Prüfpunkt software.angriffsflaecheOffene Türen und Abwehr
Wie schützen Sie Anmeldung und Schnittstellen Ihres CMS vor automatisierten Angriffen?
Content-Management-Systeme wie WordPress haben Adressen, die auf jeder Installation gleich lauten: die Anmeldemaske, eine Schnittstelle für Fernzugriffe und eine Datei mit Hinweisen zur Version. Automatisierte Programme probieren dort rund um die Uhr Passwörter durch oder lesen die Version aus. Die Prüfung ruft drei solche Adressen ab und nennt im Bericht jede, die offen antwortet, mit Status und dem Zeichen in der Antwort, an dem sie erkannt wurde.
Warum so viele Websites dieselben Adressen haben
WordPress läuft nach der Zählung von W3Techs (Stand 4. November 2026) auf 39,5 Prozent aller Websites, das sind 58,2 Prozent aller Websites mit Redaktionssystem. Jede Installation hat dieselben Adressen: /wp-login.php für die Anmeldung, /xmlrpc.php für Fernzugriffe aus der Zeit vor den heutigen Schnittstellen und /readme.html mit dem Hinweis auf das System und oft die Version. Diese Adressen gehören zum Aufbau von WordPress. Weil sie überall gleich sind, braucht ein Angreifer Ihre Website nicht zu kennen; sein Programm fragt sie bei jeder Domain ab.
Angriffe auf kleine Websites laufen automatisch und rund um die Uhr
Das Bundeskriminalamt beschreibt für Österreich, dass Täter kein tiefgreifendes technisches Wissen mehr brauchen: Angriffswerkzeuge und ganze Dienste werden im Netz gekauft. 63.459 Anzeigen wegen Internetkriminalität gab es 2025, fast fünfmal so viele wie 2016. Das BSI zählt rund 80 Prozent der angezeigten Angriffe gegen kleine und mittlere Unternehmen und beschreibt den Zustand der Web-Angriffsflächen in Deutschland als besorgniserregend. Die offene Anmeldemaske ist der Ort, an dem Passwörter aus früheren Datenlecks durchprobiert werden. Über /xmlrpc.php lassen sich viele Versuche in einer einzigen Anfrage bündeln, was Begrenzungen und Protokolle umgeht.
Was ein Versicherer bei der Anmeldung sehen will
Die Musterbedingungen der deutschen Cyberversicherer (Stand Februar 2024) verlangen individuelle Zugänge mit Mindestanforderungen an Passwörter, Administratorzugänge nur für Administratoren und für Server, die über das Internet erreichbar sind, einen zusätzlichen Schutz, etwa Firewall und 2-Faktor-Authentifizierung. 2024 schützten erst 34 Prozent der befragten mittelständischen Unternehmen ihre Systeme mit einer Zwei-Faktor-Authentifizierung. WordPress selbst empfiehlt eine zweistufige Anmeldung und ein zusätzliches Passwort des Servers vor dem Verwaltungsbereich. Eine begrenzte, mit zweiter Bestätigung geschützte Anmeldemaske erfüllt diese Punkte; der Prüfbericht zeigt, ob die drei Adressen noch offen antworten, und hält die Änderung mit Datum fest.
Eine übernommene Website kostet Sichtbarkeit und Kunden
Wird die Anmeldung geknackt, legt der Angreifer Inhalte auf Ihrer Website ab. Google kennzeichnet solche Seiten in den Suchergebnissen mit „This site may be hacked“ oder entfernt sie; die Überprüfung nach der Bereinigung kann mehrere Wochen dauern. In Deutschland meldeten 29 Prozent der angegriffenen kleinen und mittleren Unternehmen Schwierigkeiten, neue Kunden zu gewinnen, 25 Prozent negative Auswirkungen auf Marke und Ruf. Sind personenbezogene Daten betroffen, verlangt Artikel 33 der DSGVO die Meldung an die Aufsichtsbehörde unverzüglich und möglichst binnen 72 Stunden, sofern die Verletzung ein Risiko für die Betroffenen bedeutet.
Die Erweiterungen sind das eigentliche Einfallstor
Von 11.334 neuen WordPress-Lücken im Jahr 2025 steckten rund 91 Prozent in Erweiterungen und 9 Prozent in Themes; im Kern waren es sechs. Zwischen Veröffentlichung einer stark ausgenutzten Lücke und dem ersten Angriff lagen im Mittel fünf Stunden. /readme.html und die Anmeldemaske sind der erste Schritt: Wer dort das System und die Version liest, weiß, welche bekannten Lücken er versuchen kann. Deshalb gehört zusammen: Erweiterungen aktuell halten, die Version nicht preisgeben und die Anmeldung begrenzen.
