Ich nutze UpdraftPlus nur für Backups. Bin ich betroffen?

Möglicherweise. Entscheidend ist nicht, ob Sie UpdraftCentral bewusst nutzen, sondern ob auf Ihrer Website ein UpdraftCentral-Schlüssel gespeichert ist. Ein solcher Schlüssel kann auch entstehen, wenn Sie Ihre Website mit einem Konto bei TeamUpdraft verbunden haben.

Reicht es, UpdraftPlus zu aktualisieren?

Nein. Ein Update schliesst die Tür für neue Angriffe. Eine bereits eingebaute Hintertür und ein heimlich angelegtes Benutzerkonto entfernt es nicht. Prüfen Sie deshalb zusätzlich Ihre Plugins und Benutzer.

Hilft mir die Zwei-Faktor-Anmeldung?

In diesem Fall leider nicht. Die Angreifer melden sich über ein Cookie an und umgehen damit die normale Anmeldung samt Zwei-Faktor-Schutz.

Soll ich UpdraftPlus deinstallieren?

Das ist nicht nötig. Für Backups können Sie UpdraftPlus weiter verwenden. Löschen Sie aber die UpdraftCentral-Schlüssel und verbinden Sie die Website vorerst nicht neu mit UpdraftCentral.

UpdraftCentral: Gestohlene Schlüssel öffnen WordPress-Websites für Angreifer

UpdraftPlus ist eines der beliebtesten Backup-Plugins für WordPress und läuft auf Millionen von Websites. Im Oktober 2026 haben Angreifer eine Zusatzfunktion des Plugins missbraucht, um Hintertüren in WordPress-Websites einzubauen. Mehrere Sicherheitsfirmen berichten von laufenden Angriffen.

In diesem Artikel erklären wir ohne Fachchinesisch, was passiert ist, woran Sie erkennen, ob Ihre Website betroffen ist, und was Sie tun sollten.

Das Wichtigste vorweg: Wenn auf Ihrer WordPress-Website UpdraftPlus installiert ist, löschen Sie die gespeicherten UpdraftCentral-Schlüssel. Das geht in wenigen Klicks und schliesst die Lücke. Eine Anleitung finden Sie weiter unten.

Was ist UpdraftCentral?

UpdraftCentral ist die Fernwartung von UpdraftPlus. Damit lassen sich viele WordPress-Websites von einer zentralen Oberfläche aus verwalten, zum Beispiel um Updates einzuspielen oder Backups zu starten.

Damit das funktioniert, speichert jede verbundene Website einen digitalen Schlüssel. Wer diesen Schlüssel besitzt, kann der Website Befehle schicken, die sie ohne weitere Prüfung ausführt. Dazu gehört auch das Installieren neuer Plugins.

Wichtig zu wissen: Die Funktion steckt in jeder Kopie von UpdraftPlus, auch in der kostenlosen Version. Sie schläft, solange kein Schlüssel gespeichert ist. Ein Schlüssel entsteht aber nicht nur, wenn Sie UpdraftCentral bewusst einrichten. Auch das Verbinden der Website mit einem Konto bei TeamUpdraft, dem Hersteller, legt einen an. Das Häkchen dafür ist standardmässig gesetzt. Die Schlüssel laufen zudem nie ab.

Was ist passiert?

Am 17. und 18. Oktober 2026 hatten Unbefugte Zugriff auf die Website des Herstellers TeamUpdraft. Der Hersteller geht davon aus, dass dabei auch seine Kundendatenbank betroffen war und Schlüssel für UpdraftCentral in fremde Hände gelangt sind. Das Plugin selbst und seine Downloads sind laut Hersteller nicht manipuliert worden.

Ab dem 18. Oktober haben Sicherheitsfirmen die ersten Angriffe beobachtet. Die Angreifer schicken mit den gestohlenen Schlüsseln einen gültigen Befehl an die Website. Diese installiert daraufhin ein unscheinbares Plugin, das in Wahrheit eine Hintertür ist.

Über diese Hintertür legen die Angreifer ein verstecktes Benutzerkonto mit weitreichenden Rechten an. Damit können sie die Website beliebig verändern, Schadcode einbauen oder Daten abgreifen. Das Konto bleibt bestehen, auch wenn das Hintertür-Plugin später entfernt wird.

Wer ist betroffen?

Betroffen sind alle WordPress-Websites mit UpdraftPlus, auf denen ein UpdraftCentral-Schlüssel gespeichert ist. Das gilt für die kostenlose und die Premium-Version gleichermassen.

