Irgendwo auf der Welt wird heute eine Sicherheitslücke in einem WordPress-Plugin oder Joomla-Plugin veröffentlicht. Morgen auch. Und übermorgen wieder. Das ist kein Grund zur Panik, sondern schlicht der Alltag eines Ökosystems, das aus zehntausenden Erweiterungen von zehntausenden Entwicklern besteht – vom Weltkonzern bis zum Hobbyprogrammierer, der sein Plugin 2017 zum letzten Mal angefasst hat.
Entscheidend ist nicht, ob eine Lücke auftaucht. Entscheidend ist, wer zuerst davon erfährt: Sie – oder jemand, der sie ausnutzen möchte.
Wir haben entschieden, dass Sie das sein sollten.
Die Kurzfassung für Eilige
- Wir erfassen jeden Tag alle WordPress- und CMS-Installationen auf unseren Servern – mit Versionsstand, Plugins und Themes.
- Diesen Bestand gleichen wir laufend mit mehreren professionellen, kommerziellen Schwachstellendatenbanken ab.
- Aus diesem Werkzeug ist unser zubuchbarer WordPress-Update-Service entstanden, der bekannt gewordene Lücken in der Regel innerhalb von unter 12 Stunden schließt.
- Neu: Auch Kunden ohne diesen Service informieren wir ab sofort, wenn in ihrer Installation eine bekannte, ausnutzbare Schwachstelle steckt. Ohne Aufpreis, ohne Anmeldung.
- Unsere Hinweise fordern niemals Passwörter an und enthalten keine Dateianhänge. Woran Sie eine echte Nachricht von uns erkennen, steht weiter unten.
Angreifer suchen nicht nach Ihnen. Sie suchen nach einer Versionsnummer.
Die meisten Menschen stellen sich einen Hackerangriff noch immer als etwas Persönliches vor: Jemand hat es auf meine Website abgesehen. In der Praxis ist es fast immer umgekehrt. Niemand interessiert sich für Ihre Seite. Man interessiert sich für das Kontaktformular-Plugin in Version 3.2.1, das darauf läuft.
Sobald eine Schwachstelle öffentlich wird – mit Plugin-Name, betroffenen Versionen und oft gleich einer technischen Beschreibung dazu –, beginnt ein Wettrennen. Automatisierte Scanner durchkämmen das gesamte Internet nach genau dieser Kombination. Das dauert keine Wochen, sondern häufig nur Stunden. Wer gefunden wird, wird angegriffen. Nicht aus Bosheit, sondern aus Effizienz: Ein Skript fragt nicht, ob da ein Konzern, ein Arzt oder ein Kaninchenzüchterverein dahintersteht.
Genau hier liegt das Problem klassischer Wartung. Wer einmal im Monat seine Plugins aktualisiert, ist nach einer Veröffentlichung im Schnitt zwei Wochen lang offen. Zwei Wochen sind im Internet eine Ewigkeit.
Was wir jeden Tag tun
Jeden Tag erfassen wir sämtliche WordPress- und CMS-Installationen auf unseren Servern. Und zwar wirklich alle – auch die, an die sich niemand mehr erinnert (dazu gleich mehr). Für jede Installation halten wir fest:
- welches System in welcher Version läuft,
- welche Plugins und Themes installiert sind, jeweils mit exakter Versionsnummer,
- und mit welcher PHP-Version die Seite betrieben wird.
Diesen Bestand reichern wir mit den Daten mehrerer namhafter Schwachstellendatenbanken an, darunter Wordfence Intelligence. Das Ergebnis ist keine vage Einschätzung à la „könnte eventuell betroffen sein“, sondern eine sehr konkrete Aussage: Diese Installation, dieses Plugin, diese Version – Lücke bekannt seit gestern, Update verfügbar, Schweregrad hoch.
