WP Umbrella Add-on: Exploits stoppen, bevor Sie ein Update durchführen können

Im Jahr 2025 entdeckte Patchstack11.334 neue Sicherheitslückenim gesamten WordPress-Ökosystem – ein Anstieg von 42 % gegenüber 2024. Die Untergruppe, die Ihnen tatsächlich Sorgen bereiten sollte, wuchs noch weitaus schneller: Die Zahl der als „leicht ausnutzbar“ eingestuften Sicherheitslücken stieg im Jahresvergleich um 113 %.

Nahezu das gesamte Risiko liegt im Plugin-Stack. 91 % der neuen Sicherheitslücken betrafen Plugins und 9 % Themes; auf den WordPress-Kern entfielen lediglich 6, alle mit niedriger Priorität. Der Kern ist nicht Ihr Problem. Die Plugins, auf die sich Ihre Kunden verlassen und die sie nicht immer rechtzeitig aktualisieren lassen, sind es.

Das WP Umbrella Add-on, ehemals Site Protect, wurde genau für diese Lücke entwickelt. Es blockiert bekannte Sicherheitslücken auf Anwendungsebene, solange das anfällige Plugin oder Theme noch nicht gepatcht ist, sodass Sie Updates nach Ihrem eigenen Zeitplan durchführen können und nicht nach dem des Angreifers.

Ganz gleich, ob Sie das Add-on zum ersten Mal in Betracht ziehen oder es bereits abonniert haben, als es noch „Site Protect“ hieß – dieser Leitfaden erklärt, was das Add-on heute ausmacht: drei Komponenten, was in jedem Konto kostenlos enthalten ist und wie Sie es für Ihr gesamtes Portfolio aktivieren können. Mehr als 10.000 Websites nutzen es bereits.

Wie schnell werden WordPress-Sicherheitslücken ausgenutzt?

Schneller, als die meisten Update-Workflows reagieren können. Der im Februar 2026 veröffentlichte Bericht „State of WordPress Security in 2026“ von Patchstack untersuchte die Zeitspanne zwischen der Veröffentlichung einer Sicherheitslücke und der ersten beobachteten Ausnutzung dieser Lücke. Zwei Erkenntnisse verdeutlichen das Problem.

Zunächst zur Patch-Lücke: 46 % der im Jahr 2025 bekannt gewordenen Sicherheitslücken waren zum Zeitpunkt der Bekanntgabe noch nicht durch einen Patch behoben worden. Bei fast der Hälfte der neuen Sicherheitslücken ist „Einfach aktualisieren“ am ersten Tag keine verfügbare Anweisung. Es gibt nichts, worauf aktualisiert werden könnte.

Zweitens: die Geschwindigkeit. Bei den am häufigsten ausgenutzten Sicherheitslücken betrug die gewichtete Medianzeit bis zum ersten Exploit 5 Stunden. Diese Zahl bezieht sich auf die am stärksten ins Visier genommenen Schwachstellen, nicht auf jede einzelne Offenlegung. Doch genau diese Schwachstellen werden in automatisierten Kampagnen gegen jede erreichbare Website ausgenutzt.

Die gesamte Kurve von der Offenlegung bis zur Ausnutzung, gemessen anhand der im Jahr 2025 veröffentlichten am häufigsten ins Visier genommenen Schwachstellen (eine Teilmenge, die etwa 95 % der beobachteten Ausnutzungsaktivitäten ausmacht):

• 20 % wurden innerhalb von 6 Stunden erstmals ausgenutzt
• 37 % innerhalb von 12 Stunden
• 45 % innerhalb von 24 Stunden
• 58 % innerhalb von 72 Stunden
• 70 % innerhalb von 7 Tagen

Im Einklang mit dieser Kurve ergab derselbe Bericht, dass etwa die Hälfte der Schwachstellen mit hoher Auswirkungsstufe innerhalb von 24 Stunden ausgenutzt wird. Die Schlussfolgerung von Patchstack ist eindeutig: Die ersten 24 Stunden sind entscheidend, wenn eine neue ausnutzbare Schwachstelle bekannt wird.

Vergleichen Sie das nun einmal mit der tatsächlichen Arbeitsweise von Agenturen. Niemand patcht ein gesamtes Portfolio innerhalb von fünf Stunden nach jeder Sicherheitsmeldung. Updates müssen erst getestet, in einer Staging-Umgebung bereitgestellt und vom Kunden genehmigt werden – und diese Vorsicht ist richtig: Nur so wird verhindert, dass Wartungsmaßnahmen die Websites lahmlegen. Der Preis dafür ist ein offenes Sicherheitslückenfenster. Dieses Fenster zu schließen, ohne Ihre Updates zu überstürzen, ist die Aufgabe des Sicherheits-Add-ons.

