Wenn Sie eine beliebige Agentur oder einen Sicherheitsforscher fragen, was die meisten WordPress-Sicherheitsvorf\u00e4lle verursacht, erhalten Sie jedes Mal dieselbe Antwort. Plugins. Nicht der WordPress-Core, nicht der Server, nicht gestohlene Passw\u00f6rter. Plugins. Der Grund ist einfach. Allein im offiziellen Verzeichnis gibt es fast 60.000 Plugins, dazu Tausende weitere privat verkaufte, und sie alle laufen mit vollem PHP-Zugriff auf Ihre Website. Wenn eines davon eine Sicherheitsl\u00fccke hat und Sie es nicht aktualisieren, steht eine bekannte T\u00fcr auf Ihrem Server offen.<\/p>\n
Dieser Artikel betrachtet, warum veraltete Plugins ein so konstantes Problem sind, wie Schwachstellen in der Praxis ausgenutzt werden und was Sie tun k\u00f6nnen, damit Ihre Website nicht Teil der Statistik des n\u00e4chsten Monats wird.<\/p>\n
Jedes Plugin, das Sie installieren, f\u00fcgt Code hinzu, der als Teil Ihrer WordPress-Website l\u00e4uft. Dieser Code kann Ihre Datenbank lesen, Dateien auf Ihren Server schreiben, E-Mails versenden, externe APIs aufrufen und Befehle ausf\u00fchren. Wenn der Code gut geschrieben ist, tut er all das sicher. Wenn nicht, gibt er Angreifern Werkzeuge, die sie missbrauchen k\u00f6nnen.<\/p>\n
Zu den h\u00e4ufigen Plugin-L\u00fccken geh\u00f6ren der Datei-Upload ohne Authentifizierung, bei dem eine f\u00fcr angemeldete Administratoren gedachte Funktion f\u00fcr jeden im Internet erreichbar ist. SQL-Injection, bei der Benutzereingaben ohne korrektes Escaping in eine Datenbankabfrage eingef\u00fcgt werden. Cross-Site-Scripting, bei dem vom Angreifer kontrollierter Inhalt als aktives HTML im Browser eines Administrators gerendert wird. Rechteausweitung, bei der ein Konto auf Abonnentenebene zum Administrator werden kann. Unsichere Deserialisierung, bei der von au\u00dfen gesendete komplexe Datenstrukturen die Codeausf\u00fchrung ausl\u00f6sen.<\/p>\n
Jede dieser L\u00fccken kann einem Angreifer die M\u00f6glichkeit geben, Hintert\u00fcren zu installieren, sch\u00e4dliche Dateien abzulegen, betr\u00fcgerische Administratorkonten anzulegen oder auf andere Websites desselben Hosts \u00fcberzuspringen. Das Plugin muss nicht obskur sein. Einige der am h\u00e4ufigsten ausgenutzten Plugins der WordPress-Geschichte hatten zig Millionen Installationen.<\/p>\n
Die Sicherheitsgemeinschaft lebt von verantwortungsvoller Offenlegung. Ein Forscher findet eine L\u00fccke, meldet sie privat dem Plugin-Autor, der Autor ver\u00f6ffentlicht eine gepatchte Version, und einige Tage oder Wochen sp\u00e4ter werden die Details in CVE-Hinweisen und Sicherheitsbulletins ver\u00f6ffentlicht. Das ist gesund. So verbessert sich das \u00d6kosystem.<\/p>\n
Der ungesunde Teil ist, was danach passiert. Automatisierte Scanner beobachten diese Hinweise genau. Innerhalb von Stunden nach einer \u00f6ffentlichen Offenlegung durchk\u00e4mmen Bots das \u00f6ffentliche Web, identifizieren WordPress-Websites und gleichen sie mit der Liste verwundbarer Versionen ab. Wenn Ihre Website noch die ungepatchte Version ausf\u00fchrt, werden Sie gefunden, oft schon am ersten Tag.<\/p>\n
Deshalb ist das Zeitfenster zwischen Offenlegung und Update auf Ihrer Website so wichtig. Eine w\u00f6chentliche Update-Routine erwischt die Dinge meist rechtzeitig. Eine viertelj\u00e4hrliche fast nie.<\/p>\n
Noch schlimmer als ein veraltetes Plugin ist ein aufgegebenes. Plugin-Autoren kommen und gehen, und nicht alle k\u00fcndigen an, wann sie ihren Code nicht mehr pflegen. Ein Plugin, das seit zwei Jahren kein Update hatte, ist nicht sicherer, weil sich nichts ge\u00e4ndert hat. Es ist gef\u00e4hrlicher, denn jede seither gefundene Schwachstelle wird nie gepatcht.<\/p>\n
Das WordPress-Verzeichnis kennzeichnet inzwischen Plugins, die lange nicht aktualisiert wurden, ist aber zur\u00fcckhaltend, sie ganz zu entfernen. Es liegt an Ihnen, das zu bemerken und zu migrieren. Eine monatliche Support-Routine sollte die Pr\u00fcfung des letzten Aktualisierungsdatums jedes von Ihnen genutzten Plugins beinhalten.<\/p>\n
Ein aktuelles Kundenaudit erz\u00e4hlte eine klare Geschichte. Die Website, betrieben von einer kleinen Agentur in Sydney, hatte ein Dateimanager-Plugin installiert, das Administratoren eine webbasierte Oberfl\u00e4che zum Durchsuchen und Bearbeiten von Serverdateien bot. Praktisch, aber auch ein historisch bekanntes Ziel. Diese Plugin-Familie hatte im Lauf der Jahre mehrere kritische Schwachstellen zur Remote-Code-Ausf\u00fchrung ver\u00f6ffentlicht bekommen.<\/p>\n
