TL;DR. Etablierte WordPress-Plugins werden gekauft und anschließend mit bösartigen Updates an die bestehende Nutzerbasis ausgeliefert. Die Autorenzeile eines Plugins ist das früheste Signal, das eine Website selbst bemerken kann.
| Das Muster | Ein vertrauenswürdiges Plugin wechselt den Besitzer. Der neue Besitzer liefert über die reguläre Update-Funktion Schadcode an alle Installationen aus. |
| Belegte Fälle | Display Widgets (rund 200.000 Installationen) und Captcha (rund 300.000 Installationen) wurden 2017 nach einem Verkauf mit Backdoors ausgestattet. |
| Das früheste Signal | Der Autorenwechsel selbst. Er liegt Wochen bis Monate vor dem ersten bösartigen Update und ist von der Site aus erkennbar. |
| So prüfen Sie das | Der kostenlose Security Check Report merkt sich die Autoren Ihrer Plugins und meldet jeden Wechsel. |
Veröffentlicht: 06.09.2026 · Letzte Aktualisierung: 06.09.2026
Sie haben ein Plugin vor 5 Jahren installiert, es hat seitdem zuverlässig funktioniert, und Sie spielen seine Updates ein, ohne lange nachzudenken. Genau dieses Verhalten ist vernünftig, denn veraltete Plugins sind eines der größten Einfallstore in WordPress-Installationen. Es hat aber eine Voraussetzung, über die selten gesprochen wird: Sie vertrauen nicht dem Plugin, sondern der Person oder Firma, die es pflegt. Wenn diese Person wechselt, wechselt die Grundlage Ihres Vertrauens, und die Update-Funktion, die Sie schützt, wird zum Lieferweg für den neuen Besitzer.
Das ist kein theoretisches Szenario. Es ist ein dokumentiertes Geschäftsmodell: Käufer erwerben etablierte Plugins mit großer Nutzerbasis, warten einige Wochen und liefern dann über das offizielle WordPress-Verzeichnis ein Update aus, das Spam einschleust oder eine Hintertür öffnet. Aus Sicht des Angreifers ist das effizienter als jeder Einbruch, denn die 200.000 Sites installieren sich den Schadcode selbst.
Fall 1: Display Widgets, ein Plugin wird zur Spam-Schleuder
Das Plugin Display Widgets hatte über 200.000 aktive Installationen, als es die ursprünglichen Entwickler (das Team hinter Formidable Forms) im Mai 2017 verkauften. Der neue Besitzer veröffentlichte am 21. Juni 2017 die Version 2.6.0, die eine große Geolokations-Datenbank von einem fremden Server nachlud, ein Verstoß gegen die Richtlinien des Plugin-Verzeichnisses. Nur gut eine Woche später folgte Version 2.6.1 mit einer Datei namens geolocation.php, die eine Backdoor enthielt: Der Plugin-Autor konnte damit auf jeder betroffenen Site Inhalte veröffentlichen, ändern und löschen. Die eingeschleusten Spam-Inhalte waren für eingeloggte Benutzer unsichtbar, Administratoren sahen auf ihrer eigenen Site also nichts Auffälliges.
Das Plugin wurde daraufhin 4 Mal aus dem WordPress-Verzeichnis entfernt und tauchte immer wieder mit leicht veränderter Schadfunktion auf, bis es im September 2017 dauerhaft gesperrt wurde. Die früheren Entwickler warnten öffentlich, sie hätten keine Möglichkeit mehr, die Nutzer ihres alten Plugins zu erreichen. Genau das ist der Kern des Problems: Die Nutzerbasis gehört nach dem Verkauf dem Käufer. Dokumentiert ist der Fall unter anderem in der Chronologie von Wordfence und bei WP Tavern.
Fall 2: Captcha, eine Hintertür für 300.000 Sites
Noch im selben Jahr wiederholte sich das Muster in größerem Maßstab. Das Plugin Captcha des Herstellers BestWebSoft hatte rund 300.000 aktive Installationen, als es einige Monate vor dem Vorfall an einen nicht genannten Käufer ging. Am 4. Dezember 2017 erschien ein Update, das im Hintergrund ein ZIP-Archiv von einer fremden Domain nachlud und über die bestehende Installation schrieb. Darin steckte eine Datei plugin-update.php: eine Backdoor, die eine Anmeldesitzung mit der Benutzer-ID 1 erzeugte, also mit dem ersten Administratorkonto der Installation, und sich anschließend selbst löschte, um keine Spuren zu hinterlassen.
Der Auslöser der Installation war nicht einmal geschützt, jeder konnte ihn aufrufen. Das WordPress-Plugin-Team veröffentlichte gemeinsam mit den Entdeckern eine bereinigte Version 4.4.5 und ersetzte damit die kompromittierten Installationen. Die technische Analyse liefert der Bericht von Wordfence, eine unabhängige Zusammenfassung gibt es bei SecurityWeek. Die spätere Recherche zeigte außerdem, dass derselbe Käuferkreis hinter mehreren aufgekauften Plugins mit identischer Backdoor steckte. Es handelte sich nicht um einen Einzeltäter mit einer Gelegenheit, sondern um ein wiederholbares Vorgehen.
Warum die Autorenzeile das früheste Signal ist
Beide Fälle haben denselben zeitlichen Ablauf: Erst wechselt der Besitzer, dann vergehen Wochen bis Monate, dann kommt das bösartige Update. Dieses Zeitfenster ist Ihre Chance. Wer den Besitzerwechsel bemerkt, kann das Plugin prüfen, beobachten oder ersetzen, bevor der neue Besitzer überhaupt etwas ausgeliefert hat.
