Veraltete WordPress-Plugins: Wann ein fehlendes Update zum DSGVO-Verstoß wird

Inhalt in Kürze

• Wir haben 239 Firmen-Websites geprüft. Auf 43 Prozent der WordPress-Seiten mit auslesbaren Versionsangaben lief mindestens eine Erweiterung mit öffentlich bekannter Sicherheitslücke.
• Der WordPress-Kern selbst ist gut gepflegt — 42 von 48 Installationen waren aktuell. Alle Funde lagen bei den Erweiterungen.
• Art. 32 DSGVO verlangt Schutz nach dem Stand der Technik. Eine dokumentierte, ungepatchte Lücke unterschreitet diesen Maßstab.
• Der unangenehmste Fall: Erweiterungen, die aus dem offiziellen Verzeichnis entfernt wurden. Sie bekommen nie wieder ein Update — und melden das nirgends.

Die meisten Firmen-Websites in Deutschland laufen mit WordPress. Und die meisten davon werden gepflegt: Der Kern ist aktuell, das Impressum stimmt, ein Cookie-Banner steht. Trotzdem klafft bei fast jeder zweiten Seite eine Lücke, die von außen sichtbar ist — in den Erweiterungen.

Wir wollten wissen, wie verbreitet das wirklich ist, und haben nachgezählt.

Was wir gemessen haben

Für unseren Website-Scanner haben wir 239 erreichbare Firmen-Websites ausgewertet — echte Seiten deutscher Unternehmen, keine konstruierten Beispiele. 89 davon laufen mit WordPress. Bei 65 ließen sich die Versionsnummern der eingesetzten Erweiterungen aus dem Quelltext lesen.

28 von 65 Seiten setzten mindestens eine Erweiterung ein, für die eine Sicherheitslücke öffentlich dokumentiert ist. Der schwerste Einzelfund war mit 8,8 von 10 Punkten bewertet — das ist die Kategorie, bei der ein Angreifer ohne Anmeldung Dateien hochladen und ausführen kann.

Bemerkenswert ist die andere Seite der Zahl: Der WordPress-Kern war fast überall aktuell. Von 48 Installationen, bei denen sich die Version ablesen ließ, liefen 42 auf einer aktuellen Fassung. Das ist kein Zufall — WordPress aktualisiert sich seit Jahren weitgehend selbst. Erweiterungen tun das nur, wenn jemand die automatische Aktualisierung aktiv einschaltet, und Themes praktisch nie.

Anders gesagt: Das Problem liegt nicht dort, wo die meisten hinsehen.

Warum das jeder sehen kann

Ein verbreiteter Irrtum lautet, ein Angreifer müsse erst mühsam herausfinden, was auf einer Website läuft. Das Gegenteil ist der Fall. WordPress bindet die Dateien seiner Erweiterungen mit Pfad und Versionsnummer ein:

<link href="/wp-content/plugins/beispiel-slider/css/style.css?ver=6.6.14">

Diese Zeile steht im Quelltext jeder Seite, die den Slider einsetzt. Sie verrät zwei Dinge auf einmal: welche Erweiterung installiert ist und in welcher Version. Jeder Besucher kann das lesen — dafür genügt ein Rechtsklick.

Für Angreifer ist das kein Rätsel, sondern eine Einkaufsliste. Der Abgleich gegen öffentliche Schwachstellenlisten läuft automatisiert, in Sekunden, über Millionen von Domains. Deshalb trifft es typischerweise nicht die Website, die jemand gezielt ins Visier genommen hat, sondern die, die zufällig ins Raster fiel.

Was die DSGVO dazu sagt

Art. 32 DSGVO verlangt technische und organisatorische Maßnahmen, die dem „Stand der Technik” entsprechen. Der Gesetzestext ist bei den Bestimmungen zur Sicherheit der Verarbeitung nachzulesen. Was das konkret heißt, füllt Leitlinien — aber ein Punkt ist unstrittig: Software mit einer öffentlich dokumentierten, seit Monaten behobenen Sicherheitslücke einzusetzen, entspricht nicht dem Stand der Technik.

Das Bundesamt für Sicherheit in der Informationstechnik führt Patch- und Änderungsmanagement als eigenen Baustein im IT-Grundschutz-Kompendium. Dort steht der Satz, um den es geht: Sicherheitsrelevante Aktualisierungen sind zeitnah einzuspielen.

