Ein Jahr Website-Wartung kostet weniger als eine gehackte Seite.
Kurz gesagt: Weltweit werden täglich rund 13.000 WordPress-Seiten gehackt, bei 61 Prozent davon lief zum Zeitpunkt des Einbruchs veraltete Software, so die Sicherheitsfirma Sucuri. Wie schnell das gehen kann, zeigt gerade die Lücke wp2shell: Sie erlaubt Angreifern ganz ohne Login, fremden Code auf dem Server auszuführen, betroffen sind mehrere WordPress-Versionen bis 7.0.1. Die Rechnung dahinter ist simpel: Ein Jahr professionelle Wartung kostet meistens weniger als eine einzige Bereinigung nach einem Hack, und die Bereinigung ist nur der Teil der Rechnung, den man sofort sieht.
Stand: August 2026
Niemand least ein Auto und lässt den TÜV weg, um Geld zu sparen. Bei Websites passiert genau das ständig. Man baut sie, sie läuft, und dann rührt niemand mehr etwas an, bis etwas nicht mehr geht.
Was wirklich passiert ist
Am 17. und 18. Juli 2026 wurde eine kritische Sicherheitslücke im WordPress-Core offengelegt, inzwischen unter dem Namen wp2shell bekannt. Sie kombiniert eine SQL-Injection (CVE-2026-60137) mit einer Schwachstelle im REST-API-Batch-Endpoint (CVE-2026-63030) und erlaubt Angreifern, ganz ohne Anmeldung eigenen Code auf dem Server auszuführen, Hintertüren einzurichten, Datenbanken auszulesen oder Spam zu verteilen. Betroffen sind die Versionen 6.8.0 bis 6.8.5, 6.9.0 bis 6.9.4 sowie 7.0.0 bis 7.0.1. Der Fix: Update auf 6.8.6, 6.9.5 oder 7.0.2. Die technischen Details stehen bei Unicorn Factory.
Das ist bereits der zweite Ernstfall in vier Monaten. Im März 2026 musste WordPress binnen 24 Stunden drei Core-Updates hintereinander veröffentlichen, ausgelöst durch eine Lücke in einer eingebundenen Bibliothek, über die sich die wp-config.php auslesen ließ, also genau die Datei mit Datenbank-Zugangsdaten und Sicherheitsschlüsseln. Zwei Notfälle in vier Monaten sind kein Zufall. Das ist das neue Tempo, in dem Lücken gefunden und ausgenutzt werden.
Warum „ich update doch ab und zu“ nicht reicht
Die mittlere Zeit von der Veröffentlichung einer Sicherheitslücke bis zum ersten automatisierten Angriff liegt bei etwa fünf Stunden. Nicht Tage, Stunden. In diesem Fenster durchsuchen automatisierte Programme das gesamte Netz nach Seiten, die noch nicht gepatcht haben. Wer sein Update erst am Wochenende einspielt, war unter Umständen schon Tage vorher angreifbar.
Und selbst wer den WordPress-Core brav aktuell hält, ist damit nicht automatisch sicher: 91 Prozent aller Sicherheitslücken stecken nicht im Core, sondern in Plugins und Themes. Eine aktuelle Analyse von 59 Millionen WordPress-Seiten zeigt, dass 86 Prozent davon insgesamt veraltet sind, nur 14 Prozent laufen auf der aktuellen Version. Wartung heißt deshalb nicht „einmal WordPress aktualisieren“, sondern laufend Core, Plugins, Theme und PHP-Version im Blick behalten, plus Backups, damit im Ernstfall überhaupt etwas zum Zurückspielen da ist.
Die Rechnung, die die meisten nicht machen
Rechnen wir es einmal durch, mit einer realistischen Beispielrechnung:
ab 100 €
pro Monat Wartung
✓ planbar
2.500 €
Hack-Bereinigung, auf einen Schlag
⚠ ungeplant
Das sind 25 Monate Wartung. Über zwei Jahre. Für einen einzigen Vorfall.
- 1.200 € pro Jahr für professionelle Wartung, bei angenommenen 100 € im Monat: planbar, jeden Monat gleich, kein Überraschungsmoment im Kalender.
- 500 bis 2.500 € üblicherweise für eine einzelne Bereinigung nach einem Hack: ungeplant, meist am unpassendsten Tag, oft mit deutlich mehr Aufwand bei größeren Shops oder tief verschachtelten Infektionen.
Auf den ersten Blick liegen beide Zahlen nicht meilenweit auseinander. Der eigentliche Unterschied steckt in dem, was in der Bereinigungs-Rechnung fehlt: Umsatzausfall, während die Seite offline ist oder von Google und Browsern als gefährlich markiert wird. SEO-Rankingverlust nach einer Spam-Infektion, dessen Erholung Wochen bis Monate dauern kann. Bei betroffenen Kundendaten eine Meldepflicht binnen 72 Stunden nach DSGVO, im schlimmsten Fall mit Bußgeld. Und der Vertrauensschaden bei jedem Besucher, der eine Warnung statt deiner Website sieht.
Die Wartung ist also nicht die teurere Option. Sie ist nur die, deren Rechnung man vorher sieht statt hinterher.
