Supply-Chain-Angriff auf OptinMonster & Co.: 1,2 Mio. WordPress-Seiten betroffen

Veröffentlicht am 02.08.2026

Ihre Website hat möglicherweise völlig unbemerkt einen versteckten Administrator-Account und eine Hintertür bekommen – und das, obwohl Sie alles richtig gemacht und Ihre Plugins aktuell gehalten haben. Genau das ist die perfide Logik des Supply-Chain-Angriffs, der zwischen dem 12. und 15. Juni 2026 rund 1,2 Millionen WordPress-Websites bedrohte. Betroffen waren gleich drei sehr populäre Marketing-Plugins: OptinMonster, TrustPulse und PushEngage. Alle drei stammen vom US-Anbieter Awesome Motive. Und alle drei lieferten für kurze Zeit manipulierten Schadcode aus – nicht aus einer Sicherheitslücke im Plugin selbst, sondern über die Auslieferungsinfrastruktur des Herstellers.

In diesem Artikel erklären wir verständlich, was passiert ist, wer betroffen sein kann, wie Sie das konkret prüfen und was Sie jetzt tun müssen – inklusive der wichtigen DSGVO-Pflichten für deutsche Website-Betreiber.

Was ist passiert?

Angreifer haben nicht Ihre Website direkt attackiert, sondern die Lieferkette – daher der Begriff „Supply-Chain-Angriff“ (ein Angriff, bei dem eine vertrauenswürdige Quelle weiter oben in der Kette manipuliert wird, sodass der Schadcode automatisch an alle nachgelagerten Nutzer verteilt wird).

Der Ablauf in zwei Stufen:

1. Einstieg über eine andere Sicherheitslücke: Die Täter nutzten die kritische Schwachstelle CVE-2026-10795 (CVSS-Score 9.8 von 10 – „kritisch“) im weit verbreiteten Backup-Plugin UpdraftPlus aus, um Zugang zum Server der Awesome-Motive-Marketingwebsite zu bekommen. Auf diesem Server lag ein API-Schlüssel (ein digitaler Generalschlüssel für ein bestimmtes System) für das Content Delivery Network „BunnyNet“.
2. Manipulation der CDN-Skripte: Ein CDN (Content Delivery Network) ist ein Netzwerk von Servern, das Dateien schnell weltweit ausliefert. Mit dem gestohlenen Schlüssel manipulierten die Angreifer direkt die JavaScript-Dateien der drei Plugins, die von diesem CDN an Millionen Kundenseiten geladen werden.

Betroffen waren unter anderem diese Dateien: a.omappapi.com/app/js/api.min.js, a.trstplse.com/app/js/api.min.js und clientcdn.pushengage.com/sdks/pushengage-web-sdk.js. Der Schadcode wurde ans Ende der legitimen Datei angehängt – die Plugins funktionierten also weiterhin völlig normal, während im Hintergrund die Attacke lief.

„Dies ähnelt dem Polyfill-Supply-Chain-Angriff, den Sansec 2024 entdeckte: Man manipuliert eine einzige vorgelagerte Datei, und die Malware erreicht Tausende nachgelagerter Websites, ohne sie jemals einzeln zu berühren.“ – Sansec Forensics Team

Der technische Kern: Warum genau Administratoren die Opfer waren

Der eingeschleuste Code war extrem geschickt getarnt. Er blieb bei normalen Website-Besuchern vollständig inaktiv. Erst wenn ein eingeloggter WordPress-Administrator die Seite aufrief – erkennbar an wp-admin-Pfaden, der Admin-Leiste oder dem Login-Cookie – startete die Angriffskette:

