Stand: 19. Oktober 2026, abends. Wer seine WordPress-Website mit UpdraftPlus sichert, sollte heute genauer hinsehen. Entscheidend ist, ob zusätzlich die Fernverwaltung UpdraftCentral Cloud verwendet wird. Für Websitebetreiber sind jetzt drei Fragen wichtig: Welche Verbindung besteht, wurde sie abgesichert und gibt es Spuren eines unberechtigten Zugriffs?
Was TeamUpdraft bestätigt hat
Laut Herstellerinformation gab es am 17./18. Oktober unbefugten Zugriff auf teamupdraft.com. Vermutlich wurde die Kundendatenbank einschließlich Kontaktdaten, Passwort-Hashes, Zwei-Faktor-Einstellungen und Verbindungsschlüsseln ausgelesen. UpdraftPlus selbst und seine Downloads seien nicht betroffen; ebenso selbst gehostetes UpdraftCentral.
Die aktualisierte Meldung nennt UpdraftPlus 1.26.12 (Free) beziehungsweise 2.26.12 (Premium): Diese Versionen trennen UpdraftCentral-Verbindungen, die vor dem 18. Oktober, 22 Uhr britischer Sommerzeit, entstanden sind. Das entspricht 23 Uhr deutscher Zeit. Ältere Meldungen sprechen noch von einem geplanten Update.
Die wichtigsten Herstellermaßnahmen
- TeamUpdraft-Passwort ändern, wiederverwendete Passwörter ersetzen und dort eingerichtete Zwei-Faktor-Authentifizierung zurücksetzen.
- Cloud-verbundene Websites direkt im WordPress-Backend öffnen und UpdraftPlus aktualisieren. Alte Schlüssel unter Einstellungen → UpdraftPlus → Erweiterte Werkzeuge → UpdraftCentral entfernen.
- Benutzer und Plugins einschließlich Must-Use-Plugins kontrollieren; Administratorpasswörter ändern.
- UpdraftVault neu verbinden und eine Testsicherung durchführen. Alte UpdraftClone-Clientschlüssel wurden ebenfalls ersetzt.
Eigene externe Backupziele sind laut Hersteller nicht unmittelbar betroffen. Wurde jedoch die Website über UpdraftCentral angegriffen, empfiehlt er vorsorglich deren erneute Autorisierung beziehungsweise den Austausch der Speicherzugangsschlüssel. Kostenlose Nutzer ohne TeamUpdraft-Konto benötigen laut Hersteller keine besondere Maßnahme; Updates bleiben empfehlenswert.
Warum ein funktionierendes Backup keine Entwarnung bedeutet
Die Sicherheitsfirma Nethemba berichtet aus eigenen Untersuchungen, dass Angreifer gültige Fernverwaltungsschlüssel für Plugin-Installationen nutzten. Zwei untersuchte Websites erhielten unbekannte Plugins; bei einer dritten scheiterte der Vorgang an fehlenden Berechtigungen. Die betroffenen Installationen waren gegen die frühere Juni-Schwachstelle bereits aktualisiert.
Als beobachtete Spuren nennt Nethemba unter anderem load-stack-35c und text-gantry-eb0 sowie den Protokolleintrag plugin.upload_plugin. Auch Benutzer mit unauffälliger Rollenbezeichnung, aber zusätzlichen mächtigen Berechtigungen verdienen Aufmerksamkeit. Diese Beispiele sind keine vollständige Erkennungsliste. Ein protokollierter Uploadbefehl allein beweist zudem noch keine erfolgreiche Installation.
Meine Einordnung: Ein Update, das gestohlene Schlüssel unbrauchbar macht, und die Bereinigung einer bereits angegriffenen Website sind zwei getrennte Aufgaben. Deshalb sollte die Prüfung nach dem Aktualisieren nicht enden. Auch eine normal erreichbare Startseite ist kein Nachweis, dass im Hintergrund alles unverändert geblieben ist.
