Zusammenfassung lesen
Wenn du nur eine Sache mitnimmst, dann diese: Ein Update von UpdraftPlus allein reicht nicht. Schau danach einmal nach, ob auf deiner WordPress-Website fremde Benutzer oder Plugins aufgetaucht sind.
Was ist passiert? Am Wochenende vom 17. auf den 18. Oktober 2026 hatten Unbekannte laut dem Hersteller TeamUpdraft Zugriff auf dessen Website und Kundendatenbank. Dort lagen auch Schlüssel für UpdraftCentral, die Fernverwaltung von UpdraftPlus. Laut der Sicherheitsfirma Patchstack wurden mit diesen echten Schlüsseln Schad-Plugins auf verbundenen Websites installiert. Diese Plugins legen einen versteckten Benutzer an, der wie ein Redakteur aussieht, aber Administratorrechte hat. Patchstack zählt 99 verschiedene Namen solcher Plugins. Wichtig: Es war keine Lücke im Programmcode, und Backups in deinem eigenen Speicher sind laut Hersteller nicht betroffen.
Am 19. Oktober kamen die Versionen 1.26.13 und 2.26.13. Sie machen die alten Schlüssel ungültig. Was schon installiert wurde, bleibt aber auf der Website.
Was dabei wichtig ist, ist Folgendes: Wer nur die kostenlose Version ohne Konto bei TeamUpdraft nutzt, muss laut Hersteller nur aktualisieren. Wer ein Konto hat, ändert dort sein Passwort. Und wer UpdraftCentral verbunden hatte, geht diese Schritte durch: UpdraftPlus auf mindestens 1.26.13 bringen, unter Einstellungen, UpdraftPlus, Erweiterte Werkzeuge, UpdraftCentral die alten Schlüssel löschen, dann Benutzer und Plugins nach Unbekanntem durchsuchen und die Passwörter der Administratoren ändern. Ein häufiges Schad-Plugin heißt laut Patchstack Site Health Cache.
Findest du etwas Fremdes, behandle die Website als übernommen und spiel ein sauberes Backup von vor dem 17. Oktober zurück. Das Schad-Plugin solltest du laut Patchstack nicht einfach in WordPress löschen, weil es dabei seine Spuren verwischt.
Und noch ein Blick lohnt sich: In der Search Console zeigt der Bericht Sicherheitsprobleme, ob Google auf deiner Website gehackte Inhalte gefunden hat.
Inhaltsverzeichnis
- Die wichtigsten Begriffe, einfach erklärt
- Was beim UpdraftPlus-Vorfall passiert ist
- Bin ich betroffen? Drei Fälle
- Was die Hintertür auf der Website anrichtet
- WordPress gehackt? So prüfst du deine Website
- Und was ist mit Google?
- Meine Einschätzung für kleine Unternehmen
- Häufige Fragen zum UpdraftPlus-Vorfall
- Fazit
- Quellen
Eine Tischlerei sichert ihre WordPress-Website seit Jahren mit dem Plugin UpdraftPlus. Diese Woche liest der Inhaber, dass über UpdraftPlus Hintertüren auf fremde Websites gelangt sind, und fragt sich: Bin ich betroffen? Ich habe doch nur Backups gemacht. Die Antwort hängt an einer einzigen Einstellung, die viele gar nicht kennen: der Fernverwaltung UpdraftCentral. Ich erkläre, was passiert ist, wer betroffen sein kann und wie du in zehn Minuten prüfst, ob auf deiner Website etwas Fremdes liegt.
Das Wichtigste in Kürze
- Vom 17. auf den 18. Oktober 2026 hatten Unbekannte laut dem Hersteller TeamUpdraft Zugriff auf dessen Website und Kundendatenbank. Dort lagen auch Schlüssel für die Fernverwaltung UpdraftCentral.
