WordPress-Sicherheit: echte Versionsstände statt Vermutungen

WordPress-Websites werden selten über eine ausgefeilte Lücke im Kern übernommen. Der übliche Weg ist unspektakulär: ein Plugin, für das seit Wochen eine Aktualisierung bereitliegt, wird von einem automatisierten Scanner gefunden und ausgenutzt. Die Lücke war öffentlich dokumentiert, die Behebung stand bereit — es hat nur niemand eingespielt.

Von außen ist dieser Zustand nicht feststellbar. Eine gut gewartete und eine seit Monaten unberührte Installation sehen von der Straße aus identisch aus. Deshalb gibt es den Tutador-Konnektor als WordPress-Plugin.

Was der Konnektor beantwortet

18 der insgesamt 22 Kriterien prüfen wir allein mit Ihrer Domain. Für diese 4 braucht es den Blick ins System:

• Aktualität von CMS und Erweiterungen Konnektor

  Der Konnektor meldet uns, ob für Ihr Redaktionssystem und dessen Erweiterungen Aktualisierungen bereitliegen. Veraltete Erweiterungen sind der häufigste Einbruchsweg.

• Absicherung des Redaktionssystems Konnektor

  Der Konnektor meldet Einstellungen wie Fehlersuchmodus, eingebauten Dateieditor und Zwei-Faktor-Anmeldung. Sie entscheiden darüber, was ein übernommenes Redaktionskonto anrichten kann.

• Bekannte Schwachstellen in installierter Software Konnektor zählt nicht für das Siegel

  Wir gleichen das gemeldete Softwareverzeichnis mit Datenbanken veröffentlichter Sicherheitslücken ab — und mit dem CISA-Katalog nachweislich ausgenutzter Schwachstellen. Was dort steht, wird gerade wirklich angegriffen.

• Anzeichen für Schadsoftware (Dateiintegrität) Konnektor zählt nicht für das Siegel nur WordPress

  Der Konnektor vergleicht Ihre Kerndateien mit den offiziellen Prüfsummen von WordPress.org. Abweichungen und PHP-Dateien im Uploads-Ordner deuten auf eingeschleusten Fremdcode hin.

Echte Versionsstände, kein Raten

Das Plugin meldet einmal täglich, welche WordPress-Version läuft, welche Plugins und Themes installiert sind und für welche davon eine Aktualisierung bereitliegt. Das sind die Angaben, die WordPress selbst im Verwaltungsbereich anzeigt — nur eben zuverlässig überwacht, statt beim nächsten Anmelden zufällig bemerkt.

Abgleich mit Wordfence Intelligence

Ausstehende Aktualisierungen sind das eine. Wichtiger ist, ob eine installierte Version eine bekannte, veröffentlichte Schwachstelle trägt. Dafür gleichen wir das gemeldete Bestandsverzeichnis mit dem Schwachstellen-Datenbestand von Wordfence Intelligence ab, der WordPress- Kern, Plugins und Themes abdeckt. Der Abgleich läuft auf unserem Server; Ihr System spricht mit niemandem außer mit uns. Sobald eine Lücke veröffentlicht wird, die Ihre Version betrifft, taucht sie beim nächsten Lauf im Ergebnis auf — mit Kennung und Schweregrad.

Priorisiert nach dem, was wirklich angegriffen wird

Ein Schweregrad allein sagt nicht, wie dringend etwas ist. Deshalb gleichen wir jede gefundene Lücke zusätzlich mit dem Katalog bekannter ausgenutzter Schwachstellen ab, den die US-Cybersicherheitsbehörde CISA (Teil des U.S. Department of Homeland Security) führt. Dort stehen ausschließlich Lücken, deren Ausnutzung tatsächlich beobachtet wurde. Steht eine Ihrer Komponenten darin, führen wir sie immer als Mangel — auch wenn ihre technische Punktzahl niedrig ausfällt.

Ergänzend nennen wir die vom Exploit Prediction Scoring System (FIRST.Org) geschätzte Wahrscheinlichkeit, dass eine Lücke in den nächsten 30 Tagen ausgenutzt wird. Diese Schätzung ordnet ein, verschärft aber nie eine Bewertung — eine Wahrscheinlichkeit ist keine Feststellung. Alle Datenquellen im Detail

Dateiintegrität gegen die Prüfsummen von WordPress.org

WordPress.org veröffentlicht für jede Version eine Prüfsummenliste aller Kerndateien. Der Konnektor bildet die Prüfsummen Ihrer Installation und vergleicht sie damit — derselbe Mechanismus, den auch wp core verify-checksums verwendet. Weicht eine Kerndatei ab oder liegt dort eine PHP-Datei, die in der offiziellen Liste gar nicht vorkommt, ist das ein starkes Anzeichen für eingeschleusten Fremdcode.

Zusätzlich sehen wir uns den Uploads-Ordner an. Dort gehören Bilder und Dokumente hin, niemals ausführbarer Code. Eine PHP-Datei unter wp-content/uploads/ ist einer der häufigsten Funde nach einem erfolgreichen Einbruch: Sie dient als Hintertür, die auch ein späteres Passwortändern überlebt.

Absicherung des Redaktionssystems

Der Konnektor meldet außerdem Einstellungen, die darüber entscheiden, was ein übernommenes Redaktionskonto anrichten kann: Fehlersuchmodus, eingebauter Dateieditor, XML-RPC, Auslesbarkeit von Benutzernamen über die REST-Schnittstelle, Datenbankpräfix, erzwungenes HTTPS und automatische Kernaktualisierungen.

Was das Plugin überträgt — und was nicht

Ausschließlich technische Bestands- und Konfigurationsdaten. Keine Inhalte, keine Benutzernamen, keine E-Mail-Adressen, keine personenbezogenen Daten; von Konten wird lediglich die Anzahl der Administratoren gezählt. Das Plugin lädt keinerlei externe Ressourcen und öffnet keine eingehende Schnittstelle: Es meldet ausgehend und verschlüsselt an unsere Adresse, mehr nicht. Die Verarbeitung findet in Deutschland statt. Der Konnektor ist im Tarif enthalten und kostet nichts extra.

Ohne Konnektor bleiben die genannten Kriterien ausdrücklich „nicht geprüft“ — Siegel und Versicherungsnachweis gibt es auch dann, sie stützen sich dann eben nur auf die Prüfung von außen. Für TYPO3 gibt es eine eigene Extension mit einem ehrlich kleineren Leistungsumfang; die vollständige Liste der Kriterien steht unter Website-Sicherheit.

Jetzt kostenlos prüfen