Sicherheit, die im Hintergrund arbeitet: So schützen wir eure WordPress-Website

Stell dir vor, irgendwo auf der Welt wird heute um 14 Uhr eine Sicherheitslücke in einem weit verbreiteten WordPress-Plugin veröffentlicht. Schon um kurz nach 19 Uhr durchsuchen automatisierte Programme das halbe Netz nach genau dieser Lücke und greifen jede Seite an, die sie finden. Das offizielle Update des Herstellers? Kommt vielleicht morgen, vielleicht nächste Woche, vielleicht nie. Genau dieses Tempo hat sich in den letzten Monaten dramatisch verschärft — und es ist der Grund, warum wir unseren Update Service grundlegend umstellen.

In diesem Beitrag erklären wir verständlich, was sich verändert hat und welche Werkzeuge wir einsetzen, um deine Website zu schützen. Ohne Fachchinesisch, aber mit echten Hintergründen.

Warum sich die Spielregeln geändert haben

Lange galt eine einfache Faustregel: Wer Plugins, Themes und WordPress selbst zeitnah aktualisiert, ist auf der sicheren Seite. Das stimmt heute nur noch zur Hälfte — und genau diese Lücke ist gefährlich geworden.

Ein paar Zahlen aus dem aktuellen Lagebericht des Sicherheitsanbieters Patchstack (Stand Anfang 2026) machen das deutlich:

• Über 11.000 neue Sicherheitslücken allein im Jahr 2025 — rund 42 Prozent mehr als im Vorjahr und so viele wie nie zuvor.
• Rund 91 Prozent davon stecken nicht in WordPress selbst, sondern in Plugins und Themes. Der Kern ist erstaunlich stabil; das Risiko liegt in den Erweiterungen, die jede Website individuell machen.
• Etwa fünf Stunden vergehen im Schnitt zwischen dem Bekanntwerden einer Lücke und den ersten massenhaften, automatisierten Angriffen darauf.
• Bei knapp der Hälfte der Lücken gibt es im Moment der Veröffentlichung noch gar kein Update des Herstellers.
• Mehr als die Hälfte der Schwachstellen lässt sich ganz ohne Login ausnutzen — ein Angreifer braucht weder Passwort noch Benutzerkonto, nur eine verwundbare Erweiterung auf deiner Seite.

Der entscheidende Treiber dahinter ist künstliche Intelligenz. Angreifer nutzen KI inzwischen, um neue Lücken in Sekundenschnelle zu finden und automatisiert auszunutzen. Gleichzeitig entsteht durch KI-generierten Programmcode laufend neue Angriffsfläche, weil Code veröffentlicht wird, den niemand mehr gründlich auf Sicherheit prüft.

Das Problem an der alten Faustregel ist damit offensichtlich: Wenn Angriffe innerhalb von Stunden laufen, ein Update aber erst nach Tagen erscheint — oder du es realistischerweise erst beim nächsten Wartungstermin einspielst — dann klafft ein gefährliches Zeitfenster. Updates bleiben wichtig. Aber sie sind heute die zweite Verteidigungslinie, nicht mehr die erste.

Unser Ansatz: Schutz in mehreren Schichten

Statt allein auf Updates zu setzen, schützen wir deine Website ab sofort über mehrere Schichten, die ineinandergreifen: vorbeugen, überwachen, verwalten — und im Notfall jederzeit zurückrollen können. Fünf Werkzeuge bilden diese Schichten. Hier ist, was jedes einzelne davon für dich tut.

Die Werkzeuge im Einzelnen

Patchstack — der Schutzschild, der Lücken schließt, bevor es ein Update gibt

Stell dir vor, an einem Türschloss deines Hauses wird eine Schwachstelle bekannt. Der Hersteller braucht zwei Wochen für ein neues, sicheres Schloss. Was machst du in der Zwischenzeit? Du stellst eine Wache vor genau diese Tür, die jeden abweist, der versucht, die Schwachstelle auszunutzen.

Nichts anderes ist virtuelles Patching, und genau das leistet Patchstack. Sobald irgendwo eine neue Lücke entdeckt wird, analysiert das Patchstack-Team, wie ein Angriff darauf konkret aussieht, und erstellt daraus eine punktgenaue Schutzregel — einen sogenannten vPatch. Diese Regel wird automatisch auf deine Website ausgespielt und blockiert exakt diese Angriffsart, ohne dass am Programmcode deiner Website irgendetwas verändert wird. Die verwundbare Erweiterung bleibt vorerst, wie sie ist; der Angriff läuft trotzdem ins Leere.

