Kurz gefasst
Deine Website lief die ganze Woche normal und trotzdem könnte über Nacht ein fremdes Plugin darauf installiert worden sein. Genau das ist in diesen Tagen bei WordPress-Seiten passiert. Zwei Vorfälle laufen parallel, und sie funktionieren unterschiedlich. Deshalb prüfst du sie auch unterschiedlich.
---
## Was genau passiert ist
- Von Rank Math SEO PRO waren Exemplare der Version 3.0.123 betroffen, geladen oder aktualisiert zwischen dem 15. Oktober 2026, 20:02 Uhr UTC, und dem 16. Oktober 2026, 07:12 Uhr UTC. Sauberer Ersatz ist 3.0.124.
- Bei Updraft war nicht der Plugin-Code das Problem, sondern der Anbieter: Am Wochenende vom 17. bis 18. Oktober 2026 gab es unbefugten Zugriff auf teamupdraft.com, dabei flossen auch UpdraftCentral-Verbindungsschlüssel ab.
- Ein reines Update reicht nicht. Die Schadsoftware kann zusätzliche Dateien, Administratorkonten und geplante Aufgaben hinterlassen haben.
| Vorfall | Betroffen | Zeitraum | Was du tun musst |
|---|---|---|---|
| Rank Math SEO PRO | Einige Exemplare der Version 3.0.123 enthielten Malware | Download oder Update zwischen 15.10.2026, 20:02 Uhr UTC, und 16.10.2026, 07:12 Uhr UTC | Version prüfen, bei Treffer als kompromittiert behandeln |
| TeamUpdraft | Kundendatenbank und Verbindungsschlüssel für UpdraftCentral, UpdraftVault und UpdraftClone | Zugriff am Wochenende 17. bis 18.10.2026 | Prüfen, ob UpdraftCentral verbunden war, Schlüssel erneuern |
Die Falle bei der Pro-Version: Beim Verbinden des Pro-Kontos ist UpdraftCentral laut Leserberichten vorausgewählt. Viele haben den Haken nie bewusst gesetzt und nutzen die zentrale Verwaltung gar nicht. Betroffen sein kann trotzdem, wer die Pro-Version mit dem Konto verbunden hat.
Wer nur die kostenlose Version lokal einsetzt, meldet bislang keine Auffälligkeiten. Das ist ein Leserbericht und keine Entwarnung des Anbieters. Dass die E-Mail-Adresse im Konto abgeflossen sein kann, gilt aber auch hier.
---
## Schritt für Schritt: Installation prüfen
Die Befehle gehen von einem Shell-Zugang und installiertem WP-CLI aus. Führe sie im WordPress-Verzeichnis aus.
- Seite sichern, bevor du etwas änderst. Zieh ein Abbild von Dateien und Datenbank. Du brauchst den Zustand später als Beweismaterial.
wp db export vorfall-$(date +%F).sql tar czf vorfall-dateien-$(date +%F).tar.gz . - Plugins und Versionen auflisten. Suche nach Rank Math SEO PRO 3.0.123 und nach Plugins, die du nicht kennst.
wp plugin list --fields=name,status,version,update - Administratorkonten prüfen. Jedes Konto, das du nicht selbst angelegt hast, ist ein Alarmsignal.
wp user list --role=administrator --fields=ID,user_login,user_email,user_registered - Geplante Aufgaben ansehen. Die Malware kann Cronjobs hinterlassen haben, die sie nach dem Aufräumen wieder nachladen.
wp cron event list - Kürzlich geänderte Dateien suchen. Alles, was im Zeitraum des Vorfalls geändert wurde und nicht von dir stammt, gehört unter die Lupe.
find wp-content -type f -name '*.php' -mtime -10 -ls - Plugin-Ordner prüfen. Ein unbekannter Ordner unter
wp-content/pluginsist verdächtig, besonders wenn er in der Nacht auf den 19. oder 20. Oktober entstanden ist.ls -lat wp-content/plugins | head -20
wp plugin verify-checksums --allRäume nicht nur das auffällige Plugin weg. Wer die Seite einmal übernommen hat, kann an mehreren Stellen Zugänge hinterlassen. Im Zweifel ist eine saubere Neuinstallation mit eingespieltem Datenbestand schneller und sicherer als monatelange Spurensuche.
* **Plugin entfernen:** Betroffene Ordner löschen, nicht nur deaktivieren. Rank Math PRO danach in Version 3.0.124 frisch einspielen.
* **Konten bereinigen:** Unbekannte Administratoren löschen, alle übrigen Passwörter ändern und aktive Sitzungen beenden.
* **Geheimnisse erneuern:** Datenbankpasswort, die Schlüssel in der wp-config.php und alle API-Zugänge, die auf dem Server lagen.
* **Updraft neu verbinden:** Alle Schlüssel wurden entwertet. Vergib ein neues Passwort für dein Updraft-Konto, verbinde Seiten neu und wähle UpdraftCentral nur ab, wenn du es nicht brauchst.
* **Backups prüfen:** Ein Backup aus der Zeit nach dem 15. Oktober 2026 kann die Backdoor schon enthalten. Spiel im Zweifel einen älteren Stand zurück.
