Mitte Juli wurde eine kritische Sicherheitslücke im WordPress-Kern bekannt, getauft auf den Namen „wp2shell“. Auf dem Schwarzmarkt wäre sie rund 500.000 US-Dollar wert gewesen. Gefunden hat sie ein Sicherheitsforscher mithilfe von KI: in zehn Stunden, für etwa 25 Dollar Rechenkosten. Wir haben die Angriffswelle auf unseren eigenen Servern live mitgemessen. In diesem Artikel erfahrt ihr, was vorgefallen ist, was ihr jetzt für eure Website tun solltet und warum dieser Fall die Spielregeln der Website-Sicherheit dauerhaft verändert.
Für eine Schwachstelle, mit der sich WordPress-Websites ohne Login übernehmen lassen, zahlen Exploit-Händler rund 500.000 US-Dollar. Der Sicherheitsforscher Adam Kues hat genau eine solche Lücke gemeinsam mit einem Team aus KI-Agenten entdeckt. In etwa zehn Stunden und für Rechenkosten von rund 25 US-Dollar.
In seinem Bericht schreibt er selbst, dass kein Mensch diese Angriffskette ohne KI in dieser kurzen Zeit entdeckt hätte. Das ist keine Anekdote aus der Security-Szene, das ist ein deutliches Signal auch für alle Website-Betreibenden und Datenschutz-Verantwortliche: Die Kosten, solche Lücken zu finden, sind über die letzten Monate im Prinzip verschwunden.
Der Reflex vieler lautet jetzt: Dann müssen eben die großen KI-Anbieter strenger kontrolliert werden. Beim Thema IT-Sicherheit greift das jedoch zu kurz. Frei verfügbare KI-Modelle wie Kimi oder GLM kann sich heute jede:r herunterladen und auf eigener Hardware betreiben. Ohne Nutzungsbedingungen, ohne Aufsicht, ohne Abschaltknopf. Diese Fähigkeit ist in der Welt und bleibt es.
Die Angriffsseite lässt sich nicht wegregulieren. Was sich verändern lässt, ist die Verteidigung: Sie muss schneller, automatisierter und mehrschichtiger werden. Und man muss anfangen, KI gezielt auch auf der Verteidigungsseite einzusetzen.
Was ist passiert und was solltet ihr jetzt tun?
Kurz zusammengefasst: Die Lücke steckt im WordPress-Kern selbst, nicht in einem Plugin. Betroffen war damit praktisch jede aktuelle Installation. Angreifer:innen können verwundbare Websites ohne Login und ohne jedes Zutun der Betreiber:innen vollständig übernehmen.
Wenn ihr eine WordPress-Website betreibt:
- Version prüfen: Im Backend unter Dashboard → Aktualisierungen nachsehen. Sicher sind die WordPress-Versionen 7.0.2, 6.9.5 und 6.8.6 oder neuer. (Neuer bedeutet hier, im jeweiligen major Versions-Strang. Also die 7.0.1 ist nicht neuer als die 6.9.5. - Konkret, wenn ihr auf 7.0 seid, muss es eben höher sein als 7.0.1. Wenn ihr auf 6.9 seid, muss die Version über 6.9.4 liegen. Und wenn eure Website auf 6.8 fährt, dann muss die Version über 6.8.5 liegen.)
- Sofort aktualisieren, falls eine ältere Version läuft.
- Auf Auffälligkeiten prüfen, falls die Website über das Wochenende vom 17. bis 20. Juli nicht aktualisiert und dadurch ungeschützt online war: unbekannte Administrator:innen-Konten, neu aufgetauchte Plugins oder Dateien. Wichtig: Ein Update schließt die Lücke, macht aber eine bereits erfolgte Übernahme nicht rückgängig.
Für unsere Hosting- und Wartungskund:innen gilt: Eure Websites waren durch unsere Schutzschichten abgesichert und sind längst aktualisiert. Ihr müsst nichts tun.
Das Wochenende in Zahlen
Was diesen Fall besonders macht, ist weniger die Lücke als die Zeitachse.
- Am Freitag, dem 17. Juli, wurden Sicherheitslücke und Patches veröffentlicht.
- Noch am selben Abend meldeten Sicherheitsfirmen die ersten Angriffe.
- Übers Wochenende kursierten bereits mehr als 25 öffentliche Exploit-Varianten, und auch das Bundesamt für Sicherheit in der Informationstechnik (BSI) gab eine offizielle Warnung heraus.
- Am Montag, den 20. Juli, liefen weltweit industrialisierte Massenscans.
