Veraltete WordPress-Plugins: Sicherheit und Audit für Agenturen

Nicht aktualisierte WordPress-Plugins sind der wichtigste Angriffsvektor auf WordPress-Websites. Laut dem Patchstack-Bericht 2026 stammen 91 % der Sicherheitslücken im WordPress-Ökosystem aus Plugins. Für eine Agentur, die mehrere Dutzend Websites verwaltet, verwandelt fehlende zentrale Übersicht über installierte Versionen diese Schwachstelle in ein dauerhaftes Risiko.

Eine Agentur, die 30, 50 oder 100 WordPress-Websites verwaltet, lebt mit einem stillen, aber dauerhaften Risiko: nicht mehr genau zu wissen, welche Plugins in welcher Version auf welcher Website laufen. Das Ergebnis ist vorhersehbar. Bekannte Sicherheitslücken bleiben wochenlang, manchmal monatelang offen. Angreifer warten nicht.

Der Jahresbericht von Patchstack, Anfang 2026 veröffentlicht, verzeichnet 11.334 neue Schwachstellen im WordPress-Ökosystem für das Jahr 2025. Das entspricht einem Anstieg von 42 % innerhalb eines Jahres. Lücken mit hohem Ausnutzungspotenzial sind noch schneller gewachsen. In diesem Umfeld ist ein Multi-Site-Portfolio ohne strukturierten Update-Prozess ein bevorzugtes Angriffsziel.

Veraltete WordPress-Plugins: Warum sie Sicherheitslücken konzentrieren

Plugins sind das funktionale Herzstück von WordPress. Sie fügen Funktionen hinzu, verbinden Drittanbieter-Dienste und verarbeiten sensible Daten. Doch diese Flexibilität hat ihren Preis: Jedes Plugin stellt einen potenziellen Einstiegspunkt für Angreifer dar.

Das Fazit des Patchstack-Berichts 2026 ist eindeutig: 91 % der Schwachstellen im WordPress-Ökosystem betreffen Plugins. Mehrere strukturelle Faktoren erklären diese Konzentration.

Ein von Natur aus offenes Ökosystem. Jeder kann eine Erweiterung im offiziellen WordPress-Verzeichnis veröffentlichen. Die Codequalität variiert je nach Entwickler erheblich. Bewährte Sicherheitspraktiken werden nicht einheitlich eingehalten.

Ein sehr kurzes Ausnutzungsfenster. Patchstack berichtet, dass automatisierte Angriffskampagnen wenige Stunden nach der öffentlichen Bekanntgabe einer Schwachstelle starten können. Die Zeit bis zum Update bei Website-Betreibern stellt daher eine reale und konkrete Gefährdung dar.

Aufgegebene Plugins, die installiert bleiben. Ein Plugin, dessen Entwickler die Wartung eingestellt hat, bleibt auf tausenden von Websites aktiv, ohne jemals einen Patch zu erhalten. Diese verwaisten Erweiterungen gehören zu den gefährlichsten im Ökosystem. Kein Update wird ihre Lücken jemals schließen.

Wie Agenturen den Überblick über installierte Versionen verlieren

10 Websites zu verwalten, indem man sich einzeln in jedes WordPress-Backend einloggt, ist aufwendig. Bei 30 Websites ist es ineffizient. Bei 60 Websites oder mehr ist es ohne dediziertes Tool strukturell unmöglich.

Sichtbarkeitsprobleme häufen sich in jedem Multi-Site-Portfolio auf vorhersehbare Weise.

Die Verteilung der Zugänge

Jede WordPress-Website verfügt über ein eigenes Dashboard. Verfügbare Updates Website für Website zu prüfen kostet erhebliche Zeit. Ein Teil der Websites wird unweigerlich nie kontrolliert, mangels Kapazität.

Die Heterogenität der Umgebungen

Ein Agentur-Portfolio ist selten homogen. Manche Websites sind aktuell, andere haben mehrere Versionen Rückstand. Manche Plugins sind auf vielen Websites installiert, andere nur auf zwei oder drei. Ohne konsolidierte Übersicht ist es unmöglich, Abweichungen zu erkennen oder Maßnahmen zu priorisieren.

Der Effekt der vergessenen Website

In jedem Portfolio gibt es Websites mit geringer Aktivität: Schaufenster wenig aktiver Kunden, Kampagnen-Microsites, selten besuchte Intranets. Diese Websites werden oft als erste vernachlässigt und häufen daher als erste Update-Rückstände an. Sie sind auch die verwundbarsten.

Die Fluktuation im Team

Wenn eine Agentur wächst, verändern sich die Zuständigkeiten. Ein Plugin, das von einem Entwickler installiert wurde, der das Team verlassen hat, auf einer Website, an die sich niemand genau erinnert, kann dauerhaft in einer alten Version verbleiben. Das Problem ist nicht immer eine Frage der Nachlässigkeit, sondern oft eine Frage der fehlenden Werkzeuge.

