Schwere See in der WordPress Welt

Wenn Sie Rank Math nutzen und in den letzten Tagen einmal auf „Help & Support" geklickt haben, dann hat Ihre Website ein Administrator-Passwort an einen Konzern in den Niederlanden geschickt. Sie wurden nicht gefragt. Das Passwort lief nicht ab. Und Sie haben es bis heute vielleicht nicht bemerkt.

Jetzt die unbequeme Pointe: Wären über diesen Zugang Kundendaten abgeflossen, hätte nicht der Hersteller das Problem gehabt, sondern Sie. Verantwortlicher im Sinne der DSGVO ist, wer über die Verarbeitung entscheidet, und das ist bei Ihrer Website nicht group[.]one, sondern Sie. Ein Plugin, das sich stillschweigend Admin-Rechte nimmt, verschiebt die Haftung nicht. Es erhöht sie nur.

Lange war die Plugin-Welt ein ruhiger Hafen: suchen, installieren, vergessen. Diese Zeit ist vorbei. Die See wird rauher, und der Wind kommt aus mehreren Richtungen: Angriffe auf die Lieferkette, ein Markt in wenigen Konzernhänden, KI-Agenten mit Admin-Rechten. Dazu verliert WordPress erstmals seit Jahren Marktanteile. Als betrieblicher Datenschutzbeauftragter und Digitalisierungsberater sage ich Ihnen unumwunden: Wenn Ihre Website Umsatz trägt und Kundendaten verarbeitet, ist Ihre Plugin-Liste kein IT-Thema. Sie ist ein Lieferantenrisiko mit Ihrem Namen auf der Rechnung.

Was in Ihrem Maschinenraum passiert ist

Am 28. August veröffentlichte der Entwickler Sybre Waaijer einen Tweet, der sich wie ein Sicherheitsbericht liest. Er war einer. (Waaijer ist Gründer von The SEO Framework und damit Konkurrent von Rank Math. Das gehört fairerweise dazu.)

Version 1.0.277 von Rank Math, installiert auf über vier Millionen Websites, erschien am 26. August und schloss rund ein Dutzend Sicherheitslücken. Tage zuvor war eine Remote-Code-Execution-Lücke bekannt geworden, Sie hatten also gute Gründe, sofort zu aktualisieren. Im selben Paket steckte eine neue Komponente (vendor/groupone/wap-client/…). Öffneten Sie „Help & Support", erzeugte das Plugin ohne Rückfrage ein WordPress Application Password und sandte es an den Mutterkonzern group[.]one. Ein KI-Agent erhielt damit Zugriff mit Ihren Rechten, im Regelfall Administrator. Das Passwort hieß „WAP Rank Math Support Agent", lief nicht ab und wurde beim Schließen des Bereichs nicht widerrufen. Ein Schlüssel unter der Fußmatte, mit Namensschild.

Und Sie hatten keine Wahl: Sicherheitsupdates gab es nur im Bündel mit der neuen Funktion. Ein Paket, das man nicht schnüren darf.

Application Passwords sind eigentlich ein gutes Feature: widerrufbare Zugangsdaten, freigegeben per Autorisierungsabfrage. Erst informieren, dann zustimmen, dann Zugriff geben. Genau dieser Ablauf wurde übersprungen. Die Plugin-Richtlinien von WordPress.org verlangen für externe Serverkontakte ein ausdrückliches Opt-in. Wer Passwörter überträgt, bevor die Zustimmungsbox erscheint, verletzt den Geist dieser Regeln, aus Datenschutzsicht auch ihre Substanz.

Rank Math reagierte schnell: Das Feature wurde pausiert und mit 1.0.277.2 entfernt, erzeugte Passwörter werden bereinigt. Der Zustimmungsprozess sei „nicht klar genug" gewesen; die Zugangsdaten seien verschlüsselt, nicht gespeichert, der Agent lese nur. Der Support-Agent kommt nach einem Neuaufbau zurück. Übersetzt: Die Idee bleibt. In seiner Erwiderung vom 1. September hielt Waaijer dagegen: „verschlüsselt" heiße hier nur Transportverschlüsselung, und ein Application Password kennt keine Lesebeschränkung. Wer den Schlüssel hat, hat den Login, ganz ohne Chatbot. Die Chronologie bei The Repository zeigt, warum beide aneinander vorbeireden: Der eine verteidigt seine Absicht, der andere kritisiert die Architektur.

