Und dann die Erweiterungen. Millionen Installationen tragen Plugins, die seit Jahren kein Update gesehen haben. Das ist die erste Stelle, an der ich nachsehe, und fast immer die ergiebigste. Was ich dort finde, fliegt raus. Nicht deaktiviert, gelöscht. Ein deaktiviertes Plugin liegt weiter auf der Platte, und eine Lücke im Dateisystem interessiert sich nicht dafür, ob im Backend ein Häkchen gesetzt ist.
WordPress
Service für
WordPress
Ihre Website läuft. Das ist keine Aussage über ihre Sicherheit.
Was Absicherung, Reparatur, Entwicklung
Für Websites, die mit WordPress betrieben werden
Wo Server in EU-Rechenzentren
Kontakt my@intelligent-pixel.com
Ich bin auf die Betreuung und Absicherung von Websites spezialisiert, die mit WordPress betrieben werden. Reparatur nach einem Einbruch, Umzug auf meine Infrastruktur, laufende Updates und Überwachung, und Entwicklung dort, wo Standard nicht reicht.
Warum Websites angegriffen werden, die mit WordPress betrieben werden
Das Problem liegt selten in einer einzelnen Zeile Software. Es liegt im Betrieb.
Im Juli 2026 hat das BSI eine Cyber-Sicherheitswarnung zu WordPress herausgegeben, Kritikalitätsstufe 3 von 4. 2 verkettete Schwachstellen, CVE-2026-60137 und CVE-2026-63030, unter dem Namen wp2shell zusammengefasst, erlaubten unauthentifizierte Codeausführung. Das BSI hielt fest, dass im Lauf des Wochenendes Proof-of-Concepts veröffentlicht wurden und Berichte über erste Ausnutzungen vorlagen. Zwischen Veröffentlichung und Angriff lagen keine Wochen.
Das ist der seltene Fall, und er wurde schnell behoben. Der häufige Fall ist unspektakulärer. Eine Installation wird eingerichtet, sie läuft, und danach kümmert sich niemand mehr. Erweiterungen bleiben stehen, für die längst öffentlich dokumentierte Lücken existieren. Der Anmeldepfad ist im Standard überall derselbe, und die Anmeldeversuche sind nicht begrenzt. Wer nichts tut, sammelt Angriffsfläche, ohne etwas davon zu merken.
Welche Lücken gerade neu bekannt sind und WordPress betreffen, steht im Lagebild.
Wenn es passiert, sieht man es nicht
Ein Einbruch bleibt unbemerkt, weil die Seite weiter normal aussieht. Sie lädt, das Kontaktformular kommt an, das Backend meldet nichts. Im Hintergrund wird die Seite für fremde Zwecke benutzt: Schadsoftware an Ihre Besucher, eine Phishing-Seite in einem Verzeichnis, das Sie nie öffnen, Spam in Ihrem Namen.
Die Rechnung kommt, bevor jemand das Wort Angriff in den Mund nimmt. Google markiert Ihre Domain als schädlich. Die Adresse Ihres Servers landet auf Sperrlisten, und Ihre Mails kommen nicht mehr an. Ihr Hoster schaltet ab, ohne mit Ihnen zu diskutieren. In den Fällen, die ich übernehme, ist das fast immer der Moment, in dem jemand zum ersten Mal schreibt.
Themes, Plugins und der Grund, warum ich Ihre Seite fest programmiere
Ein Theme, das Sie für 59 Euro kaufen, ist nicht deshalb ein Problem, weil es billig war. Es ist eines, weil 200.000 andere dasselbe gekauft haben. Wer darin eine Lücke findet, hat nicht eine Seite gefunden. Er hat eine Liste.
Dazu kommt, was in solchen Baukästen mitgeliefert wird: Slider, Formularbaukästen, Icon-Bibliotheken, Demo-Importer, ein halbes Dutzend Erweiterungen, die Sie nie bestellt haben und nie benutzen. Jede davon ist fremder Code, der auf Ihrem Server läuft. Jede davon ist eine Tür.
Baukasten-Theme
Fest programmiert
Wird bei jedem Aufruf aus Datenbank und PHP zusammengesetzt
Liegt fertig da
Slider, Formularbaukästen, Demo-Importer, die niemand bestellt hat
Nur, was arbeiten muss: Blog oder Shop
Tausende andere nutzen denselben Code
Ihr eigener Code, mit vollständigem Quellcode
Jede Erweiterung ist eine Tür
Kleinere Angriffsfläche, spürbar schneller
Ich baue das anders. Die eigentliche Webseite programmiere ich fest. Sie wird nicht bei jedem Aufruf aus einer Datenbank und einem Stapel PHP zusammengesetzt, sondern liegt fertig da. Verwaltet wird nur noch, was auch wirklich verwaltet werden muss: Ihre Blogbeiträge, Ihr Shop. Alles andere hat keinen Grund, zur Laufzeit überhaupt zu existieren.
Das hat 2 Wirkungen. Ihre Seite wird schneller, und zwar spürbar. Und die Angriffsfläche schrumpft auf den Teil, der arbeiten muss. Was nicht läuft, kann auch nicht ausgenutzt werden.
Was übrig bleibt, also der Shop oder der Blog, sehe ich mir einzeln an. Da wird nichts pauschal für gut befunden, weil es aus einem großen Haus kommt.
Was ich mache
Reparatur nach einem Einbruch
Ich rekonstruiere, wie jemand hineinkam und was er drinnen getan hat, entferne, was nicht dorthin gehört, und schließe den Weg. Wo eine saubere Reparatur nicht mehr zu verantworten ist, sage ich Ihnen das und wir setzen neu auf. Was ich finde, dokumentiere ich, damit Sie es belegen können.
