UpdraftPlus-Sicherheitsvorfall
Ausgerechnet das Plugin, das eine WordPress-Seite schützen soll, wurde im Oktober 2026 zum Einfallstor: Über gestohlene Verbindungsschlüssel des Backup-Dienstes UpdraftPlus haben Angreifer Hintertüren auf WordPress-Seiten installiert. Auch in unserem Agenturalltag hatten wir damit zu tun. Ein Einblick, was passiert ist und welche Schritte danach anstehen.
Was bei TeamUpdraft passiert ist
Am Wochenende vom 17. auf den 18. Oktober 2026 verschafften sich Unbekannte Zugriff auf die Website teamupdraft.com, die Website des Herstellers von UpdraftPlus. Nach Angaben des Anbieters war vermutlich auch die Kundendatenbank betroffen. Darin liegen unter anderem Namen, E-Mail- und Rechnungsadressen, die Bestellhistorie, gehashte Passwörter und Einstellungen zur Zwei-Faktor-Authentifizierung. Das eigentliche Problem: Auch die Verbindungsschlüssel für UpdraftCentral wurden kompromittiert. Über diese Schlüssel schickt die zentrale Verwaltung Befehle an angebundene WordPress-Seiten, etwa um Updates einzuspielen oder Plugins zu installieren. Wer einen solchen Schlüssel hat, kann also Plugins hochladen, ohne sich je im Backend anzumelden. Genau das ist passiert. Ab dem 18. Oktober tauchten auf vielen Seiten unbekannte Plugins auf. Klassische Sicherheits-Plugins schlugen teils nicht an, weil die Befehle korrekt signiert waren und über eine eigentlich vertrauenswürdige Verbindung kamen. Ein Update von UpdraftPlus allein hilft deshalb nicht. Entscheidend ist, den Schlüssel zu löschen und die Seite zu prüfen.Entdeckung und Wiederherstellung
Auf einer betroffenen Seite waren über die UpdraftCentral-Verbindung drei fremde Plugins hochgeladen worden. Sie trugen harmlos klingende Namen: „Site Health Cache“, „Compress Works“ und „Speed Gantry“. Für die Wiederherstellung haben wir bewusst ein älteres Backup gewählt, obwohl neuere vorlagen. Ein Backup, das nach dem Angriff erstellt wurde, kann die Hintertür bereits enthalten. Lieber ein paar Tage Inhalte nachpflegen, als den Schadcode mit zurückzuspielen. Danach wurde abgeglichen, was sich seit dem Backup geändert hatte.Analyse: Was die Schad-Plugins konnten
Alle drei Plugins waren Hintertüren, über die man sich ohne reguläres Passwort im WordPress-Backend anmelden kann. Eines konnte zusätzlich einen neuen Administrator anlegen. Ein weiteres sollte einen Benutzer mit erweiterten Rechten erstellen, scheiterte aber an einem Programmierfehler. Den Quellcode haben wir gesichert und KI-gestützt analysiert. Wir fanden keine Funktionen, die Besucher angreifen, Formulareingaben abgreifen, auf fremde Seiten umleiten oder weitere Schadsoftware nachladen. Entscheidend war die Frage, ob die Hintertür tatsächlich genutzt wurde. Dafür haben wir die Access-Logs des Hosters ausgewertet. Es gab dabei keinen Nachweis einer erfolgreichen Anmeldung über die Hintertüren. Zusätzlich lief auf der Seite eine Web Application Firewall, die verdächtige Zugriffe womöglich schon vorher abgefangen hat. Trotzdem wurden alle Passwörter der WordPress-Benutzer geändert.Datenschutzbeauftragter mit im Boot
Ein kompromittiertes Plugin ist nicht nur ein technisches Problem, sondern möglicherweise eine Datenschutzverletzung nach DSGVO. Der Vorfall sollte deshalb direkt an den Datenschutzbeauftragten des Unternehmens gemeldet werden. Der Datenschutzbeauftragte bewertet, ob personenbezogene Daten betroffen sein könnten und ob eine Meldung an die Aufsichtsbehörde nötig ist. Dafür gilt nach Art. 33 DSGVO eine Frist von 72 Stunden ab Bekanntwerden. Diese Bewertung ist nur möglich, wenn die Fakten schnell und vollständig auf dem Tisch liegen. Typische Fragen, die dabei beantwortet werden müssen:- Seit wann war die Seite betroffen? Der Zeitraum lässt sich anhand der Upload-Protokolle eingrenzen und dokumentieren.
- Waren Besucher betroffen? Im beschriebenen Fall ergab die Code- und Log-Analyse keinen Hinweis darauf. Es gab kein Abgreifen von Eingaben, keine Umleitungen und keinen nachgeladenen Schadcode.
- Wurden Daten abgegriffen? Es gab keine Hinweise auf eine erfolgreiche Nutzung der Hintertüren. In der WordPress-Installation lagen zudem keine Kundendaten.