Merksatz: Gute Absichten sind kein Sicherheitskonzept und im Haftungsfall kein Argument. Es zählt, welche Rechte technisch vergeben wurden und wie schnell Sie sie zurückholen.

Warum das kein Ausrutscher war

Vier Entwicklungen verändern Ihr Risiko dauerhaft. Einzeln sind es Betriebsunfälle. Zusammen sind sie eine Strömung.

1. Die Angriffe treffen nicht Ihre Website, sondern Ihre Lieferanten. Im April schloss WordPress.org 31 Plugins von „Essential Plugins" (400.000+ Installationen), nachdem ein Angreifer den Anbieter samt Kundenstamm gekauft und eine schlafende Hintertür für SEO-Spam aktiviert hatte (The Next Web). Der Firmenkauf als Einbruchswerkzeug. Im Frühjahr wurden Premium-Updates von ShapedPlugin kompromittiert, gestohlen wurden Zugangsdaten und 2FA-Secrets auf über 400.000 Websites (SecurityAffairs). Im Juni verteilte ein gestohlener CDN-Schlüssel von Awesome Motive (Konzern hinter WPForms, MonsterInsights und über 30 Marken) manipuliertes JavaScript an rund 1,2 Millionen Websites (The Repository). Im August vergiftete ein Angriff auf BdThemes einen JSON-Datenstrom und legte heimlich Administrator-Konten an (The Hacker News). Anfang August warf Waaijer bereits WPForms Lite vor, Admin-Tokens an einen externen Server zu senden.

Merksatz: Ihre Website ist nur so sicher wie das schwächste Unternehmen, dem Sie Update-Rechte gegeben haben. Zehntausende Plugins im Verzeichnis werden seit Jahren nicht mehr gepflegt, und „ungepflegt" ist im Schadensfall ein Auswahlverschulden.

2. Ihre „unabhängige" Auswahl ist oft nur die Schwestermarke. group[.]one bündelt WP Rocket, WP Media, Rank Math, Imagify und BackWPup; Awesome Motive verwaltet über 30 Produkte. Wie wenig Konzerngröße über Qualität sagt, zeigte derselbe August: Während Rank Math stillschweigend Admin-Zugänge erzeugte, legte WP Rocket nach dem WordPress-7.1-Release am 20. August Websites lahm. Rund zehn Prozent waren betroffen, 27 Prozent gefährdet, wie der eigene Post-Mortem einräumt. Dazu kommt CVE-2026-5934, hochriskantes unauthentifiziertes Stored-XSS bis Version 3.21.0.1.

Merksatz: Wer Risiko streuen will, prüft Eigentümer statt Produktnamen. Drei Plugins, ein Konzern: Das ist keine Streuung, sondern ein einzelner Ausfallpunkt in Ihrer Lieferkette.

3. Die nächste Plugin-Generation will handeln, nicht beraten. Rank Math spricht offen von „Agentic SEO": KI soll Einstellungen ändern, Inhalte pflegen, Support leisten. Dafür brauchen Hersteller Zugriff auf Ihre Website. Der Support-Agent war der erste, unfertige Schritt. Die Richtung ist gesetzt.

Merksatz: Rechnen Sie mit Plugins, die Rechte verlangen, die früher nur Ihr Admin hatte. Ein KI-Agent mit Admin-Zugriff auf Ihre Kundendaten ist datenschutzrechtlich kein Feature, sondern eine Auftragsverarbeitung mit allem, was dazugehört.