Wichtig ist die Reihenfolge der Konsequenzen — hier wird oft zu schnell zu viel befürchtet:

1. Eine bekannte Lücke ist zunächst ein Mangel an den technischen Maßnahmen. Nicht mehr, aber auch nicht weniger. Sie gehört in Ihr Verzeichnis der Verarbeitungstätigkeiten und in Ihre Maßnahmenplanung.
2. Meldepflichtig nach Art. 33 DSGVO wird es erst, wenn tatsächlich Daten betroffen sind — also bei Hinweisen auf einen echten Zugriff. Dann läuft die 72-Stunden-Frist.
3. Im Schadensfall verschiebt sich die Beweislast. Wer nachweisen kann, dass er Aktualisierungen regelmäßig prüft und dokumentiert, steht in der Bewertung deutlich anders da als jemand, bei dem eine seit zwei Jahren bekannte Lücke offenstand.

Genau deshalb ist die Dokumentation der Prüfung fast so wichtig wie die Prüfung selbst.

Der Fall, den niemand bemerkt

Ein Befund aus unserer Messung hat uns überrascht: Sechs Websites setzten Erweiterungen ein, die aus dem offiziellen WordPress-Verzeichnis entfernt wurden.

Das passiert, wenn eine Erweiterung Richtlinien verletzt, aufgegeben wird oder eine Lücke hat, die der Entwickler nicht schließt. Für den Betreiber ist dieser Fall besonders tückisch, weil er sich nach außen wie Normalität anfühlt:

• Die Erweiterung läuft weiter und funktioniert.
• Im Adminbereich erscheint kein Aktualisierungshinweis — es gibt ja keine neue Version.
• Wer brav jede Woche auf „Aktualisieren” klickt, bekommt gemeldet, alles sei aktuell.

Hier hilft kein Update. Die Erweiterung muss ersetzt oder entfernt werden. Und man erfährt davon nur, wenn jemand aktiv nachsieht — was in der Praxis selten geschieht, weil das Verzeichnis diese Information nicht in den Adminbereich zurückspielt.

Was Sie jetzt tun können

1. Bestandsaufnahme. Verschaffen Sie sich einen Überblick, welche Erweiterungen und Themes tatsächlich installiert sind — inklusive der deaktivierten. Eine deaktivierte Erweiterung liegt weiter auf dem Server und kann je nach Lücke trotzdem angreifbar sein.

2. Ausmisten. Jede Erweiterung, die Sie nicht brauchen, ist Angriffsfläche ohne Gegenwert. Löschen ist hier die wirksamste Maßnahme, nicht Deaktivieren.

3. Automatische Aktualisierung einschalten. WordPress kann Erweiterungen selbst aktualisieren. Bei unkritischen Erweiterungen sollten Sie das nutzen; bei solchen, die tief ins Layout eingreifen, ist ein manueller Rhythmus mit vorherigem Backup die bessere Wahl.

4. Prüfen Sie, was von außen sichtbar ist. Unser Hugo Check liest die Versionsangaben aus dem Quelltext Ihrer Startseite und gleicht sie gegen die öffentlichen Schwachstellenlisten ab — dieselben Quellen, die auch ein Angreifer nutzt. Der Scan ist kostenlos und ohne Anmeldung möglich. Es wird dabei nichts ausprobiert und keine Lücke ausgenutzt: Wir lesen nur, was Ihr Browser ohnehin lädt.

5. Dauerhaft im Blick behalten. Das ist der Punkt, der am häufigsten untergeht. Ihre Website kann heute sauber sein und nächste Woche angreifbar, ohne dass jemand etwas geändert hat — es genügt, dass eine Lücke veröffentlicht wird. Ein wöchentliches Monitoring meldet Ihnen genau diesen Fall.

6. Halten Sie die Prüfung fest. Für Art. 32 zählt der Nachweis. Wer die technischen Maßnahmen und ihre regelmäßige Überprüfung dokumentiert, hat im Ernstfall etwas vorzuweisen. In unserer Datenschutz-Plattform gehört das zur Maßnahmenverwaltung; wer es in Excel führt, sollte wenigstens Datum, Prüfumfang und Ergebnis notieren.

