96 %
Plugins von Drittanbietern
7.633 Schwachstellen.
White Paper V3 · Für Entscheider und Compliance
WordPress-Sicherheit: Ruf gegen Realität
„WordPress wird ständig gehackt." Sagt wer?
- 96 % in Plugins
- 7 im Core
- 7 Schutzschichten
- Quellen offengelegt
Von 7.966 Schwachstellen, die 2024 im WordPress-Ökosystem gefunden wurden, entfielen 96 % auf Plugins von Drittanbietern und sieben auf den Core selbst. Keine davon mit breiter Bedrohungswirkung. Dieses Whitepaper liefert die belegten Zahlen, den Härtungsrahmen und den fairen Vergleich mit Custom-Code für euer nächstes Security-Review.
- 11 Seiten
- Kostenlos als PDF
- Vendor-Review-tauglich
- DSGVO und DACH-Kontext
11 Seiten · PDFKostenlos
White Paper · V3
96 %der Schwachstellen liegen in Plugins, nicht im Core
WordPress-SicherheitRuf gegen Realität
lilox.ioSicherheit & Compliance
11Seiten
5Kapitel
5Abbildungen
7Schutzschichten
3Umsetzungsstufen
8Quellen benannt
/ 01 · Warum es dieses Whitepaper gibt
Der Satz, an dem gute Website-Projekte scheitern
Die Sicherheitsfrage kommt selten mit Daten. Sie kommt als Bauchgefühl, meistens aus der IT oder von einem Compliance-Verantwortlichen, und blockiert trotzdem die Entscheidung. Dieses Whitepaper ist die Antwort darauf, in einer Form, die ihr intern weiterreichen könnt.
Der Einwand ist verständlich. Er verwechselt aber Angriffsvolumen mit Codequalität. Wer die Zahlen kennt, verlagert das Gespräch dorthin, wo es hingehört: auf den Betrieb.
01
„WordPress wird ständig gehackt"
Angriffsvolumen wird mit Plattformschwäche verwechselt. WordPress läuft auf rund 41 % aller Websites und ist damit die größte einzelne Angriffsfläche im Web. Angreifer automatisieren gegen die größte Installationsbasis. Das ist Ökonomie, keine Codequalität.
02
Das eigentliche Risiko liegt im Betrieb
Ungepflegte Plugins, verzögerte Updates, schwache Passwörter und billiges Shared Hosting. Alles davon ist adressierbar, und keines davon hat mit der Plattformwahl zu tun.
03
Vendor-Reviews ziehen sich ohne Nachweise
Was ein Security-Officer sehen will, sind Zertifikate, Prozesse und Zahlen mit Quelle. Genau das liefert das Whitepaper, damit die Freigabe nicht an fehlenden Belegen hängt.
/ 02 · Wo die Schwachstellen liegen
Wo die Schwachstellen tatsächlich liegen
7.966 neue Schwachstellen wurden 2024 im WordPress-Ökosystem gefunden. Die Verteilung ist der wichtigste Datenpunkt für jeden skeptischen Prüfer.
4 %
Themes
326 Schwachstellen.
7
WordPress-Core
Unter 0,1 %, keine mit breiter Wirkung.
2025 fand das Core-Team ganze zwei Core-Schwachstellen. Der schlechte Ruf entsteht durch Betrieb, nicht durch die Plattform. Zur Einordnung: Von den 7.966 Schwachstellen aus 2024 bewertete Patchstack 69,6 % als niedrig-prioritär. Rohzahlen überzeichnen das reale Risiko. Quelle: Patchstack, State of WordPress Security 2025, Daten aus 2024.
aller Websites weltweit laufen auf WordPress, knapp 59 % Marktanteil unter allen CMS. Mehr als alle anderen Systeme zusammen.
W3Techs, Juli 2026der „Basic Web Application Attacks" nutzen gestohlene Zugangsdaten. Der Login ist der Vektor, nicht der Code.
Verizon DBIRder kompromittierten CMS-Seiten liefen zum Infektionszeitpunkt auf veralteter Software. WordPress ist dank Auto-Updates seltener veraltet als andere CMS.
Sucuri 2023Passwort-Angriffe blockierte Wordfence allein im Jahr 2024, dazu über 1,1 Mrd. SQL-Injection-Versuche.
Wordfence Annual Report 2024/ 03 · Euer Ergebnis
Was ihr direkt ins Review mitnehmt
Kein Plädoyer für eine Plattform. Sechs Ergebnisse, mit denen ihr die Sicherheitsfrage sachlich schließt.
