UpdraftPlus gehackt: Was WordPress-Nutzer jetzt tun muessen

Was genau passiert ist

Am 19. Oktober 2026 bestaetigte TeamUpdraft, dass Angreifer am Wochenende zuvor (17./18. Oktober) unbefugten Zugriff auf die offizielle Website teamupdraft.com erlangt hatten. Betroffen ist die Kundendatenbank — nicht das Plugin selbst und nicht Backups, die auf externen Speichern wie Google Drive oder Dropbox liegen.

Was gestohlen wurde: Kundennamen, E-Mail-Adressen, Rechnungsadressen, Bestellhistorien, Passwort-Hashes, Zwei-Faktor-Authentifizierungs-Daten und — das Entscheidende — Verbindungsschluessel fuer UpdraftCentral, UpdraftVault und UpdraftClone.

Seit dem 18. Oktober nutzen Angreifer diese Schluessel aktiv. Bis zum Morgen des 19. Oktober wurden mindestens 99 verschiedene Backdoor-Plugins auf betroffenen Websites installiert. Die Befehle sind gueltig signiert, weil sie mit echten gestohlenen Schluesseln erfolgen — ein normales Plugin-Update stoppt den Angriff nicht.

Warum das KMU direkt betrifft

UpdraftPlus ist das meistgenutzte Backup-Plugin fuer WordPress. Laut WordPress.org-Verzeichnis laeuft es auf ueber drei Millionen aktiven Installationen weltweit. In Deutschland nutzen besonders Handwerker, Praxen, Kanzleien und kleine Dienstleister WordPress als Website-Basis — haeufig eingerichtet von einer Agentur und danach kaum betreut.

Das Problem: Viele KMU wissen nicht, ob UpdraftPlus auf ihrer Website installiert ist, welche Version laeuft oder ob UpdraftCentral als Fernzugriff konfiguriert wurde. Genau diese unkontrollierten Installationen sind das Hauptziel des Angriffs.

Sofort-Massnahmen: Was Sie jetzt pruefen muessen

Fuer Nutzer von UpdraftCentral (Fernverwaltung mehrerer WordPress-Seiten): Alle bestehenden Verbindungsschluessel muessen widerrufen und neu erstellt werden. Die alten Schluessel sind kompromittiert und koennen nicht durch ein Update ungueltig gemacht werden.

Fuer Nutzer von UpdraftVault (Cloud-Backup-Speicher von TeamUpdraft): Passwort aendern und pruefen, ob unbekannte Backup-Zugriffe stattgefunden haben.

Supply-Chain-Angriffe: Das eigentliche Problem

Der UpdraftPlus-Vorfall ist kein Einzelfall. Er zeigt ein Muster, das 2026 deutlich zugenommen hat: Angreifer greifen nicht die Software selbst an, sondern die Infrastruktur des Herstellers — Kundendatenbanken, Update-Server, Entwickler-Zugaenge.

Laut einer Analyse von Patchstack vergehen 2026 im Schnitt weniger als 72 Stunden zwischen der Veroeffentlichung einer WordPress-Schwachstelle und dem ersten aktiven Exploit. Bei UpdraftPlus war der Zeitraum noch kuerzer: Die Angreifer nutzten die gestohlenen Schluessel innerhalb von Stunden.

WordPress 7.1.3: Weitere Luecken geschlossen

Parallel zum UpdraftPlus-Vorfall hat WordPress am 6. Oktober 2026 das Sicherheitsupdate 7.1.3 veroeffentlicht. Es schliesst unter anderem:

• Stored XSS in der Kommentarverwaltung — Angreifer konnten schadhaften Code in Kommentare einschleusen, der beim Aufruf im Admin-Bereich ausgefuehrt wird
• DoS-Schwachstelle in der Methode `WP_Http::make_absolute_url()` — konnte Websites lahmlegen
• Second-Order SQL Injection beim WXR-Export — potenzieller Datenbankzugriff

Das BSI hat fuer WordPress-Versionen vor 7.1.3 eine Cybersicherheitswarnung mit dem Hinweis auf moegliche Remote Code Execution herausgegeben. Wer WordPress nutzt und nicht auf 7.1.3 (oder hoeher) aktualisiert hat, laesst bekannte Sicherheitsluecken offen.

Wie KMU ihre WordPress-Website dauerhaft absichern

Die meisten gehackten KMU-Websites haben nicht ein einzelnes Problem, sondern drei bis fuenf gleichzeitig: veraltete Plugins, schwache Passwoerter, kein Monitoring, kein Wartungsvertrag und keine Zwei-Faktor-Authentifizierung.

Minimaler Schutz — ohne IT-Abteilung umsetzbar:

1. Automatische Updates aktivieren — WordPress kann Core- und Plugin-Updates automatisch einspielen. Unter Dashboard → Updates die Option aktivieren. Besser ein gelegentliches Layout-Problem durch ein Update als eine gehackte Website.

2. Admin-Zugaenge aufraeeumen — Jeden Account pruefen, der Administrator-Rechte hat. Alte Agentur-Zugaenge, Test-Accounts und unbekannte Nutzer loeschen. Ein WordPress-Admin-Konto genuegt.

3. Zwei-Faktor-Authentifizierung — Plugins wie „Two-Factor" oder „WP 2FA" ergaenzen das Passwort um einen zweiten Faktor. Selbst wenn ein Passwort gestohlen wird, reicht es nicht fuer den Login.

4. Aktivitaets-Log — Ein Plugin wie „WP Activity Log" protokolliert, wer sich einloggt, welche Plugins installiert werden und welche Aenderungen stattfinden. Ohne Log merken Sie einen Einbruch erst, wenn Google die Seite als „gehackt" markiert.

5. Backup auf externem Speicher — Backups gehoeren auf Google Drive, Dropbox oder einen eigenen Server — nicht auf den gleichen Webspace wie die Website. Im UpdraftPlus-Fall waren extern gespeicherte Backups nicht betroffen.

Was das fuer die Agentur-Zusammenarbeit bedeutet

Viele KMU lassen ihre WordPress-Website von einer Agentur erstellen und kuemmern sich danach nicht mehr darum. Das funktioniert — solange ein Wartungsvertrag existiert.

Ohne Wartungsvertrag laeuft die Website im besten Fall drei bis vier Jahre problemlos. Im schlechtesten Fall wird sie innerhalb von Wochen nach einem bekannten Exploit kompromittiert, weil niemand das Update einspielt.

Fragen, die KMU ihrer Agentur oder ihrem Webmaster jetzt stellen sollten:

• Ist UpdraftPlus installiert und auf welcher Version?
• Wurde UpdraftCentral fuer die Fernverwaltung genutzt?
• Ist WordPress auf Version 7.1.3 oder hoeher?
• Gibt es einen Wartungsvertrag, der Sicherheitsupdates innerhalb von 48 Stunden garantiert?
• Wer hat Administrator-Zugang zur Website?

Falls keine klaren Antworten kommen, ist das selbst ein Warnsignal.