4. „Phone home" ist das Geschäftsmodell, und der Türsteher hat eigene Interessen. Kostenlose Plugins auf Millionen Websites finanzieren sich nicht durch Magie: Kontenpflicht, Telemetrie und Datenabfluss, meist versteckt in den AGB. Matt Mullenweg forderte in einem Slack-Post Pflicht-Audits für alle Plugins mit Admin-Zugriff: „Wir sollten nur noch Admin- und Verwaltungs-Plugins zulassen, die ein Infrastruktur-Sicherheitsaudit durchlaufen haben […] sonst erschaffen wir nur Botnetze auf teuren, gut vernetzten Konten." Die Ironie, die The Repository nicht ausspart: Automattic unterhält mit Jetpack auf Millionen Websites dauerhafte Admin-Verbindungen zu WordPress.com, und wer die Audits durchsetzen soll, kontrolliert zugleich den Auditersteller.

Merksatz: Warten Sie nicht auf Regeln von oben. Der Einzige, der für die Sicherheit Ihrer Website einstehen muss, rechtlich und wirtschaftlich, sind Sie.

Wer haftet, wenn es knallt?

Hier wird es konkret, und hier hört die Gelassenheit vieler Website-Betreiber auf. Denn die Rollenverteilung ist eindeutig, und sie fällt nicht zu Ihren Gunsten aus.

Sie bleiben der Verantwortliche. Wer über Zwecke und Mittel der Verarbeitung entscheidet, ist Verantwortlicher, also der Betreiber der Website und nicht der Plugin-Hersteller. Diese Rolle können Sie nicht per Häkchen delegieren und schon gar nicht durch das Kleingedruckte eines kostenlosen Plugins. Sie schulden die sorgfältige Auswahl und Kontrolle Ihrer Dienstleister. Ein Plugin, das seit zwei Jahren kein Update gesehen hat, ist im Schadensfall keine Pechsträhne, sondern eine erklärungsbedürftige Entscheidung.

Ohne Auftragsverarbeitungsvertrag fehlt die Grundlage. Ein Hersteller, dessen Agent auf Ihre Website und damit auf personenbezogene Daten zugreift, wird typischerweise zum Auftragsverarbeiter. Dafür braucht es einen Vertrag, und zwar vor der ersten Verarbeitung, nicht nachträglich. Ein Zugang, der entsteht, weil jemand auf „Help & Support" geklickt hat, hat diesen Vertrag mit Sicherheit nicht abgewartet.

Unbefristete Admin-Schlüssel sind schwer als „angemessen" zu verteidigen. Sie müssen Schutzmaßnahmen treffen, die dem Stand der Technik entsprechen. Ein nicht ablaufendes Passwort mit Administratorrechten in fremder Hand ist das Gegenteil davon. Wenn Sie das nach einem Vorfall einer Aufsichtsbehörde erklären müssen, ist „das Plugin hat das automatisch gemacht" keine Verteidigung. Es ist das Eingeständnis, dass Sie Ihre Systeme nicht kannten.

Die Meldeuhr läuft ab Kenntnis, auch bei Fremdverschulden. Wird über einen Plugin-Zugang oder eine kompromittierte Update-Kette auf personenbezogene Daten zugegriffen, kann eine meldepflichtige Datenschutzverletzung vorliegen. Die Frist von 72 Stunden beginnt, wenn Sie es wissen. Wer erst dann anfängt, sein Plugin-Inventar zusammenzusuchen, hat das Rennen schon verloren.

Am Ende zahlen Sie zweimal. Betroffene können Schadenersatz verlangen, Aufsichtsbehörden Bußgelder verhängen. Adressiert wird der Verantwortliche. Ob Sie sich anschließend beim Hersteller regressieren können, entscheidet Ihr Vertrag mit ihm. Bei einem kostenlosen Plugin lautet die Antwort auf diese Frage in der Regel: gar nicht.

Und intern haftet, wer nicht organisiert hat. Geschäftsführung und Vorstand müssen IT- und Datenschutz-Compliance organisieren, nicht selbst programmieren. Genau deshalb ist eine dokumentierte Plugin-Richtlinie kein Bürokratie-Selbstzweck: Sie ist der Nachweis, dass Sie das Risiko erkannt und gesteuert haben. Für Agenturen und Dienstleister gilt die Kehrseite: Wer fremde Websites betreut und Plugins ohne dokumentierte Weisung installiert, holt sich das Risiko in die eigenen Bücher.

Merksatz: Der Hersteller haftet für sein Produkt. Sie haften für Ihre Website. Und im Zweifel entscheidet nicht, was Sie wussten, sondern was Sie belegen können.

