Im Frühjahr 2025 kaufte jemand ein ganzes Paket WordPress-Plugins, über einen Marktplatz für Websites. Im August baute er in alle eine Hintertür ein. Acht Monate lang passierte nichts, im April 2026 schaltete er sie scharf. Einen Tag später schloss WordPress.org alle 31 Plugins. Die häufigste Reaktion darauf: “Betrifft mich nicht, hatte keins davon installiert.” Und genau das ist das Problem.
Die eigentliche Frage
Denn die Frage ist nicht: War eines dieser 31 Plugins auf meiner Seite? Die Frage ist: Wie viele Plugins auf meiner Seite könnten morgen das 32. sein?
WordPress-Setups wachsen oft nicht nach Plan, sondern nach Bedarf. Ein Slider hier. Ein Formular da. Ein Plugin für eine Funktion, die der Block-Editor längst kann. Ein zweites, weil das erste nicht ganz passt. Ein drittes, weil es beim ersten nicht mehr weiterentwickelt wird.
Wie Setups wachsen
Nach zwei, drei Jahren hat eine durchschnittliche WordPress-Seite 20 bis 40 aktive Plugins. Jedes davon hat Zugriff auf die Datenbank. Jedes davon kann Code ausführen. Und jedes davon kann morgen den Besitzer wechseln, ohne dass es jemand mitbekommt.
Das ist kein Plugin-Problem. Das ist ein Architektur-Problem.
Das ist kein Argument gegen WordPress. Es ist ein Argument dafür, WordPress richtig aufzubauen.
Was weniger Abhängigkeiten bringt
Wer ein Setup so aufbaut, dass es möglichst wenige Abhängigkeiten hat, reduziert nicht nur die Angriffsfläche. Er baut ein System, das stabiler ist, einfacher wartbar und weniger anfällig für genau die Art von Angriff, die wir hier gesehen haben.
Was du konkret tun kannst
Konkret heißt das: Bevor ein Plugin installiert wird, die Frage stellen: löst das ein echtes Problem oder kompensiert es eine Entscheidung, die beim Aufbau nicht getroffen wurde? Brauche ich wirklich ein Plugin für eine Lightbox, einen Slider, ein Akkordeon oder liefert das Theme oder der Block-Editor das längst?
Weniger Plugins bedeutet weniger Code, der bei jedem Seitenaufruf geladen wird. Weniger Dritte, denen man blind vertraut. Und weniger Stellen, an denen etwas brechen kann, das man nicht kontrolliert.
Diese 31 Plugins sind geschlossen. Das nächste Plugin, das den Besitzer wechselt, ist es noch nicht.
Vollständige technische Analyse des Angriffs (Austin Ginder, Anchor Hosting): Technische Analyse von Austin Ginder (Anchor Hosting)
Typische Fragen
Wie erkenne ich, ob ein Plugin den Besitzer gewechselt hat?
Hinweise sind ein neuer Autor im Plugin-Verzeichnis, geänderter Support oder plötzlich neue Funktionen und Werbung. Sicher ist nur, die installierten Plugins regelmäßig zu prüfen.
Was tue ich, wenn ein Plugin kompromittiert ist?
Sofort deaktivieren und entfernen, alle Passwörter ändern, die Seite auf Schadcode prüfen und im Zweifel eine Sicherung von vor dem Befall einspielen.
Sind Plugins aus dem offiziellen Verzeichnis sicher?
Sicherer als aus dubiosen Quellen, aber nicht automatisch sicher. Auch dort können Plugins verkauft und verändert werden.