Wie Angreifer veraltete Websites erkennen

Veröffentlicht am 14.09.2026 von DomainFactory

Wie konnte das passieren? Häufig ist der Grund für einen erfolgreichen Angriff eine veraltete Website. Und damit meinen wir nicht, dass der neueste Blogpost schon ein halbes Jahr alt ist oder die Daten im Impressum nicht mehr stimmen. Veraltet ist nicht der Content, sondern die Software – und das ist im Internet besonders gefährlich. Wie Hacker veraltete Websites erkennen und ausnutzen, erklärt dieser Artikel.

Veraltet heißt oft anfällig

Websites sind bei Hackern besonders beliebt, weil sie über das Internet leicht erreichbar und zudem oft anfällig für Manipulationen sind. Jeder dritte Cyberangriff auf Unternehmen (34 %) zielte 2025 auf Web-Apps (Quelle: 2025 DataBreach Investigations Report).

Anfällig sind Websites vor allem deshalb, weil sie so komplex geworden sind. Websites bestehen heute längst nicht mehr nur aus statischen HTML-Seiten. Laut W3Techs nutzen über 70 Prozent aller Websites weltweit ein Content-Management-System (CMS), die meisten davon WordPress (Marktanteil ca. 60 Prozent, Stand März 2026). Content-Management-Systeme sind komplexe Webanwendungen, die mit Datenbanken, Templates und dynamischen Programmiersprachen wie PHP oder JavaScript arbeiten. Allein der WordPress-Core hatte schon vor einigen Jahren über 820.000 Codezeilen (wie in diesem Video von Ende 2018 gezählt); komplexere Sites mit vielen Plug-ins dürften heute nicht selten eine siebenstellige Anzahl Codezeilen haben.

Es ist fast unvermeidlich, dass derart komplexe Software Schwachstellen aufweist. Der WordPress-Core gilt als relativ sicher (solange er aktuell gehalten wird). Mit Plugins und Layout-Vorlagen (Themes) sieht das anders aus: Der populäre WordPress-Vulnerability-Scanner WPScan hatte im März 2026 etwas über 71.000 Schwachstellen in seiner Datenbank, davon 93 Prozent in Plugins und 6 Prozent in Themes. Allein 2025 kamen über 10.500 neue Schwachstellen hinzu – und in den ersten beiden Monaten von 2026 noch einmal fast 2.000. Viele davon, vor allem kritische Sicherheitslücken, werden von ihren Anbietern zeitnah geschlossen – aber je länger das letzte Update zurückliegt, desto anfälliger für Angriffe ist eine Installation. Das gilt nicht nur für WordPress, sondern für praktisch jede Software, die eine Website nutzt und die über statisches HTML hinausgeht.

Ein Beispiel aus der WordPress-Praxis 

Der jährliche Cybersecurity-Report „Website Malware Threat Landscape“ von GoDaddy wertet regelmäßig Scan-Ergebnisse von Sucuri SiteCheck aus, das kontinuierlich Millionen Websites weltweit per Remote-Scanning auf Sicherheitsprobleme analysiert. In der jüngsten Ausgabe des Reports mit Daten aus 2024 fand Sucuri 822,651 Websites, die von Malware befallen waren – knapp 150.000 davon (18,2 Prozent) von Balada Injector, einer Malware, die gezielt Schwachstellen in verbreiteten WordPress-Plugins ausnutzt. Sie verankert sich in Datenbankoptionen (Tabelle wp_options), Theme- und JavaScript-Dateien, kann ihren Code verschleiern, kann angemeldete Admins erkennen, um sich mehr Rechte zu verschaffen, richtet sich damit neue Nutzerkonten ein und installiert versteckte Backdoor-Plugins als Hintertüren.

Übrigens: Sucuri SiteCheck ist auch Bestandteil des Security-Pakets Sucuri Website Security von DomainFactory, das Sie zuverlässig vor Malware und Hacker-Attacken schützt.

Wie Angreifer veraltete Websites erkennen

Jeder Cyberangriff beginnt mit der Sammlung von Informationen, paramilitärisch gern als „Aufklärung“ (engl. Reconnaissance, Recon) bezeichnet. Die Hacker wollen schließlich wissen, ob sich die Mühe auch lohnt. Das Ganze erfolgt in den allermeisten Fällen komplett automatisiert: Skripte oder Tools scannen das Internet nach verwundbaren Websites. Wie funktioniert das?

Das Internet hält für diesen Zweck eine unüberschaubare Flut an Werkzeugen bereit (eine kleine Auswahl finden Sie hier). Viele davon sind als Tools für Security-Spezialisten entwickelt worden, stehen aber natürlich auch der Gegenseite zur Verfügung. Viele davon sind als Kommandozeilenwerkzeug verfügbar und eignen sich daher auch gut für Skripte, um sie ganz nach Belieben zu kombinieren. Beispielsweise liefern im ersten Schritt Datenbanken wie Censys oder Shodan (kostenpflichtig) oder Open-Source-Portscanner wie nmap oder masscan unter anderem die IP-Adressen von Webservern. masscan scannt angeblich das gesamte Internet in weniger als 5 Minuten, während sich nmap kleinere Bereiche vornimmt, aber mehr Infos liefert, etwa die genaue Webserver-Version. HTTP-Probing-Tools wie HTTPX stellen zudem fest, ob diese Endpunkte wirklich aktiv Content ausliefern – dann lohnt sich ein näherer Blick.

