WordPress und Joomla im Visier: Wie sicher sind Ihre Websites noch?

Die Unternehmenswebsite ist heute weit mehr als eine digitale Visitenkarte. Sie ist Vertriebskanal, Kommunikationsplattform und häufig der erste Berührungspunkt mit potenziellen Kunden. Umso gravierender sind die Folgen, wenn sie Ziel eines Cyberangriffs wird. 

Besonders Websites auf Basis von WordPress oder Joomla geraten immer wieder ins Visier von Angreifern. Im Juni und Juli 2026 häufen sich die Angriffe auf Websites mit diesem CMS (Content Management System) so stark, dass das australische Cybersicherheitszentrum ACSC sogar von einer globalen Angriffswelle spricht. Besonders betroffen sind kleine und mittelständige Unternehmen, aber eben nicht nur regional, sondern weltweit. Auch bei Webseiten, die professionell eingerichtet wurden, häufen sich solche Sicherheitswarnungen. Hinzu kommt eine neue Entwicklung: Moderne KI-Tools erleichtern es Cyberkriminellen, Schwachstellen schneller zu identifizieren und Angriffe effizienter zu automatisieren. 

Cyberkriminelle durchsuchen mithilfe automatisierter Programme gezielt tausende Websites nach bekannten Sicherheitslücken – beispielsweise in veralteten Plugins oder Komponenten der eingesetzten CMS-Version. Wird eine Schwachstelle gefunden, können sie Schadprogramme auf dem Server platzieren, die ihnen einen dauerhaften Zugriff ermöglichen. Dadurch lassen sich Websites manipulieren, sensible Daten auslesen, weitere Schadsoftware installieren oder im schlimmsten Fall sogar andere Systeme innerhalb des Unternehmensnetzwerks angreifen. Haben Sie beispielsweise einen Shop auf ihrer Website integriert, so können Kriminelle die Kontoinformationen ihrer Kunden auslesen und weiternutzen. 

Die gute Nachricht: Viele Sicherheitsvorfälle lassen sich durch konsequente Wartung und geeignete Schutzmaßnahmen vermindern. Doch nicht immer reichen diese Schutzmaßnahmen aus. 

Sind WordPress und Joomla grundsätzlich unsicher? 

Die kurze Antwort lautet: Nein. 

Sowohl WordPress als auch Joomla zählen weltweit zu den am häufigsten eingesetzten Content-Management-Systemen. Gerade aufgrund ihrer großen Verbreitung stehen sie besonders im Fokus von Cyberkriminellen. Die Open-Source-Logik der Unternehmen ist dabei ein zweischneidiges Schwert: 

Durch jahrelange Entwicklung und zahlreichen Updates und Verbesserungen ist das Grundsystem der Anwendung oft sehr sicher. Problematisch wird die Open-Source-Logik aber dann, wenn jede Person oder Internetpräsenz Inhalte erstellen kann und keine Sicherheitsgarantie bei externen Inhalten herrscht. 

Das eigentliche Problem liegt jedoch meist nicht im System selbst, sondern in veralteten Installationen, unsicheren Erweiterungen oder fehlenden Sicherheitsmaßnahmen. Nutzen Sie noch eine veraltete Version des Anbieters oder ein Theme (Design-Template), welches nicht mehr geupdatet wird, so steigen die Sicherheitsrisiken drastisch an. Bei Joomla ist davon aktuell vor allem der PageBuilder betroffen. Wordpress wird unter anderem durch alte Themes zum Sicherheitsrisiko. 

In den meisten Fällen werden Websites kompromittiert, weil: 

KI verändert auch die Welt der Cyberangriffe 

Künstliche Intelligenz unterstützt längst nicht mehr nur Unternehmen – auch Cyberkriminelle nutzen moderne Technologien für ihre Angriffe. 

Automatisierte Programme können heute innerhalb kurzer Zeit tausende Websites nach bekannten Schwachstellen durchsuchen. Mithilfe von KI lassen sich Angriffsmuster optimieren, Phishing-Nachrichten glaubwürdiger formulieren oder bekannte Sicherheitslücken deutlich schneller ausnutzen. 

Das bedeutet jedoch nicht, dass jede Website automatisch gefährdet ist. Vielmehr steigen die Anforderungen an eine kontinuierliche Pflege und Absicherung. 

Welche Folgen kann ein erfolgreicher Angriff haben? 

Viele Unternehmen unterschätzen die Auswirkungen eines Cyberangriffs auf ihre Website. 