• Diebstahl von Sicherheitstoken: Der Code sammelte sogenannte Nonces (einmalige Sicherheitscodes, mit denen WordPress berechtigte Aktionen absichert).
• Anlegen eines Schatten-Admins: Über vier verschiedene Fallback-Methoden legte das Skript ein neues Administrator-Konto an – entweder mit dem festen Namen developer_api1 (E-Mail: customer1usx@gmail.com) oder mit zufälligen Namen im Muster dev_xxxxxx (z. B. dev_3m6nyp).
• Installation einer Hintertür: Ein Backdoor-Plugin (versteckte Hintertür) wurde installiert – getarnt als „Content Delivery Helper“ (v2.7.1) oder „Database Optimizer“ (v2.9.4). Dieses Plugin versteckt sich aktiv vor der Plugin-Liste, der Benutzerliste und den Update-Checks im Dashboard.
• Datenabfluss: Die erbeuteten Zugangsdaten wurden verschlüsselt (XOR mit Schlüssel jX9kM2nP4qR6sT8v) an die Kontrollserver-Domain tidio.cc (IP 84.201.6.54) gesendet – eine Lookalike-Domain, die der legitimen tidio.com nachempfunden ist und bereits am 28. April 2026 registriert wurde. Ein klarer Hinweis auf eine langfristig geplante Operation.

Die Hintertür öffnete zwei unauthentifizierte Zugänge: eine Web-Shell (ein Fernsteuerungswerkzeug für den Server) über den Parameter ?developer_api1_fm und einen Code-Ausführungspunkt über developer_api1_eval. Damit hatte der Angreifer faktisch die volle Kontrolle über die betroffene Website.

Dave Jong, Security Research Lead bei Patchstack, bringt das Perfide auf den Punkt:

„Das ist kein CSRF und kein Plugin-Bug. Die schädlichen Anfragen tragen die legitime Sitzung des Administrators und einen legitimen Nonce, weil der Browser des Administrators selbst sie stellt. Der Administrator ist das Opfer, nicht der Angreifer. Eine Web Application Firewall kann einen Browser nicht daran hindern, ein kompromittiertes CDN-Skript zu laden.“

Wer ist betroffen?

Potenziell betroffen sind alle Websites, die eines der drei Plugins – OptinMonster, TrustPulse oder PushEngage – einsetzten und die manipulierten CDN-Skripte während des Expositionsfensters luden. OptinMonster allein hat über 1 Million aktive Installationen.

Wichtig zur Einordnung: Nur potenziell ausgesetzt waren rund 1,2 Millionen Seiten. Tatsächlich kompromittiert wurden nur jene, bei denen während des Zeitfensters ein Administrator eingeloggt war. Das Expositionsfenster war unterschiedlich lang:

• OptinMonster / TrustPulse: ca. 25 Minuten (12. Juni 2026, 22:17–22:42 UTC)
• PushEngage: mehrere Stunden, bis zur Bereinigung am 14. Juni 2026, 08:44 UTC

Patchstack blockierte zwischen dem 14. und 15. Juni 271 reale Exploit-Versuche auf 13 Websites von 81 verschiedenen IP-Adressen. Rund 60 Prozent des Traffics kam von mobilen Geräten – ein Beleg dafür, dass tatsächlich die Browser echter Administratoren die Angriffe auslösten, nicht ein zentraler Angreiferserver.

So prüfen Sie, ob Sie betroffen sind

Da sich die Hintertür aktiv im Dashboard versteckt, reicht ein Blick ins WordPress-Backend nicht aus. Vertrauen Sie dem Dateisystem, nicht der Anzeige im Admin-Bereich.

