Veröffentlicht am 05.07.2026
Alle 7 Sekunden wird irgendwo im Internet eine WordPress-Seite gehackt – rund 13.000 Websites täglich. Und die Angreifer haben derzeit leichtes Spiel: Eine aktuelle Untersuchung der IT-Sicherheits-Suchmaschine Censys hat über 59 Millionen öffentlich erreichbare WordPress-Installationen analysiert. Das Ergebnis ist ein Weckruf für jeden, der eine WordPress-Seite betreibt: 86 Prozent aller WordPress-Seiten sind veraltet und erhalten keine Sicherheitsupdates mehr. Gleichzeitig läuft im Netz eine aktive Angriffswelle, die genau diese vernachlässigten Seiten ins Visier nimmt.
Für deutsche Unternehmen ist das besonders relevant: Mit rund 1,92 Millionen WordPress-Websites steht Deutschland auf Platz 2 der weltweiten Rangliste – gleich hinter den USA. Wer hier nicht handelt, riskiert nicht nur eine verunstaltete Website, sondern im schlimmsten Fall eine meldepflichtige Datenpanne mit empfindlichen Bußgeldern.
Am 1. Juli 2026 veröffentlichte Censys eine umfassende Analyse unter dem Titel „Why Are WordPress Sites Still Running EOL PHP?“. Untersucht wurden über 59 Millionen WordPress-Installationen auf mehr als einer Million eindeutigen IP-Adressen. Die zentralen Erkenntnisse:
Parallel zu diesen Zahlen dokumentierte Censys im Juni 2026 eine aktive Angriffskampagne: Der Bedrohungsakteur „MR.GREEN“ hat mindestens 900 Websites mit der Nachricht „Hacked By MR.GREEN“ verunstaltet – ein sogenanntes Defacement, bei dem Angreifer die Startseite durch ihre eigene Botschaft ersetzen. Der Großteil der Opfer sind CMS-Systeme, vorwiegend WordPress. Ähnliche Angriffe werden bereits seit 2020 beobachtet, die Kampagne ist aber weiterhin aktiv.
Der Sicherheitsdienst GreyNoise identifizierte zudem 70 eindeutige IP-Adressen, die in den letzten 90 Tagen gezielt das Internet nach einer bestimmten Schwachstelle absuchen: dem xmlrpc.php-Endpunkt.
Die Datei xmlrpc.php ist eine sogenannte Legacy-API – also eine alte Schnittstelle, die in jeder WordPress-Installation standardmäßig aktiv ist. Sie wurde ursprünglich entwickelt, um WordPress aus der Ferne verwalten zu können, etwa über mobile Apps oder externe Dienste. Das Problem: Diese Schnittstelle ist ein beliebtes Einfallstor für Angreifer.
Anders als die normale Anmeldeseite (/wp-login.php) kennt xmlrpc.php in der Standardkonfiguration kein Rate-Limiting – also keine Begrenzung der Anmeldeversuche und keine Sperrung nach fehlgeschlagenen Logins. Angreifer können damit automatisiert tausende oder sogar Millionen von Passwortversuchen pro Tag durchführen, ohne blockiert zu werden. Das nennt man einen Brute-Force-Angriff – das systematische Durchprobieren von Passwörtern.
Besonders perfide ist die Methode „system.multicall“: Sie erlaubt es, hunderte Anmeldeversuche in einer einzigen HTTP-Anfrage zu bündeln. Das beschleunigt Angriffe um den Faktor 100 oder mehr und macht sie zugleich schwerer erkennbar, weil weniger einzelne Anfragen entstehen. Sicherheitsexperten sprechen hier von „Brute-Force-Amplification“.
Ein typischer Angriff läuft in fünf Schritten ab:
Zusätzlich lässt sich xmlrpc.php über die Pingback-Funktion für DDoS-Angriffe gegen Dritte missbrauchen – Ihre Website wird dann zum unfreiwilligen Werkzeug für Angriffe auf andere.
