Wer die Sicherheitsmeldungen der vergangenen Wochen nebeneinanderlegt, sieht kein Durcheinander von Einzelfällen, sondern ein Muster. Es lohnt sich, dieses Muster zu benennen — denn daraus ergibt sich, worauf ein KMU seine begrenzte Aufmerksamkeit richten sollte.
Vorweg zur Einordnung: Das Bundesamt für Cybersicherheit (BACS) verzeichnete im zweiten Halbjahr 2025 145 Meldungen zu Angriffen auf kritische Infrastrukturen; seit Einführung der Meldepflicht am 1. April 2025 sind es 325. Darunter 57 Ransomware-Fälle. Die Verteilung der gemeldeten Angriffsarten: Hacking 20 Prozent, DDoS 16 Prozent, Diebstahl von Zugangsdaten 12 Prozent, Malware und Datenabfluss je 10 Prozent, Ransomware 9 Prozent. Das sind Meldungen meldepflichtiger Betreiber — die Dunkelziffer bei kleineren Firmen ist naturgemäss höher, weil dort niemand meldepflichtig ist.
**Erstens: Die Zeitfenster sind auf Stunden geschrumpft.**
Das lässt sich inzwischen auf die Minute belegen. Die WordPress-Sicherheitsupdates gegen die Schwachstellenkette «wp2shell» erschienen am 17. Juli. Noch am selben Abend um 23:29 Uhr tasteten Angreifer die ersten Installationen ab, dreizehn Minuten später folgte der erste ernsthafte Angriffsversuch. Wer am Montag darauf zum Aktualisieren kam, war zu spät.
Der Grund ist unspektakulär: Ein Sicherheitsupdate beschreibt die Lücke, die es schliesst. Wer den Patch liest, weiss, wo er ansetzen muss. Früher dauerte es Wochen, bis daraus ein funktionierender Angriff wurde. Heute übernimmt das eine Werkzeugkette, die niemand mehr von Hand bedient. Wir haben das im Beitrag zur Angriffswelle auf WordPress ausführlich beschrieben.
**Zweitens: Angegriffen wird nicht mehr die Website, sondern ihr Zulieferer.**
Am 4. August übernahmen Angreifer das Entwicklerkonto hinter mehreren sehr weit verbreiteten Software-Bausteinen. Binnen einer Stunde hatte sich der Schadcode selbstständig auf über 440 weitere Pakete ausgebreitet — zusammen über zwei Milliarden Installationen pro Monat.
Das Bemerkenswerte war die Machart: Der eigentliche Programmcode blieb unverändert. Der Schadcode steckte in einem Installationsschritt, der automatisch abläuft. Wer die Bibliothek nach dem Update geprüft hätte, wäre nicht fündig geworden. Dieselbe Logik trifft die PHP-Welt über manipulierte Plugin-Updates — der Weg, über den die meisten erfolgreichen Angriffe auf WordPress laufen. Details im Beitrag zum Lieferketten-Angriff.
**Drittens: Der Einbruch bleibt unsichtbar.**
Ein moderner Angriff macht sich nicht bemerkbar. Die Website läuft weiter, sieht unverändert aus und verschickt im Hintergrund Spam, hostet Phishing-Seiten oder wartet schlicht ab. Ohne Überwachung merken Betreiber es typischerweise erst, wenn Google die Seite als schädlich markiert oder der Hoster den Versand sperrt — also dann, wenn der Schaden bereits eingetreten ist.
Daraus folgt die unbequemste Erkenntnis dieser Woche: **Ein Update schliesst die Lücke, entfernt aber nichts, was vorher hindurchgekommen ist.** Webshells, als Plugin getarnte Dateien und heimlich angelegte Administratorkonten überstehen jedes weitere Update unbeschadet.
**Viertens: Automatische Updates sind eine Hilfe, aber keine Garantie.**
WordPress 7.0.3 vom 6. August schloss zwölf Schwachstellen auf einmal, darunter eine auf der Anmeldeseite, die sich ohne Login ausnutzen lässt. Die Korrekturen wurden bis Version 4.7 aus dem Jahr 2016 zurückportiert — das sagt einiges über den Ernst.
Die meisten Installationen haben dieses Update von selbst eingespielt. Nur greift die Automatik ausschliesslich dann, wenn die Installation sie ausführen kann. Sie scheitert still: bei fehlenden Schreibrechten, bei abgeschalteter Automatik, bei zu wenig Besuch. Und sie deckt nur den Kern ab — Plugins und Themes aktualisieren sich in der Standardeinstellung nicht mit. Nachzulesen im Beitrag zu WordPress 7.0.3.
**Fünftens: Die Angreifer arbeiten selbst mit KI.**
Das BACS hält in seinem aktuellen Lagebericht fest, dass Angriffe auf Schweizer Unternehmen gezielter und massgeschneiderter werden: Angreifer recherchieren im Vorfeld und setzen zunehmend selbst KI ein. Für die Praxis heisst das vor allem eines — die alten Erkennungsmerkmale für Betrugsmails greifen nicht mehr. Holprige Grammatik und falsche Anreden verschwinden. Eine Nachricht, die den Namen Ihres Buchhalters, Ihre letzte Rechnungsnummer und den passenden Tonfall trifft, ist heute maschinell erzeugbar.
## Was ein KMU daraus machen sollte
Die Liste der theoretisch möglichen Massnahmen ist endlos. Diese vier bringen im Verhältnis zum Aufwand am meisten:
**Updates verbindlich regeln, statt zu hoffen.** Nicht «wir schauen dann mal», sondern: Jemand ist zuständig, es gibt einen Rhythmus, und Sicherheitsupdates laufen ausserhalb davon sofort. Wer das nicht selbst leisten will, gibt es ab — genau dafür gibt es Wartungsverträge.
**Hinsehen, nicht nur absichern.** Der Unterschied zwischen einem ärgerlichen und einem teuren Vorfall ist meistens die Zeit bis zur Entdeckung. Dateiüberwachung und Uptime-Kontrolle kosten wenig und verkürzen genau diese Spanne.
**Backups prüfen, nicht nur anlegen.** Ein Backup, das noch nie zurückgespielt wurde, ist eine Vermutung. Und eines, das den kompromittierten Zustand mitgesichert hat, hilft nicht weiter.
**Zugänge trennen und mit zweitem Faktor absichern.** Der häufigste Weg in eine Website führt nicht über eine exotische Lücke, sondern über gültige Zugangsdaten aus einem anderen Leck.
Nichts davon ist neu, und nichts davon ist spektakulär. Der Unterschied zwischen einer Website, die einen Angriff übersteht, und einer, die wochenlang unbemerkt Spam verschickt, liegt selten in der Technik — sondern darin, ob sich jemand zuständig fühlt.
Falls Sie nicht sicher sind, wie Ihre Website dasteht: Wir sehen sie uns an und sagen Ihnen ehrlich, wo Sie stehen. Besteht bereits ein Verdacht, hilft die Hack- & Malware-Bereinigung weiter.