1. Administrator-Accounts prüfen: Unter Benutzer > Alle Benutzer nach dem Namen developer_api1 (E-Mail: customer1usx@gmail.com) und nach dem Muster dev_xxxxxx suchen. Solche Accounts sofort löschen.
2. Dateisystem prüfen (per FTP/SSH/Dateimanager): Im Verzeichnis wp-content/plugins/ nach den Ordnern content-delivery-helper und database-optimizer suchen.
3. Code durchsuchen: Mit grep oder einem Dateimanager in allen PHP-Dateien unter wp-content/ nach den Strings developer_api1_fm, developer_api1_eval und dem XOR-Schlüssel jX9kM2nP4qR6sT8v suchen.
4. Webserver-Logs prüfen: Das Zugriffslog (access.log) auf Verbindungen zu tidio.cc und der IP 84.201.6.54 im Zeitraum 12.–15. Juni 2026 (UTC) durchsehen. Auch auf POST-Anfragen an /wp-json/wp/v2/users, /wp-admin/user-new.php und /wp-admin/admin-ajax.php mit unbekannten Benutzernamen achten.
5. Server-seitigen Malware-Scan durchführen: Da das Payload nur für eingeloggte Admins auslöst, sind clientseitige Checks unzuverlässig. Nutzen Sie einen serverseitigen Scanner wie Sansec eComscan, Wordfence (mit Server-Scan) oder Imunify360.
6. Zeitfenster abgleichen: War eines der drei Plugins zwischen dem 12. und 14. Juni 2026 aktiv und war in diesem Zeitraum ein Administrator eingeloggt? Wenn beides zutrifft, behandeln Sie eine Kompromittierung als wahrscheinlich.

Das müssen Sie jetzt tun

1. UpdraftPlus aktualisieren: Bringen Sie das Backup-Plugin sofort auf Version 1.26.5 (kostenlos) bzw. 2.26.5 (Premium), um die Einstiegslücke CVE-2026-10795 zu schließen. Der Patch ist seit dem 5. Juni 2026 verfügbar.
2. Rogue-Accounts löschen: Alle identifizierten Konten (developer_api1, dev_xxxxxx) entfernen.
3. Backdoor-Plugin entfernen: Die Ordner content-delivery-helper und database-optimizer direkt im Dateisystem löschen – nicht über das Dashboard, da sie sich dort verstecken.
4. Vollständige Passwort- und Schlüsselrotation bei Kompromittierung: Alle Administrator-Passwörter ändern, die WordPress Security Keys/Salts in der wp-config.php erneuern (über den offiziellen Generator api.wordpress.org/secret-key/1.1/salt/), das Datenbank-Passwort ändern sowie alle API-Schlüssel und Anwendungspasswörter rotieren.
5. C2-Domain blockieren: tidio.cc und die IP 84.201.6.54 auf DNS- oder Netzwerkebene sperren.
6. Im Zweifel: sauberes Backup einspielen. Da die Hintertür unauthentifizierte Code-Ausführung erlaubt, können weitere Persistenzmechanismen existieren. Stellen Sie die Installation aus einem verifiziert sauberen Backup wieder her und prüfen Sie die Datenbank auf injizierte Inhalte.
7. Präventiv absichern: Zwei-Faktor-Authentifizierung (2FA) für alle Admin-Konten aktivieren, die Anzahl der Admin-Accounts minimieren, Plugins und Benutzer regelmäßig überprüfen sowie – wo möglich – Subresource Integrity (SRI) und eine Content Security Policy (CSP) für externe Skripte einsetzen.

Ein wichtiger Hinweis: Ein Plugin-Update der drei Marketing-Plugins ist als Schutz nicht erforderlich – und wäre auch keine Lösung gewesen. Da die Manipulation auf CDN-Ebene stattfand, schützte selbst ein vollständig aktualisiertes System nicht. Awesome Motive hat die CDN-Dateien bereinigt, den API-Schlüssel rotiert und die Marketingwebsite auf neue Infrastruktur migriert.

Was der Hersteller sagt

„Ein Angreifer nutzte eine bekannte Schwachstelle in einem Drittanbieter-Plugin (UpdraftPlus), um Zugang zum Server unserer Marketingwebsite zu erhalten. Dieser Server ist vollständig getrennt: andere Hosting-Umgebung, andere Infrastruktur als die Anwendungsserver, die OptinMonster und TrustPulse betreiben und Kundendaten speichern. Auf dem Marketingserver fand der Angreifer einen API-Schlüssel für unser CDN-Konto. […] Wir haben die Marketingseite inzwischen bereinigt, auf einen neuen Server migriert und alle Zugangsdaten rotiert, einschließlich des CDN-API-Schlüssels.“ – Awesome Motive (OptinMonster/TrustPulse)

Für PushEngage betont der Hersteller, dass die Anwendungsserver, der Quellcode und die Systeme mit den Account-Daten getrennt gehostet und nicht kompromittiert wurden.