Jetzt kann die nächste Recon-Stufe beginnen, das sogenannte Fingerprinting. Es erfolgt mit Werkzeugen, die nützliche Details zu Websites herausfinden, beispielsweise dem „Next-Generation Web Scanner“ WhatWeb, der mit seinen über 1.800 Plugins auch JavaScript-Frameworks, Content-Management-Systeme, Datenbanken und vieles mehr analysiert. So erhalten die Hacker auf Wunsch auch Listen mit WordPress-Installationen, die sie dann an Spezialisten wie WPScan verfüttern können. (Eine einfache Google-Suche nach “index of” inurl:wp-content findet aber für den Anfang auch schon eine ganze Reihe WordPress-Installationen.)

WPScan kann nun WordPress-Versionen, eingesetzte Themes und natürlich Plugins identifizieren, sehr häufig (aber nicht immer) auch die installierten Versionen. Hier also ist die Antwort auf die Frage im Titel: Angreifer erkennen veraltete Websites, genauer veraltete Software auf Webservern, sehr einfach dadurch, dass sie ein paar Kommandozeilentools für sich arbeiten und sich die URLs anfälliger Webseiten frei Haus liefern lassen – komplett mit Namen und Version der gefährdeten Software. WPScan kann sogar noch mehr: Da das Werkzeug an die WPScan-Schwachstellen-Datenbank angebunden ist, kann es auch gleich die genauen Sicherheitslücken inklusive Links mit weiterführenden Infos mitliefern.

So funktioniert das Fingerprinting

Im Website-Hacking-Kontext wird unter „Fingerprinting“ die detaillierte Analyse der von einer Website genutzten Technologien verstanden, insbesondere Infrastruktur, Webserver-Software, Betriebssysteme und Anwendungen der Zielwebsite. (Bitte nicht verwechseln mit Browser-Fingerprinting, einer Technik, Surfer über die von ihnen genutzte Software zu identifizieren.) Wir haben schon einige Werkzeuge kennengelernt, mit denen Fingerprinting betrieben werden kann. Aber was genau passiert dabei – wie können diese Werkzeuge beispielsweise WordPress oder bestimmte Plugin-Versionen erkennen?

In der Regel passiert das durch das Senden von Anfragen an den Webserver. Je nach Aufklärungsziel werden dabei Transportprotokolle wie TCP (etwa bei Portscans) oder Anwendungsprotokolle wie HTTP genutzt. Aus den Antworten des Servers kann man zahlreiche Informationen ableiten. In jeder Antwort werden beispielsweise diverse Kopfzeilen (Header) mitgeschickt, die häufig bereits Rückschlüsse auf Server- und Software-Details erlauben. Auch dafür gibt es spezielle Tools wie httprecon. 

Die Analyse von Standard-Fehlerseiten kann ebenfalls Rückschlüsse erlauben, etwa von 404-Fehlerseiten bei Anfragen nach nicht vorhandenen Ressourcen. Zwei weitere sehr wichtige Informationsquellen sind der Quellcode von Webseiten (dort finden sich häufig verräterische Pfade zu Ressourcen) sowie standardisierte Verzeichnisstrukturen und Dateien, nach denen man auch direkt suchen kann. Bei WordPress sind das zum Beispiel /wp-admin/, /wp-content/uploads, /wp-content/themes oder /wp-content/plugins/…. Auch WPScan checkt unter anderem die WordPress-Verzeichnisse sowie Dateien wie readme.txt oder changelog.txt, um Infos über installierte Themes, Plugins und Versionen herauszufinden. Finden sich keine Versionsnummern, gibt es vielleicht andere Indikatoren: Welche Dateien existieren? Welche Endpunkte antworten? Welche Fehlermeldungen erscheinen bei bestimmten Parametern? 

Viele Informationen sind bereits „passiv“ auslesbar – also durch normales Aufrufen der Website und Auswertung des Outputs. Und auch „aktives“ Scannen durch gezielte Testanfragen wird in der Regel nicht als Angriffsversuch erkannt. WPScan kann aber auch anders – ebenso sind etwa Brute-Force-Angriffe auf Login-Seiten möglich.

Wie können Sie Ihre Website schützen?

Die wichtigste Gegenmaßnahme gegen Angriffe besteht natürlich in regelmäßigen Updates. Aber genau die gehen leider, wenn sie nicht automatisiert werden können, im Tagesgeschäft oft unter – gerade bei komplexeren Websites mit vielen Erweiterungen oder Plugins, die womöglich gar nicht mehr aktiv genutzt werden. Auch starke Passwörter (am besten Multi-Faktor-Authentifizierung) und das Verbieten zu vieler Login-Versuche gegen Brute-Force-Attacken sind wichtig. Zudem können Sie das Fingerprinting erschweren, indem Sie weniger Informationen über Ihre Website preisgeben: etwa HTTP-Header einschränken, Software-Hinweise aus Dateien entfernen, die Standard-Dateistruktur verändern oder Readme- und Changelog-Dateien löschen. Aber wahrscheinlich werden Sie ohne Expertenwissen nicht alle verräterischen Spuren Ihrer konkreten Installation dauerhaft verwischen können – wenn Sie Ihre Website veralten lassen, werden Hacker das höchstwahrscheinlich auch mitbekommen.

Wirksamer ist ein mehrschichtiger Schutz, wie ihn Sucuri Website Security von DomainFactory bietet. Der Scanner prüft Websites rund um die Uhr auf typische Malware-Muster und Auffälligkeiten (Indicators of Compromise) und lässt Sie Probleme frühzeitig erkennen. Web Application Firewall (WAF) und Content Delivery Network (CDN) helfen, Angriffe schon im Vorfeld abzuwehren, und Funktionen für Backup & Restore beschränken den Schaden tatsächlicher Vorfälle. Zudem ist die sichere Entfernung von Malware durch unsere Experten in allen Paketen enthalten.

Titelmotiv des Blogartikels zum Thema: Bild von Welcome to All ! auf Pixabay