Zahlen mit benannter Quelle
Jeder Wert steht mit Quelle und Erhebungsjahr da. Damit haltet ihr im Meeting keine Meinung dagegen, sondern einen Datensatz.
Einen Härtungsrahmen mit sieben Schichten
Defense in Depth von Managed Hosting bis Monitoring. Formuliert so, dass ein Compliance-Verantwortlicher ihn abnehmen kann.
Den fairen Vergleich mit Custom-Code
Beide Seiten ehrlich gegenübergestellt, inklusive der echten Vorteile handgecodeter Seiten. Genau das macht das Argument glaubwürdig.
Compliance-Nachweise für den DACH-Raum
ISO 27001, SOC 2 Type II, AVV, EU-Rechenzentren und die zwei Ebenen der DSGVO-Konformität. Genau die Nachweise, die Vendor-Reviews verkürzen.
Eine Umsetzung in drei Stufen
Fundament vor dem Launch, Zugang und Resilienz in Woche eins, danach laufende Governance. Mit klaren Schwellenwerten, ab wann ein Plugin ersetzt wird.
Offengelegte Interessenlage der Quellen
Ein eigener Abschnitt weist aus, welche Quellen von Sicherheitsanbietern stammen und wo neutrale Quellen wie Verizon, OWASP und W3Techs herangezogen wurden.
Damit die Sicherheitsfrage kein Einwand mehr ist, sondern ein Argument.
Kostenlos, sofort im Postfach, ohne Verkaufsgespräch. Ihr braucht nur Name und E-Mail.
/ 04 · Die Angriffsvektoren
Die häufigsten Angriffsvektoren
Wer die Vektoren kennt, kann sie gezielt schließen. Fast alle sind durch Betrieb und Konfiguration adressierbar, nicht durch einen Plattformwechsel.
47,7 %
Cross-Site-Scripting
14,2 %
Broken Access Control
11,4 %
Cross-Site Request Forgery
~8 %
SQL-Injection und sonstige Injection
~19 %
Übrige: Auth, Upload, Disclosure
Verteilung der 2024 offengelegten WordPress-Schwachstellen nach Typ. Quelle: Patchstack 2025
5 Stunden: Median-Zeit bis zum ersten Exploit
So lange dauert es im Mittel von der Veröffentlichung einer Schwachstelle bis zur ersten Ausnutzung. 46 % der 2025er Lücken hatten bei Offenlegung noch gar keinen Hersteller-Patch.
Deshalb reicht die Firewall allein nicht: In den Pentests von 2026 fingen generische WAFs im Schnitt nur 12 bis 26 % der WordPress-spezifischen Exploits ab. WordPress-bewusstes Virtual Patching gehört dazu. Quelle: Patchstack 2026.
/ 05 · Defense in Depth
Defense in Depth: sieben Schichten
Ein mehrschichtiger Härtungsrahmen, den ein Compliance-Verantwortlicher akzeptieren kann. Der wichtigste Hebel steht bewusst an erster Stelle.
01
Managed Hosting
Isolierte Container statt Shared-Hosting-Nachbarschaft, Google-Cloud-Infrastruktur, zwei Hardware-Firewalls, automatische tägliche Backups und Uptime-Monitoring alle zwei bis drei Minuten.
✓ Der höchste Hebel
02
Aktualität
Auto-Updates für Core, Themes und Plugins, minimale Plugin-Anzahl, ausschließlich gewartete Plugins, Major-Updates zuerst auf Staging.
03
WAF und Virtual Patching
WordPress-bewusst über Patchstack oder Wordfence, ergänzt um Cloudflare-DDoS-Schutz. Eine generische Firewall allein reicht nachweislich nicht.
04
Starke Authentifizierung
Zwei-Faktor für alle Konten mit Schreibrechten, starke Passwörter oder Passkeys, begrenzte Login-Versuche, kein Default-Benutzer „admin".
05
Backups und Recovery
Täglich automatisiert, getrennt gespeichert und mit getesteter Wiederherstellung. Ein Backup ohne geprüften Rückweg ist kein Backup.
06
Least Privilege, TLS und wp-config
Niedrigstmögliche Rolle je Nutzer, HTTPS erzwungen mit HSTS, gehärtete Konfiguration oberhalb des Web-Roots, Security-Header wie CSP und X-Frame-Options.
