WordPress-Plugins auf Sicherheitslücken prüfen (kostenlos)

Das Wichtigste

2025 wurden 11.334 neue WordPress-Lücken gemeldet, 91 Prozent davon in Plugins.
46 Prozent hatten bei ihrer Veröffentlichung noch keinen Fix. Updates allein reichen also nicht immer.
Bei stark angegriffenen Lücken lag der gewichtete Median bis zum ersten Angriff bei 5 Stunden.
Auch deaktivierte Plugins sind ein Risiko. WordPress selbst rät, sie zu löschen.
Plugins nur aus offiziellen Quellen installieren, nie als „nulled“ Raubkopie.

Warum Plugins die Schwachstelle sind

Der WordPress-Kern ist selten das Problem. Von den 11.334 Lücken, die 2025 gemeldet wurden, steckten nur sechs im Kern, alle mit niedriger Priorität. 91 Prozent betrafen Plugins und 9 Prozent Themes (Patchstack, State of WordPress Security in 2026, Englisch). Jedes Plugin ist Code von einem anderen Entwickler mit eigenem Update-Rhythmus. Und Angriffe kommen schnell: Bei den am stärksten angegriffenen Lücken lag der gewichtete Median bis zum ersten Angriff bei fünf Stunden, und etwa die Hälfte der schweren Lücken wurde innerhalb von 24 Stunden ausgenutzt. Warum das immer schlimmer wird, steht im Überblick zu WordPress-Sicherheitslücken.

Schritt 1: Plugins und Versionen auflisten

Geh in WordPress auf Plugins, Installierte Plugins. Dort siehst du jedes Plugin, ob es aktiv ist, und seine Version. Eine kompakte Liste findest du unter Werkzeuge, Website-Zustand, Reiter „Bericht“, in den Abschnitten zu aktiven und inaktiven Plugins. Dort stehen auch Autor und ob automatische Updates eingeschaltet sind (Doku zum Website-Zustand, Englisch).

Schritt 2: Mit einer Lückendatenbank abgleichen

In diesen Datenbanken kannst du kostenlos nach dem Namen eines Plugins suchen:

Datenbank	Was du kostenlos bekommst
Patchstack Database	Offene Lückendatenbank mit Suche über Plugins, Themes und Kern
Wordfence Intelligence	Kostenlose Lückendatenbank der Wordfence-Macher, im Browser durchsuchbar
WPScan	Durchsuchbare Liste von Plugin-Lücken. Die kostenlose Schnittstelle erlaubt 25 Abfragen am Tag für nicht-kommerzielle Zwecke

Die US-Datenbank NVD hilft hier wenig. Seit April 2026 bewertet sie nur noch vorrangige Lücken, die meisten Plugin-Einträge bleiben ohne Einstufung (NIST, Englisch).

Schritt 3: Automatisch prüfen lassen

Von Hand prüfen klappt einmal. Für dauerhaften Schutz gleicht ein Scanner-Plugin deine Plugins jeden Tag mit einer Datenbank ab. Was die Gratis-Versionen laut ihren Seiten auf WordPress.org enthalten:

Plugin	Gratis-Version	Kostet extra
Wordfence	Prüft auf bekannte Lücken, warnt bei geschlossenen oder aufgegebenen Plugins	Firewall-Regeln und Malware-Signaturen in Echtzeit (gratis: 30 Tage verzögert)
Patchstack	Findet Lücken in Plugins, Themes und Kern, Übersicht für bis zu 3 Seiten, Warnung per E-Mail	Virtuelle Patches, 5 Dollar pro Seite und Monat
Jetpack Protect	Tägliche Prüfung von WordPress, Plugins und Themes mit Daten von WPScan	Malware-Scan, sofortige Warnungen, Firewall
Solid Security Basic	Prüft viermal täglich auf bekannte Lücken	Automatisches Patchen

Ein Scanner reicht, er ist ja selbst wieder ein Plugin. Das eigenständige WPScan-Plugin lässt du weg: Es wird für Kunden ohne Enterprise-Vertrag nicht mehr aktiv gepflegt und verweist selbst auf Jetpack Protect (Seite des WPScan-Plugins, Englisch).

Schritt 4: Auf zwei Warnungen bei WordPress.org achten

Öffne für jedes Plugin seine Seite im Verzeichnis von WordPress.org. Zwei Hinweise sind ein Signal zum Handeln (Plugin-Handbuch von WordPress.org, Englisch):

Das Plugin wurde geschlossen („This plugin has been closed“), oft mit Grund. Einer der offiziellen Gründe ist „Security Issue“, also ein Sicherheitsproblem. Ein geschlossenes Plugin bekommt über WordPress.org keine Updates mehr, also ersetzt du es.
Nicht mit den letzten drei Hauptversionen getestet („hasn't been tested with the latest 3 major releases of WordPress“). WordPress.org schreibt dazu, dass es womöglich nicht mehr gepflegt wird. Such dir eine Alternative, die aktiv weiterentwickelt wird.

