Eine Mail mit dem Betreff "Sicherheitslücke im Account" von deinem Hoster ist in aller Regel echt und kein Phishing. Sie bedeutet: ein automatischer Scan hat auffällige Dateien in deinem Webspace gefunden, meist als Folge eines veralteten Plugins. Seit Ende Juli 2026 verschicken deutsche Hoster diese Warnungen in großer Zahl, unter anderem von der Absenderadresse noreply@kasserver.com. Ich zeige dir, was dahintersteckt, wie du die Mail sicher prüfst und welche Schritte in welcher Reihenfolge zählen.
Letzte Aktualisierung: August 2026
Sicherheitslücke im Account: Was in der Mail vom Hoster wirklich steht
Der Text dieser Mails ist bewusst allgemein gehalten. Die Rede ist von "problematischen Dateien", die bei einer routinemäßigen Prüfung im Webspace gefunden wurden. Als Ursache nennt der Hoster Sicherheitslücken in nicht aktualisierten Systemen wie WordPress, Joomla oder Shopsystemen.
Genau diese Formulierung sorgt für Verunsicherung. Sie sagt dir nämlich nicht, ob deine Webseite gehackt wurde oder ob nur eine verdächtige Datei aufgefallen ist. Beides führt zur selben Mail.
Was ist eine Sicherheitslücke im Account?
Eine Sicherheitslücke im Account ist ein Fehler in einer Software auf deinem Webspace, über den jemand von außen Rechte bekommt, die ihm nicht zustehen. In der Praxis sind das fast immer ein veraltetes Plugin, ein aufgegebenes Theme oder eine alte CMS-Version. Der Hoster meldet dabei nicht die Lücke selbst, sondern ihre Folge: fremde Dateien in deinen Ordnern.
Diese Dateien heißen im Fachjargon Backdoor. Sie sind der Ersatzschlüssel, den ein Angreifer hinterlegt, damit er auch nach einem Update wieder hereinkommt. Deshalb reicht es nicht, einfach nur zu aktualisieren.
Ist die Mail von noreply@kasserver.com echt?
Ja, diese Adresse gehört zu einem echten deutschen Hoster und wird für automatische Systemmeldungen genutzt. Trotzdem gilt meine Regel für jede Mail dieser Art: klicke keinen Link darin an. Melde dich stattdessen von Hand in deinem Kundenbereich an und schau dort nach.
Der Grund ist einfach. Sobald eine echte Warnwelle läuft, bauen Betrüger den Text nach und verschicken eigene Versionen mit gefälschten Links. Die Vorlage liefert der Hoster ungewollt gleich mit.
Warum gerade jetzt so viele Betriebe diese Warnung bekommen
Zwei Ereignisse aus dem Sommer 2026 treffen hier zusammen. Das erste ist eine Lücke im Backup-Plugin UpdraftPlus, das auf über drei Millionen Webseiten läuft.
Die Schwachstelle mit der Kennung CVE-2026-10795 erlaubt es, die Anmeldung zu umgehen und Befehle mit Administratorrechten auszuführen. Die abgesicherte Version ist 1.26.5 in der kostenlosen Ausgabe und 2.26.5 in der Premium-Variante, dazu UpdraftCentral ab 0.8.32.
„Wordfence meldete mehr als 8.000 blockierte Angriffe innerhalb der ersten 24 Stunden nach der Offenlegung.": Wordfence zur UpdraftPlus-Lücke CVE-2026-10795, Juni 2026
Das zweite Ereignis ist die Kernlücke wp2shell aus dem Juli. Sie betrifft WordPress 6.8 bis 7.0.1 und wurde mit den Versionen 6.8.6, 6.9.5 und 7.0.2 geschlossen. Was dabei auf dem Spiel steht, habe ich in meinem Artikel zur WordPress-Sicherheitslücke wp2shell ausführlich beschrieben.
