Unsichere WordPress-Plugins: prüfen, updaten, ersetzen

Die meisten Sicherheitslücken im WordPress-Umfeld stecken nicht im Kern, sondern in Plugins. Damit eine Sicherheitslücke in einem WordPress-Plugin nicht zum Einfallstor wird, brauchen Sie vier Routinen: wissen, was installiert ist, zügig aktualisieren, Ungenutztes löschen und Verwaistes ersetzen.

Dieser Ratgeber zeigt, wie Sie diese Routinen aufbauen, woran Sie aufgegebene Plugins erkennen und was zu tun ist, wenn eine Lücke öffentlich bekannt ist, der Hersteller aber noch kein Update liefert. Der Punkt gehört zu unserer Checkliste für WordPress-Sicherheit – und ist für die meisten Websites der wichtigste.

Sicherheitslücken in WordPress-Plugins: die Zahlen

Ausführliche Jahreszahlen liefert der Bericht State of WordPress Security in 2026 von Patchstack mit Daten für 2025. Patchstack ist ein Sicherheitsanbieter, der selbst Schutz vor diesen Risiken verkauft. Lesen Sie den Bericht also als gut informierte Quelle, nicht als amtliche Statistik. Die wichtigsten Ergebnisse:

• 11.334 neue Schwachstellen im WordPress-Ökosystem im Jahr 2025, 42 % mehr als 2024.
• 91 % davon in Plugins, 9 % in Themes. Im WordPress-Kern waren es sechs, alle mit niedriger Priorität.
• 17 % (1.966) waren schwerwiegend und dürften für automatisierte Massenangriffe genutzt werden.
• Bei 46 % gab es zum Zeitpunkt der Veröffentlichung keinen Fix des Entwicklers.
• Fehlerhafte Zugriffskontrolle (Broken Access Control) war die am häufigsten ausgenutzte Kategorie.

Kurz gesagt: Ihre Plugin-Liste ist Ihre Angriffsfläche. Jedes Plugin ist Code eines fremden Teams, dem Sie Ihre Website und die Daten darauf anvertrauen.

Warum Tempo entscheidet

Angreifer suchen sich Websites nicht von Hand aus. Sie durchsuchen das Netz automatisiert nach einer verwundbaren Plugin-Version und greifen jeden Treffer an. Laut demselben Bericht betrug bei stark ausgenutzten Lücken die gewichtete Medianzeit bis zur massenhaften Ausnutzung fünf Stunden; etwa die Hälfte der folgenschweren Lücken wurde innerhalb von 24 Stunden ausgenutzt.

Ein monatlicher Wartungstermin ist für solche Fälle zu langsam. Sicherheitsupdates brauchen eine schnellere Spur als Funktionsupdates. Zeitnahes Patchen gehört außerdem zu den grundlegenden technischen Maßnahmen, die Art. 32 DSGVO verlangt. Für Einrichtungen, die unter NIS2 fallen – in Deutschland über das NIS2UmsuCG –, zählt der Umgang mit Schwachstellen zu den Mindestmaßnahmen (Art. 21 Abs. 2 lit. e NIS2-Richtlinie).

Schritt 1: Ein Plugin-Inventar führen

Was Sie nicht kennen, können Sie weder bewerten noch aktualisieren. Ein einfaches Verzeichnis pro Website, gern als Tabelle, sollte Folgendes festhalten:

• Name, Slug und installierte Version des Plugins
• Herkunft: WordPress.org, kommerzieller Anbieter oder Eigenentwicklung
• Zweck und wer es angefordert hat
• Lizenzstatus und Verlängerungsdatum bei Premium-Plugins
• ob automatische Updates aktiv sind

Mit WP-CLI exportieren Sie das meiste mit einem Befehl:

wp plugin list --fields=name,status,version,update_version,auto_update

Neuere WP-CLI-Versionen zeigen auch, was WordPress.org über ein Plugin weiß – etwa, ob es geschlossen wurde:

wp plugin list --fields=name,version,wporg_status,wporg_last_updated

Bei Plugins, die nicht auf WordPress.org liegen, bleiben diese Felder in der Regel leer; deren Stand klären Sie beim Anbieter. Für Themes gilt dasselbe: wp theme list.