Je nach Angriff können unter anderem: 

Neben finanziellen Schäden kann auch die Reputation eines Unternehmens erheblich leiden – insbesondere dann, wenn Kunden oder Geschäftspartner betroffen sind. 

Die häufigsten Sicherheitslücken 

In der Praxis zeigen sich immer wieder ähnliche Schwachstellen. Eine Analyse von Kinsta.com zeigt: Etwa 41 % der Angriffe werden durch Schwachstellen beim Hosting verursacht, über 50 % durch veraltete oder fehlerhafte Plugins. 

Veraltete Software 

Updates schließen bekannte Sicherheitslücken. Werden sie über längere Zeit nicht installiert, entstehen vermeidbare Risiken. 

Unsichere Plugins und Erweiterungen 

Nicht jede Erweiterung wird dauerhaft gepflegt. Besonders problematisch sind Plugins, die seit Jahren keine Updates mehr erhalten oder aus fragwürdigen Quellen stammen. 

Vor jeder Installation sollte geprüft werden, ob Erweiterungen regelmäßig aktualisiert werden und mit der aktuellen CMS-Version kompatibel sind. Wurde das Plugin oder die Erweiterung seit Jahren nicht mehr aktualisiert, so sollte davon abgesehen werden es zu installieren. Außerdem hilft es Plugins nur aus vertraulichen Quellen herunterzuladen, um sich nicht schon während der Installation einer Sicherheitslücke auszusetzen. 

Schwache Passwörter 

Noch immer gehören einfache Passwörter zu den häufigsten Einfallstoren. 

Lange, individuelle Passwörter sowie eine Zwei-Faktor-Authentifizierung erhöhen die Sicherheit erheblich. 

Zu viele Benutzerrechte 

Nicht jeder Mitarbeiter benötigt Administratorrechte. 

Ein durchdachtes Rollen- und Berechtigungskonzept reduziert das Risiko deutlich, falls Zugangsdaten kompromittiert werden. Je weniger Mitarbeiter alle Rechte besitzen, desto schwieriger wird es für Hacker an diese Adminrechte zu kommen und so unwiderruflichen Schaden anzurichten. 

So schützen Unternehmen ihre Website 

Eine sichere Website entsteht nicht durch eine einzelne Maßnahme, sondern durch das Zusammenspiel verschiedener Sicherheitsbausteine. 

Dazu gehören unter anderem: 

Ebenso wichtig ist es, nicht mehr benötigte Erweiterungen oder Benutzerkonten konsequent zu entfernen. 

Informieren Sie sich bei ihrem Anbieter, über den Sie das Webhosting beziehen, ob regelmäßige Virenscans vorgenommen werden. Bei manchen Modellen kann dies eine Zubuchoption sein. Bei einem Webhosting über die mps.agency wäre der tägliche Virenscan ein Teil des Basisangebots und direkt in ihrem Paket mit drin. Sie werden außerdem regelmäßig über gefundene Viren benachrichtigt und es werden sofort Maßnahmen zur Behebung des Problems vorgenommen. 

Sicherheit ist ein fortlaufender Prozess 

Cyberkriminelle entwickeln ihre Methoden kontinuierlich weiter. Entsprechend reicht es nicht aus, eine Website einmalig abzusichern. 

Regelmäßige Wartungen, Updates und Sicherheitsprüfungen sorgen dafür, dass bekannte Schwachstellen zeitnah geschlossen werden und neue Bedrohungen frühzeitig erkannt werden können. Wenn Sie sich nicht auf ihre eigenen Fähigkeiten verlassen wollen, hilft es immer eine Einschätzung von Experten zu erhalten. Auch Webseiten können durch Fachfirmen betreut und gewartet werden, damit Sicherheitslücken frühzeitig erkannt und behoben werden können. 

Fazit: Die größte Schwachstelle ist meist nicht das CMS als solches 

WordPress und Joomla gehören nach wie vor zu den meistgenutzten Anbietern und bieten kostenlose Content-Management-Systeme. Doch um zielführend vor Cyberangriffen schützen zu können, müssen sie regelmäßig gepflegt und vor allem professionell betreut werden. Regelmäßige Updates ersetzen keine Sicherheitsüberprüfung durch Fachleute. Sollten Sie also keine oder nur geringe Fachkenntnisse besitzen, ist es immer vorteilhaft sich professionell beraten zu lassen – bevor der Cyberangriff zur Realität wird.