18.06.2026

Wordpress-Seite gehackt - aber es lag nicht am CMS!

Wordpress

Eine kompromittierte Website führt schnell zu der Annahme, dass das eingesetzte CMS unsicher ist. Ein aktueller Fall aus einem Kundenprojekt zeigt jedoch ein anderes Bild. In der Nacht von Freitag auf Samstag wurde eine WordPress-Website erfolgreich angegriffen. Bereits am Samstagvormittag ließ sich der Schaden zwar vollständig beseitigen, die anschließende Analyse ergab jedoch, dass der Angreifer offenbar über ein Administrator-Konto mit einem zu schwachen Passwort eingedrungen war.

Besonders interessant war der gefundene Schadcode. Er wirkte nicht wie klassische, seit Jahren bekannte Malware, sondern offensichtlich mit Unterstützung einer KI erstellt. Der Code war sauber strukturiert, kommentiert und enthielt sogar einen CronJob, der gelöschte Dateien automatisch wiederherstellen sollte. Der eigentliche Angriff war also nicht außergewöhnlich – die eingesetzten Werkzeuge zeigen jedoch, wie professionell und zugleich einfach sich Schadsoftware heute erstellen lässt.

Das Problem ist nicht WordPress

Nach einem erfolgreichen Angriff steht häufig das Content-Management-System in der Kritik. Tatsächlich ist die Ursache aber oft eine andere. Ob WordPress, TYPO3 oder ein anderes CMS: Sobald Angreifer gültige Administrator-Zugangsdaten besitzen, verfügen sie über dieselben Rechte wie der eigentliche Betreiber.

Das CMS kann in diesem Moment kaum noch unterscheiden, ob sich der rechtmäßige Administrator anmeldet oder jemand, der dessen Zugangsdaten kennt. Deshalb gehören sichere Benutzerkonten zu den wichtigsten Bausteinen jeder Sicherheitsstrategie.

Wie der Angriff vermutlich ablief

Die Analyse deutete darauf hin, dass ein Administrator-Konto übernommen wurde. Solche Zugänge gelangen häufig durch automatisierte Brute-Force-Angriffe oder bereits bekannte Passwörter in falsche Hände. Bots durchsuchen das Internet permanent nach Login-Seiten und testen dort ununterbrochen Benutzernamen und Passwortkombinationen.

Hat ein Angreifer Zugriff erhalten, folgen meist unmittelbar weitere Schritte:

• Hochladen von Schadcode
• Anlegen zusätzlicher Administrator-Konten
• Manipulation von Themes oder Plugins
• Einrichtung von CronJobs oder anderen Mechanismen, die Schadcode nach einer Löschung erneut installieren
• Versand von Spam oder Weiterleitungen auf schädliche Webseiten

Gerade der eingerichtete CronJob zeigte, dass der Angriff nicht nur auf eine kurzfristige Manipulation ausgelegt war. Ziel war ein dauerhafter Zugriff auf die Website, selbst wenn erste Dateien bereits entfernt worden wären.

KI verändert auch die Werkzeuge der Angreifer

Große Sprachmodelle unterstützen heute Entwickler beim Schreiben von Software. Häufig fällt in diesem Zusammenhang der Begriff Vibe Coding. Die Technik wird genutzt, um schneller 1 Programme oder einzelne Funktionen zu erstellen. Dasselbe Prinzip lässt sich jedoch ebenso für Schadsoftware einsetzen.

Im untersuchten Fall deutete vieles darauf hin, dass der Schadcode zumindest teilweise mit KI- Unterstützung erstellt wurde. Die Struktur des Codes, die Kommentare und der Aufbau wirkten typisch für automatisch generierte Programme. Technisch handelte es sich dabei nicht um eine neuartige Angriffsmethode. Die Qualität des Codes zeigt jedoch, dass sich auch komplexere Schadfunktionen inzwischen ohne tiefgehende Programmierkenntnisse erstellen lassen.

Das verändert die Bedrohungslage. Nicht weil KI Sicherheitslücken erzeugt, sondern weil sie die Einstiegshürde für Angreifer senkt. Schadcode lässt sich schneller entwickeln, einfacher anpassen und für unterschiedliche Systeme variieren. Betreiber von Websites sollten deshalb davon ausgehen, dass solche Angriffe künftig häufiger auftreten werden.

Diese Maßnahmen reduzieren das Risiko erheblich

1. Eine durchdachte Passwortstrategie

Passwörter sollten lang, zufällig und für jeden Dienst einzigartig sein. Wiederverwendete Kennwörter gehören nach wie vor zu den häufigsten Ursachen erfolgreicher Angriffe. Ein Passwort-Manager erleichtert die Verwaltung erheblich. Regelmäßiges Ändern der Passwörter schafft zusätzliche Sicherheit.

2. Mehr-Faktor-Authentifizierung (MFA)

Selbst wenn ein Passwort bekannt wird, verhindert ein zusätzlicher Faktor (z.B. ein per Mail verschickter Login-Code) in vielen Fällen den erfolgreichen Login von Angreifern. Administrator-Konten sollten grundsätzlich mit MFA abgesichert werden.

