Werbung

Unglaublich, aber wahr: Meine Webseite ist jetzt tatsächlich schon rund 20 Jahre am Start. Die längste Zeit hieß das für mich: die Plugins aktualisieren, gelegentlich Referenzen hinzufügen und wenn mich, den Gestaltungswille packt, auch mal die Positionierung und das Layout verschönern.
Ansonsten war das gefühlt fast ein Selbstläufer.

Doch KI verändert die Spielregeln von Webseiten

Und hier rede ich ausnahmsweise mal nicht über Auffindbarkeit und GEO. Sondern darüber, ob meine Seite überhaupt morgen noch im Netz existiert.

Woher kommt diese Gefahr?

Nie war es so leicht wie heute, eine Seite zu hacken. Früher erforderte das Handarbeit, und man hat sich als Angreifer sicherlich dreimal überlegt, welche Ziele dieser Mühe wert sind. Doch KI automatisiert inzwischen den ganzen Prozess. Mit dem Ergebnis, dass Bot-Schwärme durch das Internet jagen, die nichts Besseres zu tun haben als Seite für Seite durchzuprüfen, wo sie Schlupflöcher und Einfallswinkel finden, um ihr dunkles Werk zu verrichten.
Und das klingt genauso gemein und unangenehm, wie es ist!

Walk the Talk beim Thema Cyber Security

Als Moderatorin für Cyber Security spreche ich regelmäßig mit CISOs und Forschenden über Angriffsvektoren, Awareness und Notfallpläne. Hier heißt es immer: „Kein Ziel ist klein genug.“ Also habe ich mich selber dran gesetzt und geschaut: Wie sicher ist meine Seite eigentlich?
Und die erschreckende Wahrheit ist: Sie wird jeden Tag angegriffen.

Allein in den letzten 30 Tagen (Stand: 20. Oktober 2026) habe ich 919 Angriffe verzeichnet. Das sind rund 30 Versuche am Tag, Passwörter zu erraten, Schwachstellen zu finden oder sich anderweitig Zugang zu verschaffen. Abgewehrt hat sie ein Sicherheits-Plugin, das seit Juli auf der Seite läuft (Quelle: ReportedIP-Hive-Dashboard von carmen-hentschel.de, 30 Tage bis 20.10.2026).

Quellen: ReportedIP-Hive-Dashboard von carmen-hentschel.de (30 Tage bis 20.10.2026); Patchstack, State of WordPress Security in 2026

Angriffe können jeden treffen

Soweit zu mir. Und Hand aufs Herz: Hätte ich es nicht selber überprüft, hätte ich nie vermutet, wie vielen Attacken meine Webseite ausgesetzt ist. Und trotzdem höre ich immer wieder – gerade mit Selbstständigen und kleinen Unternehmen  – den Satz: „Wer sollte sich schon für meine Website interessieren?“ Die Antwort: Es muss sich niemand dafür interessieren. Ein Großteil der Angriffe läuft wie gesagt komplett automatisiert: KI Bots durchsuchen das Netz rund um die Uhr nach bekannten Schwachstellen, probieren Passwörter durch und klopfen an jede Login-Seite, die sie finden. Wem die Seite gehört? Spielt dabei keine Rolle.

WordPress ist schon wegen seiner Verbreitung ein naheliegendes Ziel.

Denn rund vier von zehn Websites weltweit laufen mit dem System (Quelle: W3Techs, Stand 2026). Aber ist das kritische Einfallstor für Angriffe selten WordPress selbst. Das Sicherheitsunternehmen Patchstack hat für 2025 insgesamt 11.334 neue Sicherheitslücken im WordPress-Umfeld gezählt. 91 Prozent davon steckten in den Plugins, also in den Erweiterungen von Drittanbietern, und nur 9 Prozent in Themes. (Quelle: Patchstack, State of WordPress Security in 2026).

Bemerkenswert ist vor allem das Tempo. Bei den am stärksten ausgenutzten Lücken lagen im Mittel nur fünf Stunden zwischen Veröffentlichung und erstem Angriff. Eben, schnell das Update auf die nächste Woche verschieben, weil diese Woche wieder so viel los ist. Das kann schnell zu spät sein.

Dazu kommt: Für 46 Prozent der Lücken gab es zum Zeitpunkt der Veröffentlichung noch gar kein Update vom Hersteller (Quelle: Patchstack, ebd.). Regelmäßig zu aktualisieren ist also wichtig, reicht aber allein nicht aus.

vWer jetzt vor meiner Login-Tür wacht

Seitdem ich mir professionelle Hilfe geholt habe, kann ich wieder ruhig schlafen. Mit der Münchner WordPress-Agentur CMS ADMINS des WordPress Spezialisten Patrick Schlesinger habe ich Jemand an meiner Seite, der sich bestens auskennt. Wichtig war mir tatsächlich nicht nur der Service, sondern auch eine Sicherheitslösung made in Germany.

Die Agentur bietet auch eine laufende WordPress-Wartung an, also Updates, Backups und Sicherheitsprüfungen, und hilft, wenn eine WordPress-Seite bereits gehackt wurde.

An der Login-Seite arbeitet das Plugin ReportedIP Hive. Es registriert fehlgeschlagene Anmeldeversuche und Scanner, die gezielt nach Schwachstellen suchen. Außerdem erkennt es sogenanntes Passwort-Spray, bei dem Angreifer ein gängiges Passwort bei vielen Benutzernamen ausprobieren. Auffällige IP-Adressen werden gesperrt. Dazu kommt eine Anmeldung mit zweitem Faktor (2FA), per Authenticator-App, Passkey oder E-Mail-Code.

Das Plugin wird in Deutschland entwickelt und betrieben, die Daten werden in der EU verarbeitet. Für Unternehmen, die auf die DSGVO achten müssen, ist das ein Vorteil. Der Grundschutz ist kostenlos und funktioniert ohne Konto (Quelle: Herstellerangaben).

Sharing is caring

Interessant ist das Netzwerk dahinter. Websites, die sich dem freiwilligen Community Network anschließen, teilen anonymisiert, von welchen IP-Adressen Angriffe ausgehen. Greift eine Adresse eine Seite im Netzwerk an, wird sie auch bei den anderen gesperrt, bevor sie dort ankommt. Eine Art Nachbarschaftswache fürs Internet.

Cyber Security betrifft nicht nur Konzerne und Behörden. Jede Website mit Login-Seite ist ein Ziel. 919 Angriffe in 30 Tagen auf die Seite einer Moderatorin zeigen, wie alltäglich das geworden ist.

Sie suchen für Ihre nächste Konferenz noch eine erfahrene Cyber-Security-Moderatorin?

E-Mail: kontakt@carmen-hentschel.de

Transparenzhinweis: ReportedIP stellt mir das Plugin ReportedIP Hive kostenfrei zur Verfügung. CMS ADMINS hat meine Website geprüft und abgesichert.