WordPress-Patch-Zeitfenster: 5 Stunden bis Angriff

Klassisch wurde Sicherheit über die schiere Menge an Schwachstellen erklärt. Diese Menge wächst weiter: Allein 2025 verzeichnete der Patchstack-Jahresbericht 11.334 neue WordPress-Schwachstellen, ein Anstieg von rund 42 Prozent gegenüber dem Vorjahr (Patchstack, 2026). Davon wurden 1.966 als hoch eingestuft - ein Zuwachs von 113 Prozent bei den schweren Lücken (Patchstack, 2026). Doch die Menge allein erklärt das Risiko nicht. Entscheidend ist, wie schnell aus einer veröffentlichten Lücke ein laufender Angriff wird.

Genau hier hat sich 2026 etwas grundlegend verschoben. Sobald eine Schwachstelle und oft ein Beispiel-Exploit öffentlich sind, beginnen automatisierte Werkzeuge das Netz nach verwundbaren Installationen abzusuchen - das erste opportunistische Scannen nach einer neu veröffentlichten Lücke setzt typischerweise schon nach rund 15 Minuten ein (Palo Alto Networks Unit 42). Das Fenster zwischen Veröffentlichung und Ausnutzung ist entsprechend zusammengeschrumpft: Bei den am stärksten exponierten, aktiv angegriffenen Lücken liegt der Median von der Veröffentlichung bis zur Massenausnutzung inzwischen bei null Tagen - die Ausnutzung beginnt schon am Tag der Veröffentlichung (GreyNoise, 2025). Angreifer arbeiten mit Automatisierung in Maschinengeschwindigkeit, während die Verteidigung oft noch im Takt manueller Wartung läuft.

Der Begriff Zero-Day führt dabei oft in die Irre. Die meisten erfolgreichen Angriffe auf Online-Shops nutzen keine geheimen, unbekannten Lücken, sondern bereits veröffentlichte und sogar gepatchte Schwachstellen - sogenannte N-Day-Lücken, bei denen nur die Einspielung des verfügbaren Patches fehlt. Die Kombination aus 11.334 neuen Lücken im Jahr (Patchstack, 2026) und einem Median von fünf Stunden bis zur Ausnutzung bedeutet, dass es weniger auf exotische Angriffe ankommt als auf die schlichte Disziplin, bekannte Updates schnell und zuverlässig einzuspielen. Genau diese Disziplin ist im Tagesgeschäft eines Shops schwer durchzuhalten, weil sie rund um die Uhr und unabhängig von Urlaub, Krankheit oder Feierabend funktionieren muss.

Für einen Online-Shop wiegt das besonders schwer. Hier stehen nicht nur die Verfügbarkeit, sondern auch Zahlungsdaten und personenbezogene Kundendaten auf dem Spiel. Ein kompromittierter Shop bedeutet im schlechtesten Fall abfließende Bestelldaten, manipulierte Zahlungsseiten oder einen vollständigen Ausfall im laufenden Geschäft. Wie teuer ein solcher Ausfall wird, zeigt unsere Aufstellung der Downtime-Kosten für Online-Shops - die Wiederherstellung nach einem Vorfall ist in der Regel deutlich aufwendiger als das rechtzeitige Einspielen eines Patches.

Die Dynamik nach einer Veröffentlichung folgt einem wiederkehrenden Muster. Zuerst werten automatisierte Systeme die neue Schwachstelle aus, dann beginnt das breite Scannen, schließlich die Massenausnutzung. Bei den stark angegriffenen Lücken liegt die Verteilung laut Patchstack bei 20 Prozent innerhalb von sechs Stunden, 45 Prozent innerhalb von 24 Stunden und 70 Prozent innerhalb von sieben Tagen (Patchstack, 2026). Das bedeutet: Wer erst beim wöchentlichen Wartungstermin reagiert, kommt bei den gefährlichsten Lücken regelmäßig zu spät.

