WordPress im KI-Zeitalter: Warum Sicherheitslücken heute schneller ausgenutzt werden

Die Zahlen: mehr Lücken als je zuvor

Das Sicherheitsunternehmen Patchstack wertet jedes Jahr die gemeldeten Sicherheitslücken im WordPress-Umfeld aus. Für 2025 waren es 11.334 neue Lücken, 42 Prozent mehr als im Jahr davor. Rund 36 Prozent davon stuft Patchstack als echte Bedrohung ein.

• 11.334neue Sicherheitslücken im WordPress-Umfeld 2025
• +42%im Vergleich zu 2024
• 91%davon in Plugins
• 6im Kern von WordPress

Das Risiko liegt also selten bei WordPress selbst, sondern bei den Erweiterungen. Jedes Plugin ist Code eines anderen Anbieters, der gepflegt werden muss. Ein Plugin, dessen Entwickler aufgehört hat, bekommt keine Updates mehr, auch wenn eine Lücke bekannt wird.

Was KI daran ändert

Das Bundesamt für Sicherheit in der Informationstechnik (BSI) sieht bei den KI-Modellen führender Entwickler großes Potenzial im Auffinden von Schwachstellen. Laut einem Sprecher des BSI könnten die Modelle entdeckte Lücken inzwischen auch selbst ausnutzen. Noch bremsen hohe Rechenkosten Kriminelle beim Einsatz der stärksten Modelle. Das BSI erwartet aber, dass diese Hürde fällt.

Für dich als Betreiber heißt das: Wenn Lücken schneller gefunden und ausgenutzt werden, bleibt weniger Zeit, sie zu schließen. Wer Updates erst Wochen später einspielt, geht ein Risiko ein, das jedes Jahr größer wird.

Warum gerade Firmenwebseiten betroffen sind

Die meisten Angriffe sind nicht persönlich. Programme durchsuchen das Netz automatisch nach Seiten mit bekannten Lücken, und sie fragen nicht, wie groß dein Unternehmen ist. Ist eine Seite verwundbar, wird sie genutzt: für Spam-Seiten unter deiner Domain, für Weiterleitungen auf betrügerische Seiten, für den Versand von Spam oder um Formulardaten abzugreifen.

Was eine WordPress-Seite heute sicher macht

1. 01

   Updates zeitnah einspielen

   WordPress, Plugins und Theme, mit einer Sicherung vorher und einem kurzen Test danach, damit nichts kaputtgeht.

2. 02

   Weniger Plugins

   Jede Erweiterung, die nicht gebraucht wird, fliegt raus. Für den Rest gilt: aktiv gepflegt, von einem bekannten Anbieter.

3. 03

   Sicherungen außer Haus

   Bei uns wöchentlich komplett und täglich die Datenbank, auf externem Speicher. So bleiben sie auch bei einem Angriff auf den Server erhalten.

4. 04

   Firewall und Zwei-Faktor-Anmeldung

   Die Firewall blockt bekannte Angriffsmuster. Die Zwei-Faktor-Anmeldung schützt den Zugang, selbst wenn ein Passwort bekannt wird.

5. 05

   Spam-Schutz ohne Tracking

   Für Formulare DSGVO-konforme Lösungen wie ALTCHA oder Friendly Captcha, ohne Bilderrätsel.

6. 06

   Eine klare Zuständigkeit

   Updates passieren nicht von selbst. Kläre, wer sich kümmert, und halte es schriftlich fest.

Oder gleich ohne WordPress?

Für manche Seiten ist eigener Code die bessere Wahl. Ohne Datenbank und Plugins gibt es deutlich weniger Angriffsfläche, und die Seite lädt sehr schnell. Dafür erfordern Änderungen Kenntnisse in Webentwicklung. Will dein Team Inhalte wie News oder Stellenanzeigen regelmäßig selbst pflegen, bleibt WordPress mit guter Wartung oft die praktischere Lösung. Wir bauen beides und empfehlen, was zu deinem Alltag passt.