- Mit diesen Schlüsseln wurden laut der Sicherheitsfirma Patchstack Schad-Plugins auf verbundenen WordPress-Seiten installiert. Sie legen versteckte Benutzer mit Administratorrechten an.
- Es ist laut Patchstack keine Lücke im Programmcode von UpdraftPlus, sondern ein Missbrauch echter Schlüssel. Backups auf Google Drive, Dropbox und Co. sind laut TeamUpdraft nicht betroffen.
- Die Versionen 1.26.13 (kostenlos) und 2.26.13 (Premium) vom 19. Oktober 2026 machen die alten Schlüssel ungültig. Das Update entfernt aber nichts, was schon installiert wurde.
- Prüfe deshalb Benutzer und Plugins auf Unbekanntes und lösche übrig gebliebene UpdraftCentral-Schlüssel. Wer UpdraftCentral nie genutzt hat und kein Konto bei TeamUpdraft hat, muss laut Hersteller nur aktualisieren.
Die wichtigsten Begriffe, einfach erklärt
- UpdraftPlus: ein beliebtes Plugin, das Sicherungskopien (Backups) einer WordPress-Website anlegt. Laut wordpress.org läuft es auf mehr als 3 Millionen Websites.
- UpdraftCentral: eine Zusatzfunktion, mit der man mehrere Websites aus der Ferne verwalten kann, zum Beispiel Updates einspielen, ohne sich überall einzeln anzumelden. Agenturen nutzen das gern.
- Verbindungsschlüssel: eine Art digitaler Generalschlüssel. Wer ihn hat, darf der Website Befehle schicken, und die Website hält sie für echt.
- Hintertür (Backdoor): ein verstecktes Stück Programmcode, über das sich ein Angreifer später jederzeit wieder Zugang verschafft, ohne Passwort.
- Redakteur und Administrator: zwei Benutzerrollen in WordPress. Ein Redakteur darf Beiträge verwalten, ein Administrator darf alles, auch Plugins installieren.
Was beim UpdraftPlus-Vorfall passiert ist
Laut der Vorfallsmeldung von TeamUpdraft, der Firma hinter UpdraftPlus, hatten Unbekannte am Wochenende vom 17. auf den 18. Oktober 2026 Zugriff auf teamupdraft.com. Nach Angaben des Herstellers war vermutlich die Kundendatenbank betroffen: Namen, E-Mail- und Rechnungsadressen, Bestellungen, Passwörter (nur als verschlüsselte Prüfwerte gespeichert), Einstellungen zur Zwei-Faktor-Anmeldung und die Verbindungsschlüssel für UpdraftCentral, UpdraftVault und UpdraftClone. Kartendaten speichert TeamUpdraft laut eigener Aussage nicht.
Die Sicherheitsfirma Patchstack hat den Angriff am 19. Oktober 2026 ausgewertet. Danach hat ein Angreifer mit echten UpdraftCentral-Schlüsseln Befehle an verbundene WordPress-Seiten geschickt. Weil die Schlüssel echt waren, hielten die Seiten die Befehle für gültig und installierten ein fremdes Plugin. Patchstack zählt 99 verschiedene Namen solcher Schad-Plugins. Die erste Installation beobachtete Patchstack am 18. Oktober, die bisher letzte am Morgen des 19. Oktober.
Am 19. Oktober 2026 hat TeamUpdraft reagiert: Version 1.26.12 macht alle vorher erstellten UpdraftCentral-Cloud-Schlüssel ungültig, Version 1.26.13 korrigiert noch am selben Tag einen Fehler dabei. Laut TeamUpdraft hat wordpress.org das Update an alle Nutzer verteilt.
Was zeigt der Screenshot? Das Änderungsprotokoll von UpdraftPlus im offiziellen Plugin-Verzeichnis von WordPress. Im roten Rahmen steht der Eintrag vom 19. Oktober 2026: Version 1.26.12 widerruft UpdraftCentral-Cloud-Schlüssel, die vor dem Vorfall erstellt wurden, mit Verweis auf die Meldung des Herstellers. Darüber steht Version 1.26.13 mit dem Hinweis, dass der Widerruf nun richtig angewendet wird. Für dich heißt das: Steht in deinem WordPress eine ältere Version als 1.26.13, ist das der erste Handgriff.