Ob Sie UpdraftCentral bewusst nutzen, spielt keine Rolle. Auch Websites, die nur einmal mit einem TeamUpdraft-Konto verbunden wurden, können einen Schlüssel gespeichert haben.

Websites ohne UpdraftPlus sind nicht betroffen.

Woran erkenne ich einen Angriff?

Die Sicherheitsfirma Patchstack hat typische Spuren veröffentlicht. Prüfen Sie im WordPress-Adminbereich:

Plugins: Gibt es ein Plugin, das Sie nicht kennen? In allen bekannten Fällen lautete die Beschreibung «Small maintenance toolkit: keeps option storage tidy». Der Name wechselt, häufig war es «Site Health Cache».
Benutzer: Gibt es ein Konto, das Sie nicht angelegt haben? Typisch sind Namen wie «data-ops43» oder «media-staff96», eine Mailadresse mit «@example.org» und der Anzeigename «Site Tools». Das Konto hat meist die Rolle «Redakteur», aber deutlich mehr Rechte.

Finden Sie eines davon, ist Ihre Website sehr wahrscheinlich kompromittiert. Lesen Sie dann den Abschnitt «Wenn Sie Spuren finden».

Was Sie jetzt tun sollten

1. UpdraftCentral-Schlüssel löschen

Melden Sie sich im WordPress-Adminbereich an und öffnen Sie Einstellungen → UpdraftPlus Backups → Erweiterte Werkzeuge → UpdraftCentral. Löschen Sie dort alle aufgeführten Schlüssel, auch wenn Sie UpdraftCentral nie genutzt haben.

Es reicht nicht, die Website in der UpdraftCentral-Oberfläche zu entfernen. Der Schlüssel muss auf der Website selbst gelöscht werden.

Wer mit der Kommandozeile arbeitet, kann das auch mit WP-CLI erledigen:

wp option get updraft_central_localkeys
wp option delete updraft_central_localkeys

Gibt der erste Befehl etwas aus, war ein Schlüssel gespeichert. Der zweite Befehl löscht ihn.

2. UpdraftPlus aktualisieren

Der Hersteller hat ein Notfall-Update angekündigt, das alte UpdraftCentral-Verbindungen automatisch trennt. Spielen Sie die neueste Version von UpdraftPlus ein, sobald sie verfügbar ist. Achten Sie auch darauf, mindestens Version 1.26.5 (kostenlos) beziehungsweise 2.26.5 (Premium) zu verwenden. Ältere Versionen enthalten zusätzlich eine andere Lücke in derselben Funktion, die bereits im Juni 2026 geschlossen wurde.

3. Vorerst nicht neu verbinden

Verbinden Sie Ihre Website erst wieder mit UpdraftCentral, wenn der Hersteller die Ursache vollständig erklärt hat. Ihre Backups funktionieren auch ohne diese Verbindung.

Wenn Sie Spuren finden

Ein Update allein reicht dann nicht mehr. Gehen Sie so vor:

Löschen Sie zuerst den UpdraftCentral-Schlüssel, wie oben beschrieben.
Löschen Sie das unbekannte Benutzerkonto.
Entfernen Sie das unbekannte Plugin.
Ändern Sie die Passwörter aller Administratoren und melden Sie alle Benutzer ab.
Prüfen Sie, ob Ihre Website weitere unbekannte Dateien oder Änderungen enthält. Im Zweifel stellen Sie ein Backup von vor dem 17. Oktober 2026 wieder her.

Bei HostBott erstellen wir täglich Backups Ihrer Website. Wenn Sie unsicher sind oder Hilfe beim Wiederherstellen brauchen, melden Sie sich bei unserem Support. Wir helfen Ihnen gerne.

Was wir für Sie tun

Liegt Ihre Website bei HostBott und sind Sie unsicher, ob sie betroffen ist? Schreiben Sie uns. Wir prüfen Ihre Website auf gespeicherte UpdraftCentral-Schlüssel und auf die bekannten Spuren der Angreifer, löschen die Schlüssel auf Wunsch für Sie und helfen beim Aufräumen, falls wir etwas finden.

Weiterführende Informationen

Analyse von Patchstack (Englisch)
Analyse von Nethemba (Englisch)

Haben Sie Fragen zu Ihrer Website? Schreiben Sie uns über das Kundenportal oder per Mail an support@hostbott.ch. Wir antworten Ihnen persönlich.

Stand: 26. Oktober 2026.