Wer beide Updates verpasst hat, war über Wochen angreifbar. Die Scans der Hoster laufen erst danach an und finden jetzt, was in dieser Zeit abgelegt wurde. Deshalb kommt die Mail oft mit deutlichem Abstand zum eigentlichen Vorfall.
„Die mediane Zeit bis zur ersten aktiven Ausnutzung einer bekannten Lücke beträgt fünf Stunden.": Patchstack, 2026
Fünf Stunden. Das ist der Grund, warum ich bei Sicherheitsupdates keine Testphase einlege und sie sofort einspiele. Bei Funktionsupdates sieht meine Empfehlung anders aus, dazu gleich mehr.
Meldung im Wartungscenter | Was dahintersteckt | Dringlichkeit |
|---|---|---|
Einzelne PHP-Datei in /wp-content/uploads | Typische Backdoor, dort gehört kein PHP hin | Sofort handeln |
Veränderte Datei im WordPress-Kern | Kern wurde manipuliert oder Update brach ab | Sofort handeln |
Datei in einem alten, deaktivierten Plugin | Reste einer alten Installation | Prüfen und entfernen |
Fund in einem Cache- oder Backup-Ordner | Oft Fehlalarm durch komprimierte Dateien | Prüfen, meist harmlos |
Warum ausgerechnet das Backup-Plugin zum Einfallstor wurde
Das hat eine gewisse Ironie. Ein Backup-Plugin braucht von Natur aus weitreichende Rechte, denn es liest alle Dateien und die komplette Datenbank. Wenn ausgerechnet diese Software eine Lücke hat, steht dem Angreifer alles offen.
Angreifbar waren laut Hersteller nur Installationen mit aktivem Migrations- oder UpdraftCentral-Schlüssel, also unter zehn Prozent. Bei drei Millionen Installationen bleiben trotzdem Hunderttausende Webseiten übrig.
Sicherheitslücke im Account: die sechs Schritte in der richtigen Reihenfolge
Die Reihenfolge ist wichtiger, als die meisten denken. Wer zuerst aufräumt und danach die Passwörter ändert, hat unter Umständen umsonst gearbeitet.
Im Kundenbereich anmelden, nicht über den Link in der Mail. Tippe die Adresse deines Hosters von Hand ein. Dort findest du im Wartungscenter die Liste der gemeldeten Dateien mit Pfad und Fundzeitpunkt.
Ein Backup vom aktuellen Zustand ziehen. Das klingt falsch, weil der Zustand ja verseucht sein kann. Es ist aber deine einzige Rückfahrkarte, falls beim Aufräumen etwas kaputtgeht.
Alle Updates einspielen. WordPress-Kern, Plugins, Theme. Prüfe besonders UpdraftPlus auf Version 1.26.5 oder höher und die Kernversion auf 6.8.6, 6.9.5 oder 7.0.2 aufwärts.
Die gemeldeten Dateien anschauen und entfernen. Eine PHP-Datei im Upload-Ordner hat dort nichts verloren. Bei Dateien im Kern oder in einem aktiven Plugin lohnt eine saubere Neuinstallation der jeweiligen Komponente.
Alle Passwörter neu setzen. Hoster-Zugang, FTP und SSH, Datenbank, WordPress-Administrator. Erst jetzt, nachdem die Backdoor weg ist, sonst liest der Angreifer die neuen Zugangsdaten gleich mit.
Benutzerliste prüfen. Schau unter Benutzer nach Konten, die du nicht kennst. Ein zusätzliches Administratorkonto ist das häufigste Überbleibsel nach einem erfolgreichen Angriff.
Danach schaust du dir die Webseite selbst an, einmal am Rechner und einmal am Handy. Wenn eine Seite leer bleibt, hilft dir mein Artikel zur weißen Seite bei WordPress weiter.
Wann du besser jemanden dazuholst
Ich bin ein Freund davon, Dinge selbst zu machen. Bei drei Anzeichen rate ich davon ab.
Der Fund liegt im WordPress-Kern: Dann ist die Installation als Ganzes fraglich, nicht nur ein Plugin.