Bin ich betroffen? Drei Fälle
Nicht jede Website mit UpdraftPlus ist gleich gefährdet. Entscheidend ist, ob die Website einen UpdraftCentral-Schlüssel hatte. Laut Patchstack steckt die Fernverwaltung in jeder Installation, schläft aber, bis ein Schlüssel angelegt wird. Das passiert, wenn man die Website mit einem UpdraftCentral-Dashboard oder mit einem Konto bei TeamUpdraft verbindet. Bei der Verbindung mit dem Konto war das Häkchen dafür laut Patchstack standardmäßig gesetzt. Manche Seiten hatten also einen Schlüssel, ohne dass der Inhaber je bewusst UpdraftCentral eingerichtet hat.
Nur kostenlose Version, kein Konto
Laut TeamUpdraft ist nichts weiter nötig. UpdraftPlus aktuell halten, also mindestens 1.26.13.
Konto bei TeamUpdraft
Passwort bei teamupdraft.com ändern, die Adresse dafür selbst eintippen. Das gleiche Passwort auch überall sonst ändern.
UpdraftCentral verbunden
Website gründlich prüfen: Benutzer, Plugins, Schlüssel. Die Schritte stehen weiter unten.
Vorsicht bei E-Mails
TeamUpdraft warnt vor unerwarteten E-Mails, die angeblich von der Firma kommen. Da Namen und E-Mail-Adressen abgeflossen sein können, sind gefälschte Nachrichten mit Links zu falschen Anmeldeseiten denkbar. Klicke keine Links in solchen Mails an, sondern rufe die Seite selbst im Browser auf.
Was die Hintertür auf der Website anrichtet
Laut Patchstack wartet das Schad-Plugin auf einen geheimen Aufruf. Kommt er, legt es einen versteckten Benutzer mit der Rolle Redakteur an und gibt ihm zusätzlich zwei Rechte, die sonst nur Administratoren haben: Einstellungen ändern und Plugins installieren. Danach meldet es den Angreifer direkt an. Dabei werden laut Patchstack die normale Anmeldung, die Zwei-Faktor-Anmeldung und Plugins gegen zu viele Anmeldeversuche umgangen. Der Benutzer bleibt bestehen, auch wenn das Plugin wieder gelöscht wird.
Was zeigt der Screenshot? Die offizielle Übersicht der Benutzerrollen in der WordPress-Dokumentation. Im roten Rahmen steht die Rolle Redakteur (Editor): jemand, der Beiträge veröffentlichen und verwalten darf, auch die anderer Nutzer. Plugins installieren oder Einstellungen ändern gehört nicht dazu. Genau deshalb fällt ein Redakteur in der Benutzerliste weniger auf als ein neuer Administrator. Wenn du einen Redakteur siehst, den du nicht kennst, ist das ein Alarmzeichen.
Die Kernaussage in einem Bild
Stell dir UpdraftCentral wie einen Hausmeisterschlüssel vor, den du beim Einzug der Verwaltung gegeben hast. Bei der Verwaltung wurde eingebrochen und die Schlüssel kopiert. Ein neues Schloss (das Update) sperrt den Dieb ab jetzt aus. Wer vorher schon drin war und sich ein Zimmer eingerichtet hat, ist damit aber noch nicht draußen. Deshalb musst du einmal durchs Haus gehen.
WordPress gehackt? So prüfst du deine Website
Die folgenden Schritte stammen aus den Empfehlungen von TeamUpdraft. Du brauchst nur einen Administrator-Zugang. Melde dich dafür direkt im WordPress deiner Website an (deinedomain.de/wp-admin), nicht über UpdraftCentral.