07
Monitoring und Patch-Kadenz
Server-seitiges Scanning, abonnierte Vulnerability-Intelligence, hochpriorisierte Lücken in Stunden statt Wochen geschlossen.
/ 06 · Custom-Code im Vergleich
Fairer Vergleich: Custom-Code gegen WordPress
Ehrlich statt defensiv. Handgecodete Seiten haben echte Vorteile. Automatisch sicherer sind sie deshalb nicht.
Wo Custom-Code echte Vorteile hat
Die ehrliche Gegenseite
- Kleinere Angriffsfläche, keine Exposition gegenüber den 96 % Plugin-Schwachstellen
- Keine öffentliche Exploit-Datenbank für den exakten Code, Bots finden keine passende CVE
- Feingranulare Kontrolle, Sicherheit von Anfang an designbar
- Kein erzwungener Update-Zwang für Drittkomponenten
Wo Custom-Code nicht automatisch sicherer ist
Was dabei gern übersehen wird
- Custom-Code enthält ebenfalls Schwachstellen, meist un-auditiert und ohne Community-Review
- Keine automatischen Sicherheits-Patches, jeder Fix erfordert manuelles Eingreifen
- Sicherheit hängt vollständig an einem Entwickler, also Key-Person-Risiko
- Security through Obscurity ist keine echte Sicherheit
- Die OWASP Top 10 gelten genauso. 2025 hatten 100 % der getesteten Anwendungen eine Form von Broken Access Control
Die ehrliche Kernaussage
Sicherheit wird weit stärker davon bestimmt, wie eine Seite gebaut, gehostet und gewartet wird, als davon, ob sie WordPress oder handgecodet ist. Eine gut gewartete WordPress-Seite auf Managed Hosting ist sicherer als eine schlecht gewartete Custom-Seite ohne Patch-Prozess. Und umgekehrt. Die Plattformwahl ist der Betriebsdisziplin nachgeordnet.
/ 07 · Compliance und Governance
Compliance und Governance im DACH-Kontext
Weil der Einwand meistens von einem Compliance-Verantwortlichen kommt, ist dieser Teil entscheidend: WordPress lässt sich DSGVO-konform und nach Enterprise-Standards betreiben.
ISO/IEC 27001
plus 27017 und 27018 für Cloud und personenbezogene Daten
SOC 2 Type II
fortlaufend überwacht, nicht als Stichtagsprüfung
DSGVO und AVV
EU-Rechenzentren, Auftragsverarbeitungsvertrag im Dashboard
Verantwortung des Hosters
Ebene 1: Infrastruktur
Verschlüsselung, Zugriffskontrollen, EU-Datenstandort und Zertifizierungen. Der Host handelt als Auftragsverarbeiter, der AVV nach Art. 28 DSGVO gehört dazu.
Verantwortung des Betreibers
Ebene 2: Anwendung
Consent-Banner, Cookie- und Skript-Blocking, Datenschutzerklärung und ein dokumentierter Prozess für Betroffenenrechte. Dazu Google Fonts lokal einbinden, siehe LG München, Az. 3 O 17493/20.
Sicher gebaut. Sauber gehostet. Belegbar konform.
LILOX baut WordPress-Websites auf Managed Hosting mit genau dem Härtungs- und Compliance-Rahmen, den dieses Whitepaper beschreibt.
/ 08 · Handlungsempfehlung
In drei Stufen zur abnahmefähigen Sicherheit
Was vor dem Launch stehen muss, was in Woche eins folgt und was danach dauerhaft läuft.
Stufe 1 · Vor dem Launch
Fundament
Managed Hosting mit prüfbaren Zertifizierungen, EU-Rechenzentrum, AVV abgeschlossen. Automatische Core- und Sicherheits-Updates. Nur seriöse, gewartete Plugins, alles Ungenutzte entfernt. HTTPS überall, wp-config gehärtet.
Stufe 2 · Erste Woche
Zugang und Resilienz
Zwei-Faktor für alle Admin- und Redakteurs-Konten, Least-Privilege-Rollen, begrenzte Login-Versuche. Tägliche Backups mit getestetem Restore bestätigen. WAF plus WordPress-bewusstes Virtual Patching und DDoS-Schutz aktivieren.
Stufe 3 · Laufend
Governance
Vulnerability-Intelligence abonnieren, hochpriorisierte Lücken in Stunden patchen. Server-seitiges Malware-Monitoring, quartalsweise Plugin- und Nutzer-Audits. Lokale Google Fonts, consent-gesteuerte Drittskripte, AVVs aktuell halten.
