plugins und Themes – geprüft, nicht blind
  • Hardening von Login, Server und Dateirechten
  • Tägliche Backups außerhalb des Servers, getestete Wiederherstellung
  • Uptime- und Malware-Monitoring rund um die Uhr
  • Schnelle Hilfe und Bereinigung nach einem Hack

350+

Umgesetzte Webprojekte — viele davon mit WordPress.

18+

Jahre Erfahrung mit WordPress. Seit 2008 im Game.

24/7

Monitoring für Erreichbarkeit und verdächtige Änderungen.

Warum WordPress-Seiten gehackt werden.
Und warum es fast immer vermeidbar ist.

01

Veraltete Plugins

91 % der neuen WordPress-Sicherheitslücken stecken in Plugins, nicht im Kern. Bleibt ein Update liegen, ist die Lücke öffentlich dokumentiert – und Bots nutzen sie automatisiert aus, oft schon nach wenigen Stunden.

02

Schwache Logins

Bots probieren rund um die Uhr Passwörter an /wp-admin durch. Ohne Zwei-Faktor-Authentifizierung und Login-Schutz ist ein schwaches Passwort nur eine Frage der Zeit.

03

Keine Backups

Viele Backups liegen auf demselben Server wie die Website – und sind nach einem Angriff ebenfalls weg. Oder sie wurden nie getestet und lassen sich im Ernstfall nicht einspielen.

04

Niemand schaut hin

Gehackte Seiten fallen oft erst auf, wenn Google warnt, Spam-Mails rausgehen oder Kunden anrufen. Bis dahin sind Ranking, Vertrauen und manchmal auch Daten beschädigt.

Was wir für eure Sicherheit tun.
Laufend, nicht einmalig.

Sicherheits-Check

Wir prüfen eure Website auf veraltete Komponenten, bekannte Lücken, unsichere Einstellungen und überflüssige Plugins – und liefern eine klare Liste mit Prioritäten.

Updates & Wartung

Core, Plugins und Themes halten wir aktuell. Kritische Updates testen wir vorab, damit nach dem Update nichts kaputt ist.

Hardening

Zwei-Faktor-Login, Login-Limits, sichere Dateirechte, deaktivierter Datei-Editor, Security-Header und eine Firewall – Schicht für Schicht weniger Angriffsfläche.

Backups & Wiederherstellung

Tägliche, verschlüsselte Backups an einem externen Speicherort. Und wir testen regelmäßig, ob sich die Website daraus auch wirklich wiederherstellen lässt.

Monitoring

Wir überwachen Erreichbarkeit, Datei-Änderungen und Malware-Signaturen. Fällt etwas auf, wissen wir es vor euren Kunden.

Hilfe nach einem Hack

Wurde eure Seite schon kompromittiert? Wir bereinigen sie, schließen die Lücke, wechseln Zugangsdaten und helfen beim Entfernen von Google-Warnungen.

Projekt besprechen

So arbeiten wir. In 4 klaren Schritten.

Vom ersten Gespräch bis zum laufenden Betrieb — ihr wisst immer, wo ihr steht.

01

Sicherheits-Check

Erst wissen, wo ihr steht.

Wir analysieren Setup, Plugins, Hosting und Zugänge – und zeigen euch transparent, wo die größten Risiken liegen.

02

Absichern

Die wichtigsten Lücken zuerst.

Updates, Hardening, Backups und Monitoring werden eingerichtet. Überflüssige Plugins fliegen raus.

03

Laufende Wartung

Sicherheit ist kein Projekt, sondern ein Prozess.

Regelmäßige Updates, Backup-Kontrollen und Monitoring. Ihr bekommt verständliche Reports statt Fachchinesisch.

04

Weiterentwickeln

Wir bleiben an Bord.

Wir beobachten neue Bedrohungen, schlagen Verbesserungen vor und kümmern uns um Performance und Barrierefreiheit gleich mit.

Ratgeber

WordPress Sicherheit: Das solltet ihr wissen.