Schritt 5: Aufräumen und Updates automatisieren

Löschen, was du nicht nutzt. Deaktivieren reicht nicht, der Code bleibt auf dem Server. Der Website-Zustand von WordPress warnt, dass inaktive Plugins verlockende Ziele für Angreifer sind, und die offizielle Härtungs-Anleitung rät, ungenutzte Plugins zu löschen (Anleitung, Englisch).
Automatische Updates einschalten. Seit WordPress 5.5 geht das für jedes Plugin einzeln, in der Spalte für automatische Aktualisierungen unter Plugins. WordPress prüft zweimal am Tag und schickt dir eine E-Mail zum Ergebnis (WordPress.org, Englisch).
Aufgegebene Plugins ersetzen, bevor sie zum Problem werden, nicht danach.
Keine Raubkopien. Eine Studie der Georgia Tech über 410.122 WordPress-Seiten fand 47.337 bösartige Plugin-Installationen auf 24.931 Seiten. 8.525 davon waren „nulled“, also geknackte Kopien kostenpflichtiger Plugins (USENIX ;login:, Englisch).

Was tun, wenn ein Plugin eine bekannte Lücke hat?

Es gibt einen Fix: sofort aktualisieren, nicht erst beim nächsten Wartungstermin.
Es gibt noch keinen Fix: Plugin deaktivieren und löschen, Alternative suchen. Firewall-Dienste wie Patchstack oder Wordfence können bekannte Angriffe in der Zwischenzeit abfangen („virtuelles Patchen“).
Anzeichen, dass die Lücke schon ausgenutzt wurde: dann gilt WordPress gehackt: was jetzt zu tun ist.

Aufräumen lohnt sich auch vor dem nächsten PHP-Wechsel, denn ältere Plugins sind oft nicht auf neue PHP-Versionen vorbereitet. Mehr dazu in PHP-Version prüfen und aktualisieren.

Oder: weniger Plugins zum Prüfen

Das sicherste Plugin ist das, das du nicht brauchst. Auf ShiftPress sind Dinge, für die WordPress meist je ein Plugin braucht, etwa Formulare, Cookie-Banner, SEO-Grundlagen und Übersetzungen, Teil der Plattform, und jede Seite wird als fertiges HTML über Cloudflare ausgeliefert. Es gibt keine Plugin-Liste, die du prüfen musst. Mehr dazu in warum sich WordPress nach Arbeit anfühlt.

Mehr zur WordPress-Sicherheit

WordPress-Sicherheitslücken: warum veraltete Seiten gehackt werden (der Überblick)
WordPress gehackt: was jetzt zu tun ist (Schritt für Schritt)
PHP-Version prüfen und aktualisieren (sicher, mit Test vorher)
PHP2Shell: die kritische PHP-Sicherheitslücke vom Oktober 2026 (aktuell)

Keine Plugin-Liste, die du prüfen musst.

ShiftPress zieht deine WordPress-Seite auf schnelle statische Seiten um, die Aussehen und Rankings behalten. Danach kümmern wir uns um die Seite und setzen deine Änderungen um. Starte mit einem kostenlosen Blick auf deine Website.

Website umziehen ↗

Häufige Fragen

Wie oft sollte ich meine Plugins prüfen?

Mit einem Scanner-Plugin läuft die Prüfung täglich oder öfter. Ohne Scanner solltest du mindestens einmal im Monat prüfen, und immer dann, wenn eine größere WordPress-Lücke in den Nachrichten ist.

Reicht es, automatische Updates einzuschalten?

Das hilft viel, aber nicht ganz. 46 Prozent der 2025 gemeldeten Lücken hatten bei ihrer Veröffentlichung noch keinen Fix, und geschlossene Plugins bekommen gar keine Updates mehr. Du musst also trotzdem wissen, welche Plugins betroffen sind.

Sind deaktivierte Plugins gefährlich?

Sie können es sein. Beim Deaktivieren bleibt der Code auf dem Server. Der Website-Zustand von WordPress warnt selbst, dass inaktive Plugins verlockende Ziele für Angreifer sind, und empfiehlt, sie zu entfernen.

Welches Sicherheits-Plugin ist das beste?

Das eine beste gibt es nicht. Wordfence, Patchstack, Jetpack Protect und Solid Security prüfen schon in der Gratis-Version auf bekannte Lücken. Nimm eines, das zu dir passt, und installier nicht mehrere gleichzeitig.

Sind Premium-Plugins sicherer als kostenlose?

Nicht automatisch. Im Patchstack-Report 2026 betrafen 29 Prozent aller Lückenmeldungen Premium-Komponenten, und 76 Prozent davon ließen sich in echten Angriffen ausnutzen.

Was ist ein „nulled“ Plugin?

Eine Raubkopie eines kostenpflichtigen Plugins, die gratis angeboten wird. Eine Studie der Georgia Tech über 410.122 WordPress-Seiten fand 8.525 solcher Kopien unter 47.337 bösartigen Plugin-Installationen. Installier Plugins nur von WordPress.org oder direkt vom Entwickler.

Fazit

Über Plugins werden WordPress-Seiten gehackt. Wisse, was installiert ist, lass einen Scanner es täglich mit einer Lückendatenbank abgleichen, lösch, was du nicht nutzt, und ersetz, was niemand mehr pflegt. Je weniger Plugins du betreibst, desto weniger musst du im Blick behalten.

Quellen: Patchstack, Plugin-Handbuch von WordPress.org, WordPress.org, automatische Updates, WordPress-Härtungsanleitung, NIST, USENIX ;login:.