Schwellenwerte
Die Schwellenwerte, ab denen gehandelt wird
| Auslöser | Konsequenz |
|---|---|
| Plugin seit zwölf Monaten ohne Update oder mit ungepatchter High-Lücke | Sofort ersetzen oder Virtual Patching anwenden |
| Verarbeitung besonderer personenbezogener Daten oder Zahlungsdaten | PCI-DSS-Kontrollen, stündliche Backups, erweitertes Monitoring |
| Wartungsdisziplin im eigenen Haus nicht garantierbar | Managed Hosting und Wartungs-Retainer bevorzugen. Betriebsdisziplin entscheidet, nicht Plattform |
/ 09 · Der Inhalt
Fünf Kapitel plus Handlungsempfehlung
Aufgebaut für Leute, die das Ergebnis intern vertreten müssen. 11 Seiten, deutschsprachig, mit fünf Abbildungen und offengelegter Quellenlage.
- 011 Seite
Auf einen Blick
Die Kernaussage in drei Sätzen, für das Meeting formuliert.
- 02Kapitel 1
Ruf gegen Realität
Die Verteilung der Schwachstellen auf Plugins, Themes und Core, plus die tatsächlichen Ursachen für Kompromittierungen.
- 03Kapitel 2
Die häufigsten Angriffsvektoren
Welche Lücken real ausgenutzt werden und wie schnell nach der Offenlegung.
- 04Kapitel 3
Wie sich diese Risiken vermeiden lassen
Sieben Schutzschichten plus die konkreten Handgriffe zu Updates, Authentifizierung und Konfiguration.
- 05Kapitel 4
Compliance und Governance im DACH-Kontext
Zertifikate, die zwei Ebenen der DSGVO-Konformität und was ein Security-Officer sehen will.
- 06Kapitel 5
Fairer Vergleich mit Custom-Code
Beide Seiten ehrlich gegenübergestellt, mit der Kernaussage zur Betriebsdisziplin.
- 073 Stufen
Handlungsempfehlung in drei Stufen
Vor dem Launch, erste Woche, laufender Betrieb. Mit drei Schwellenwert-Regeln.
- +Anhang
Transparenz und Quellen
Einordnung der Datenlage, offengelegte Interessenlage der Anbieterquellen und die vollständige Quellenauswahl.
/ 10 · Passt das zu euch?
Für wen dieses Whitepaper geschrieben ist
Gedacht für Entscheider sowie Security-, IT- und Compliance-Verantwortliche, die eine Plattformentscheidung begründen oder freigeben müssen.
Passt
Das Whitepaper ist für euch, wenn …
- eure IT oder Compliance die Plattformwahl blockiert
- ihr einen Website-Relaunch begründen müsst und die Sicherheitsfrage im Raum steht
- ihr ein Vendor-Security-Review vorbereitet und prüfbare Nachweise braucht
- ihr wissen wollt, ob eine handgecodete Seite wirklich sicherer wäre
- ihr die DSGVO-Verantwortung zwischen Hoster und Betreiber sauber trennen müsst
- ihr euren Anbieter an Betriebsdisziplin messen wollt statt an Versprechen
Passt eher nicht
Spart euch den Download, wenn …
- ihr eine technische Anleitung zur Serverhärtung sucht
- ihr bereits ein dokumentiertes Security-Programm für eure Website betreibt
- ihr eine Rechtsberatung zur DSGVO erwartet, das Whitepaper ersetzt keine anwaltliche Prüfung
- ihr eine Kaufempfehlung für ein bestimmtes Sicherheitsprodukt sucht
/ 11 · Wer dahintersteht
Nadine und Christoph
Wenn eure IT oder euer externer Security-Officer Rückfragen zum Whitepaper hat, beantworten wir sie direkt.
Geschäftsführende Gesellschafterin
Nadine Fraiss, MA
15 Jahre digitales Marketing, davon rund zehn ausschließlich im B2B. Sie hat auf beiden Seiten gesessen: als Auftraggeberin, die Agenturbudgets rechtfertigen musste, und als Verantwortliche, die am Quartalsende Pipeline liefern sollte.