Wie verhindert das Sicherheits-Add-on Exploits, bevor Sie ein Update durchführen?

Durch virtuelles Patching, bereitgestellt von Patchstack. Während beim Malware-Scan die Frage lautet: „Ist bereits etwas Schädliches eingedrungen?“, stellt das virtuelle Patching die bessere Frage: „Können wir den Versuch schon an der Tür abwehren?“ Eine ausführliche Erläuterung des Konzepts finden Sie in unserem Leitfaden zum Thema„Was ist virtuelles Patching in WordPress?“.

So funktioniert es: Sobald Patchstack eine neue Sicherheitslücke bestätigt, wird über den Threat-Feed eine Regel, die auf dieses spezifische Exploit-Muster abzielt, auf den geschützten Websites bereitgestellt. Die Regel wird auf PHP-Ebene ausgeführt, noch bevor WordPress vollständig geladen ist, und weist Anfragen zurück, die dem Angriffsmuster entsprechen. Es wird kein Plugin-Code geändert, und es besteht keine Abhängigkeit vom Plugin-Anbieter. Technisch gesehen besteht die Sicherheitslücke weiterhin. Der Exploit kommt jedoch nie zum Tragen.

Angenommen, ein Formular-Plugin enthält eine SQL-Injection-Sicherheitslücke, die mit einem bestimmten Parameter zusammenhängt. Die Firewall wendet eine Regel an, die die Manipulation genau dieses Parameters blockiert – und sonst nichts. Legitimer Datenverkehr wird ungehindert durchgelassen. Da sich die Regeln auf bestätigte Sicherheitslücken beziehen, anstatt verdächtig aussehenden Datenverkehr zu vermuten, sind Fehlalarme, unter denen breit angelegte Firewalls leiden (fehlfunktionierende Kontaktformulare, blockierte Kaufvorgänge), aufgrund ihrer Konzeption selten.

Sie können auch sehen, wie sie funktioniert. Die Übersichtsansicht der Firewall zeigt blockierte Angriffe, die häufigsten Angreifer-IPs und die Regeln, die an Ihren Standorten am häufigsten ausgelöst werden. Die Firewall wartet niemals darauf, dass Sie eine Warnmeldung lesen, bevor sie einen Angriff blockiert; dieser Vorgang läuft automatisch ab. Die Nachweise sind jedoch jederzeit verfügbar, wenn Sie oder ein Kunde sie einsehen möchten.

Frühere Versionen dieses Produkts waren bewusst sehr benutzerfreundlich gehalten: Es gab nichts zu konfigurieren und nichts anzupassen. Das ist nach wie vor die Standardfunktion. Durch die Aktivierung des Add-ons werden alle Funktionen mit den empfohlenen Standardeinstellungen aktiviert. Der Unterschied besteht heute in der Kontrollmöglichkeit: Jede Einstellung kann für jede Website individuell angepasst werden, was wichtig ist, wenn ein Kunde eine streng gesicherte Prospekt-Website betreibt und ein anderer strengere oder lockerere Regeln benötigt.

All das verschafft Ihnen Zeit. Wenn die nächste Sicherheitslücke mit hohem Schweregrad ein von Ihnen verwaltetes Plugin betrifft, sind die geschützten Websites abgesichert, während Sie das Update gründlich testen und sorgfältig bereitstellen.

Ein Hinweis zum Anwendungsbereich: Diese Regeln beziehen sich auf bekannte, bestätigte Sicherheitslücken und gängige Angriffsvektoren. Was dies für Zero-Day-Angriffe bedeutet und was nicht, wird weiter unten erläutert.

Was ist im Sicherheits-Add-on enthalten?

Drei Komponenten, die gemeinsam zum Einsatz kommen.

1. Firewall & Virtual Patching (Patchstack).Die oben beschriebene Blockierungsebene mit einer Übersichtsansicht, die blockierte Angriffe, die häufigsten IP-Adressen und die wichtigsten Regeln anzeigt. Die Firewall-Regeln decken zudem gängige Missbrauchsmuster ab, die über bestätigte Sicherheitslücken hinausgehen, wie beispielsweise das Veröffentlichen von Kommentaren über Proxys.