Wir priorisieren dabei nach Schwere und danach, ob eine Lücke bereits aktiv ausgenutzt wird. Eine theoretische Schwachstelle, für die man als Administrator eingeloggt sein müsste, ist etwas anderes als eine Lücke, über die ein anonymer Besucher Dateien auf Ihren Webspace schreiben kann.
Wichtig für alle, die unseren Beitrag über KI und Datenschutz gelesen haben: Für die Inventur lesen wir ausschließlich technische Metadaten – Versionsnummern, Komponentennamen. Ihre Inhalte, Ihre Datenbanken und die Daten Ihrer Besucher sind dafür nicht nötig und werden dafür nicht angefasst. Der Abgleich findet auf unseren eigenen Systemen statt.
Die Installation, an die sich niemand erinnert
Wenn wir aus den letzten Monaten eine Lektion mitnehmen, dann diese: Die gefährlichste WordPress-Installation ist selten die Hauptseite. Die wird gepflegt, man schaut sie sich jeden Tag an, man merkt, wenn etwas nicht stimmt.
Gefährlich ist das Verzeichnis /alt. Oder /test. Oder /relaunch-2019. Die Kopie, die man vor dem letzten Redesign angelegt hat, „nur zur Sicherheit“. Die Seite für die Veranstaltung von vor acht Jahren. Sie sind noch online, sie sind noch erreichbar – und sie wurden seit dem Tag ihrer Entstehung nicht mehr aktualisiert.
Ein typischer Fall aus unserem Alltag: eine über zehn Jahre alte CMS-Installation in einem Unterverzeichnis, darin eine Erweiterung, die seit Jahren kein Update mehr gesehen hatte. Nachts um kurz vor drei kam der automatisierte Angriff, am Morgen lag eine Hintertür im Webspace. Die eigentliche Website des Kunden war tadellos gepflegt. Nur liegen beide im selben Account – und wer durch die Hintertür kommt, steht eben auch im Wohnzimmer.
Unsere Inventur findet solche Installationen, weil sie nicht danach fragt, welche Domain wohin zeigt, sondern was tatsächlich auf der Platte liegt.
Vom Werkzeug zum Service
Aus diesen Werkzeugen ist unser zubuchbarer WordPress-Update-Service entstanden. Für Kunden, die sich um das Thema gar nicht kümmern möchten, übernehmen wir die komplette Pflege: regelmäßige Updates mit Wiederherstellungspunkt und automatischem Funktionstest – und bei bekannt gewordenen Sicherheitslücken ein vorgezogenes Update, in der Regel innerhalb von 12 Stunden, unabhängig vom normalen Wartungsintervall. Das gilt in allen drei Paketen, auch im kleinsten.
👉 Mehr zum WordPress-Update-Service finden Sie in Ihrem LiveConfig unter „WordPress Sorglos“
Und alle anderen? Bekommen trotzdem Bescheid.
Und dann saßen wir vor unseren Auswertungen und hatten ein ziemlich unbequemes Gefühl.
Wir wussten, dass bestimmte Installationen offen standen. Nicht vermutlich, sondern mit Versionsnummer. Diese Information ausschließlich als Verkaufsargument für einen Service zu verwenden, fühlte sich falsch an. Wer weiß, dass beim Nachbarn das Fenster offen steht, während der Einbrecher schon durch die Straße läuft, klingelt kurz. Ob der Nachbar ein Wartungsabo hat, spielt dabei keine Rolle.
Ganz uneigennützig ist das übrigens nicht, und wir wollen auch nicht so tun. Eine kompromittierte Website verschickt Spam, hostet Phishing-Seiten und schadet dem Ruf der Server, auf denen auch andere Kunden liegen. Jede Lücke, die geschlossen wird, bevor jemand sie findet, erspart Ihnen Ärger und uns Aufräumarbeit. Das nennt man dann wohl eine Win-win-Situation.
Deshalb gilt ab sofort: Findet unser täglicher Abgleich in Ihrer Installation eine bekannte, ausnutzbare Schwachstelle, bekommen Sie von uns eine E-Mail. Darin steht:
- um welche Installation es geht (Domain bzw. Verzeichnis),
- welche Komponente betroffen ist und in welcher Version,
- wie schwer die Lücke wiegt,
- ob bereits ein Update verfügbar ist,
- und was Sie jetzt tun sollten.