Zuletzt aktualisiert:

Die wichtigsten Maßnahmen für eine sichere WordPress-Website

WordPress-Sicherheit ist kein einzelnes Plugin, sondern ein Zusammenspiel aus Technik und Routine. Diese Maßnahmen schließen den Großteil der typischen Angriffswege:

  1. Updates zeitnah einspielen. Core, Plugins und Themes – besonders Sicherheitsupdates. Veraltete Plugins sind das Einfallstor Nummer eins.
  2. Plugins ausmisten. Jedes Plugin ist Code, der gewartet werden muss. Was nicht gebraucht wird, wird gelöscht – nicht nur deaktiviert.
  3. Nur gepflegte Plugins einsetzen. Plugins ohne Updates seit über einem Jahr oder mit wenigen Installationen sind ein Risiko.
  4. Zwei-Faktor-Authentifizierung aktivieren – für alle Benutzer mit Redaktions- oder Admin-Rechten.
  5. Login absichern. Login-Versuche begrenzen, keine Standard-Benutzernamen wie „admin”, starke, einzigartige Passwörter.
  6. Rechte minimal halten. Nicht jede Person braucht Admin-Rechte. Redakteure bekommen Redaktionsrechte.
  7. Externe Backups. Täglich, automatisiert, verschlüsselt und außerhalb des Webservers – und regelmäßig testweise wiederherstellen.
  8. Sicheres Hosting. Aktuelle PHP-Version, isolierte Accounts, Firewall, HTTPS und ein Hoster, der Sicherheit ernst nimmt.
  9. Datei-Editor im Backend deaktivieren und Dateirechte korrekt setzen, damit ein gekaperter Account keinen Code einschleusen kann.
  10. Monitoring einrichten. Erreichbarkeit, Datei-Änderungen und Malware-Scans – damit Probleme auffallen, bevor Kunden sie bemerken.

Warum KI das Thema verschärft

KI verändert die Sicherheitslage auf beiden Seiten. Forscher von TrendAI und CHT Security haben 2026 gezeigt, dass eine KI-Pipeline in 72 Stunden über 300 kritische, bisher unbekannte Lücken in WordPress-Plugins findet – für rund 20 Dollar pro Fund. Was Forscher können, können Angreifer auch. Gleichzeitig entstehen immer mehr Plugins mit KI-generiertem Code, der ohne sorgfältige Prüfung neue Schwachstellen mitbringt. Die Folge: Es werden mehr Lücken gefunden, schneller ausgenutzt – und Updates, die ein paar Wochen liegen bleiben, werden zum echten Risiko.

WordPress-Wartung: selbst machen oder auslagern?

Updates per Klick einzuspielen ist einfach. Schwierig wird es, wenn ein Update das Layout zerschießt, ein Plugin nicht mehr kompatibel ist oder nachts um drei die Seite ausfällt. Für kleine Seiten ohne Formulare oder Shop kann eine gewissenhafte Selbstpflege reichen. Sobald eure Website Anfragen, Bewerbungen oder Umsatz bringt, lohnt sich eine professionelle Wartung: Sie kostet weniger als ein einziger Tag Ausfall – und deutlich weniger als die Bereinigung nach einem Hack.

Wenn WordPress nicht mehr die richtige Wahl ist

Manchmal ist die sicherste WordPress-Website gar keine WordPress-Website. Für Seiten, die selten redaktionell geändert werden, setzen wir auch auf statische Websites mit Astro: kein Login, keine Datenbank, keine Plugins – und damit kaum Angriffsfläche. Wir beraten ehrlich, was für euch sinnvoll ist.

Reden kann jeder.
Hier sind ein paar Projekte,
die für uns sprechen.

LYNX legal – Internationale Wirtschaftskanzlei

LYNX legal

Fusion zweier internationaler Kanzleien zu einer Marke — Naming, Brand, Website und Imagefilm.
Naturakademie – Europas größte Online-Heilpflanzenakademie

Naturakademie

Website-Redesign, eigener Webshop, Automatisierung & CRM — Partnerschaft seit über vier Jahren.
Vienna City Marathon – Österreichs größte Laufveranstaltung

Vienna City Marathon

Website Relaunch inkl. Besucheranalyse. Agenturpartner seit mehr als 10 Jahren.
Sandicca – WooCommerce-Shop mit KI-Bildwelt

Sandicca

WooCommerce-Shop seit Jahren betreut — plus KI-Produktbilder aus einfachen Handyfotos.
Ardbeg – Webshops für Moët Gruppe

Ardbeg

Kampagnen-Webshop für Ardbeg. Laufende Betreuung seit 5 Jahren.
Revide – Bauträger & Generalübernehmer, Wien