Censys bringt es auf den Punkt:
„MR.GREENs Kampagne ist eine Erinnerung daran, dass Angriffe nicht immer ausgefeilte Werkzeuge erfordern. Sie erfordern Geduld und ein Ziel, das mit der Wartung nicht Schritt gehalten hat. Die meisten Schwachstellen sind im großen Maßstab trivial ausnutzbar. Was sie gefährlich macht, ist eine Mischung aus veralteter Software und gelegentlichen Fehlkonfigurationen.“ (Censys)
Die Ursache liegt in der Architektur von Content-Management-Systemen. PHP-Updates führen häufig zu Inkompatibilitäten mit älteren Plugins – installiert man ein Update, funktioniert plötzlich ein wichtiges Plugin nicht mehr. Aus Angst, dass „etwas kaputtgeht“, schieben viele Administratoren Updates auf. Cybernews-Journalist Ernestas Naprys beschreibt das Phänomen treffend:
„Das Überspringen von WordPress-Updates ist eine weit verbreitete Epidemie, viele Administratoren fürchten, dass etwas kaputtgeht. Die meisten Seiten laufen mit alten Plugins, ungepatchtem PHP und veralteter Kernsoftware – und Hacker pflügen mit automatisierten Tools durch sie hindurch.“ (Cybernews)
Hinzu kommt: 91 Prozent aller WordPress-Schwachstellen stecken nicht im Kern, sondern in Plugins. Laut dem „State of WordPress Security in 2026“-Bericht von Patchstack wurden 2025 insgesamt 11.334 neue Schwachstellen im WordPress-Ökosystem entdeckt – ein Anstieg von 42 Prozent gegenüber dem Vorjahr. Hochgradig ausnutzbare Lücken stiegen sogar um 113 Prozent. Und besonders alarmierend: Der Zeitraum von der Veröffentlichung einer Schwachstelle bis zur ersten Massenausnutzung beträgt im Median nur fünf Stunden.
Potenziell jede WordPress-Seite, die eines der folgenden Merkmale aufweist:
Die Angriffe sind vollständig automatisiert. Botnets scannen kontinuierlich das gesamte Internet. Der Sicherheitsanbieter Wordfence blockiert monatlich 55 Millionen Exploit-Versuche und über 6,4 Milliarden Brute-Force-Angriffe. Ob Ihre Seite groß oder klein ist, spielt für die Angreifer keine Rolle – sie suchen schlicht nach verwundbaren Zielen.
Die gute Nachricht: Die meisten Risiken lassen sich mit überschaubarem Aufwand deutlich reduzieren. Gehen Sie diese Schritte durch:
Ein Defacement ist ärgerlich – aber die eigentliche Gefahr für Ihr Unternehmen liegt oft tiefer. Wird bei einem Angriff auf personenbezogene Daten zugegriffen (etwa Kontaktformular-Einträge, Kundendaten oder Bestellinformationen), liegt eine Datenpanne im Sinne von Art. 4 Nr. 12 DSGVO vor. Damit greifen mehrere Pflichten:
Bei Verstößen drohen Bußgelder von bis zu 10 Millionen Euro oder 2 Prozent des weltweiten Jahresumsatzes (Art. 83 Abs. 4 DSGVO). Dass Behörden hier durchgreifen, zeigen prominente Fälle: Die britische ICO verhängte 2020 gegen British Airways rund 22 Millionen Pfund wegen eines Hacks mit 400.000 betroffenen Kundendatensätzen und unzureichender IT-Sicherheit. Auch für kleinere Unternehmen gilt: Selbst ein moderates Bußgeld kann existenzbedrohend werden. Wichtig zu wissen: Jede Datenpanne muss gemäß Art. 33 Abs. 5 DSGVO intern dokumentiert werden – auch dann, wenn keine Meldepflicht besteht.
Die Zahlen sind eindeutig: 86 Prozent aller WordPress-Seiten sind veraltet, über 70 Prozent laufen auf ungepflegtem PHP, und die Angreifer nutzen genau diese Lücken bereits aktiv aus. Die MR.GREEN-Kampagne und die 70 xmlrpc.php-Scanner sind keine theoretische Bedrohung, sondern gelebte Realität – vollautomatisiert, rund um die Uhr, ohne Rücksicht auf die Größe Ihres Unternehmens.
Censys formuliert es unmissverständlich: „PHP-Upgrades sind keine optionalen Verbesserungen, sondern kritische Sicherheitspatches.“ Die entscheidende gute Nachricht bleibt jedoch: Sie haben es in der Hand. Ein aktuelles WordPress, eine unterstützte PHP-Version, deaktiviertes xmlrpc.php, Zwei-Faktor-Authentifizierung und eine Firewall reduzieren Ihr Risiko dramatisch. Diese Maßnahmen kosten wenige Stunden Arbeit – ein erfolgreicher Angriff kann Sie hingegen Kundenvertrauen, Umsatz und im schlimmsten Fall ein DSGVO-Bußgeld kosten. Handeln Sie jetzt, solange Sie noch selbst über den Zustand Ihrer Website entscheiden – und nicht ein Angreifer namens MR.GREEN.