2. Sicherheitsoptimierung.Website-spezifische Schaltflächen, die die Angriffsfläche auf Anwendungs- und .htaccess-Ebene verringern: Deaktivierung der Theme- und Datei-Editoren, Ausblenden der WordPress-Versionsinformationen vor Bots, Blockierung der Benutzeraufzählung, Beschränkung von XML-RPC auf authentifizierte Benutzer, Blockierung des Zugriffs auf debug.log, Deaktivierung der Verzeichnisauflistung und Festlegen von Sicherheits-Response-Headern.

Das Header-Set hat sich im Einklang mit den Standards weiterentwickelt. Im Mittelpunkt stehen aktuelle Schutzmaßnahmen wie„X-Frame-Options“gegen Clickjacking und„Content-Security-Policy“. Ältere Beispiele wie„X-XSS-Protection“sind nicht mehr aktuell: MDN stuft es als veraltet ein und warnt davor, dass es selbst XSS-Schwachstellen auf ansonsten sicheren Websites verursachen kann.

Auch bei der Absicherung kommt die Größe der Flotte zum Tragen. Wenden Sie die empfohlenen Standardeinstellungen mit wenigen Klicks überall an und passen Sie dann die einzelnen Einstellungen auf den Websites, bei denen dies erforderlich ist, an, anstatt die .htaccess-Dateien bei jeder Installation manuell zu bearbeiten.

3. Sicherheitsorientiertes Aktivitätsprotokoll.Die Erkennungsschicht überwacht die Websites selbst auf Angriffsverhalten: Brute-Force-Anmeldeversuche, massenhaftes Löschen von Inhalten, Ausweitung von Berechtigungen, ungewöhnliche Anmeldeorte, Änderungen der Dateiintegrität sowie Änderungen an kritischen Einstellungen. Es unterscheidet sich vom Plattform-Aktivitätsprotokoll, das die Vorgänge innerhalb von WP Umbrella aufzeichnet WP Umbrella bei jedem Konto enthalten ist.

Jede Erkennung liefert ihre eigenen forensischen Daten. Angenommen, eine Anmeldung erfolgt von einem ungewöhnlichen Standort aus: Das Protokoll zeigt das betroffene Konto, die IP-Adresse und eine Zeitleiste der Aktivitäten dieser Sitzung an. Innerhalb weniger Minuten wissen Sie, ob es sich um einen Ihrer Kunden handelt, der von einer Ferienwohnung aus arbeitet, oder um jemanden, der dort nichts zu suchen hat – und im letzteren Fall wissen Sie genau, was Sie überprüfen müssen.

Jedes WP Umbrella umfasst neben den umfassendenWordPress-Sicherheitsfunktionen der Plattform auch eine Sicherheitsgrundausstattung ohne zusätzliche Kosten. Das Produkt gliedert sich wie folgt auf:

In jedem Konto enthalten	Sicherheits-Add-on
Überwachung von Sicherheitslücken (Patchstack-Prüfungen alle 6 Stunden)	Firewall und virtuelles Patching mit der Übersichtsansicht
Updates mit einem Klick installieren	Einstellungen zur Sicherheitsoptimierung: global und pro Website
Website-Zustand mit ausblendbaren Warnmeldungen	Sicherheitsorientiertes Aktivitätsprotokoll mit forensischen Funktionen
Aktivitätsprotokoll der Plattform	Malware-Scanner
Überwachung der Verfügbarkeit, von PHP-Fehlern und der Leistung

Welche Komponente wehrt welchen Angriff ab?

Keine einzelne Ebene deckt alles ab, weshalb die drei zusammen geliefert werden. Hier ist die Übersicht von den Bedrohungen, die Sie tatsächlich sehen, bis hin zu der Komponente, die diese abwickelt:

Bedrohung	Was hält es davon ab?
Ausnutzungsversuch einer bekannten Sicherheitslücke in einem Plugin oder Theme	Firewall und virtuelles Patching
Angriff auf eine bekannt gewordene Sicherheitslücke, für die es noch keinen Patch gibt	Firewall und virtuelles Patching (die Regeln werden unabhängig vom Hersteller-Patch bereitgestellt)
Bots, die Ihre WordPress-Version ermitteln oder Benutzernamen auflisten	Sicherheitsoptimierung
Clickjacking oder Skript-Injektion durch fehlende Antwort-Header	Sicherheitsoptimierung (Sicherheits-Header)
Brute-Force-Angriffe auf Anmeldedaten	Sicherheitsorientierte Erkennung anhand von Aktivitätsprotokollen, wobei durch Sicherheitshärtung der Angriffsbereich eingeschränkt wird
Ein kompromittiertes Konto, das Inhalte löscht oder sich erweiterte Zugriffsrechte verschafft	Sicherheitsorientierte Analyse von Aktivitätsprotokollen

Man kann sich das als drei Verteidigungslinien vorstellen: Prävention an vorderster Front, eine kleinere Angriffsfläche in der Mitte und Erkennung im Hintergrund.