Das Entscheidende: Patchstack ist oft schneller als der Hersteller. In vielen Fällen ist der Schutz aktiv, bevor überhaupt ein offizielles Update existiert. Und falls ein Plugin gar nicht mehr gepflegt wird, schützt der vPatch deine Seite so lange, bis wir gemeinsam einen Ersatz gefunden haben. So bist du selbst in dem kritischen Zeitfenster von wenigen Stunden geschützt, in dem Angriffe am gefährlichsten sind.

Solid Security Pro — die Eingangstür konsequent absichern

Wenn Patchstack die Wache vor einzelnen Schwachstellen ist, kümmert sich Solid Security Pro um die Eingangstür deiner Website: den Login. Denn neben verwundbaren Plugins sind geknackte Zugangsdaten der zweithäufigste Weg, über den Angreifer in WordPress-Seiten eindringen.

• Schutz vor Brute-Force-Angriffen: Bei diesen automatisierten Angriffen probieren Bots in rascher Folge unzählige Passwörter durch. Solid Security sperrt verdächtige Angreifer automatisch aus und greift dabei auf ein Netzwerk von über einer Million Websites zurück — wer dort als Angreifer auffällt, wird auch auf deiner Seite gleich mitgeblockt.
• Zwei-Faktor-Authentifizierung: Auf Wunsch ist neben dem Passwort ein zweiter Code nötig, etwa aus einer App. Selbst ein gestohlenes Passwort nützt einem Angreifer dann nichts mehr.
• Automatische Aktualisierung: Vertrauenswürdige Plugins und Sicherheits-Updates spielt Solid Security eigenständig ein, sobald sie verfügbar sind — also genau dann, wenn schnelles Handeln zählt.
• Regelmäßige Schwachstellen-Prüfung: Mehrmals täglich gleicht das System deine Erweiterungen mit bekannten Lücken ab und nutzt dabei eine praxisnahe Risikoeinstufung, die nicht nur fragt „wie schwerwiegend?“, sondern „wie wahrscheinlich wird das gerade tatsächlich angegriffen?“.

Kurz: Solid Security Pro sorgt dafür, dass die am häufigsten angegriffene Stelle jeder WordPress-Seite — die Anmeldung — nicht zum offenen Scheunentor wird.

Wordfence — der Wächter über deine Dateien

Patchstack und Solid Security sollen Angriffe verhindern. Wordfence übernimmt eine andere, ebenso wichtige Aufgabe: Es prüft regelmäßig, ob sich auf deiner Website etwas verändert hat, das sich nicht verändern sollte.

Der Kern dieser Prüfung ist einfach und clever zugleich. WordPress, Plugins und Themes bestehen aus Dateien, deren Originalfassung öffentlich bekannt ist. Wordfence vergleicht die Dateien auf deinem Server mit genau diesen Originalen aus dem offiziellen WordPress-Verzeichnis. Weicht eine Datei ab, schlägt das System Alarm — denn unerwartete Veränderungen an Programmdateien sind eines der deutlichsten Anzeichen dafür, dass sich jemand unbefugt zu schaffen gemacht hat.

Zusätzlich durchsucht Wordfence deine Seite gezielt nach typischen Angriffsspuren: eingeschleustem Schadcode, versteckten Hintertüren, Spam-Links und manipulierten Weiterleitungen — anhand einer Datenbank mit über 44.000 bekannten Mustern. Das ist gerade deshalb wichtig, weil moderne Angreifer ihren Code zunehmend direkt in legitime Dateien einschleusen, statt verdächtige neue Dateien abzulegen. Der Abgleich gegen die Originale findet genau solche Manipulationen. Wordfence ist damit unser Frühwarnsystem — die Schicht, die merkt, wenn trotz aller Vorsorge doch einmal etwas durchrutscht.

MainWP — die Kommandozentrale im Hintergrund

Die bisher genannten Werkzeuge schützen eine einzelne Website. MainWP ist das Werkzeug, mit dem wir all das über alle betreuten Seiten hinweg zuverlässig steuern — man kann es sich als unser Cockpit vorstellen. Wir sehen darin auf einen Blick, wo welche Updates anstehen und ob alle Schutzfunktionen aktiv sind, und können Updates gebündelt und kontrolliert einspielen, statt uns auf jeder Seite einzeln anzumelden. Das ist der eigentliche Grund, warum wir den monatlichen Durchlauf für viele Seiten sorgfältig und trotzdem in vertretbarer Zeit leisten können.

Zwei Eigenschaften sind für dich besonders relevant:

• Läuft auf unserer eigenen Infrastruktur: MainWP ist „self-hosted“. Deine Website-Daten wandern also nicht durch die Server eines fremden Cloud-Dienstes, sondern bleiben in unserer Hand, über eine verschlüsselte Verbindung. Das ist nicht nur sicherer, sondern auch ein klarer Vorteil im Sinne der DSGVO.
• Kein Update ohne Sicherheitsnetz: Wir haben MainWP so eingerichtet, dass vor jedem manuellen Update ein vollständiges Backup vorliegt. Verursacht ein Update wider Erwarten ein Problem, setzen wir deine Seite jederzeit auf den letzten funktionierenden Stand zurück. Du läufst also nie Gefahr, dass eine Aktualisierung deinen Shop oder deine Seite dauerhaft lahmlegt.

