Kinsta hat den WordPress-Schutz von Patchstack in jeden Hosting-Tarif eingebaut, ohne Aufpreis und ohne zusätzliches Plugin. In den ersten Wochen blockierte dieser Schutz laut Patchstack mehr als 1,5 Millionen Angriffsversuche auf über 68.000 Websites. Der Schutz ersetzt kein Update, er verschafft Betreibern nur Zeit.
Ein Klick · kostenlosDr. Web bei Google bevorzugenMarkieren Sie drweb.de als bevorzugte Quelle. Dann sehen Sie unsere Artikel öfter unter den Top-Meldungen.Jetzt hinzufügenInhalt 5 Abschnitte
Patchstack hat am 12. November gemeldet, dass jede bei Kinsta gehostete WordPress-Website automatisch Schutzregeln gegen bekannte Plugin-Sicherheitslücken erhält.[1] Das Angebot heißt Vulnerability Protection. Die Zahlen zu den abgewehrten Angriffen stammen vom Anbieter des Schutzes und sind nicht unabhängig geprüft.
Das Wichtigste in Kürze
- Kinsta gleicht die Plugins, Themes und die WordPress-Version jeder Website mit der Datenbank von Patchstack ab und spielt bei einer anfälligen Version eine Regel nur für diese Website ein.
- Patchstack meldet mehr als 1,5 Millionen blockierte Angriffsversuche auf über 68.000 Kinsta-Websites in den ersten Wochen.
- Für 46 Prozent der 2025 gemeldeten WordPress-Sicherheitslücken gab es laut Patchstack beim Bekanntwerden keinen Patch des Herstellers.
- Die Regel entfällt, sobald das Plugin aktualisiert oder gelöscht ist. Ein Update ersetzt sie nicht.
Wie schützt ein Hoster vor einer Sicherheitslücke ohne Patch?
Kinsta vergleicht die Plugins, Themes und die WordPress-Version jeder Website laufend mit der Datenbank von Patchstack.[1] Wenn eine anfällige Version läuft, bekommt genau diese Website eine Regel, die Angriffsanfragen auf der Anwendungsebene von WordPress abfängt, ohne den Code des Plugins zu ändern.[1] Patchstack nennt die Technik RapidMitigate, in der Branche heißt das Prinzip virtuelles Patchen. Patchstack pflegt nach eigenen Angaben über 14.000 solcher Regeln.
Eine allgemeine Firewall prüft Anfragen auf gängige Angriffsmuster. Die Regel von Patchstack zielt dagegen auf eine einzelne bekannte Sicherheitslücke und greift nur dort, wo die betroffene Version läuft. Kinsta liefert ohnehin eine Firewall am Rand des Netzes, DDoS-Schutz auf Basis von Cloudflare und seit Juni einen Bot-Schutz mit.[1] Der Schutz deckt nur ab, was gemeldet wurde: Patchstack speist seine Datenbank aus eigener Forschung, einem privaten Bug-Bounty-Programm und Meldungen von Plugin-Entwicklern.[1] Eine ungemeldete Sicherheitslücke bleibt offen.
Warum reicht das Update allein nicht mehr?
Patchstack zählt in seinem Jahresbericht 11.334 neue WordPress-Sicherheitslücken für 2025, 42 Prozent mehr als im Vorjahr. 91 Prozent davon steckten in Plugins. Bei 46 Prozent der gemeldeten Sicherheitslücken lag beim Bekanntwerden kein Patch des Herstellers vor. Stark angegriffene Plugin-Sicherheitslücken nutzen Angreifer laut Patchstack im Median binnen fünf Stunden massenhaft aus.[1] Das sind Zahlen eines Sicherheitsanbieters. Auch beim WordPress-Projekt wächst der Druck: Das Sicherheitsteam zählt laut seiner Zwischenbilanz 2026 schon über 3.000 Meldungen, mehr als in den zwölf Jahren zuvor.
Selbst ein Patch kann danebengehen: Das Notfall-Update 1.26.12 für UpdraftPlus löschte laut Nethemba die gestohlenen Fernwartungsschlüssel nicht. Für Agenturen wirbt Patchstack damit, dass geschützte Websites auf einen getesteten Patch warten dürfen. Bei 200 Kundenwebsites ergeben sich so 200 geschützte Websites, ohne dass jemand die einzelnen Sicherheitslücken verfolgt.[1] Die Regel entschärft auch Sicherheitslücken in Plugins, die nie einen Patch bekommen, bis ein Ersatz steht.[1]
Bei 46 Prozent der Sicherheitslücken gibt es beim Bekanntwerden keinen Patch, dann entscheidet der Hoster über das Risiko.