Das Problem: WordPress zeigt Ihnen diesen Wechsel nicht an. Es gibt keine Benachrichtigung „dieses Plugin hat einen neuen Autor“. Die Information steht zwar in den Plugin-Metadaten, aber niemand vergleicht sie von Hand über 20 oder 30 installierte Plugins hinweg, Monat für Monat. Auch ein Malware-Scanner hilft in diesem Fenster nicht, denn es gibt noch keine Malware zu finden. Der Wechsel selbst ist kein Schadcode, er ist nur die Vorbedingung dafür.
Dazu kommt: Der Verkauf eines Plugins ist völlig legitim und meistens harmlos. Entwickler geben Projekte ab, Firmen übernehmen Plugins und pflegen sie ordentlich weiter. Ein Autorenwechsel ist deshalb kein Alarm, sondern ein Anlass, einmal genau hinzusehen: Wer ist der neue Besitzer? Gibt es eine Ankündigung? Was steht im Changelog der nächsten Updates? Diese 10 Minuten Aufmerksamkeit sind der gesamte Preis. Verglichen mit einer übernommenen Site ist das geschenkt.
Was Sie konkret tun können
Drei Maßnahmen, aufsteigend nach Aufwand:
- Bestandsaufnahme führen. Halten Sie fest, welche Plugins installiert sind und von wem sie stammen. Schon eine einfache Liste macht einen späteren Vergleich möglich. Ohne Referenzpunkt können Sie einen Wechsel nicht erkennen.
- Bei jedem Wechsel kurz recherchieren. Ein seriöser Käufer stellt sich in der Regel vor, im Blog, im Support-Forum oder im Changelog. Ein Käufer, der anonym bleibt und dessen erstes Update Code von fremden Domains nachlädt, ist ein Grund, das Plugin zu ersetzen.
- Die Prüfung automatisieren. Unser kostenloses Plugin Security Check Report legt beim ersten Lauf eine Basislinie an, in der unter anderem die Autoren aller installierten Plugins stehen. Seit Version 2.3.0 vergleicht jeder weitere Lauf gegen diese Basislinie und meldet, wenn sich der Autor eines Plugins geändert hat. Dieselbe Prüfung erkennt auch Plugins, deren Eintrag im WordPress-Verzeichnis geschlossen wurde, was häufig auf ein Sicherheitsproblem hindeutet, sowie Plugins, die verwaist wirken. Das Plugin ist ein rein lesendes Konfigurations-Audit mit 60 Prüfungen, es blockiert nichts und sendet keine Daten an uns. Sie finden es im WordPress-Verzeichnis, der Quelltext liegt offen auf GitHub.
Zur Einordnung: Ein Konfigurations-Audit ersetzt weder eine Firewall noch einen Malware-Scanner, und keine dieser Werkzeugklassen hätte die beiden geschilderten Fälle allein verhindert. Der Autorenwechsel-Check verschiebt aber den Zeitpunkt, an dem Sie von dem Risiko erfahren: von „nachdem das bösartige Update installiert wurde“ auf „bevor der neue Besitzer sein erstes Update ausliefert“. In der Sicherheit ist ein früheres Signal fast immer das wertvollere.
Häufige Fragen
Ist jeder Plugin-Verkauf gefährlich?
Nein. Die meisten Übernahmen sind gewöhnliche Geschäftsvorgänge, bei denen ein Plugin ordentlich weitergepflegt wird. Gefährlich ist die Kombination aus einem anonymen Käufer und Updates, deren Verhalten sich ändert, etwa durch das Nachladen von Code von fremden Servern. Der Wechsel ist der Anlass zur Prüfung, nicht das Urteil.
Warum warnt WordPress selbst nicht vor einem Autorenwechsel?
Die Plugin-Metadaten enthalten den Autor, aber WordPress vergleicht sie nicht mit einem früheren Stand und kennt das Konzept einer Besitzerwechsel-Warnung nicht. Das Plugin-Verzeichnis entfernt Plugins erst, wenn nachweislich Schadcode ausgeliefert wurde. Zu diesem Zeitpunkt ist das Update auf vielen Sites bereits installiert.
Hätte ein Malware-Scanner die beiden Fälle erkannt?
Erst nach der Infektion, und auch das nicht sicher. Die Captcha-Backdoor löschte sich nach Gebrauch selbst, die Spam-Inhalte von Display Widgets waren für eingeloggte Benutzer unsichtbar. Beide Angriffe waren darauf ausgelegt, gängige Kontrollen zu unterlaufen. Das Signal, das zeitlich vor der Infektion liegt, ist der Besitzerwechsel, und genau deshalb lohnt es sich, ihn zu überwachen.
Was mache ich, wenn Security Check Report einen Autorenwechsel meldet?
Erst prüfen, dann entscheiden. Sehen Sie im Plugin-Verzeichnis und im Changelog nach, ob der Wechsel angekündigt wurde und wer der neue Betreiber ist. Wirkt alles nachvollziehbar, können Sie den Befund im Report stummschalten; er kommt automatisch wieder, sobald sich der Autor erneut ändert. Bleibt der neue Besitzer anonym oder verhält sich das nächste Update auffällig, ersetzen Sie das Plugin. Wenn Sie den Verdacht haben, dass bereits ein bösartiges Update installiert wurde, behandeln Sie die Site als kompromittiert.
Weiterführend
Wie ein Konfigurations-Audit in eine umfassende Sicherheitsstrategie passt und welche Maßnahmen wir für betreute WordPress-Sites standardmäßig umsetzen, lesen Sie auf unserer Seite zur WordPress-Sicherheit. Wenn Ihre Website bereits ein bösartiges Update installiert hat, ist sie kompromittiert, und ein Audit allein hilft nicht weiter. Für diesen Fall gibt es unsere Soforthilfe bei gehackten WordPress-Websites.