Umzug auf meine Infrastruktur
Server in EU-Rechenzentren, unter meiner Kontrolle, gehärtet und überwacht. Danach ist Ihre Seite nicht mehr ein Mieter unter tausend auf einem Blech, das niemand kennt.
Updates und Überwachung im laufenden Betrieb
Kern und Erweiterungen bleiben aktuell, und es schaut jemand hin. Das ist der unspektakulärste Punkt auf dieser Seite und der, der die meisten Fälle verhindert.
Absicherung mit IPServerSec für WordPress
Mein eigenes Härtungs- und Frühwarnsystem, abgestimmt auf den Betrieb einer solchen Installation. Was es tut, steht vollständig unter IPServerSec.
Entwicklung von Plugins nach Ihren Anforderungen
Wenn kein fertiges Modul abbildet, was Sie brauchen, und Sie sich nicht 3 Erweiterungen installieren wollen, um eine Aufgabe zu lösen.
Entwicklung von Themes
Gestaltung selbst gebaut statt aus dem Baukasten, den 10.000 andere auch benutzen.
Eingriffe direkt im Code
Eine gewachsene Installation mit fremden Anpassungen ist kein Ablehnungsgrund.
Nach dem Update geht nichts mehr
Weiße Seite, Fehlermeldung, Formular tot, Shop nimmt keine Bestellungen an. Ich finde heraus, welches Update was zerschossen hat, bringe die Seite zurück und repariere die Ursache, statt nur zurückzurollen.
Was Ihre Seite heimlich nach außen schickt
Schriften von Google, eingebettete Videos, Statistik-Skripte: Viele Seiten geben die Adressen ihrer Besucher an Dritte weiter, ohne dass der Betreiber es weiß. Ich finde es und baue es so um, dass es bei Ihnen bleibt.
Warum nach einem Einbruch die Reihenfolge zählt, steht auf der Startseite.
Wie ich externe Inhalte auf meiner eigenen Seite gelöst habe, steht in der Datenschutzerklärung unter Schriften und Dritte.
Häufige Fragen zum Service für WordPress
Meine Website läuft mit WordPress und wurde gehackt. Was tun?
Nichts löschen und nicht sofort aufräumen. Wer sofort aufräumt, löscht genau das, was später beweisen soll, dass er nicht fahrlässig war. Die Reihenfolge ist: erst feststellen, dann schließen, dann aufräumen.
Richtet die Seite gerade Schaden an, lassen Sie sie vom Netz nehmen, etwa durch Ihren Hoster. Vom Netz nehmen ist nicht aufräumen. Sind personenbezogene Daten betroffen, kann eine Meldefrist von 72 Stunden laufen (Art. 33 DSGVO). Ob sie greift, klären Sie mit Ihrem Datenschutzbeauftragten oder Anwalt, ohne auf meine Antwort zu warten.
Schreiben Sie mir, was los ist. Übernehme ich den Fall, rekonstruiere ich, wie jemand hineinkam, schließe den Weg und dokumentiere, was ich finde.
Woran merke ich, dass meine Website gehackt wurde?
Oft gar nicht, denn die Seite sieht weiter normal aus: Sie lädt, das Kontaktformular kommt an, das Backend meldet nichts. Die meisten meiner Kunden haben es von Google, vom Hoster oder von einem Kunden erfahren. Typische Zeichen: Google markiert Ihre Domain als schädlich, Ihre Mails kommen nicht mehr an, weil die Adresse Ihres Servers auf Sperrlisten steht, oder der Hoster schaltet ab.
Können Sie meine Website übernehmen und laufend betreuen?
Ja. Ich ziehe sie auf meine Infrastruktur um: Server in EU-Rechenzentren, unter meiner Kontrolle, gehärtet und überwacht. Danach bleiben Kern und Erweiterungen aktuell, und abgesichert wird mit IPServerSec für WordPress. Ein Ticketsystem, einen Bereitschaftsdienst oder ein SLA gibt es bei mir nicht, dafür schaut jemand hin.
Gibt meine Website Daten an Dritte weiter?
Gut möglich, und oft ohne dass der Betreiber es weiß: Schriften von Google, eingebettete Videos, Statistik-Skripte. Ich finde es und baue es so um, dass es bei Ihnen bleibt. Das ist technische Arbeit, keine Rechtsberatung. Ich bin kein Anwalt.
Was kostet das?
Der Stundensatz beträgt 149 EUR netto, abgerechnet je angefangene Viertelstunde, vor Beginn ist eine Anzahlung von 500 EUR netto fällig, die mit den erbrachten Leistungen verrechnet wird. Den Preis für Ihren Fall nenne ich am Ende der Evaluierung, in einem schriftlichen Angebot. In Rechnung gestellt wird nur, was Sie vorher schriftlich beauftragt haben. Alles zu Stundensatz, Anzahlung und Ablauf steht unter Preise.
Was Sie bekommen, gehört Ihnen
Sie erhalten den vollständigen Quellcode aller Plugins und Themes, die ich für Sie entwickle. Sie bleiben damit unabhängig von mir. Wer Sie an sich bindet, indem er Ihnen den Code vorenthält, löst kein Problem, er schafft ein zweites.
Wenn Ihre Seite bereits auffällig ist, schreiben Sie mir. Wenn sie es noch nicht ist, ist das der bessere Zeitpunkt.
WordPress ist eine eingetragene Marke der WordPress Foundation. Die intelligent piXel GmbH ist ein unabhängiger Dienstleister und steht in keiner Verbindung zur WordPress Foundation oder zu Automattic Inc.