Häufige Fragen

Ist ein veraltetes WordPress-Plugin ein DSGVO-Verstoß?

Das Plugin selbst ist kein Verstoß. Art. 32 DSGVO verlangt aber Schutzmaßnahmen nach dem Stand der Technik. Läuft auf Ihrer Website eine Erweiterung, für die öffentlich eine Sicherheitslücke dokumentiert ist, erfüllen Sie diesen Maßstab an dieser Stelle nicht mehr. Zum konkreten Problem wird es, wenn über diese Lücke Daten abfließen: Dann ist die fehlende Aktualisierung das Erste, was die Aufsichtsbehörde prüft.

Woher weiß ein Angreifer, welche Plugins ich einsetze?

Aus dem Quelltext Ihrer Startseite. WordPress bindet die Dateien seiner Erweiterungen mit Pfad und Versionsnummer ein, etwa als /wp-content/plugins/beispiel/style.css?ver=2.1.4. Diese Angaben kann jeder Besucher lesen, ohne besondere Werkzeuge. Ein Angreifer gleicht sie automatisiert gegen öffentliche Schwachstellenlisten ab — genau deshalb sind veraltete Erweiterungen ein bevorzugtes Einfallstor.

Was passiert, wenn ein Plugin aus dem WordPress-Verzeichnis entfernt wird?

Es erhält keine Updates mehr, auch keine Sicherheitsupdates. Auf Ihrer Website läuft es weiter und sieht funktionsfähig aus. Der Aktualisierungshinweis im Adminbereich bleibt aber für immer aus. Hier hilft kein Update, sondern nur Ersetzen oder Entfernen — und genau dieser Fall fällt in der Praxis am längsten niemandem auf.

Muss ich eine Datenpanne melden, wenn eine Lücke gefunden wurde?

Nicht automatisch. Meldepflichtig nach Art. 33 DSGVO ist eine Verletzung des Schutzes personenbezogener Daten, nicht die bloße Möglichkeit dazu. Eine bekannte Lücke ist zunächst ein Mangel an den technischen Maßnahmen. Sobald es Hinweise auf einen tatsächlichen Zugriff gibt — etwa fremde Benutzerkonten, veränderte Dateien oder auffällige Server-Logs — läuft die 72-Stunden-Frist. Wie eine Meldung abläuft, haben wir im Beitrag zum 72-Stunden-Meldefrist beschrieben.

Reicht es, WordPress selbst aktuell zu halten?

Nein. In unserer Stichprobe war der WordPress-Kern gut gepflegt: 42 von 48 auslesbaren Installationen liefen auf einer aktuellen Fassung. Der Kern aktualisiert sich seit Jahren weitgehend selbst — Erweiterungen und Themes tun das nicht zuverlässig. Genau dort lagen alle Funde.

Wie oft sollte ich meine Website darauf prüfen?

Fortlaufend, nicht einmalig. Ein Befund entsteht neu, ohne dass sich an Ihrer Website etwas ändert: Wird morgen eine Lücke für eine Erweiterung veröffentlicht, die Sie seit zwei Jahren unverändert einsetzen, sind Sie ab diesem Tag angreifbar. Ein automatisches wöchentliches Monitoring nimmt Ihnen diese Beobachtung ab.

Fazit

Die gute Nachricht aus unserer Messung: Deutsche Unternehmen pflegen ihre Websites besser als ihr Ruf. Der WordPress-Kern war fast überall aktuell.

Die schlechte: Das reicht nicht. Bei 43 Prozent der geprüften Seiten lag die Lücke in einer Erweiterung — an genau der Stelle, an der WordPress eben nicht automatisch für Sie mitdenkt. Und weil die Versionsnummern für jeden im Quelltext stehen, ist das keine theoretische Gefahr.

Der Aufwand, das zu ändern, ist überschaubar: einmal ausmisten, automatische Aktualisierungen einschalten, und danach regelmäßig prüfen lassen. Den ersten Schritt können Sie in der nächsten Minute machen — der kostenlose Website-Check sagt Ihnen in etwa 60 Sekunden, wie Ihre Seite dasteht. Wenn Sie darüber hinaus Fragen zu Ihren technischen Maßnahmen haben, sprechen Sie uns an: Erstgespräch buchen oder direkt über unser Kontaktformular.