Wie gefährlich sind veraltete Plugins und ein altes CMS?

Warum alte Software das Hauptproblem ist

Viele Angriffe auf kleine Websites laufen automatisch: Programme durchsuchen das Netz nach Installationen mit bekannten Lücken. Google schreibt in Top ways sites get hacked, ältere Softwareversionen könnten Schwachstellen mit hohem Risiko haben, über die ein Angreifer die ganze Website übernehmen kann, und nennt veraltete oder ungepatchte Themes und Plugins eine wichtige Quelle für Lücken.

Die Sicherheitsorganisation OWASP führt das Thema in ihrer Liste der zehn wichtigsten Risiken unter A03:2025. Angreifbar ist danach, wessen Software verwundbar, nicht mehr unterstützt oder veraltet ist und wer Plattform und Abhängigkeiten nicht zeitnah aktualisiert.

Was alles veralten kann

Eine Update-Routine, die in eine Stunde im Monat passt

Ein fester Termin ist wichtiger als die genaue Häufigkeit. Die Schritte folgen den Empfehlungen aus der WordPress-Dokumentation; für andere Systeme gilt sinngemäß dasselbe.

• Vorher sichern: Dateien und Datenbank. Die WordPress-Dokumentation rät, vor automatischen Updates sicherzustellen, dass Sie zu einer früheren Fassung zurückkehren können.
• Updates einspielen, bei größeren Versionssprüngen einzeln nacheinander.
• Danach selbst prüfen: Startseite, eine Leistungsseite, das Kontaktformular mit einer Testanfrage, die Darstellung am Handy.
• Automatische Updates für Plugins nutzen, denen Sie vertrauen: WordPress bietet sie seit Version 5.5 je Plugin und Theme an, führt sie standardmäßig zweimal täglich aus und schickt eine Mail über Erfolg oder Fehlschlag.
• Aufräumen: Die Härtungsanleitung von WordPress empfiehlt, ein Plugin, das Sie nicht nutzen, vom System zu löschen. Deaktivierte Plugins liegen sonst weiter auf dem Server.
• Zugänge prüfen: ehemalige Mitarbeiter und Dienstleister entfernen, für Administratoren eine Zwei-Faktor-Anmeldung einrichten.

Die PHP-Version beim Hoster

Viele CMS laufen mit PHP. Jede PHP-Version wird nur eine begrenzte Zeit mit Sicherheitsupdates versorgt. Laut php.net gilt am 22.10.2026:

Vor dem Wechsel testen

Ältere Plugins und Themes laufen nicht immer mit einer neuen PHP-Version. Viele Hoster bieten eine Testumgebung oder lassen die Version je Website umstellen. Ändern Sie die Version, prüfen Sie die Seite gleich danach, und stellen Sie bei Fehlern kurzzeitig zurück, bis das betroffene Plugin ersetzt ist. Die Termine vergangener Versionen stehen in der Liste nicht mehr unterstützter Versionen.

Wenn ein Plugin nicht mehr gepflegt wird

Ein Plugin ohne Updates bleibt auch dann angreifbar, wenn Sie alles andere aktuell halten. Im Plugin-Verzeichnis von WordPress sehen Sie, wann ein Plugin zuletzt aktualisiert wurde und mit welcher WordPress-Version es getestet ist. Liegt das letzte Update lange zurück, suchen Sie einen gepflegten Ersatz oder prüfen, ob Sie die Funktion überhaupt noch brauchen. Jedes Plugin weniger ist eine mögliche Lücke weniger.

Wer kümmert sich?

Rechtlich bleibt die Verantwortung beim Betreiber: § 19 Abs. 4 TDDDG verlangt von Anbietern geschäftsmäßiger digitaler Dienste Vorkehrungen gegen unerlaubten Zugriff, soweit technisch möglich und wirtschaftlich zumutbar. Wer die Updates nicht selbst übernehmen will, vereinbart sie schriftlich mit einem Dienstleister, mit Rhythmus, Sicherung und Rückmeldung. Womit Sie dabei rechnen müssen, erklärt der Ratgeber der Webagentur Scherzinger zu den Kosten der Website-Betreuung.

Was der Sicherheits-Check von außen erkennt

Der Sicherheits-Check sieht nur, was Ihr Server jedem Besucher zeigt: eine WordPress-Version im Generator-Tag, Versionsnummern in den Server-Headern, eine PHP-Version, wenn der Server sie verrät, und bekannte veraltete JavaScript-Bibliotheken wie jQuery vor 3.5. Welche Plugins in welcher Fassung installiert sind, erkennt er in der Regel nicht. Ein grünes Ergebnis ersetzt deshalb nicht den Blick in den Admin-Bereich. Welche Schutzeinstellungen der Server zusätzlich setzen sollte, steht im Ratgeber HTTPS und Security-Header; was bei einem Befall zu tun ist, im Ratgeber Website gehackt.