DSGVO: Ihre Pflichten als Website-Betreiber

Hier liegt für deutsche Unternehmen ein entscheidender Punkt: Die Meldepflicht gilt für Sie als Website-Betreiber (Verantwortlichen), nicht für Awesome Motive. Die Tatsache, dass der Angriff über einen Drittanbieter erfolgte, entbindet nicht von der Verantwortung.

Sobald das Backdoor-Plugin installiert wurde, hatte der Angreifer potenziell Zugriff auf alle Dateien und die gesamte Datenbank – also Kundendaten, Bestelldaten, Kontaktformular-Einträge, Newsletter-Abonnenten. Das ist eine „Verletzung des Schutzes personenbezogener Daten“ im Sinne von Art. 4 Nr. 12 DSGVO.

• Meldepflicht (Art. 33 DSGVO): Bei einer Datenpanne müssen Sie diese unverzüglich, möglichst binnen 72 Stunden nach Kenntnisnahme, bei der zuständigen Landes-Datenschutzbehörde melden – es sei denn, ein Risiko für die Rechte und Freiheiten natürlicher Personen ist unwahrscheinlich. Bei unauthentifizierter Code-Ausführung ist von einem erheblichen Risiko auszugehen.
• Benachrichtigung der Betroffenen (Art. 34 DSGVO): Bei hohem Risiko müssen auch die betroffenen Personen unverzüglich informiert werden.
• Dokumentationspflicht (Art. 33 Abs. 5 DSGVO): Auch ohne Meldepflicht muss der Vorfall intern dokumentiert werden.
• Bußgeldrisiko (Art. 83 DSGVO): Verstöße gegen technische Schutzpflichten können mit bis zu 10 Mio. Euro oder 2 % des weltweiten Jahresumsatzes geahndet werden, schwerere Verstöße mit bis zu 20 Mio. Euro oder 4 %.

Einordnung: Warum dieser Fall so gefährlich ist

Der Vorfall ist als kritisch einzustufen – und das aus mehreren Gründen: Die Angriffsfläche ist mit 1,2 Millionen potenziell betroffenen Seiten enorm. Die Hintertür ist für Betroffene ohne aktive Prüfung nicht erkennbar. Ein aktualisiertes WordPress schützte nicht. Und die Ausnutzung ist real dokumentiert. Gerade für kleine und mittlere Unternehmen, die Conversion-Plugins wie OptinMonster einsetzen und selten dedizierte Sicherheitsressourcen haben, ist das eine ernste Bedrohung.

Zur Beruhigung: Wenn Sie keines der drei Plugins einsetzen oder wenn während des kurzen Expositionsfensters kein Administrator eingeloggt war, ist Ihr Risiko gering.

Fazit

Dieser Angriff zeigt eine unbequeme Wahrheit: Auch wer alles richtig macht und seine Software aktuell hält, kann über die Lieferkette getroffen werden. Der beste Schutz besteht aus mehreren Schichten – aktuelle Plugins, 2FA, minimale Admin-Rechte, serverseitiges Monitoring und, wo möglich, technische Absicherungen wie SRI und CSP für externe Skripte.

Handeln Sie jetzt: Aktualisieren Sie UpdraftPlus, prüfen Sie Ihre Benutzer- und Plugin-Ordner im Dateisystem, führen Sie einen serverseitigen Malware-Scan durch – und dokumentieren Sie den Vorgang für den Fall einer DSGVO-relevanten Meldung. Wenn Sie unsicher sind, ob Ihre Website betroffen ist oder wie Sie sie sicher bereinigen, holen Sie sich professionelle Unterstützung. Ein sauberes Backup und ein gründlicher Scan sind hier deutlich günstiger als ein Bußgeld und ein Reputationsschaden.