Die Dateien kommen nach dem Löschen wieder: Ein sicheres Zeichen, dass noch eine zweite Backdoor aktiv ist.
Die Seite verschickt Mails, die du nie geschrieben hast: Dann läuft dein Webspace als Spamschleuder und die Sperrung durch den Hoster ist nur eine Frage der Zeit.
In diesen Fällen ist der schnellste Weg oft der Neuaufbau auf einem sauberen Stand, mit Übernahme der Inhalte aus einem Backup vor dem Vorfall. Das dauert weniger lang, als tagelang nach Resten zu suchen.
Sicherheitslücke im Account vermeiden: was danach anders laufen sollte
Fast jeder Fall, den ich übernehme, sieht gleich aus. Auf der Webseite laufen zwölf Plugins, drei davon hat seit Jahren niemand mehr gepflegt, und automatische Updates wurden irgendwann abgeschaltet, weil einmal etwas kaputtging.
Meine Faustregel trennt zwei Fälle sauber. Sicherheits- und Wartungsupdates laufen automatisch, ohne Diskussion. Große Funktionsupdates schaue ich mir vorher in einer Testumgebung an, etwa das für den 19. August 2026 geplante WordPress 7.1.
Dazu kommt eine Regel, die unbequem ist: jedes Plugin, das seit über zwölf Monaten kein Update bekommen hat, fliegt raus. Bei den Seiten, die ich übernehme, verschwindet regelmäßig die Hälfte, ohne dass jemand etwas vermisst. Weniger Plugins bedeuten weniger Angriffsfläche.
Ein Backup außerhalb des Servers gehört ebenfalls dazu. Liegt deine Sicherung nur auf demselben Webspace, ist sie im Ernstfall genauso kompromittiert wie die Webseite. Die weiteren Grundlagen habe ich in WordPress sicher machen zusammengefasst. Wer das nicht selbst übernehmen will, findet in unseren Wartungspaketen genau diesen Ablauf als feste Routine.
Was ein Hack für deine Sichtbarkeit bedeutet
Der unangenehmste Teil kommt oft erst später. Wird Schadcode auf deiner Webseite gefunden, markiert Google die Seite in den Suchergebnissen als möglicherweise unsicher. Manche Browser zeigen dann eine rote Warnseite, bevor jemand deine Startseite überhaupt sieht.
Diese Markierung verschwindet nicht von allein. Du musst die Seite bereinigen und danach in der Google Search Console eine erneute Prüfung beantragen. Bis dahin verlierst du praktisch jede Anfrage über die Suche.
Zusätzlich leidet das Vertrauen. Ein Kunde, der beim Klick auf deinen Firmennamen eine Warnung sieht, ruft nicht an. Deshalb behandle ich eine solche Hoster-Mail nicht als IT-Thema, sondern als Vertriebsthema. Offizielle Hinweise zur Absicherung von Webangeboten findest du auch beim BSI.
Warnmail prüfen: echt oder gefälscht in drei Minuten
Weil echte Warnungen und nachgebaute Betrugsmails gerade parallel unterwegs sind, lohnt sich ein kurzer Check. Diese fünf Punkte reichen aus, um die Mail einzuordnen, ohne dass du sie anklickst.
Absender im Klartext ansehen: Lass dir die vollständige Adresse anzeigen, nicht nur den angezeigten Namen. Eine Domain wie kasserver-sicherheit-check.net gehört keinem Hoster.
Auf Zeitdruck achten: Echte Systemmeldungen nennen eine Frist sachlich. Formulierungen wie "Ihr Account wird in zwei Stunden gelöscht" sind ein Betrugsmerkmal.
Auf Anhänge achten: Kein deutscher Hoster verschickt Scan-Ergebnisse als ZIP-Datei oder als Word-Dokument. Solche Anhänge öffnest du nie.
Keine Zugangsdaten eingeben: Dein Hoster fragt dich in einer Mail nie nach Passwort, FTP-Zugang oder Kreditkarte.