Was das Sicherheits-Add-on NICHT ist

Eine sorgfältige Abgrenzung erspart später Supportanfragen. Drei wichtige Grenzen, die Sie kennen sollten, bevor Sie die Funktion aktivieren.

Es ist kein Ersatz für Updates.Virtuelles Patching blockiert den Exploit, nicht die Sicherheitslücke. Der anfällige Code bleibt auf der Website, bis Sie ein Update durchführen. Was sich ändert, ist das Tempo: Sie führen das Update bewusst gemäß Ihrem Wartungsplan durch, anstatt in der Nacht, in der eine Sicherheitslücke bekannt wird, in Eile handeln zu müssen.

Es handelt sich nicht um eine pauschale Immunität gegen Zero-Day-Angriffe.Die Regeln decken bestätigte Sicherheitslücken und gängige Angriffsvektoren ab. Für eine Schwachstelle, die noch niemand entdeckt hat, gibt es keine Regel. Durch Sicherheitsoptimierungen lässt sich die Angriffsfläche, die eine solche Schwachstelle erreichen könnte, verringern, aber kein Sicherheitsprodukt kann ehrlich gesagt Immunität gegenüber dem Unbekannten versprechen – und das werden wir auch nicht tun.

Es handelt sich nicht um eine Firewall auf DNS-Ebene oder eine CDN-Firewall.Sie arbeitet auf Anwendungsebene, innerhalb des Anforderungszyklus jeder einzelnen WordPress-Website. Wenn Ihr Datenverkehr bereits eine Edge-Firewall oder ein CDN durchläuft, arbeiten diese beiden auf unterschiedlichen Ebenen und ergänzen sich gegenseitig, anstatt miteinander in Konflikt zu geraten.

Wie aktiviert man das Sicherheits-Add-on?

Drei Schritte, ein paar Minuten.

Schritt 1: Schließen Sie einen kostenpflichtigen WP Umbrella ab

Das Sicherheits-Add-on läuft auf Basis eines kostenpflichtigen Abonnements pro Website; es handelt sich nicht um ein eigenständiges Produkt. Wenn Sie noch keinen kostenpflichtigen Tarif nutzen, sollten Sie damit beginnen (sieheWP Umbrella ). Jedes Konto, unabhängig davon, ob ein Add-on genutzt wird oder nicht, umfasst bereits die oben beschriebene kostenlose Sicherheitsgrundausstattung.

Schritt 2: Aktivieren Sie die Funktion – entweder pauschal oder für einzelne Standorte

Aktivieren Sie die Funktion entweder pauschal über das Haupt-Dashboard oder die Sicherheitsübersicht bzw. für jede Website einzeln über die Registerkarte „Sicherheit“. Durch die Aktivierung werden alle drei Komponenten mit den empfohlenen Standardeinstellungen aktiviert; jede Komponente kann anschließend für jede Website individuell angepasst werden.

Der Preis beträgt 2 € / 2 $ pro Website und Monat, zusätzlich zu Ihrem Abonnement pro Website. Informationen zur Berechnung der Kapitalrendite für ein gesamtes Portfolio finden Sie im ArtikelWP Umbrella Add-on: Preisgestaltung erklärt“.

Schritt 3: Lassen Sie das Programm laufen und zeigen Sie es Ihren Kunden

Ab dem Zeitpunkt der Aktivierung gelten die Regeln für virtuelles Patching, die in Echtzeit über den Bedrohungs-Feed von Patchstack aktualisiert werden, die Standard-Sicherheitsmaßnahmen treten in Kraft und das Aktivitätsprotokoll beginnt mit der Überwachung. Es gibt nichts, was Sie konfigurieren müssen, sondern nur Dinge, die Sie konfigurieren können.

Ihre White-Label-Kundenberichte enthalten auch Abschnitte zum Thema Sicherheit, sodass der von Ihnen gebotene Schutz in dem Dokument erscheint, das Ihre Kunden tatsächlich lesen. Dadurch wird eine unsichtbare Komponente zu einem Einzelposten, den Sie im Rahmen Ihrer Betreuungspläne in Rechnung stellen können.