Sie sind mit Ihrem Misstrauen nicht allein

Die unabhängige „State of the Community 2026" des WP Open Community Collective (431 Befragte, Feldzeit Mai bis Juli 2026) zeigt: 81,7 Prozent sehen Open Source positiv, über WordPress sagen das nur noch 32,7 Prozent. 49 Prozentpunkte Differenz sind kein Rauschen. 77,3 Prozent verhalten sich heute anders als vor zwei Jahren, 95,5 Prozent von ihnen negativ. Drei von vier blicken negativ oder unsicher in die Zukunft. Das größte genannte Problem ist Governance und Führung, nicht die Software.

Begrenzte Stichprobe, Momentaufnahme: geschenkt. Aber die Zahlen passen zu abnehmenden Plugin-Verkäufen, schrumpfender Community-Beteiligung und dem, was Sie letzte Woche erlebt haben. WordPress 7.1 legte Websites lahm, weil ein Marktführer nicht Schritt hielt.

Merksatz: Automatische Updates sind Komfort, nicht Sicherheit. Jede Update-Kette ist nur so stark wie ihr schwächstes Glied, und die Glieder gehören immer weniger Konzernen.

Der Markt stimmt bereits mit den Füßen ab

Laut W3Techs fiel WordPress von 43,6 Prozent Anfang 2025 auf 41,9 Prozent im Mai 2026 (Search Engine Journal) und 41,5 Prozent im Juli 2026 (WP News). Wichtig ist nicht die Größe, sondern das Tempo: binnen eines Jahres verdoppelt, sechs Monate in Folge.

Bleiben wir nüchtern. Die drei großen Messreihen erzählen unterschiedliche Geschichten, ein Teil der Verluste geht an schwer messbare Systeme wie statische Seiten, und mit rund 40 Prozent bleibt WordPress das meistgenutzte CMS der Welt. Aber: Wix, Shopify, Squarespace und Webflow wachsen, Frameworks wie Astro exponentiell. Und der Rückgang begann im Quartal nach Mullenwegs öffentlichem Konflikt mit WP Engine.

Merksatz: WordPress verschwindet nicht. Aber Sie sitzen nicht mehr automatisch auf der sicheren Seite, nur weil Sie die Mehrheitsentscheidung getroffen haben.

Fünf Fragen, die Sie beantworten können sollten

Ihre Plugin-Auswahl ist eine Beschaffungs-, Risiko- und Haftungsentscheidung. Sie geben fremden Konzernen Zugriff auf das System, das Ihren Umsatz, Ihre Marke und Ihre Kundendaten trägt, meist mit weniger Prüfung als beim Kauf eines Bürodruckers.

Wer steht hinter Ihren zehn wichtigsten Plugins, und welche Geschäftsinteressen hat dieser Konzern?
Welche Plugins funken nach außen, welche Daten fließen wohin, und liegt dafür eine Rechtsgrundlage vor?
Wie viele „Service"-Zugänge existieren in Ihrer Installation, die niemand mehr überblickt, und laufen sie ab?
Wie schnell kommen Sie raus, wenn ein Hersteller Ihr Vertrauen verspielt?
Ist WordPress für Ihren Zweck noch die richtige Basis oder nur die bequemste?

Für eine schlanke Unternehmens-Website gibt es heute mehr gute Optionen als je zuvor. Auf WordPress zu setzen bleibt für viele Anwendungen völlig richtig, es muss aber eine bewusste, dokumentierte Entscheidung sein. Datenschutzrechtlich gilt nichts Exotisches: Transparenz, informierte Einwilligung, Datenminimierung. Wer Zugangsdaten überträgt, bevor Sie zustimmen konnten, verletzt diese Prinzipien. Ob aus Böswilligkeit oder aus Schlamperei, ist für Ihre Verantwortung unerheblich.

