Wenn die KI Ihre Website angreift

Stellen Sie sich vor: Am Dienstagmittag veröffentlicht WordPress ein Sicherheitsupdate. Sie lesen davon am Abend und nehmen sich vor, es morgen früh einzuspielen. Doch noch am selben Tag laufen die ersten Angriffe auf genau diese Lücke. Am nächsten Tag kursieren fertige Werkzeuge, mit denen jeder Websites automatisiert danach absuchen kann. Kein Horrorszenario, sondern die Realität im September 2026.^[5]

Viele Unternehmen behandeln ihre Website noch immer wie eine Broschüre: einmal erstellt, dann jahrelang unverändert. Diese Haltung war schon immer riskant. Heute ist sie gefährlich. Denn auf der Angreiferseite arbeiten zunehmend keine Menschen mehr, sondern KI-Systeme, die rund um die Uhr, schnell und billig nach Schwachstellen suchen.

Ein Rekordjahr für Sicherheitslücken

WordPress betreibt einen großen Teil aller Websites weltweit, auch unzählige Unternehmensseiten in Österreich. Genau das macht es zum attraktivsten Ziel. Der jährliche Sicherheitsbericht des Sicherheitsunternehmens Patchstack zeichnet ein deutliches Bild:

• 11.334 neue Schwachstellen wurden 2025 im WordPress-Umfeld entdeckt, um 42 % mehr als im Jahr davor.^[2]
• +113 % betrug der Anstieg bei besonders leicht ausnutzbaren Lücken. Rund 17 % aller Schwachstellen galten als schwerwiegend und damit als typisches Ziel automatisierter Massenangriffe.^[2]
• 91 % der neuen Lücken steckten in Plugins, 9 % in Themes, also genau in jenen Erweiterungen, die fast jede Website nutzt.^[1]
• 46 % der Schwachstellen wurden öffentlich, bevor der Hersteller ein Update bereitgestellt hatte.^[2]
• 5 Stunden betrug der mittlere Zeitraum zwischen Veröffentlichung einer stark angegriffenen Lücke und dem ersten Angriff. 45 % dieser Lücken wurden innerhalb von 24 Stunden ausgenutzt, 70 % innerhalb einer Woche.^[2]

Patchstack zieht daraus eine klare Schlussfolgerung: Regelmäßige Plugin-Updates sind nur noch die zweite Verteidigungslinie. Wenn Angreifer neue Lücken innerhalb weniger Stunden nutzen, reicht es nicht, „irgendwann diese Woche“ zu aktualisieren.^[2]

Der Sicherheitsherbst 2026: eine Chronik

Besonders bemerkenswert: 2026 waren nicht nur Plugins betroffen, sondern mehrfach der WordPress-Kern selbst. Also jene Basis, die auf jeder WordPress-Website läuft.

Bei der jüngsten Lücke haben die Angreifer die Schwachstelle nicht selbst entdeckt. Sie haben das veröffentlichte Update analysiert und daraus rückwärts den Angriff gebaut.^[5] Das Sicherheitsupdate selbst wird so zur Bauanleitung, für alle Websites, die es noch nicht eingespielt haben.

Der neue Gegner: KI-Agenten

Was hat das alles mit künstlicher Intelligenz zu tun? Sehr viel. Patchstack hält in seinem Jahresbericht fest, dass Angreifer zunehmend mit KI ausgestattet sind, die Schwachstellen selbstständig aufspüren und ausnutzen kann.^[1]

Wie konkret das bereits ist, zeigt der Fall „wp2shell“: Die Lücke wurde von Sicherheitsforschern mit Unterstützung eines KI-Modells in rund zehn Stunden gefunden. Ein weiterer Experte berichtete, dass KI-gestützte Analyse das Nachbauen eines funktionierenden Angriffs trivial gemacht habe, sobald genug Details öffentlich waren.^[3] Was früher Tage an Expertenarbeit erforderte, erledigt heute eine Maschine nebenbei.