3. Login-Seiten gegen automatisierte Angriffe schützen

Eine Firewall mit Brute-Force-Schutz erkennt auffällige Anmeldeversuche und blockiert diese frühzeitig. Ergänzend empfiehlt sich ein CAPTCHA. Datenschutzfreundliche Lösungen wie FriendlyCaptcha erschweren automatisierte Login-Versuche erheblich, ohne Besucher mit klassischen Bilderrätseln zu belasten.

4. Sicherheitsupdates zeitnah installieren

Auch wenn dieser Vorfall vermutlich nicht durch eine Softwarelücke entstand, bleiben regelmäßige Updates unverzichtbar. Sicherheitslücken in Plugins, Themes oder dem CMS selbst werden häufig innerhalb kurzer Zeit automatisiert ausgenutzt.

5. Administratorrechte sparsam vergeben

Je weniger Benutzer vollständige Administratorrechte besitzen, desto kleiner ist die potenzielle Angriffsfläche. Für viele Aufgaben reichen Redakteur- oder Autorenrechte vollkommen aus.

6. Regelmäßige Backups erstellen

Backups verhindern keinen Angriff. Sie verkürzen jedoch die Wiederherstellung erheblich und können im Ernstfall viel Zeit sparen. Wichtig ist, dass Sicherungen getrennt von der eigentlichen Website gespeichert werden.

Prävention ist fast immer günstiger als eine Bereinigung

Immer wieder werden Sicherheitsmaßnahmen aus Kostengründen verschoben. Nach einem erfolgreichen Angriff zeigt sich jedoch häufig das Gegenteil. Die Wiederherstellung einer kompromittierten Website verursacht meist deutlich mehr Aufwand als eine frühzeitige Absicherung.

Zur eigentlichen Bereinigung kommen häufig weitere Arbeiten hinzu:

• Analyse des Angriffswegs
• Suche nach verstecktem Schadcode
• Entfernung weiterer Administrator-Konten
• Kontrolle aller Dateien und Datenbanken
• Prüfung auf Blacklist-Einträge und Suchmaschinenwarnungen
• Nachträgliche Umsetzung der Sicherheitsmaßnahmen

Viele dieser Arbeiten wären vermeidbar gewesen, wenn bereits bei der Inbetriebnahme der Website grundlegende Sicherheitsmaßnahmen eingerichtet worden wären.

Und jetzt? Sicherheit hat viele Facetten.

Der geschilderte Vorfall zeigt, dass erfolgreiche Angriffe häufig nicht auf Schwachstellen im CMS zurückzuführen sind. Ein kompromittiertes Administrator-Konto reicht oft aus, um vollständigen Zugriff auf eine Website zu erhalten.

WordPress ist davon ebenso betroffen wie TYPO3 oder andere Content-Management-Systeme. Gleichzeitig zeigt der Fall, dass Angreifer zunehmend KI einsetzen, um Schadcode schneller zu entwickeln und an ihre Ziele anzupassen. Die eigentliche Antwort darauf bleibt jedoch dieselbe: starke Passwörter, Mehr-Faktor-Authentifizierung, ein geschützter Login, aktuelle Software und regelmäßige Backups bilden die Grundlage für einen sicheren Betrieb.

Kontakt   Beratung vereinbaren

FAQ

War in diesem Fall eine Sicherheitslücke in WordPress verantwortlich?

Nach der Analyse sprach vieles dafür, dass ein Administrator-Konto mit einem zu schwachen Passwort übernommen wurde. Hinweise auf eine ausgenutzte Schwachstelle in WordPress selbst gab es nicht.

Kann TYPO3 genauso betroffen sein?

Ja. Jedes CMS ist gefährdet, wenn Angreifer gültige Administrator-Zugangsdaten erhalten oder bekannte Sicherheitslücken nicht geschlossen werden.

Was ist Vibe Coding?

Der Begriff beschreibt das Erstellen von Software mit Unterstützung künstlicher Intelligenz. Diese Werkzeuge helfen Entwicklern im Alltag, können aber ebenso zur Erstellung von Schadsoftware missbraucht werden.

Warum war der CronJob problematisch?

Der CronJob sollte gelöschte Schadcode-Dateien automatisch wiederherstellen. Dadurch bleibt eine Website auch nach einer oberflächlichen Bereinigung weiterhin kompromittiert.

Reicht ein starkes Passwort aus?

Ein langes und einzigartiges Passwort ist eine wichtige Grundlage. Zusammen mit einer Mehr-Faktor-Authentifizierung steigt der Schutz jedoch erheblich.

Welche Rolle spielt FriendlyCaptcha?

FriendlyCaptcha schützt Login-Formulare vor automatisierten Angriffen und arbeitet dabei datenschutzfreundlich, ohne klassische CAPTCHA-Rätsel einzusetzen.

Wie oft sollten Updates installiert werden?

Sicherheitsrelevante Updates sollten möglichst zeitnah eingespielt werden. So wird verhindert, dass bekannte Schwachstellen automatisiert ausgenutzt werden.

Lohnt sich die Investition in Sicherheitsmaßnahmen?

In den meisten Fällen ja. Der Aufwand für Prävention ist meist deutlich geringer als die Kosten und der Zeitaufwand nach einer erfolgreichen Kompromittierung.

Kontakt   Beratung vereinbaren