Gegenprobe im Kundenbereich: Der zuverlässigste Test. Melde dich von Hand an und schau, ob dieselbe Meldung dort auftaucht.
Findest du im Kundenbereich nichts, war die Mail entweder gefälscht oder sie betrifft einen anderen Vertrag. Findest du die Meldung dort, ist sie echt und du arbeitest die Schritte von oben ab.
Was passiert, wenn du gar nicht reagierst?
Hoster lassen solche Funde nicht liegen, weil ein infizierter Webspace auch ihre anderen Kunden gefährdet. Nach einer Frist sperren sie den betroffenen Bereich oder schalten den Mailversand ab.
Für einen Betrieb heißt das im schlimmsten Fall: die Webseite ist offline, das Kontaktformular schickt nichts mehr, und Angebote an Kunden kommen nicht an. Die Sperrung wieder aufzuheben dauert dann länger als das Aufräumen selbst.
Ein zweiter Punkt wird oft übersehen. Läuft über deine Webseite ein Kontaktformular mit Kundendaten, ist ein bestätigter Hack ein Fall für den Datenschutz. Je nach Umfang besteht eine Meldepflicht innerhalb von 72 Stunden nach Bekanntwerden.
Deshalb dokumentiere ich in solchen Fällen mit: wann die Mail kam, welche Dateien gemeldet wurden, wann bereinigt wurde. Diese Notiz kostet zehn Minuten und ist im Zweifel deine Absicherung.
Häufige Fragen zur Sicherheitslücke im Account
Ist die Mail zur Sicherheitslücke im Account Phishing?
In den meisten Fällen nicht, sie stammt vom automatischen Scanner deines Hosters. Klicke trotzdem keinen Link darin an, sondern melde dich von Hand im Kundenbereich an und prüfe dort das Wartungscenter.
Bedeutet die Mail, dass meine Webseite gehackt wurde?
Nicht zwingend. Gemeldet werden auffällige Dateien, und das können auch harmlose Reste in einem Cache- oder Backup-Ordner sein. Ein PHP-Skript im Upload-Ordner dagegen ist ein deutliches Warnzeichen.
Wie schnell muss ich reagieren?
Am selben Tag. Hoster sperren betroffene Accounts nach einer Frist, wenn nichts passiert, und ein aktiver Schadcode verteilt sich in dieser Zeit weiter im Webspace.
Reicht es, das Plugin einfach zu aktualisieren?
Nein. Das Update schließt die Lücke, entfernt aber keine bereits abgelegten Dateien und keine fremden Administratorkonten. Beides musst du zusätzlich prüfen.
Welche UpdraftPlus-Version ist sicher?
Version 1.26.5 in der kostenlosen Ausgabe und 2.26.5 in der Premium-Variante schließen die Lücke CVE-2026-10795. UpdraftCentral sollte auf 0.8.32 oder neuer laufen.
Fazit: Sicherheitslücke im Account ernst nehmen, aber ruhig bleiben
Eine Mail zur Sicherheitslücke im Account ist keine Katastrophe und auch kein Grund für Panik. Sie ist ein Hinweis darauf, dass deine Installation länger ungepflegt lief, als dir lieb war.
Arbeite die sechs Schritte der Reihe nach ab: im Kundenbereich anmelden, Backup ziehen, updaten, Dateien entfernen, Passwörter neu setzen, Benutzerliste prüfen. Danach entscheidest du die eigentliche Frage, nämlich wie deine Webseite künftig gepflegt wird.
Wenn dir beim Blick in die Plugin-Liste auffällt, dass da seit Jahren niemand aufgeräumt hat, sprich mit uns darüber. Im kostenlosen Erstgespräch schauen wir gemeinsam auf deine Webseite und du erfährst, ob Aufräumen reicht oder ob sich ein Neuaufbau eher lohnt. Unverbindlich und ohne Verkaufsdruck.