Wichtig zur Einordnung: Die Kampagne richtete sich allgemein gegen Onlinehändler, nicht gezielt gegen WordPress. Sie zeigt aber, wie Angriffe heute ablaufen. Und wo Tausende ungewartete WordPress-Seiten mit bekannten Lücken im Netz stehen, finden solche Systeme mühelos Ziele.

Warum ein Update allein nicht mehr genügt

Wer nach einem Vorfall „nur“ das Update einspielt, ist nicht automatisch sicher. Nach den wp2shell-Angriffen wurden über 100 versteckte Administratorkonten entdeckt, über die Angreifer später zurückkehren konnten. Fachleute empfehlen daher, betroffene Websites auch nach dem Update gezielt auf neue Admin-Konten, fremde Plugins und verdächtige Dateien zu prüfen.^[3]

Gleichzeitig zeigte sich, was gut gewartete Websites schützt: Seiten mit aktivierten automatischen Sicherheitsupdates oder mit einer vorgeschalteten Web Application Firewall waren deutlich kürzer angreifbar. Seiten, bei denen automatische Updates deaktiviert waren oder fehlschlugen, blieben verwundbar.^[3]

NISG 2026: Sicherheit wird zur Pflicht

Zusätzlich zieht in Österreich der Gesetzgeber an. Ab 1. Oktober 2026 gilt das neue Netz- und Informationssystemsicherheitsgesetz (NISG 2026). Rund 4.000 Unternehmen ab mittlerer Größe in 18 Sektoren müssen dann verpflichtende Sicherheitsmaßnahmen umsetzen und Sicherheitsvorfälle melden. Auch Dienstleister und Lieferanten dieser Unternehmen werden vertraglich in die Pflicht genommen.^[11]

Erhebliche Vorfälle sind binnen 24 Stunden als Frühwarnung und binnen 72 Stunden ausführlich zu melden. Zum Mindestkatalog der Maßnahmen gehören unter anderem Backups, Zugriffskontrolle und Multi-Faktor-Authentifizierung.^[12]

7 Maßnahmen für eine sichere WordPress-Website

Die gute Nachricht: Die wirksamsten Schutzmaßnahmen sind bekannt und gut umsetzbar. Entscheidend ist, dass sie regelmäßig und nicht erst im Ernstfall passieren.

1. 1. Automatische Sicherheitsupdates aktivieren Sicherheitsupdates für den WordPress-Kern sollten automatisch eingespielt werden, und es sollte kontrolliert werden, ob das auch tatsächlich funktioniert. Genau diese Websites waren 2026 am schnellsten geschützt.^[3]
2. 2. Schutz schon vor dem Update Eine Web Application Firewall oder „virtuelles Patching“ blockiert Angriffe auf bekannte Lücken, noch bevor das eigentliche Update eingespielt ist. Bei fast der Hälfte aller Lücken gibt es zum Zeitpunkt der Veröffentlichung noch gar kein Update.^[2]
3. 3. Plugin-Inventur Jedes Plugin ist eine mögliche Angriffsfläche. Entfernen Sie alles, was nicht wirklich gebraucht wird, und setzen Sie nur Erweiterungen ein, die aktiv gepflegt werden.^[1]
4. 4. Zugänge absichern Zwei-Faktor-Authentifizierung für alle Administratoren, so wenige Admin-Konten wie möglich und eine regelmäßige Prüfung, ob neue, unbekannte Konten aufgetaucht sind.^[3][12]
5. 5. Getrennte, getestete Backups Ein Backup ist nur so gut wie seine Wiederherstellung. Sicherungen sollten außerhalb des Webservers liegen und regelmäßig testweise zurückgespielt werden.^[12]
6. 6. Überwachung statt Hoffnung Automatische Kontrollen melden geänderte Dateien, neue Benutzer oder fremde Skripte, bei Onlineshops besonders auf den Bezahlseiten.^[9]
7. 7. Klare Zuständigkeit mit Reaktionszeit Legen Sie fest, wer im Ernstfall handelt und wie schnell. Bei einem Angriffsfenster von wenigen Stunden ist ein professioneller Wartungsvertrag mit definierten Reaktionszeiten keine Kür, sondern Grundausstattung.