Die konkreten Risiken eines schlecht synchronisierten Portfolios

Ein veraltetes Plugin ist kein abstraktes Risiko. Die Folgen einer ausgenutzten Sicherheitslücke sind direkt, sichtbar und einem Kunden gegenüber oft schwer zu erklären.

• Einschleusung von Schadcode: Ein verwundbares Plugin kann die Einbettung von Skripten in Website-Seiten ermöglichen. Besucher werden dann Weiterleitungen oder Phishing-Angriffen ausgesetzt.
• Website-Defacement: Die Übernahme einer Website kann zur vollständigen Veränderung ihres Inhalts führen. Für einen Kunden ist das ein sofortiger öffentlicher Vorfall.
• Datenexfiltration: Plugins, die Formulare, WooCommerce-Shops oder Mitgliederbereiche verwalten, speichern personenbezogene Daten. Eine Sicherheitslücke kann deren unbefugten Abfluss ermöglichen.
• Kaskadeneffekt auf das Portfolio: Wenn mehrere Websites dasselbe verwundbare Plugin in derselben Version nutzen, kann ein Angreifer dessen Ausnutzung auf das gesamte Portfolio automatisieren. Das ist das spezifische Risiko für Multi-Site-Agenturen.
• Vertragliche Haftung: Die meisten WordPress-Wartungsverträge beinhalten eine Sicherheitspflicht. Ein Vorfall, der durch ein nicht aktualisiertes Plugin verursacht wurde, kann die Haftung der Agentur gegenüber ihrem Kunden begründen.

Führende WordPress-Sicherheitsressourcen wie die Analysen von Wordfence oder Patchstack kommen zu demselben Schluss: Die Mehrheit der Kompromittierungen nutzt bekannte, bereits gepatchte Schwachstellen auf Websites aus, bei denen Updates schlicht nicht eingespielt wurden.

Synchronisierung und Visualisierung von Abweichungen: die Kontrolle zurückgewinnen

Der erste Schritt zur Absicherung eines Multi-Site-Portfolios besteht nicht darin, sofort auf "alles aktualisieren" zu drücken. Es geht zunächst darum, klar zu sehen, wo jede Website steht.

Die Visualisierung von Versionsabweichungen bedeutet, in Echtzeit eine vergleichende Übersicht aller auf sämtlichen Websites installierten Plugins zur Verfügung zu haben. Man sieht die aktiven Versionen und die verfügbaren Updates. Diese Übersicht ermöglicht es, sofort zu erkennen:

• welche Plugins eine veraltete Version haben und auf wie vielen Websites;
• welche Websites die größte Anzahl veralteter Erweiterungen konzentrieren;
• welche Plugins auf verschiedenen Websites in unterschiedlichen Versionen installiert sind, was das Debugging erschwert.

NexaWP Manager integriert eine Synchronisierungsfunktion für Plugins, Themes und Versionen. Sie zeigt Versionsabweichungen zwischen allen Ihren Websites in einem einzigen Dashboard an. Auf einen Blick erkennen Sie Websites mit Rückstand und priorisierte Plugins, ohne sich einzeln in jedes Backend einloggen zu müssen. Details finden Sie in der Dokumentation zur Versionssynchronisierung.

Sobald die Abweichungen identifiziert sind, werden Updates zentral ausgelöst, als Batch oder Website für Website. Vor einem Gruppen-Update empfiehlt es sich, manuell eine Sicherung über das Dashboard anzustoßen. Geplante automatische Cloud-Backups und Updates sind zwei unabhängige Funktionen in NexaWP Manager. Vor einem Update wird keine Sicherung automatisch ausgelöst: Das liegt im Ermessen des Administrators. Lesen Sie unsere Anleitung zur WordPress-Sicherung vor Updates, um dieses Protokoll zu strukturieren.

Wenn nach einem Update ein Problem festgestellt wird, ermöglicht NexaWP Manager einen Plugin-Rollback mit einem Klick, der manuell vom Benutzer ausgelöst wird. Lesen Sie auch unseren Artikel zu den Risiken und Best Practices automatischer WordPress-Updates für weiterführende Informationen.

Checkliste: 8 Schritte zum Auditieren der Plugins in Ihrem Portfolio

Hier ist eine umsetzbare Checkliste, um die Kontrolle zurückzugewinnen, unabhängig von der Größe Ihres Portfolios.

