Kurz gefasst
- Größtes Risiko
- Nicht der Core, sondern veraltete Plugins und Themes.
- Sofort einspielen
- Alles, was als Security Release gekennzeichnet ist.
- Absicherung
- Automatische Minor-Updates plus tägliches Backup vor jedem manuellen Update.
Kaum eine WordPress-Version vergeht ohne Sicherheitsmeldung. Das ist kein Zeichen von Schlamperei, sondern von Verbreitung: Was Millionen Seiten betreibt, wird auch millionenfach untersucht. Entscheidend ist nicht, ob Lücken auftauchen, sondern wie schnell sie auf Ihrer Installation geschlossen werden.
Als hier 2007 über eine WordPress-Version geschrieben wurde, die schon kurz nach dem Erscheinen einen Nachfolger brauchte, war das eine Randnotiz für Bastler. Heute hängen an denselben Installationen Firmenseiten, Shops und Kundendaten. Die Mechanik dahinter ist unverändert geblieben, die Konsequenzen sind andere.
Wo die Lücken tatsächlich sitzen
Der WordPress-Kern selbst gilt als vergleichsweise gut geprüft. Die überwiegende Mehrheit erfolgreicher Angriffe läuft nicht über ihn, sondern über drei andere Wege:
- Veraltete Plugins. Jedes zusätzliche Plugin ist zusätzlicher fremder Code mit vollen Rechten. Ein aufgegebenes Plugin, das seit zwei Jahren kein Update mehr gesehen hat, ist ein offenes Scheunentor.
- Themes aus unklaren Quellen. Kostenlose Premium-Themes von Drittseiten enthalten regelmäßig eingebauten Fremdcode. Das ist kein Gerücht, sondern der Grund, warum man Themes nur aus dem offiziellen Verzeichnis oder direkt vom Hersteller bezieht.
- Schwache Zugangsdaten. Automatisierte Anmeldeversuche laufen rund um die Uhr gegen jede erreichbare WordPress-Installation. Ein starkes Passwort und Zwei-Faktor-Authentifizierung für Administratoren kosten fünf Minuten.
Welche Updates sofort müssen
WordPress unterscheidet Major- und Minor-Releases. Minor-Releases, also etwa der Sprung von 6.5.1 auf 6.5.2, enthalten fast ausschließlich Fehlerbehebungen und Sicherheitskorrekturen. Sie sind risikoarm und sollten automatisch laufen. Major-Releases bringen neue Funktionen und können mit älteren Plugins kollidieren, sie gehören vorher getestet.
Trägt eine Ankündigung den Hinweis Security Release, gilt keine Wartefrist. Die Details einer Lücke sind mit der Veröffentlichung öffentlich, und automatisierte Scans laufen erfahrungsgemäß binnen Stunden.
Automatische Updates richtig einstellen
Seit Version 5.5 lassen sich Plugins und Themes einzeln auf automatische Updates stellen. Bewährt hat sich diese Aufteilung:
- Core-Minor-Updates: automatisch, ohne Ausnahme.
- Plugins von großen, aktiv gepflegten Anbietern: automatisch.
- Plugins, die tief in Layout oder Bestellprozess eingreifen: manuell, nach Test.
- Core-Major-Updates: manuell, nach Test auf einer Kopie.
Staging und Backup: die zwei Netze
Ein Staging ist eine Kopie der Seite auf einer nicht öffentlichen Adresse. Dort spielen Sie das Update ein, klicken die wichtigsten Seiten durch und übertragen erst dann. Viele Hoster bieten das auf Knopfdruck an, es ist eines der Kriterien im Hoster-Vergleich.
Unabhängig davon braucht jede Installation ein automatisches, außerhalb des Webspace liegendes Backup, das Dateien und Datenbank umfasst. Ein Backup, das auf demselben Server liegt wie die Seite, ist im Ernstfall genauso kompromittiert wie die Seite selbst.
Faustregel: Wer ein Update nicht zurückrollen kann, hat kein Update-Verfahren, sondern ein Glücksspiel.
Häufige Fragen
Wie viele Plugins sind zu viele?
Es gibt keine feste Zahl. Die bessere Frage lautet, ob Sie zu jedem Plugin sagen können, wofür es da ist und wann es zuletzt aktualisiert wurde. Was diese Frage nicht besteht, fliegt raus.
Reicht ein Sicherheits-Plugin?
Es ergänzt, es ersetzt nichts. Eine Firewall vor einer veralteten Installation verschiebt das Problem, sie löst es nicht.
Was tun nach einem erfolgreichen Angriff?
Seite offline nehmen, alle Passwörter ändern, aus einem Backup vor dem Vorfall wiederherstellen, danach erst aktualisieren. Eine kompromittierte Installation zu säubern, ohne die Einbruchstelle zu kennen, führt fast immer zur zweiten Infektion.
Weiterlesen
Wer WordPress nicht nur als Blog, sondern als Firmenseite betreibt, findet die Anforderungen an Struktur und Rechteverwaltung im Beitrag WordPress als CMS. Zu den rechtlichen Pflichten eines Betreibers, etwa bei Kommentaren, steht mehr unter Haftung für Nutzerinhalte.