Unsere eigenen Server-Logs zeichnen dasselbe Bild: Auf unserer Hosting-Flotte mit 57 WordPress-Websites haben wir seit dem 18. Juli über 4.300 Zugriffe auf genau den verwundbaren Endpunkt registriert. Am Freitag: null. Am Samstag: 139. Am Sonntag: über 1.100. Betroffen waren alle Server gleichermaßen, auch die, auf denen gar keine WordPress-Websites liegen. Das zeigt, dass wir hier ein flächendeckendes Absuchen des gesamten Internets sehen, keinen gezielten Angriff auf einzelne Server oder Websites.
Ein Detail aus den Logs blieb bei uns hängen: Zwischen der Veröffentlichung der Lücke und fertig gebauten, massenhaft eingesetzten Angriffswerkzeugen lagen Stunden, nicht Wochen, wie das noch vor ein bis zwei Jahr der Stand war.
Klar ist: Der Großteil dieser Zugriffe waren sehr sicher harmlose automatische Prüfungen, ob eine Website überhaupt verwundbar ist. Geblockt wurde der kleinere, tatsächlich gefährliche Teil. Nicht jeder Treffer im Log ist ein Angriff. Aber jeder Treffer zeigt, wie systematisch das Internet inzwischen abgesucht wird. Das Ergebnis nach unserer Tiefenprüfung: Keine einzige der von uns betreuten Websites wurde kompromittiert.
Die eigentliche Nachricht: KI verändert, wer angreifen kann und wie schnell
Die zehn Stunden, die der Forscher benötigte, sind für sich genommen gar nicht der entscheidende Punkt. Entscheidend ist, dass KI deutlich mehr Menschen in die Lage versetzt, solche Lücken und die darauf aufbauenden Angriffsketten überhaupt zu finden und auszuarbeiten.
Was früher ein hochspezialisiertes Team mit Wochen an Zeit erforderte, gelingt heute deutlich mehr Akteur:innen, deutlich schneller und für einen nicht nennenswerten Preis. Die Zahl derer, die es können, wächst damit um ein Vielfaches. Und mit ihr die Geschwindigkeit auf der Angriffsseite.
Für Website-Betreibende heißt das: Das bisherige Zeitfenster, in dem ein Sicherheitsupdate „demnächst mal“ eingespielt werden konnte, schrumpft von Tagen auf Stunden. Wer ausschließlich auf menschliche Reaktionszeit setzt, hat einen strukturellen Nachteil. Nicht weil Menschen zu langsam arbeiten, sondern weil ein KI-beschleunigter Angriff eben auch am Samstagabend beginnt, wenn bei einem Großteil der Server niemand live auf Logs und Warnmeldungen schaut. Genau dieses Szenario ist bei wp2shell so gefährlich gewesen.
Die Antwort darauf ist Defense In Depth - also Sicherheit in der Tiefe - endlich ernst zu nehmen: Schutzmechanismen, die ohne menschliches Zutun greifen. Statusmeldungen, die sofort alarmieren, statt in Log-Dateien auf ihre Entdeckung zu warten. Und perspektivisch KI auch auf der Verteidigungsseite, etwa in Form von Assistenten, die einen Sicherheitsvorfall sofort automatisch untersuchen und dabei ausschließlich lesenden Zugriff erhalten. So können sie unterstützen, ohne selbst eine neue Angriffsfläche zu schaffen. Menschen treffen weiterhin die Entscheidungen. Aber die erste Reaktion darf nicht mehr davon abhängen, dass gerade jemand wach ist.
Was jetzt wirklich schützt: Sicherheit in Schichten
Das Prinzip dahinter ist alt und bewährt: Eine Burg verlässt sich nie auf eine einzige Mauer. Wer über den Graben kommt, steht vor der Mauer. Wer die Mauer überwindet, vor dem Turm. Keine Schicht ist perfekt, aber jede weitere senkt das Risiko drastisch.
In der IT-Sicherheit heißt das „Defense in Depth“, und es ist erstaunlich, auf wie vielen Servern und den darauf liegenden Websites es bis heute nicht umgesetzt ist. Neu ist nicht das Prinzip. Neu ist, dass das KI-Tempo diese Schichten vom Nice-to-have zur Grundvoraussetzung macht.
So sehen die Schichten konkret aus, mit Beispielen aus unserer eigenen Infrastruktur:
- Sicherer Code von Anfang an: Website-Sicherheit beginnt nicht beim Hosting, sondern beim Bau der Website. Bei uns prüfen automatische Werkzeuge schon während der Entwicklung jeden Code auf bekannte Schwachstellenmuster und auf versehentlich eingebaute Zugangsdaten, bevor er überhaupt live geht.