Hast du das bei Kunden zu verantworten, kann ein Datenabfluss meldepflichtig sein. Das solltest du mit deinem Datenschutzbeauftragten klären, bevor du den Vorfall abhakst.
---
## Warum ein Update hier nicht reicht
Bei beiden Vorfällen kam der Schadcode über einen Weg, dem du vertraust: ein Plugin-Update oder eine Verwaltungsverbindung. Leser berichten, dass Updates auch ohne aktivierte Auto-Updates eingespielt wurden. Ein Kommentator verweist auf einen Mechanismus von wordpress.org, mit dem sich Updates bei akuten Sicherheitslagen serverseitig erzwingen lassen. Bestätigt ist das für diese Vorfälle nicht, es zeigt aber, wie wenig dir die eigene Einstellung hier hilft.
Deshalb zählt, was nach der Installation passiert: Ein Plugin, das sich unbemerkt Rechte holt, fällt nur auf, wenn du hinschaust. Ähnlich lief es beim [Virtualizor-Vorfall mit untergeschobenem Update](https://prepaid-host.com/de/blog/virtualizor-bgp-hijack-kompromittiert-was-jetzt-zu-tun-ist), den wir ebenfalls aufgearbeitet haben.
### Frühwarnung statt Zufall
Ein Leser bemerkte den Vorfall erst, weil seine Seite am Morgen nicht mehr erreichbar war. Mit einer externen Überwachung weißt du es früher: Über [unser Monitoring](https://prepaid-host.com/de/monitoring/order) behältst du Seiten und Dienste im Blick, und ein Ausfall nach einem nächtlichen Plugin-Update fällt dir nicht erst beim Frühstück auf.
Läuft WordPress bei dir auf einem eigenen Server, trennst du Seiten sauberer voneinander. Auf dem [Webhosting auf dem Rootserver](https://prepaid-host.com/de/rootserver/webhosting) bekommt jede Installation ihren eigenen Bereich, sodass eine kompromittierte Seite nicht automatisch die anderen mitnimmt. Wie du den Zugang zum Server selbst dichtmachst, steht in unserer Anleitung zur [SSH-Absicherung mit Schlüssel und fail2ban](https://prepaid-host.com/de/blog/ssh-zugang-richtig-absichern-schluessel-port-fail2ban).
---
## Prüfen, ob es geklappt hat
* **Plugin-Liste:** Nur bekannte Plugins, Rank Math PRO in Version 3.0.124 oder neuer.
* **Benutzerliste:** Nur Administratoren, die du selbst angelegt hast.
* **Cron-Liste:** Keine Ereignisse mit unbekannten Hooks.
* **Dateisuche:** Der find-Befehl aus Schritt 5 liefert nur Änderungen, die du erklären kannst.
* **Logs:** Im Zugriffslog erscheinen nach der Bereinigung keine Aufrufe mehr auf Dateien, die es nicht mehr gibt.
Eine Woche später wiederholst du die Prüfung. Taucht etwas Neues auf, war die Bereinigung unvollständig.
Eine passende Versionsnummer allein sagt nichts aus. Entscheidend ist, was zwischen Download und heute auf deinem Server angelegt wurde.
Häufige Fragen
Bin ich betroffen, wenn ich Rank Math PRO nutze?
Nur wenn eine betroffene Kopie der Version 3.0.123 in dem Zeitraum vom 15. Oktober 2026, 20:02 Uhr UTC, bis 16. Oktober 2026, 07:12 Uhr UTC heruntergeladen oder per Update installiert wurde. Die Versionsnummer allein beweist nichts, war die Kopie aber aktiv, solltest du die Seite als kompromittiert behandeln. Version 3.0.124 ist der saubere Ersatz.
Muss ich das Updraft-Plugin löschen?
Nach den bisherigen Angaben war nicht das Plugin selbst betroffen, sondern der Anbieter TeamUpdraft. Entscheidend ist, ob dein Pro-Konto mit UpdraftCentral verbunden war. Dann prüfst du die Installation auf unbekannte Plugins, vergibst ein neues Kontopasswort und verbindest die Seite neu.
Reicht es, das Plugin zu aktualisieren?
Nein. Die Malware kann zusätzliche Dateien, Administratorkonten oder geplante Aufgaben abgelegt haben, die ein Update nicht entfernt. Prüfe Benutzer, Cronjobs und neu angelegte Dateien und tausche die Zugangsdaten.
Welche Daten sind bei TeamUpdraft abgeflossen?
Der Anbieter geht von einem Zugriff auf die Kundendatenbank aus: Namen, E-Mail-Adressen, Rechnungsadressen, Bestellhistorie, gehashte Passwörter, 2FA-Einstellungen und Verbindungsschlüssel für UpdraftCentral, UpdraftVault und UpdraftClone.
Kann ich meinen Backups nach dem Vorfall trauen?
Nur mit Einschränkung. Ein Backup, das nach dem 15. Oktober 2026 entstanden ist, kann die Backdoor bereits enthalten. Spiel im Zweifel einen älteren Stand zurück und führe danach die Prüfschritte erneut aus.