So würde ich die Prüfung organisieren
1. Zuständigkeit und Bestand klären
Halten Sie für jede Website fest, wer sie administriert, welche UpdraftPlus-Version installiert ist und ob eine Fernverwaltung eingerichtet wurde. Fragen Sie gegebenenfalls Ihre betreuende Agentur. Ein kostenpflichtiges Backup-Plugin und eine tatsächlich eingerichtete Cloud-Verbindung sind unterschiedliche Dinge. Dokumentieren Sie auch Testseiten und ältere Projekte, damit keine Installation übersehen wird.
2. Auffälligkeiten dokumentieren
Die WordPress-Dokumentation zu gehackten Websites empfiehlt, beobachtete Symptome und Zeitpunkte festzuhalten. Notieren Sie unerwartete Fehlermeldungen, neue Benutzer, unbekannte Plugins und kürzlich vorgenommene Änderungen. Bei Uhrzeiten gehört die Zeitzone dazu. Das erleichtert später den Abgleich mit Serverprotokollen und verhindert, dass reguläre Wartung mit einem Angriff verwechselt wird.
Meine praktische Empfehlung: Lassen Sie bei konkretem Verdacht zuerst Protokolle und einen gesonderten Untersuchungsstand sichern. Dieser Stand ist Beweismaterial, kein als sauber bestätigtes Wiederherstellungsbackup. Unbekannte Dateien sollten fachkundig untersucht und anschließend gezielt entfernt werden; wahlloses Löschen erschwert die Ursachenklärung.
3. Wiederherstellung bewusst planen
Ein altes Backup zurückzuspielen kann bei einem Onlineshop neuere Bestellungen überschreiben. Auch Formulareingänge und redaktionelle Änderungen können verloren gehen. Klären Sie daher vorab, welche Daten seit dem gewählten Sicherungszeitpunkt hinzugekommen sind und wie sie erhalten bleiben. Prüfen Sie den Wiederherstellungsstand möglichst zuerst in einer abgeschotteten Testumgebung.
Zu einer abgeschlossenen Wiederherstellung gehören für mich eine erneute Sicherheitsprüfung, aktuelle Software, kontrollierte Zugänge und ein Funktionstest. Prüfen Sie insbesondere Anmeldung, Kontaktformular, E-Mail-Versand und gegebenenfalls den Bestellprozess. Eine Fernverwaltung würde ich erst wieder anbinden, wenn die betroffene Installation geprüft und bereinigt ist und die aktuelle Herstelleranleitung berücksichtigt wurde.
4. Backups anschließend tatsächlich testen
Meine Empfehlung für die Nachkontrolle: Starten Sie eine neue Sicherung, kontrollieren Sie den erfolgreichen Abschluss und prüfen Sie, ob Dateien und Datenbank am vorgesehenen Ziel angekommen sind. Dokumentieren Sie Datum und Ergebnis. Ein eingerichteter Zeitplan allein bestätigt noch keine nutzbare Sicherung.
Was Websitebetreiber daraus mitnehmen sollten
Die sinnvolle Reihenfolge lautet: Betroffenheit klären, Zugänge absichern, mögliche Veränderungen untersuchen und anschließend den laufenden Betrieb kontrollieren. Eine feste Dokumentation von Fernzugängen und Backupzielen macht solche Prüfungen deutlich einfacher. Bei mehreren Websites lässt sich das in eine regelmäßige WordPress-Wartung integrieren.
Dieser Beitrag bildet den Informationsstand vom 19. Oktober 2026 ab. Die Untersuchung läuft; für spätere Maßnahmen sollte die oben verlinkte Herstellerinformation erneut geprüft werden.
Ich unterstütze Sie bei der Prüfung Ihrer Website
Sie wissen nicht, ob Ihre Website mit UpdraftCentral verbunden ist, oder haben einen verdächtigen Benutzer beziehungsweise ein unbekanntes Plugin entdeckt? Ich kann die Einrichtung prüfen, notwendige Schutzmaßnahmen umsetzen und bei einer Bereinigung oder Wiederherstellung helfen. Beschreiben Sie mir Ihre Situation über das Kontaktformular, damit wir die nächsten Schritte gezielt abstimmen können.