- Hypo Tirol Bank
- Hartlauer
- Egger
- Bots & People
Gesellschafter
Ing. Christoph Fraiss, MBA, MSc
Maschinenbau- und Wirtschaftsingenieur mit internationalem MBA. 15 Jahre in der Industrie als Projektleiter für Großprojekte, Head of Engineering und Werksleiter. Er kennt Abnahmeprozesse, in denen Nachweise zählen und nicht Zusagen.
- Thermo Fisher
- Novartis
- Aenova
5 von 5
Kompetent, freundlich, engagiert und redet einem nicht nach dem Mund. Beratung auf Augenhöhe, ohne bla bla und immer fokussiert.
Prof. (FH) Dr. Uwe HeilDr. Heil KG Consulting & Coaching/ 12 · Häufige Fragen
Was im Security-Review am häufigsten gefragt wird
Ist WordPress sicher genug für ein Unternehmen?
Bei professionellem Betrieb ja. Von 7.966 Schwachstellen aus 2024 lagen 96 % in Plugins, 4 % in Themes und sieben im Core. Entscheidend sind Managed Hosting, Update-Disziplin, Zwei-Faktor-Authentifizierung und Monitoring.
Warum wird WordPress so oft angegriffen?
WordPress läuft auf rund 41 % aller Websites und ist damit die größte einzelne Angriffsfläche im Web. Angreifer automatisieren gegen die größte Installationsbasis. Sucuri stellt selbst klar, dass der hohe WordPress-Anteil an bereinigten Infektionen die Popularität widerspiegelt und nichts über die Plattformsicherheit aussagt.
Ist eine selbst programmierte Website sicherer?
Nicht automatisch. Custom-Code hat eine kleinere Angriffsfläche und keine öffentliche Exploit-Datenbank, ist aber meist ungeprüft, ohne Community-Review, ohne automatische Sicherheits-Patches und trägt ein Personenrisiko.
Kann man WordPress DSGVO-konform betreiben?
Ja, auf zwei Ebenen. Die Infrastruktur braucht Verschlüsselung, Zugriffskontrollen, EU-Datenstandort und einen Auftragsverarbeitungsvertrag. Die Anwendung braucht Consent-Management, Skript-Blocking, Datenschutzerklärung und einen Prozess für Betroffenenrechte.
Reicht eine Firewall zum Schutz?
Nein. In den Pentests von 2026 fingen generische Firewalls im Schnitt 12 bis 26 % der WordPress-spezifischen Exploits ab. Weil die Median-Zeit bis zum ersten Exploit bei fünf Stunden liegt, gehört WordPress-bewusstes Virtual Patching dazu.
Was kostet das Whitepaper und was passiert mit meinen Daten?
Das Whitepaper ist kostenlos. Verarbeitung nach DSGVO, Server in der EU, keine Weitergabe an Dritte. Kein Anruf ohne eure Einladung. Vom Newsletter meldet ihr euch jederzeit mit einem Klick wieder ab.
Download
Hol dir das Whitepaper als PDF
11 Seiten, deutschsprachig, mit fünf Abbildungen und einem Quellenabschnitt, den ihr direkt an eure IT weitergeben könnt.
Das steckt drin
11 Seiten, fünf Abbildungen, ein Quellenabschnitt zum Weitergeben.
- Die Verteilung der Schwachstellen mit Quelle und Jahr
- Die häufigsten Angriffsvektoren nach Typ
- Siebenstufiger Härtungsrahmen plus Detailmaßnahmen
- Compliance-Abschnitt für DSGVO und DACH
- Fairer Vergleich mit Custom-Code
- Handlungsempfehlung in drei Stufen mit Schwellenwerten
Transparenz zur Quellenlage
Die zitierten Datenquellen stammen überwiegend von Sicherheitsanbietern, die mit WordPress-Schutz Geld verdienen. Das Whitepaper weist diese Interessenlage in einem eigenen Abschnitt aus und zieht zusätzlich neutrale Quellen heran: Verizon DBIR, OWASP und W3Techs. Die Sucuri-Werte stammen aus 2023, der Patchstack-Hauptdatensatz aus 2024. Referenzen wie whitehouse.gov oder NASA sind öffentlich dokumentierte WordPress-Installationen und keine LILOX-Kunden. Das Whitepaper ist keine Rechtsberatung.
/ 13 · Nächster Schritt
Sollen wir eure Website gegen den Härtungsrahmen prüfen?
Wir gehen die sieben Schutzschichten an eurer bestehenden Website durch und ihr bekommt das Ergebnis schriftlich, in einer Form, die ihr direkt ins Review geben könnt.