- 1
UpdraftPlus aktualisieren
Unter Plugins prüfen, ob mindestens Version 1.26.13 (kostenlos) oder 2.26.13 (Premium) installiert ist. Sonst jetzt aktualisieren.
- 2
Alte Schlüssel löschen
Unter Einstellungen, UpdraftPlus, Erweiterte Werkzeuge, UpdraftCentral die vorhandenen Verbindungsschlüssel löschen. Backups laufen laut Patchstack danach weiter, nur die Fernverwaltung stoppt.
- 3
Benutzer prüfen
Unter Benutzer jeden Administrator und jeden Redakteur ansehen. Unbekannte Konten entfernen. Patchstack nennt als Muster zwei Wörter plus zwei Ziffern, E-Mail-Adressen mit @example.org und den Anzeigenamen „Site Tools“.
- 4
Plugins prüfen
Unter Plugins nach allem suchen, was du nicht kennst, auch im Reiter „Must-Use“, falls er erscheint. Laut Patchstack heißt ein häufiges Schad-Plugin „Site Health Cache“, die Beschreibung lautet „Small maintenance toolkit: keeps option storage tidy.“
- 5
Passwörter ändern
Die Passwörter aller Administratoren neu setzen, dazu das Passwort bei teamupdraft.com, falls du dort ein Konto hast.
- 6
Im Zweifel zurückspielen
Ist etwas verdächtig, rät TeamUpdraft, ein Backup von vor dem 17. Oktober 2026 zurückzuspielen. Patchstack rät in diesem Fall, die Website als komplett übernommen zu behandeln.
Schad-Plugin nicht einfach in WordPress löschen
Laut Patchstack löscht das Schad-Plugin beim Entfernen über das WordPress-Menü seine eigenen Spuren. Patchstack rät, erst den UpdraftCentral-Schlüssel zu löschen, dann das Plugin nur zu deaktivieren und den Ordner per FTP aus dem Webverzeichnis zu verschieben. Wer damit nicht vertraut ist, holt sich hier besser Hilfe.
Auch die offizielle WordPress-Hilfe nennt neu angelegte Benutzer als klares Zeichen für einen Angriff. Sie empfiehlt außerdem, ruhig zu bleiben, aufzuschreiben, was man beobachtet, und vor dem Aufräumen noch eine Sicherung des jetzigen Zustands anzulegen.
Was zeigt der Screenshot? Die offizielle Hilfeseite von WordPress für gehackte Websites. Sie listet Anzeichen auf, an denen man einen Angriff erkennt, zum Beispiel Warnungen von Google oder eine vom Hoster gesperrte Website. Im roten Rahmen steht: Aktionen, die niemand genehmigt hat, etwa neu angelegte Benutzer. Beim UpdraftPlus-Vorfall ist genau das die wichtigste Spur.
Und was ist mit Google?
Eine Hintertür ist nicht nur ein Datenschutzproblem. Angreifer nutzen übernommene Websites oft für Spam-Seiten oder Weiterleitungen. Google zeigt solche Websites dann mit einer Warnung in den Suchergebnissen an. Ob Google bei deiner Website etwas gefunden hat, siehst du in der Search Console im Bericht „Sicherheitsprobleme“.
Was zeigt der Screenshot? Die deutsche Hilfe zur Google Search Console. Im roten Rahmen steht, was Google unter gehackten Inhalten versteht: alles, was ohne deine Erlaubnis auf deiner Website platziert wurde, meist über Sicherheitslücken. Google versucht laut eigener Aussage, solche Inhalte aus den Suchergebnissen zu entfernen. Steht dort eine Meldung, behebst du alle Probleme und stellst dann im Bericht einen Antrag auf Überprüfung.