Wir melden uns nicht wegen jeder Kleinigkeit. Wer täglich Warnungen bekommt, liest irgendwann keine mehr – und genau dann wäre die eine wichtige verloren. Sie hören von uns, wenn es darauf ankommt.
Was Sie tun sollten, wenn Sie einen Hinweis bekommen
- Aktualisieren. In den allermeisten Fällen ist das Update längst verfügbar. Legen Sie vorher eine Sicherung an, dann spielen Sie es ein.
- Aufräumen. Plugins und Themes, die Sie nicht nutzen, gehören gelöscht – nicht nur deaktiviert. Ein deaktiviertes Plugin liegt weiterhin auf dem Server, und seine Dateien sind oft weiterhin von außen erreichbar.
- Vergessenes entfernen. Alte Test- und Kopie-Installationen, die niemand mehr braucht: sichern, falls nötig, und dann löschen.
- Wenn es kein Update gibt: Dann wird eine Erweiterung vermutlich nicht mehr gepflegt. In diesem Fall hilft nur Abschalten und Ersetzen.
- Keine Zeit, keine Lust? Völlig verständlich. Dann übernehmen wir das – mit dem WordPress-Update-Service oder auf Anfrage auch einmalig.
So erkennen Sie, dass ein Hinweis wirklich von uns kommt
Sicherheitswarnungen sind leider auch bei Betrügern beliebt. „Ihre Website wurde gehackt, klicken Sie hier“ ist ein Klassiker im Phishing-Repertoire. Deshalb, damit Sie echte von falschen Nachrichten unterscheiden können:
- Unsere Hinweise kommen ausschließlich von support @ twosteps.net oder abuse @ twosteps.email.
- Sie nennen Ihre konkrete Installation und die betroffene Komponente mit Versionsnummer und Ihre Kundennummer – keine allgemeinen Drohungen.
- Wir fordern Sie darin niemals auf, Passwörter oder Zugangsdaten per Mail oder über einen Link einzugeben.
- Unsere Hinweise enthalten keine Dateianhänge, und wir bitten Sie nie, ein „Sicherheits-Plugin“ von irgendeiner Adresse herunterzuladen.
Im Zweifel gilt die älteste Regel der IT-Sicherheit: Nicht auf den Link in der Mail klicken, sondern selbst ins Kundenmenü gehen – oder uns einfach anrufen.
Was sich für Sie ändert – und was nicht
Für Sie ändert sich vertraglich nichts, und es entstehen keine Kosten. Die Verantwortung für Ihre Installation bleibt bei Ihnen, sofern Sie die Pflege nicht an uns übergeben haben. Ohne Ihren Auftrag spielen wir keine Updates ein und verändern nichts an Ihrer Seite. Eine Ausnahme machen wir nur, wenn eine Installation nachweislich kompromittiert ist und andere Kunden oder Besucher gefährdet – dann handeln wir sofort und informieren Sie unmittelbar.
Und ehrlicherweise: Unsere Hinweise sind ein zusätzliches Sicherheitsnetz, keine Garantie. Schwachstellendatenbanken kennen nur, was bekannt ist. Eigene Pflege ersetzen sie nicht – aber sie sorgen dafür, dass Sie von den bekannten Lücken nicht mehr als Letzter erfahren.
Fazit
Wir sehen jeden Tag, wonach automatisierte Angreifer suchen. Wir wissen, welche Installationen auf unseren Servern darauf passen. Es wäre ziemlich seltsam, Ihnen das nicht zu sagen.
Also sagen wir es Ihnen. Bevor es jemand anderes herausfindet.
👉 Fragen zu einem Hinweis oder zur eigenen Installation? Unser Support-Team hilft gerne – per E-Mail, Telefon oder Ticketsystem.