- Schlanke Website: Jedes installierte Plugin ist eine zusätzliche Tür ins Haus. Was nicht aktiv gebraucht wird, fliegt raus: nicht nur deaktivieren, sondern löschen.
- Server und Netzwerk: Eine Firewall, die standardmäßig alles verbietet und nur das Nötigste erlaubt. Ergänzt wird sie durch eine Angriffserkennung mit Schwarmintelligenz: Wer einen unserer Server angreift, wird automatisch auf allen geblockt, und über die weltweite Community des Systems profitieren wir zusätzlich von Angriffen, die anderswo erkannt wurden. Deren Urheber werden in unseren Firewalls ebenfalls sofort ausgeschlossen.
- Virtuelles Patching: Die Schicht, die bei wp2shell den Unterschied gemacht hat. Wenn eine Lücke bekannt wird, verteilen spezialisierte Sicherheitsdienste innerhalb weniger Stunden Schutzregeln, die Angriffe auf genau diese Lücke bereits auf Serverebene abfangen. Der Schutz greift damit, bevor das offizielle Update eingespielt ist. In unseren Logs sichtbar: Die Schutzregeln gegen wp2shell haben an jedem einzelnen Tag der Angriffswelle aktiv geblockt.
- Updates kontrolliert statt blind. Wir haben automatische WordPress-Updates auf unseren Wartungs-Websites bewusst deaktiviert, weil sie in der Vergangenheit immer wieder Websites beschädigt haben. Stattdessen spielen wir Updates zeitnah, gesteuert und mit anschließender Prüfung ein. Im Fall von wp2shell geschah dies direkt am Montagvormittag, während der virtuelle Patch das Wochenende abgesichert hat. Die Lehre für alle, die ihre Website selbst betreuen: „Automatische Updates sind an“ ist keine Sicherheitsstrategie. Sie können unbemerkt fehlschlagen, und müssen überwacht werden.
- Härtung im Detail: Ein Beispiel hierfür ist der Upload-Ordner einer WordPress-Installation: Auf unseren Servern kann dort kein Programmcode ausgeführt werden. Selbst wenn es ein:e Angreifer:in schafft, eine Schadcode-Datei hochzuladen, bleibt sie wirkungslos. Weiter gehören dazu auch regelmäßige Malware-Scans, denn ein Update schließt zwar die Lücke, entfernt aber keinen bereits eingeschleusten Schadcode.
- Getrennte Backups: Sie sind die letzte Mauer. Backups müssen verschlüsselt und räumlich getrennt vom Server gelagert werden, damit ein:e erfolgreiche:r Angreifer:in nicht auch noch die Sicherungskopien vernichten oder kompromittieren kann.
Wem vertraut ihr den Generalschlüssel an?
Eine Frage wird dabei oft übersehen: Sicherheitswerkzeuge, die eine ganze Server-Flotte schützen, haben zwangsläufig weitreichenden Zugriff auf alle Websites darauf. Wem man diesen Zugriff einräumt, ist eine Vertrauensentscheidung. Wir setzen deshalb bewusst auf europäische Anbieter wie Patchstack (virtuelles Patching, aus Estland) und CrowdSec (Angriffserkennung, aus Frankreich) statt auf US-Werkzeuge mit Vollzugriff. Für NGOs und zivilgesellschaftliche Organisationen ist das doppelt relevant: aus Datenschutzgründen und für digitale Unabhängigkeit.
Was bleibt
Bei wp2shell ist vieles gut gelaufen. Der Sicherheitsforscher hat die Lücke verantwortungsvoll gemeldet, der Patch war vor der ersten Ausnutzung verfügbar, und mehrschichtige Verteidigung hat gehalten. Aber dieselben KI-Fähigkeiten stehen der Angriffsseite zur Verfügung, und die hält sich an keine Offenlegungsregeln.
Die Konsequenz ist keine Panik, sondern eine nüchterne Neubewertung: Website-Sicherheit wird zur Frage der Verteidigungstiefe. Die bewährten Schichten bleiben die richtige Antwort, sie müssen nur endlich von allen konsequent umgesetzt werden, ergänzt um Schutzmechanismen und künftig auch KI-Unterstützung, die schneller reagieren als jeder Bereitschaftsdienst. Der menschliche Beitrag verschiebt sich dorthin, wo er am wertvollsten ist: Strategie, Architektur und die Entscheidungen, die man Maschinen nicht überlassen sollte.