Revide

Zwei conversionstarke Landingpages für zwei Zielgruppen — White-Label mit Agentur Domicom.
Die Libelle Weissensee – KI Imagefilm für ein neues Lebensgefühl

Die Libelle Weissensee

Noch vor Baubeginn wurde das Projekt mit KI emotional erlebbar. So entstand ein Imagefilm, der die Vision zum Leben erweckt.
KIBB Immobilien – Vier KI-Imagefilme für das Wohnprojekt U2

KIBB Immobilien

Vier KI-Imagefilme für vier Zielgruppen — von Storyboard bis fertiger Film.
notonly – Limitierte Hortensienmarke — Shopify & KI-Kampagne

notonly

Shopify-Shop für einen Influencer-Launch — plus KI-Hero-Visual in Vogue-Anmutung.
Zu allen Case Studies

Häufige Fragen
zu WordPress Sicherheit.

Kostenloses Erstgespräch vereinbaren

Nein. Der WordPress-Kern wird von einem großen Sicherheitsteam gepflegt und schnell gepatcht. Unsicher wird WordPress durch fehlende Updates, schlecht gewartete Plugins, schwache Passwörter und fehlende Backups – also durch mangelnde Pflege, nicht durch das System selbst.

Sicherheitsupdates sollten so schnell wie möglich eingespielt werden – laut Patchstack werden neue Lücken im Schnitt schon 5 Stunden nach Bekanntwerden massenhaft angegriffen, rund die Hälfte der kritischen Lücken innerhalb von 24 Stunden. Reguläre Plugin- und Theme-Updates bündeln wir in einem festen Rhythmus und testen sie vorab, damit Updates nichts kaputt machen.

Typische Anzeichen sind unbekannte Admin-Benutzer, Weiterleitungen auf fremde Seiten, Spam-Links oder fremde Sprachen im Google-Index, eine Warnung von Google oder vom Hoster, plötzlich langsame Ladezeiten oder Spam-Mails, die von eurem Server verschickt werden.

KI beschleunigt vor allem das Tempo. Sicherheitsforscher haben 2026 mit einer KI-Pipeline in nur 72 Stunden über 300 kritische, bisher unbekannte Lücken in WordPress-Plugins gefunden – für rund 20 Dollar pro Lücke. Angreifer können solche Werkzeuge genauso nutzen, und KI-generierter Plugin-Code bringt zusätzliche Schwachstellen mit. Für Website-Betreiber heißt das – mehr Sicherheitsupdates und noch weniger Zeit, sie einzuspielen.

Ruhe bewahren, keine Daten löschen und alle Zugangsdaten (WordPress, Hosting, FTP, Datenbank) ändern. Danach muss die Seite vollständig bereinigt und die Ursache gefunden werden – sonst ist der Angreifer nach wenigen Tagen wieder drin. Wir übernehmen das inklusive Analyse und Absicherung.

Ein Security-Plugin ist ein guter Baustein, ersetzt aber weder Updates noch Backups noch ein sauberes Server-Setup. Echte Sicherheit entsteht aus mehreren Schichten – und daraus, dass jemand regelmäßig hinschaut.

Ja. Die DSGVO verpflichtet Website-Betreiber, personenbezogene Daten – etwa aus Kontaktformularen oder Shops – durch angemessene technische Maßnahmen zu schützen. Eine ungewartete Website mit bekannten Lücken ist im Ernstfall schwer zu rechtfertigen.

Ja. Wir starten mit einem Sicherheits-Check, räumen auf und übernehmen danach die laufende Wartung – egal, wer die Website ursprünglich gebaut hat.

Passt auch zu euch.

WordPress Agentur Wien

WordPress Agentur Wien

Mehr erfahren

Website Relaunch

Website Relaunch

Mehr erfahren

Astro Agentur Wien

Astro Website

Mehr erfahren

Ein kurzer Call reicht, um zu klären, ob wir zusammenpassen. Kein Pitch, kein Druck – einfach ein ehrliches Gespräch.

Lass uns reden — 30 Minuten, ehrlich, unverbindlich.

Kostenloses Erstgespräch

Kurz zu Cookies.

Wir würden gern messen, ob unsere Google-Werbung wirkt. Dafür setzen Google-Dienste Cookies — aber nur, wenn du zustimmst. Die Website selbst funktioniert komplett ohne. Details in der Datenschutzerklärung.