Schritt 2: Ungenutzte Plugins löschen, nicht nur deaktivieren

Ein deaktiviertes Plugin wird von WordPress nicht mehr geladen, seine Dateien liegen aber weiter auf dem Server. Manche Lücken lassen sich auslösen, indem man Plugin-Dateien direkt aufruft. Außerdem fallen inaktive Plugins gern aus der Update-Routine. Auch der WordPress-eigene Website-Zustand (Werkzeuge → Website-Zustand) empfiehlt, inaktive Plugins zu entfernen, weil sie ein verlockendes Ziel für Angreifer sind.

Wird ein Plugin nicht mehr gebraucht, erstellen Sie ein Backup und deaktivieren und löschen es dann unter „Plugins“. Per Kommandozeile:

wp plugin uninstall alter-slider --deactivate

wp plugin uninstall führt die Deinstallationsroutine des Plugins aus, die auch Einstellungen und Daten aus der Datenbank entfernen kann, und löscht anschließend die Dateien. wp plugin delete entfernt nur die Dateien. Sichern Sie vorher, was Sie noch brauchen.

Typische Kandidaten: Test-Plugins aus früheren Projekten, doppelte Funktionen (zwei Caching- oder SEO-Plugins), einmalig genutzte Migrations-Tools und Plugins, deren Aufgabe inzwischen der WordPress-Kern übernimmt.

Schritt 3: Verwaiste Plugins und Raubkopien ersetzen

Ein Plugin ohne aktiven Entwickler bekommt keinen Fix, wenn die nächste Lücke gefunden wird.

Woran Sie verwaiste Plugins erkennen

• Keine aktuellen Updates. Prüfen Sie auf der WordPress.org-Seite des Plugins, wann es zuletzt aktualisiert wurde. Zusätzlich blendet WordPress.org einen Hinweis ein, wenn ein Plugin mit den letzten drei Hauptversionen von WordPress nicht getestet wurde.
• Auf WordPress.org geschlossen. Ein roter Hinweis meldet, dass das Plugin geschlossen wurde und nicht mehr heruntergeladen werden kann. Nach 60 Tagen wird der Grund ergänzt; ein möglicher Grund ist ein Sicherheitsproblem. Egal warum: Solange ein Plugin geschlossen ist, kommen über WordPress.org keine Updates.
• Unbeantwortete Support-Anfragen, besonders wenn es um Sicherheitsprobleme geht.
• Premium-Plugins, deren Anbieter abgetaucht ist: kein neuer Changelog, Lizenzverlängerung funktioniert nicht, Support antwortet nicht.

Die Hinweise erklärt die WordPress.org-Dokumentation Alerts and Warnings (englisch). Sehen Sie solche Zeichen, planen Sie den Ersatz, bevor ein Notfall Sie dazu zwingt.

Finger weg von Nulled-Plugins

„Nulled“-Plugins sind Raubkopien von Premium-Plugins, bei denen die Lizenzprüfung entfernt wurde. Unbekannte haben den Code verändert, und niemand weiß, was sonst noch geändert wurde. Versteckte Hintertüren in solchen Kopien sind ein bekanntes Problem. Updates und Support gibt es ebenfalls nicht – die nächste Lücke bleibt also offen.

Finden Sie eine solche Kopie, ersetzen Sie sie durch eine lizenzierte Version und behandeln Sie die Website als möglicherweise kompromittiert.

Schritt 4: Schnell aktualisieren – automatisch oder über Staging

Seit WordPress 5.5 lassen sich automatische Updates für jedes Plugin einzeln in der Plugin-Übersicht einschalten. Standardmäßig führt WordPress sie zweimal täglich aus und schickt Ihnen eine E-Mail mit dem Ergebnis (WordPress.org-Dokumentation, englisch). Mit WP-CLI geht es für alle Plugins auf einmal: wp plugin auto-updates enable --all.

Weil Angriffe so schnell folgen, sind automatische Updates für die meisten Plugins die richtige Grundeinstellung. Staging lohnt sich dort, wo ein fehlerhaftes Update echtes Geld kostet:

Egal welcher Weg: Halten Sie Backups bereit, deren Wiederherstellung Sie schon einmal ausprobiert haben, und sorgen Sie dafür, dass jemand die Update-Mails tatsächlich liest.