Das Plugin war nicht aktuell gehalten worden. Ein Angreifer nutzte eine bekannte L\u00fccke aus, erlangte Schreibzugriff auf das Dokumentenstammverzeichnis und legte f\u00fcnfzehn sch\u00e4dliche Dateien in Verzeichnissen ab, die die Namen echter WordPress-Seiten nachahmten. Das Ergebnis war ein SEO-Cloaking-Angriff, der Spam an den Googlebot auslieferte und das Suchmaschinen-Ranking der Domain verbrannte.<\/p>\n
Die Bereinigung war teuer. Das verlorene SEO war noch teurer. Eine monatliche Update-Routine h\u00e4tte das verwundbare Plugin erkannt und entweder zu einem sofortigen Patch oder zur vollst\u00e4ndigen Entfernung des Plugins veranlasst. Die gesamte Behebung w\u00e4re eine F\u00fcnfzehn-Minuten-Arbeit w\u00e4hrend der routinem\u00e4\u00dfigen Wartung gewesen.<\/p>\n
Die Gr\u00fcnde, die Menschen f\u00fcr das Nicht-Aktualisieren von Plugins nennen, fallen in einige vertraute Muster. Es lohnt sich, sie zu kennen, denn jeder hat eine bessere Antwort.<\/p>\n
Manche Betreiber bef\u00fcrchten, dass Updates die Website besch\u00e4digen. Die Antwort ist, zuerst im Staging zu testen, ein Backup zu machen und kontrolliert zu aktualisieren. Nicht, nie zu aktualisieren.<\/p>\n
Manche Betreiber schauen sich ihre Website selten an. Die Antwort ist, E-Mail-Benachrichtigungen einzurichten, wenn Updates verf\u00fcgbar sind, oder die Website in einen Support-Plan zu nehmen, bei dem jemand anderes nachsieht.<\/p>\n
Manche Betreiber nutzen ein stark angepasstes Plugin und bef\u00fcrchten, dass ein Update ihre \u00c4nderungen \u00fcberschreibt. Die Antwort ist, Plugin-Dateien niemals direkt zu bearbeiten. Nutzen Sie die Hooks und Filter des Plugins aus einem Child-Theme oder einem eigenen Plugin, damit Updates Ihre Anpassungen nicht mehr zerst\u00f6ren.<\/p>\n
Manche Betreiber wissen nicht, dass das Plugin existiert. Sie haben die Website geerbt, oder ein Freelancer hat vor Jahren etwas installiert und es nie erw\u00e4hnt. Die Antwort ist ein Audit. \u00d6ffnen Sie die Plugin-Seite und schauen Sie nach. Wenn Sie nicht wissen, was etwas tut, finden Sie es heraus oder entfernen Sie es.<\/p>\n
Die Grundroutine ist auf jeder von uns betreuten Website gleich. Erstellen Sie ein vollst\u00e4ndiges Backup, einschlie\u00dflich Datenbank und Dateien. Spielen Sie Updates im Staging ein, wenn die \u00c4nderung riskant aussieht. Aktualisieren Sie Plugins in Stapeln, nicht alle auf einmal, damit Sie bei einem Fehler wissen, welches Plugin ihn verursacht hat. Testen Sie die Website danach kurz, indem Sie mindestens die Startseite, eine wichtige Landingpage, den Bezahlvorgang, falls vorhanden, und den Admin-Bereich aufrufen. Dokumentieren Sie jedes Plugin, das wiederholt Probleme verursacht, und erw\u00e4gen Sie, es zu ersetzen.<\/p>\n
Bei Premium-Plugins halten Sie die Lizenz aktiv. Eine abgelaufene Lizenz bedeutet keine Updates, keine Sicherheitspatches und keinen Support. Die j\u00e4hrliche Lizenzgeb\u00fchr ist fast immer geringer als die Kosten einer einzigen Wiederherstellung nach einem Sicherheitsvorfall.<\/p>\n
Der am meisten untersch\u00e4tzte Sicherheitsschritt ist schlicht, weniger Plugins zu haben. Jedes Plugin ist mehr Angriffsfl\u00e4che. Jedes Plugin ist ein weiterer Anbieter, von dessen Update-Zeitplan Sie abh\u00e4ngen. Viele WordPress-Websites, die wir pr\u00fcfen, haben 25 oder 30 aktive Plugins, und mindestens ein Drittel davon tut Dinge, die entweder nicht mehr genutzt werden oder zusammengelegt werden k\u00f6nnten.<\/p>\n
Gehen Sie die Liste durch. Wenn Sie sich nicht erinnern, warum Sie etwas installiert haben, brauchen Sie es wahrscheinlich nicht. Wenn sich zwei Plugins in der Funktion \u00fcberschneiden, fassen Sie sie zusammen. Der kleinste Plugin-Fu\u00dfabdruck, der liefert, was Sie tats\u00e4chlich brauchen, ist der sicherste.<\/p>\n
Plugins sind der m\u00e4chtigste und der gef\u00e4hrlichste Teil von WordPress. Sie geben Ihnen die Funktionen, die die Plattform attraktiv machen, und sie geben Angreifern die T\u00fcren, die WordPress-Websites zu einem so h\u00e4ufigen Ziel machen. Die L\u00f6sung ist nicht, Plugins zu meiden, sondern sie zu verwalten. Halten Sie sie aktuell. Halten Sie sie schlank. Bemerken Sie, wenn eines aufgegeben wird, und migrieren Sie weg davon. Behandeln Sie Ihre Plugin-Liste wie ein Budget, nicht wie eine Krimskramsschublade.<\/p>\n