• Alle Plugins auf allen Websites inventarisieren: Erstellen Sie eine vollständige Liste der installierten Erweiterungen, aktiv oder deaktiviert, im gesamten Portfolio. Ohne Inventar ist ein Audit unmöglich.
• Aufgegebene Plugins identifizieren: Prüfen Sie im offiziellen Verzeichnis, ob jedes Plugin noch gewartet wird. Eine Erweiterung ohne Update seit längerer Zeit, die mit aktuellen WordPress-Versionen inkompatibel ist, ist ein starkes Warnsignal.
• Versionsabweichungen zwischen Websites erkennen: Wenn dasselbe Plugin auf mehreren Websites in verschiedenen Versionen vorhanden ist, vereinheitlichen Sie. Versionsabweichungen erschweren die Wartung und verschleiern Risiken.
• Plugins mit hohem Risiko priorisieren: Erweiterungen, die Formulare, Zahlungen, Authentifizierungen oder personenbezogene Daten verwalten, müssen vorrangig aktualisiert werden. Sie sind die attraktivsten Ziele für Angreifer.
• Deaktivierte Plugins entfernen: Ein deaktiviertes Plugin bleibt auf dem Server vorhanden. Sein Code kann weiterhin ausgenutzt werden. Wenn es nicht verwendet wird, deinstallieren Sie es vollständig.
• Vor jedem Gruppen-Update eine Sicherung anlegen: Bevor Sie Updates als Batch einspielen, lösen Sie manuell eine vollständige Sicherung aus. Im Falle eines Konflikts können Sie mit einem Klick wiederherstellen.
• Ein regelmäßiges Update-Fenster planen: Legen Sie einen festen Rhythmus für Prüfungen und Updates fest, wöchentlich oder zweiwöchentlich je nach Website-Aktivität. Regelmäßigkeit ist wirksamer als Notfall-Nachholaktionen.
• Maßnahmen in Kundenberichten dokumentieren: Jedes durchgeführte Update muss nachvollzogen werden. NexaWP Manager erstellt automatisch PDF-Berichte mit dem Status der Websites, den durchgeführten Updates und den erstellten Sicherungen. Lesen Sie unsere Anleitung zu WordPress-Wartungsberichten für Kunden, um diese Arbeit gegenüber Ihren Kunden zu valorisieren.

Häufig gestellte Fragen

Warum sind Plugins anfälliger als der WordPress-Kern?

Der WordPress-Kern profitiert von einem dedizierten Sicherheitsteam und einem strengen Überprüfungsprozess. Plugins hingegen werden von tausenden unabhängiger Mitwirkender mit sehr unterschiedlichen Kenntnisständen entwickelt. Sicherheits-Patches kommen langsamer, und aufgegebene Plugins erhalten schlicht nie einen Patch.

Kann ein deaktiviertes Plugin noch ausgenutzt werden?

Ja. Ein in WordPress deaktiviertes Plugin löscht seine Dateien nicht vom Server. Sein Code bleibt zugänglich und kann ausnutzbare Schwachstellen enthalten, wenn ein Angreifer direkt darauf zugreift. Der einzig wirksame Schutz ist die vollständige Deinstallation ungenutzter Plugins.

Wie erkenne ich, ob ein Plugin von seinem Entwickler aufgegeben wurde?

Rufen Sie die Plugin-Seite im offiziellen WordPress-Verzeichnis auf. Zu beachtende Indikatoren: das Datum des letzten Updates, die angegebene Kompatibilität mit aktuellen WordPress-Versionen und der Support-Status. Ein Plugin ohne Aktivität seit mehreren Jahren, das als nicht getestet gemeldet wird, muss als Risiko eingestuft werden.

Ist es riskant, alle Plugins gleichzeitig zu aktualisieren?

Gruppen-Updates sparen Zeit, können aber die Ursache eines Konflikts verschleiern, wenn ein Problem auftritt. Die empfohlene Vorgehensweise: Vor jedem Batch-Update eine vollständige Sicherung durchführen, dann die korrekte Funktion kritischer Websites prüfen. Im Problemfall ermöglicht der manuelle Rollback mit einem Klick, ein bestimmtes Update rückgängig zu machen.

Wie verwalte ich Updates, wenn ich mehr als 50 WordPress-Websites administriere?

Die manuelle Verwaltung Website für Website wird ab etwa zwanzig Websites unhandhabbar. Eine zentrale Verwaltungsplattform wie NexaWP Manager ermöglicht es, Versionsabweichungen im gesamten Portfolio zu visualisieren. Sie erlaubt auch, Batch-Updates auszulösen und jede Website über ein einziges Dashboard zu verfolgen. Das ist die unverzichtbare Voraussetzung, um in großem Maßstab ein akzeptables Sicherheitsniveau aufrechtzuerhalten.

Sollten Wartungsberichte Plugin-Updates erwähnen?

Ja, das ist ein zentrales Element des vom Kunden wahrgenommenen Mehrwerts. Ein Bericht, der aktualisierte Plugins, erstellte Sicherungen und erkannte Vorfälle auflistet, belegt konkret die geleistete Arbeit. Lesen Sie unsere Anleitung zum WordPress-Wartungsbericht für Kunden, um Ihre Leistungen zu strukturieren und die Kundenbindung zu stärken.

Ein abgesichertes Multi-Site-Portfolio beginnt mit vollständiger Übersicht darüber, was installiert ist und in welcher Version. Ohne dieses Inventar bleiben Updates eine zufällige Verwaltung und Sicherheitslücken häufen sich unbemerkt an. NexaWP Manager gibt Ihnen diese Übersicht über ein einziges Dashboard, für 19,90 EUR zzgl. MwSt. pro Monat, unbegrenzte Websites, ohne Vertragsbindung. Starten Sie Ihre kostenlose 7-Tage-Testphase ohne Kreditkarte und auditieren Sie noch heute Ihr erstes Portfolio.