Schritt 5: Schwachstellen verfolgen und reagieren

Wo Sie Sicherheitslücken nachschlagen

• Im Changelog auf der WordPress.org-Seite des Plugins oder beim Anbieter. Achten Sie auf Einträge wie „security fix“; manche Anbieter beschreiben Fixes allerdings nur vage.
• In öffentlichen Schwachstellendatenbanken wie denen von WPScan und Patchstack, die sich nach Plugin-Namen durchsuchen lassen. Beide werden von Unternehmen betrieben, die auch Sicherheitsdienste verkaufen.
• In Sicherheitsmeldungen und Newslettern der Anbieter von Premium-Plugins.

Dutzende Plugins von Hand zu prüfen, skaliert nicht. Security Audit & Compliance, das Audit-Plugin von secaudit.eu, meldet veraltete Plugins, Themes und WordPress-Versionen ohne weitere Einrichtung. Wenn Sie die Schwachstellenprüfung einschalten, gleicht es die installierten Versionen zusätzlich mit der kostenlosen Schwachstellendatenbank von secaudit.eu ab, die jede Nacht aus der offiziellen CVE-Liste erstellt wird; Ihre Plugin-Liste verlässt dabei nie Ihre Website.

Wenn es noch kein Update gibt

Für fast die Hälfte der Lücken (46 %) gab es bei Veröffentlichung keinen Fix. Trifft es ein Plugin, das Sie nutzen:

1. Risiko einschätzen. Können anonyme Besucher die betroffene Funktion erreichen, oder nur angemeldete Administratoren?
2. Plugin deaktivieren, wenn Sie eine Weile darauf verzichten können – und löschen, falls kein Fix kommt.
3. Ersetzen durch eine gepflegte Alternative, wenn der Anbieter nicht reagiert.
4. Virtuell patchen, wenn das Plugin unverzichtbar ist: Manche Web Application Firewalls (WAF) und Sicherheitsdienste bieten Regeln, die Anfragen mit dem bekannten Angriffsmuster blockieren. Das verschafft Zeit, repariert aber nicht den Code.
5. Auf Spuren eines Angriffs prüfen, vor allem, wenn die Lücke schon länger bekannt war. Unsere Anzeichen für eine gehackte WordPress-Website helfen beim Einstieg.

Für Plugin-Anbieter: der Cyber Resilience Act

Für Anbieter wird der Umgang mit Schwachstellen zur Rechtspflicht, und ein Teil davon gilt bereits. Ein kostenpflichtiges Plugin oder Theme, das an Kunden in der EU verkauft wird, ist ein „Produkt mit digitalen Elementen“ im Sinne des Cyber Resilience Act; der Verkäufer ist Hersteller. Seit dem 11. September 2026 müssen Hersteller aktiv ausgenutzte Schwachstellen ihrer Produkte über die Single Reporting Platform der ENISA melden: Frühwarnung binnen 24 Stunden, Meldung binnen 72 Stunden und Abschlussbericht spätestens 14 Tage, nachdem eine Korrekturmaßnahme verfügbar ist.

Ab dem 11. Dezember 2027 gelten die Hauptpflichten, darunter Sicherheitsupdates während des Supportzeitraums, ein Prozess für den Umgang mit Schwachstellen, eine Richtlinie zur koordinierten Offenlegung und eine Software-Stückliste (SBOM). Kostenlose Open-Source-Plugins ohne Monetarisierung fallen grundsätzlich nicht unter diese Herstellerpflichten. Mehr dazu in unserem Ratgeber zum Cyber Resilience Act für Plugin-Anbieter.

Häufige Fragen

Ist ein deaktiviertes Plugin sicher?

Nein. Seine Dateien liegen weiter auf dem Server und können ausnutzbaren Code enthalten. Löschen Sie Plugins, die Sie nicht nutzen.

Sollte ich automatische Updates für alle Plugins aktivieren?

Für die meisten Plugins ja, zusammen mit verlässlichen Backups. Geschäftskritische Plugins testen Sie vorher auf Staging – aber halten Sie diese Verzögerung kurz.

Was tun, wenn ein wichtiges Plugin auf WordPress.org geschlossen wurde?

Behandeln Sie es als ungepflegt, bis es mit einer korrigierten Version wieder freigegeben wird, und suchen Sie schon jetzt nach einer Alternative.

Dieser Artikel ist eine allgemeine Information und keine Rechtsberatung.