Uptime Kuma — der Wachposten für die Erreichbarkeit

Das letzte Werkzeug stellt rund um die Uhr eine simple, aber wichtige Frage: Ist die Website gerade erreichbar? Uptime Kuma prüft das in kurzen, regelmäßigen Abständen. Fällt deine Seite aus — egal ob durch ein Server-Problem, einen Fehler nach einem Update oder eine Störung beim Hoster — werden wir sofort automatisch benachrichtigt. Häufig wissen wir dadurch von einem Ausfall, bevor du oder deine Kundschaft ihn überhaupt bemerken.

Nebenbei behält Uptime Kuma im Auge, ob dein SSL-Zertifikat (das kleine Schloss in der Adresszeile) demnächst abläuft — ein abgelaufenes Zertifikat empfängt Besucher sonst mit einer abschreckenden Warnung. Auch dieses Werkzeug betreiben wir bewusst auf einer separaten Infrastruktur, getrennt von den überwachten Seiten. Der Grund ist einfach: Ein Wachposten, der zusammen mit dem überwachten Gebäude ausfällt, ist nutzlos.

So greift alles ineinander

Jedes dieser Werkzeuge für sich ist nützlich. Ihre eigentliche Stärke entsteht erst im Zusammenspiel, als gestaffeltes Schutzkonzept:

• Vorbeugen: Patchstack blockiert bekannte Angriffe sofort, oft bevor es ein Update gibt. Solid Security Pro sichert den Login ab und spielt kritische Sicherheits-Updates automatisch ein.
• Pflegen: Einmal im Monat spielen wir alle anstehenden Updates manuell ein und prüfen die Seite danach auf Funktion — vorher immer mit vollständigem Backup.
• Überwachen: Wordfence prüft regelmäßig die Dateien auf Manipulationen, Uptime Kuma die Erreichbarkeit rund um die Uhr.
• Steuern: Über MainWP behalten wir den Überblick über alle Seiten und können schnell und kontrolliert eingreifen.

So entsteht ein Netz, bei dem das eine greift, wenn das andere einmal nicht ausreicht. Fällt eine bekannte Lücke an, fängt Patchstack sie ab. Versucht jemand, sich über den Login einzuschleichen, blockt Solid Security. Kommt trotzdem etwas durch, bemerkt Wordfence die Veränderung. Und hakt eine Aktualisierung doch einmal, holt uns das Backup zurück auf sicheren Boden.

Ehrliche Einordnung: 100 Prozent gibt es nicht

Eines wollen wir nicht verschweigen: Absolute Sicherheit kann kein Werkzeug der Welt versprechen, und jeder, der das behauptet, ist unseriös. Was sich aber sehr wohl erreichen lässt, ist, das Risiko drastisch zu senken und im Ernstfall extrem schnell reagieren zu können. Genau darum geht es bei diesem mehrschichtigen Ansatz.

Wir stellen unseren Update Service nicht um, um zusätzliche Leistungen zu verkaufen, sondern weil die Bedrohungslage es nötig macht. Der Schutz soll möglichst günstig und für alle unsere Kundinnen und Kunden erreichbar bleiben.

Fazit

Die gute Nachricht zum Schluss: Für dich ändert sich im Alltag kaum etwas — außer, dass deine Website spürbar besser geschützt ist. Drei Dinge laufen ab sofort im Hintergrund für dich: Erstens fängt die vorbeugende Schicht aus Patchstack und Solid Security Angriffe ab, bevor ein Update überhaupt da ist. Zweitens spielen wir monatlich alle Updates manuell ein — immer mit vorherigem Backup als Sicherheitsnetz. Drittens überwachen Wordfence und Uptime Kuma deine Seite rund um die Uhr auf Manipulationen und Ausfälle.

Einrichtung, Pflege und Überwachung übernehmen wir. Du musst dich weder mit den Tools auseinandersetzen noch selbst an Updates denken. Hast du Fragen — zu einem einzelnen Werkzeug, zu deiner konkreten Seite oder zur Umstellung allgemein — dann melde dich einfach per Mail oder telefonisch bei uns. Wir nehmen uns gerne Zeit.

Hinweis: Die genannten Zahlen zur Bedrohungslage stammen aus dem öffentlich verfügbaren Bericht „State of WordPress Security in 2026“ von Patchstack sowie aus den Herstellerangaben der jeweiligen Werkzeuge (Stand Anfang 2026). Dieser Beitrag dient der allgemeinen Information und ersetzt keine individuelle Sicherheitsberatung.