Verschärfend kommt hinzu, dass die Lücke zum Zeitpunkt der Veröffentlichung häufig noch gar nicht behoben ist. 46 Prozent der Schwachstellen waren bei ihrer Disclosure noch ungepatcht (Patchstack, 2026) - in diesen Fällen gibt es zunächst kein Update, das man einspielen könnte, sondern nur ein offenes Fenster. Besonders betroffen sind kommerzielle Erweiterungen: 76 Prozent der in kostenpflichtigen Komponenten gemeldeten Schwachstellen waren in realen Angriffen ausnutzbar (Patchstack, 2026), und solche Komponenten müssen oft außerhalb der automatischen Update-Kanäle aktualisiert werden.

Daraus folgt eine unbequeme Einsicht: Das Risiko liegt 2026 weniger in der Frage, ob eine Lücke entdeckt wird, sondern in der Frage, wie schnell der eigene Shop reagiert. Zwei Shops mit identischer Software können in völlig unterschiedlichem Risiko stehen - allein abhängig davon, ob jemand die Veröffentlichung innerhalb der ersten Stunden bemerkt und handelt. Das Patch-Zeitfenster verschiebt den Wettbewerbsvorteil von der reinen Technik hin zur Reaktionsorganisation. Wer die Organisation hat, um in Stunden statt Tagen zu patchen, senkt sein Risiko unabhängig davon, wie viele neue Lücken pro Jahr hinzukommen.

Ein Managed-Wartungsvertrag dreht die Logik um: Statt dass ein Betreiber gelegentlich nachschaut, läuft ein kontinuierlicher Prozess mit klaren Verantwortlichkeiten und festen Reaktionszeiten. Der erste Baustein ist die laufende Überwachung der relevanten Schwachstellen-Feeds, abgeglichen gegen ein vollständiges Inventar aller eingesetzten Komponenten. Trifft eine neue Lücke eine im Shop genutzte Erweiterung, löst das eine definierte Reaktion aus - nicht erst beim nächsten Routinetermin, sondern sofort. Die Grundsätze dieses geordneten Vorgehens beschreibt unser Beitrag zum CVE- und Patch-Management für Online-Shops im Detail.

Der zweite Baustein ist die Risikobewertung. Nicht jede der über 11.000 jährlichen Lücken (Patchstack, 2026) ist gleich dringend. Eine aktiv ausgenutzte, hoch bewertete Lücke in einer nach außen erreichbaren Komponente wird vorgezogen, eine unkritische in einem nicht exponierten Modul im regulären Rhythmus gebündelt. Diese Priorisierung sorgt dafür, dass die knappe Reaktionszeit dort eingesetzt wird, wo das Zeitfenster wirklich brennt.

Der dritte Baustein ist die kontrollierte Einspielung. Auch ein Eilpatch wird zuerst auf einer Staging-Umgebung gegen die geschäftskritischen Pfade geprüft - Checkout, Zahlung, Suche und Warenkorb - bevor er live geht. Vor dem Go-Live entstehen ein Datenbank-Snapshot und ein Dateisystem-Backup, damit ein Rollback im Ernstfall in Minuten möglich ist. Für aktiv ausgenutzte Lücken existiert ein verkürzter Notfall-Pfad mit minimal nötigem Test und engmaschigem Monitoring nach dem Einspielen.

Ein vierter, oft unterschätzter Baustein ist die Nachbereitung. Nach jedem Eilpatch wird festgehalten, welche Lücke geschlossen wurde, wann sie veröffentlicht und wann sie eingespielt wurde - und vor allem, wie groß das tatsächliche Zeitfenster zwischen Disclosure und Schließung im konkreten Fall war. Über die Zeit entsteht so eine messbare Kennzahl für die eigene Reaktionsfähigkeit. Diese Kennzahl ist nicht nur für die interne Steuerung wertvoll, sondern auch ein belastbarer Nachweis gegenüber Auditoren, Zahlungsdienstleistern und Versicherern, die zunehmend nach dokumentierten Patch-Prozessen fragen. Aus dem reinen Schließen einer Lücke wird so ein nachvollziehbarer, prüfbarer Vorgang.