Markus Seyfferth, Chefredakteur Dr. Web
Was die Schutzregel in welcher Lage leistet
| Lage der Website | Wirkung der Regel | Beleg |
|---|---|---|
| Sicherheitslücke bekannt, Patch fehlt | Regel blockiert die Angriffsanfragen | Patchstack |
| Patch erschienen, Plugin noch alt | Regel schützt bis zum Update | Patchstack |
| Plugin aktualisiert oder gelöscht | Regel entfällt automatisch | Patchstack |
| Sicherheitslücke Patchstack unbekannt | keine Regel möglich | Folge aus der Funktionsweise |
Alle Zahlen stammen von Patchstack und sind nicht unabhängig geprüft.
Was sollten Betreiber jetzt tun?
- Bei Kinsta: Der Schutz läuft laut Patchstack ohne Einrichtung. Spielen Sie Updates trotzdem ein, denn die Regel überbrückt nur die Zeit und behebt die Ursache nicht.
- Bei anderen Hostern: Fragen Sie nach, ob der Tarif Regeln für einzelne bekannte Plugin-Sicherheitslücken enthält oder nur eine allgemeine Firewall.
- Bei verwaisten Plugins: Ersetzen Sie Plugins ohne Hersteller-Pflege trotz Schutzregel, denn die Regel dämpft das Risiko nur.
- Datenschutz: Art. 32 DSGVO verlangt dem Risiko angemessene technische Maßnahmen, eine solche Regel kann dazugehören.[2] Kommt es zu einer Datenpanne mit Risiko für Betroffene, läuft die Meldefrist von 72 Stunden nach Art. 33.[2] Welche Daten zwischen Kinsta und Patchstack laufen, ist noch offen. Fragen Sie nach den Unterauftragnehmern im Auftragsverarbeitungsvertrag.
Zum Vergleich kostet eine Lizenz von Wordfence Premium, der Fassung mit sofort verfügbaren Firewall-Regeln, ab dem 3. Dezember 199 statt 149 US-Dollar im Jahr, rund 173 statt 130 Euro. Die kostenlose Fassung erhält neue Regeln 30 Tage später. Anbieter von WordPress-Hosting stellt der WordPress-Hosting-Vergleich gegenüber, die Grundregeln fasst der Ratgeber zur WordPress-Sicherheit zusammen.
FAQ: Kinsta schützt jede gehostete WordPress-Website mit Patchstack
Kostet der Patchstack-Schutz bei Kinsta extra?
Nein. Laut Patchstack ist die Vulnerability Protection in jedem Kinsta-Tarif ohne Aufpreis enthalten. Kunden müssen nichts installieren, einrichten oder überwachen.
Muss ich Plugins bei Kinsta trotzdem aktualisieren?
Ja. Die Schutzregel überbrückt nur die Zeit bis zum Update. Sobald ein Plugin aktualisiert oder gelöscht ist, wird die Regel automatisch entfernt, die Ursache behebt erst das Update.
Schützt Patchstack auch vor unbekannten Sicherheitslücken?
Nein. Kinsta wendet Regeln für bekannte Sicherheitslücken an, die Patchstack aus eigener Forschung, einem Bug-Bounty-Programm oder Meldungen von Plugin-Entwicklern gewinnt. Eine noch ungemeldete Lücke deckt keine Regel ab.
Bieten andere Hoster denselben Schutz?
Bisher ist nicht bekannt, welche weiteren Hoster Regeln dieser Art ausliefern. Patchstack wirbt bei Hostern um Partnerschaften, Kunden fragen am besten bei ihrem Hoster nach.
Quellen
2 Quellen anzeigenQuellen ausblenden
- PatchstackKinsta now protects every WordPress site it hosts with Patchstack (12. November 2026), abgerufen am 14. November 2026
- EUR-LexVerordnung (EU) 2016/679 (DSGVO), Art. 32 und 33
Mehr Newshunger?
- Schwere Sicherheitslücke bei Widget Options in der Anzeigelogik
- Schwere Sicherheitslücke bei WPML mit Sprachdomains
- WordPress 7.1.4 schließt 22 Sicherheitslücken, eine davon im Update selbst
- UpdraftPlus: Ein Angreifer installiert über die Fernwartung Hintertüren
- WordPress-Kern: Über 18.500 Angriffsversuche auf die Sicherheitslücke im Update