Was Sie diese Woche tun sollten

Heute, wenn Sie Rank Math einsetzen:

Auf mindestens Version 1.0.277.2 aktualisieren (der Support-Agent ist darin entfernt).
Unter Benutzer › Profil › App-Passwörter jeden Eintrag widerrufen, dessen Name mit „WAP" beginnt, auch wenn „Help & Support" nur kurz offen war.
Ungenutzte Verbindungen zum rankmath.com-Konto in den Plugin-Einstellungen trennen.
Den Vorgang schriftlich festhalten: wann geprüft, was gefunden, was widerrufen. Das ist Ihre Rechenschaft, wenn später gefragt wird.

Diesen Monat, unabhängig vom Plugin:

Inventar mit Eigentümern anlegen: Welches Plugin gehört welchem Konzern? Danach lesen Sie Changelogs anders, denn neue Berechtigungen oder Serverkontakte gehören dort ausgewiesen. Neue Features in Sicherheits-Releases sind ein Warnsignal.
Vor der Installation prüfen, nicht danach: WPScan oder Patchstack zeigen Sicherheitshistorie und Pflegezustand. Mehrere CVEs pro Jahr oder zwei Jahre ohne Update? Nicht auf einer Unternehmenswebsite.
Verträge nachziehen: Für jedes Plugin mit Zugriff auf personenbezogene Daten gehört die Auftragsverarbeitung geklärt, vor der Nutzung statt nach dem Vorfall.
Regel statt Bauchgefühl: Legen Sie fest, welche Plugin-Kategorien (Telemetrie, KI-Agenten, Kontenpflicht, externer Serverkontakt) nur mit Begründung erlaubt sind, und dokumentieren Sie die Entscheidung. Diese Seite Papier ist im Ernstfall Ihr bester Zeuge.
Rechte kürzen: Admin-Konten aufs Nötigste, Service-Zugänge regelmäßig prüfen und widerrufen. Least Privilege gilt auch für Hersteller.
Meldeprozess vorbereiten: Wer entscheidet in 72 Stunden über eine Meldung, mit welchen Informationen, auf welcher Faktenbasis? Das klärt man nicht am Tag des Vorfalls.
Ausstieg offenhalten: Bei kritischen Funktionen Anbieter mit klarer Governance und ohne Zwangstelemetrie bevorzugen. Inhalte in offenen Formaten, kein Lock-in über Seitenerbauer.
Backup und Recovery testen: Ein getestetes Backup ist Ihre Exit-Strategie und Ihr stärkstes Argument gegenüber jedem Hersteller.

Die See wird rauher

Rank Math ist in drei Wochen aus den Schlagzeilen. Ihre Lage bleibt: ein konzentrierter Markt, KI, die handelt statt berät, Geschäftsmodelle, die auf Zugriff und Daten bauen, eine Welle von Lieferketten-Angriffen und ein Markt, der zum ersten Mal seit Jahren schrumpft.

Die gute Nachricht: WordPress bleibt mächtig, flexibel und erwachsen, und 40 Prozent Marktanteil verschwinden nicht über Nacht. Die unbequeme: Vertrauen wird nicht mehr mitgeliefert, weder von Herstellern noch von Türstehern. Und Haftung war ohnehin nie im Lieferumfang enthalten.

Wer weiter WordPress segelt, muss seine Crew kennen: welche Plugins an Bord sind, wem sie gehören, wohin sie funken, und wie man notfalls das Schiff wechselt. Vertrauen ist gut. Navigation ist besser. Und Karten studiert man vor dem Sturm, nicht mitten drin.

Hinweis: Stand 03.09.2026. Dieser Beitrag ordnet die Lage aus Sicht der Praxis ein und ersetzt keine Rechts- oder individuelle Sicherheitsberatung; die haftungsrechtliche Bewertung hängt immer vom Einzelfall ab. Wichtige Quellen: Tweet von Sybre Waaijer und Erwiderung vom 01.09., Stellungnahme von Rank Math, The Repository: Rank Math und Mullenweg-Audits, WP-Rocket-Post-Mortem zu WordPress 7.1, NVD CVE-2026-5934, Search Engine Journal: Marktanteile, WP News: 41,5 %, State of the Community 2026 (WPOCC), Berichte zu Essential Plugins, ShapedPlugin, Awesome Motive und BdThemes, WordPress-Dokumentation zu Application Passwords sowie Plugin-Richtlinien von WordPress.org.