Die D!E-Einordnung
Wartung wird gern als Kostenpunkt behandelt, den man streicht, wenn das Budget eng wird. Das ist ein Denkfehler. Wartung ist eine Versicherung mit Nebeneffekt: Eine gepflegte Seite ist nicht nur sicherer, sie ist auch schneller, mit aktuellen Plugins kompatibel und technisch sauber für SEO und GEO. Der Sicherheitsaspekt ist der Grund, warum man Wartung bucht. Die bessere Performance ist der Grund, warum sie sich zusätzlich lohnt.
Was wir dabei ehrlich sagen: Wartung verhindert nicht jeden Vorfall. Aber sie verhindert den größten Teil, und bei dem Rest sorgt sie dafür, dass ein aktuelles Backup existiert, mit dem man in Stunden zurück online ist, statt tagelang zu improvisieren.
Weißt du, wie verwundbar deine Website gerade ist, veraltete Plugins, fehlende Backups, offene Lücken wie wp2shell? Lass uns das in einem kostenlosen Beratungsgespräch durchgehen, 30 Minuten, ohne Verkaufsdruck.
FAQ: WordPress-Sicherheit und Wartung
Was kostet die Bereinigung einer gehackten WordPress-Seite wirklich?
Üblicherweise zwischen 500 und 2.500 Euro, abhängig davon, wie tief die Infektion sitzt und wie groß die Seite ist. Nicht eingerechnet sind dabei Umsatzausfall durch Downtime, SEO-Erholung nach einer Spam-Infektion und mögliche Folgekosten, wenn Kundendaten betroffen waren.
Reicht es, WordPress ab und zu manuell zu aktualisieren?
Nein. Die mittlere Zeit von der Veröffentlichung einer Sicherheitslücke bis zum ersten automatisierten Angriff liegt bei etwa fünf Stunden. Zusätzlich stecken 91 Prozent aller Sicherheitslücken in Plugins und Themes, nicht im WordPress-Core. Wer nur gelegentlich den Core aktualisiert, aber Plugins und PHP-Version vernachlässigt, bleibt trotzdem verwundbar.
Was ist wp2shell?
wp2shell ist eine im Juli 2026 offengelegte kritische Sicherheitslücke im WordPress-Core, die aus einer SQL-Injection und einer Schwachstelle in der REST-API kombiniert ist. Sie erlaubt Angreifern ohne Login, eigenen Code auf dem Server auszuführen. Betroffen sind mehrere WordPress-Versionen bis 7.0.1, der Fix ist ein Update auf 6.8.6, 6.9.5 oder 7.0.2.
Woran erkenne ich, ob meine Website gehackt wurde?
Typische Anzeichen sind eine Warnung in der Google Search Console oder im Browser, unbekannte Administrator-Konten, unerwartete Weiterleitungen zu fremden Seiten, ein plötzlicher Traffic-Einbruch oder eine Meldung deines Hosters wegen auffälligen Verhaltens. Im Zweifel lohnt sich eine fachliche Prüfung, auch unauffällige Infektionen bleiben oft wochenlang unbemerkt aktiv.
Was passiert, wenn bei einem Hack Kundendaten betroffen sind?
Dann greift die Meldepflicht nach Art. 33 DSGVO: Der Vorfall muss in der Regel binnen 72 Stunden an die zuständige Datenschutzbehörde gemeldet werden, je nach Schwere unter Umständen auch an die Betroffenen selbst. Wer das versäumt, riskiert zusätzlich zum eigentlichen Schaden ein Bußgeld.
Das Fazit, ungefiltert
13.000 gehackte Seiten pro Tag, 86 Prozent aller WordPress-Installationen veraltet, ein Fünf-Stunden-Fenster zwischen Lücke und Angriff. Das sind keine Panikzahlen, das ist der aktuelle Normalzustand des offenen Webs. Die Frage ist nicht, ob irgendwann eine Lücke auftaucht, die deine Software betrifft. Die Frage ist, ob jemand hinschaut, wenn sie es tut.
Und genau das ist der Punkt, an dem die Rechnung kippt. 1.200 Euro im Jahr, planbar, gegen eine ungeplante Bereinigung, die im Ernstfall genauso viel kostet, meistens aber mehr, und der eigentliche Schaden liegt sowieso in dem, was nicht auf der Rechnung steht: Tage ohne Umsatz, Wochen ohne gute Rankings, im schlimmsten Fall ein Datenschutzfall.
Wartung ist keine Ausgabe, die man sich spart. Es ist eine Wette gegen fünf Stunden Zeitfenster, dreizehntausend tägliche Angriffe und die eigene Erinnerung, wann man zuletzt „update“ geklickt hat. Die meisten verlieren diese Wette nicht, weil sie zu wenig wissen. Sie verlieren sie, weil niemand sich die Zeit genommen hat, kurz nachzurechnen.
Hinweis: Dieser Artikel ist eine Marketing- und Umsetzungs-Einordnung, keine Rechtsberatung. Für die rechtssichere Bewertung eines konkreten Sicherheitsvorfalls, insbesondere zu Meldepflichten nach DSGVO, sprich mit einer auf IT- und Datenschutzrecht spezialisierten Kanzlei.
Geschrieben von Dag Achtzehn, Gründer von D!E mit Ausrufezeichen. KI-First-Marketing aus Montabaur für den DACH-Raum. Wir reden nicht über KI. Wir arbeiten damit.
Bereit, dein Marketing auf D!E-Niveau zu heben? Lass uns sprechen.
Sag Hallo →