Es gibt einen Rat, den wir hier regelmässig geben, und er ist richtig: Halten Sie Ihre Website aktuell. Der Sicherheitsdienstleister Patchstack, der das Meldeprogramm für Schwachstellen im WordPress-Umfeld betreibt, hat jetzt Zahlen für das Jahr 2025 vorgelegt. Zwei davon zeigen, wo dieser Rat an seine Grenze stösst.
Zwei Zahlen, die den Standardrat relativieren
Bei 46 Prozent der veröffentlichten Schwachstellen gab es zum Zeitpunkt der Bekanntgabe keinen Patch. Fast die Hälfte. Man erfährt von der Lücke, und es gibt schlicht nichts zu installieren.
Die mittlere Zeit bis zum ersten Angriff beträgt fünf Stunden. Bei rund der Hälfte der kritischen Lücken beginnen die Angriffe innerhalb eines Tages nach der Veröffentlichung.
Fünf Stunden. In dieser Zeit hat kein kleiner Betrieb die Meldung gelesen, geschweige denn gehandelt. Wer freitagabends von einer Lücke erfährt und am Montag aktualisiert, ist nicht nachlässig — er ist normal. Und trotzdem zu spät.
Wo die Lücken sitzen
Der Rest der Zahlen erklärt, woran das liegt:
11'334 neue Schwachstellen wurden 2025 im WordPress-Umfeld gefunden, 42 Prozent mehr als im Jahr davor.
1'966 davon mit hohem Schweregrad — das sind 113 Prozent mehr als im Vorjahr, also mehr als eine Verdoppelung.
91 Prozent stecken in Plugins, weitere 9 Prozent in Themes.
6 Schwachstellen entfielen auf WordPress selbst. Sechs, und alle mit niedriger Priorität.
Diese letzte Zahl ist die wichtigste im ganzen Bericht. Nicht WordPress ist das Problem, sondern das, was man dazu installiert. Der Kern wird von einem grossen Team gepflegt und ist bemerkenswert solide. Die Erweiterungen kommen von tausenden Einzelentwicklern, mit sehr unterschiedlicher Sorgfalt und Ausdauer.
Für Joomla gilt dasselbe Muster, auch wenn die absoluten Zahlen kleiner sind. Die beiden Lücken, über die wir vorgestern geschrieben haben, steckten ebenfalls in Erweiterungen, nicht im System.
Was daraus folgt — und was nicht
Die falsche Schlussfolgerung wäre: Es ist ohnehin aussichtslos, also lassen wir es. Das stimmt nicht. Aktualisieren bleibt richtig und deckt die Mehrheit der Fälle ab.
Die richtige Schlussfolgerung ist eine andere. Wenn man auf die Hälfte der Lücken nicht mit einem Update reagieren kann und für die andere Hälfte zu langsam ist, dann muss die Arbeit vorher passieren. Nicht als Reaktion auf eine Meldung, sondern als Zustand.
Und dafür gibt es genau einen Hebel, der unabhängig von Patches und Reaktionszeiten wirkt: Was nicht installiert ist, kann keine Lücke haben.
Bei 91 Prozent Plugin-Anteil ist das keine Nebensache. Jede Erweiterung, die Sie loswerden, entfernt einen möglichen Einstieg dauerhaft — ohne dass Sie je wieder eine Meldung dazu lesen müssen.
Vier Dinge, die wirklich etwas bringen
Zählen Sie, was installiert ist. Die meisten Websites, die wir übernehmen, haben deutlich mehr Erweiterungen, als jemand benennen kann. Darunter regelmässig welche, die seit Jahren niemand mehr benutzt: ein Formular-Plugin von einem alten Anbieter, eine Galerie für eine Seite, die es nicht mehr gibt, ein Werkzeug, das jemand einmal ausprobiert hat.
Deaktivieren genügt nicht — löschen Sie. Das ist der Punkt, der am häufigsten missverstanden wird. Ein deaktiviertes Plugin ist nicht weg. Seine Dateien liegen weiter auf dem Server und lassen sich direkt aufrufen, wenn sie nicht selbst prüfen, ob sie im richtigen Zusammenhang laufen. Viele Angriffe nehmen genau diesen Weg. Ein deaktiviertes Plugin bringt keinen Nutzen und trägt trotzdem das volle Risiko.
Schauen Sie vor der Installation aufs Datum. Im Verzeichnis steht bei jeder Erweiterung, wann sie zuletzt aktualisiert wurde und mit welcher Version sie getestet ist. Liegt das über ein Jahr zurück, ist die Wahrscheinlichkeit hoch, dass auch die nächste Lücke ungepatcht bleibt — dann gehört diese Erweiterung zu den 46 Prozent.
Trennen Sie sich von Aufgegebenem. Wenn ein Plugin nicht mehr gepflegt wird, hilft kein Warten. Dann ist der Wechsel auf eine Alternative die einzige Lösung, und der ist an einem ruhigen Tag deutlich angenehmer als unter Zeitdruck nach einer Meldung.
Was das für unsere Kundschaft heisst
Wir beobachten die Meldungen für die Systeme, die bei uns laufen, und melden uns, wenn etwas Ihre Website betrifft. Das haben Sie in den letzten Wochen mehrfach hier gelesen.
Aber wir wollen ehrlich sein, was das leistet und was nicht: Wir können schneller informieren als Sie es selbst mitbekommen — schneller als fünf Stunden sind wir auch nicht. Und wenn es keinen Patch gibt, haben wir denselben keinen Patch wie alle anderen.
Was in diesem Fall bleibt, ist die unangenehme Entscheidung: die betroffene Erweiterung vorübergehend entfernen und auf ihre Funktion verzichten, bis ein Update kommt. Das ist unbequem und meist die richtige Wahl.
Deshalb der Punkt, auf den dieser ganze Beitrag hinausläuft: Je weniger Sie installiert haben, desto seltener müssen Sie diese Entscheidung überhaupt treffen.
Es gibt übrigens noch einen zweiten Fall, in dem Aktualisieren nicht hilft — wenn der Schadcode über den Hersteller selbst kommt. Den haben wir an anderer Stelle beschrieben.
Wenn Sie nicht sicher sind, was auf Ihrer Website alles installiert ist: Wir schauen nach und sagen Ihnen, was davon weg kann.