Meine Einschätzung für kleine Unternehmen
Für Handwerker und Dienstleister, die nur die kostenlose UpdraftPlus-Version ohne Konto nutzen, ist laut Hersteller außer dem Update nichts nötig. Trotzdem würde ich jetzt einmal die zehn Minuten investieren: Version prüfen, UpdraftCentral-Schlüssel löschen, Benutzer und Plugins durchsehen. Wer eine Agentur oder einen Dienstleister hat, der Websites über UpdraftCentral verwaltet, sollte dort direkt nachfragen, ob die eigene Website verbunden war und geprüft wurde.
Der Fall zeigt außerdem etwas Grundsätzliches: Jede Fernverwaltung ist ein zusätzlicher Zugang zu deiner Website. Ich rate, nur die Verbindungen aktiv zu lassen, die wirklich genutzt werden. Mehr dazu steht in meiner Checkliste zur Website-Sicherheit. Und falls du diese Woche schon wegen der kritischen PHP-Lücke mit deinem Hoster gesprochen hast: Beide Fälle haben nichts miteinander zu tun, betreffen aber oft dieselben Websites.
Du willst das nicht selbst machen?
Wenn du dir bei Benutzern, Plugins oder Schlüsseln unsicher bist, schreib mir eine kurze Nachricht über die Kontaktseite. Dann schauen wir uns deine Website gemeinsam an.
Häufige Fragen zum UpdraftPlus-Vorfall
Sind meine Backups betroffen?
Laut TeamUpdraft nicht, sofern sie in deinem eigenen Speicher liegen, etwa Google Drive, Dropbox oder Amazon S3. Wurde die Website aber über UpdraftCentral angegriffen, rät der Hersteller, die Verbindung zum Speicher neu einzurichten und Zugangsschlüssel des Speichers zu ändern.
Reicht es, UpdraftPlus zu aktualisieren?
Nein. Das Update sperrt die alten Schlüssel, entfernt aber laut TeamUpdraft und Patchstack keine Benutzer oder Plugins, die schon angelegt wurden. Deshalb gehören die Prüfung von Benutzern und Plugins dazu.
Soll ich UpdraftPlus jetzt deinstallieren?
Das ist aus meiner Sicht nicht nötig. Laut Patchstack war es kein Fehler im Programmcode, sondern ein Missbrauch gestohlener Schlüssel. Wichtig ist, dass die Fernverwaltung nur aktiv ist, wenn du sie brauchst, und das Plugin aktuell bleibt.
Ich habe nie UpdraftCentral eingerichtet. Kann ich trotzdem betroffen sein?
Möglich, wenn du die Website irgendwann mit einem Konto bei TeamUpdraft verbunden hast, denn dabei war die Fernverwaltung laut Patchstack standardmäßig angehakt. Ob ein Schlüssel existiert, siehst du unter Einstellungen, UpdraftPlus, Erweiterte Werkzeuge, UpdraftCentral.
Fazit
Der UpdraftPlus-Vorfall ist kein Grund zur Panik, aber einer zum Nachsehen. Betroffen sind vor allem Websites, die über UpdraftCentral verbunden waren. Für alle gilt: UpdraftPlus auf mindestens 1.26.13 bringen, übrig gebliebene Schlüssel löschen und einmal Benutzer und Plugins durchgehen. Wer etwas Fremdes findet, sollte die Website als übernommen behandeln und ein sauberes Backup von vor dem 17. Oktober 2026 zurückspielen.
Quellen
- TeamUpdraft: Security incident October 2026, zuletzt aktualisiert am 23.10.2026 (englisch)
- Patchstack: Stolen UpdraftCentral Keys Are Backdooring WordPress Sites, 19.10.2026 (englisch)
- WordPress.org: UpdraftPlus im Plugin-Verzeichnis, Änderungsprotokoll, abgerufen am 23.10.2026 (englisch)
- WordPress.org: FAQ My site was hacked, Stand 26.07.2026 (englisch)
- WordPress.org: Roles and Capabilities, Stand 02.09.2026 (englisch)
- Search Console-Hilfe: Bericht „Sicherheitsprobleme“, abgerufen am 23.10.2026