Ihr seid unsicher, wie eure Website aufgestellt ist?
Ob gehackt, veraltet oder einfach nie überprüft: Meldet euch gerne bei uns für einen Sicherheits-Check eurer WordPress-Website. Wir schauen gemeinsam drauf.
Häufig gestellte Fragen
Meine Website läuft auf einer aktuellen WordPress-Version. Bin ich damit sicher?
Vor dieser konkreten Lücke: ja. Grundsätzlich ist ein aktuelles WordPress aber nur eine von mehreren Schutzschichten. Der Fall wp2shell zeigt, dass zwischen Bekanntwerden einer Lücke und massenhaften Angriffen nur Stunden liegen können. Wer nur auf Updates setzt, ist genau in diesem Fenster ungeschützt.
Woher weiß ich, ob meine Website bereits übernommen wurde?
Typische Spuren sind unbekannte Administrator-Konten, Plugins oder Dateien, die niemand installiert hat, sowie plötzliche Weiterleitungen oder fremde Inhalte. Viele Kompromittierungen bleiben aber bewusst unauffällig. Im Zweifel hilft eine professionelle Prüfung mit Malware-Scan und Abgleich der Dateien gegen den Originalzustand. Sprecht uns gerne an.
Was ist virtuelles Patching?
Eine Schutzregel auf Serverebene, die Angriffe auf eine konkrete Sicherheitslücke erkennt und abfängt, noch bevor das offizielle Update installiert ist. Man kann es sich wie einen Türsteher vorstellen, der das Gesicht des Einbrechers schon kennt, während der Schlüsseldienst noch unterwegs ist. Virtuelles Patching ersetzt das Update nicht, überbrückt aber die gefährliche Zeit bis dahin.
Sollte ich automatische Updates aktivieren?
Wenn ihr eure Website selbst betreut und keine professionelle Wartung habt: ja, für den WordPress-Kern und Sicherheits-Updates von Plugins. Aber verlasst euch nicht blind darauf. Automatische Updates können unbemerkt fehlschlagen oder deaktiviert sein. Prüft nach jeder Sicherheitsmeldung aktiv, welche Version tatsächlich läuft. In unserer Wartung gehen wir bewusst einen anderen Weg: kontrollierte Updates mit funktionaler und visueller Prüfung, abgesichert durch intelligente Firewalls und virtuelles Patching für die Zeit dazwischen.
Reicht nach einem Angriff ein Update, um die Website zu bereinigen?
Nein. Ein Update schließt die Lücke, durch die der Angreifer gekommen ist. Was er bereits hinterlassen hat, etwa versteckte Zugänge, eingeschleuste Dateien oder zusätzliche Admin-Konten, bleibt bestehen und muss gezielt gefunden und entfernt werden.
Warum ist euer Hosting besonders sicher?
Wir hosten und betreuen seit knapp zwei Jahrzehnten Websites, darunter viele besonders sensible und gefährdete NGO-Projekte, die täglich angegriffen werden. Genau davon profitiert das Gesamtsystem: Unsere Sicherheitsarchitektur lernt aus jedem Angriffsversuch auf jede einzelne Website und schützt damit laufend alle Server und Seiten der Flotte. Dazu kommen die in diesem Artikel beschriebenen Schichten, von der Firewall über virtuelles Patching bis zu getrennten Backups, als durchgängiger Standard.
Kann man jede Website bei euch hosten?
Wir hosten WordPress-Websites grundsätzlich nur noch in Kombination mit unserer Wartung. Der Grund ist ein Sicherheitsprinzip: Eine einzelne ungepflegte Website kann zum Einfallstor werden und gefährdet damit potenziell auch andere. Damit alle Kund:innen vom vollen Schutz profitieren, gehören Hosting und Wartung bei uns zusammen.
Was bedeutet das alles für kleine Vereine mit wenig Budget?
Die gute Nachricht: Die wichtigsten Maßnahmen kosten wenig, verglichen mit den Kosten nach einer umfangreichen Kompromittierung der Website. Es geht um aktuelle Versionen, radikal ausgemistete Plugins, starke Passwörter mit Zwei-Faktor-Anmeldung und regelmäßige, getrennt gespeicherte Backups. Diese Maßnahmen würden schon viel abdecken. Was sich mit kleinem Budget nicht abbilden lässt, sind laufend optimierte Firewalls, virtuelles Patching und die Reaktionsgeschwindigkeit rund um die Uhr. Genau dafür gibt es professionelle Wartung.