Schneller raten, schneller finden
KI ändert an diesen Angriffen vor allem Geschwindigkeit und Zahl. Die EU-Agentur ENISA beschreibt für 2025 fertige KI-Werkzeugkästen für Aufklärung und Angriffsskripte, die in Untergrundmärkten weiterverkauft werden, und erwartet für 2026, dass weitere Schritte eines Angriffs direkt von KI ausgeführt werden. Für eine Anmeldemaske ohne Begrenzung heißt das: mehr Versuche in kürzerer Zeit, aus mehr Quellen. Eine Begrenzung der Fehlversuche und eine zweite Bestätigung wirken unabhängig davon, wer oder was die Versuche erzeugt.
Gleiche Adressen auf Millionen Websites
Jede dieser Adressen ist für sich kein Fehler. Offen und ohne Begrenzung erleichtert die Anmeldemaske das Durchprobieren von Passwörtern, /xmlrpc.php nimmt viele Versuche in einer Anfrage an, und /readme.html verrät, welche bekannten Lücken sich lohnen.
Gemessen werden drei Adressen am Ende des Laufs
Die Abrufe gehören zur Tiefenprüfung, dem letzten Schritt eines Laufs, wenn Indexierung oder Aktualität beauftragt und die Tiefenprüfung für Ihre Website eingeschaltet ist. /xmlrpc.php zählt als offen bei Status 405 oder dem Satz, dass der XML-RPC-Server nur POST-Anfragen annimmt; /readme.html, wenn sie mit Status 200 WordPress, Joomla, TYPO3 oder Drupal nennt; /wp-login.php, wenn sie mit Status 200 ein Anmeldeformular zeigt. Der Bericht nennt je Adresse den Status und den Treffer in der Antwort; die Abrufe lesen nur, angemeldet wird nichts.
Sperren, was niemand braucht, und die Anmeldung begrenzen
Wird xmlrpc.php nicht gebraucht, sperrt Ihr Hoster oder Ihre Agentur die Adresse am Webserver. readme.html lässt sich löschen; WordPress legt sie bei jedem Update neu an, deshalb ist eine Sperre am Server dauerhafter. Die Anmeldemaske bleibt nötig, aber sie lässt sich eingrenzen: Anmeldeversuche begrenzen, eine zweite Bestätigung einschalten oder die Adresse nur aus bestimmten Netzen oder hinter einem zusätzlichen Passwort des Servers erreichbar machen.
Beispiele
nginx: Schnittstelle und Hinweisdatei sperren
location / {
try_files $uri $uri/ /index.php?$args;
}location = /xmlrpc.php { deny all; }
location = /readme.html { deny all; }
location / {
try_files $uri $uri/ /index.php?$args;
}Nur sperren, wenn keine Erweiterung und keine App die Schnittstelle braucht. Für Apache gibt es dieselbe Sperre mit Require all denied.
So gehen Sie es an
- Lassen Sie Ihre Agentur die Adressen aus dem Bericht durchgehen: welche davon braucht Ihre Website wirklich?
- Nicht benötigte Adressen wie xmlrpc.php und readme.html sperrt sie am Webserver.
- Für die Anmeldung schaltet sie eine Begrenzung der Fehlversuche und eine zweite Bestätigung für alle Konten mit Verwaltungsrechten ein.
- Wo möglich, ist die Anmeldemaske nur aus Ihrem Netz oder hinter einem zusätzlichen Passwort des Servers erreichbar.
- Lassen Sie die Website danach neu messen. Der Bericht zeigt, welche der drei Adressen noch offen antwortet.
Tipps aus der Praxis
- Rufen Sie ihre-domain.at/readme.html und ihre-domain.at/xmlrpc.php selbst auf. Eine Seite, die WordPress nennt, oder die Meldung „XML-RPC server accepts POST requests only“ heißt: offen.
- Sperren Sie xmlrpc.php nur, wenn keine Erweiterung sie braucht; Jetpack braucht die Datei für die Verbindung zu WordPress.com. Testen Sie nach der Sperre, ob Beiträge und Verbindungen noch funktionieren.
- Das Verschieben der Anmeldemaske auf eine andere Adresse ersetzt Begrenzung und zweite Bestätigung nicht; beide bleiben nötig.
- Lesen Sie das Protokoll der Fehlversuche Ihres Anmeldeschutzes einmal im Monat: Es zeigt, wie viele Versuche tatsächlich kommen.
- Löschen Sie Konten von Agenturen und Mitarbeitern, die nicht mehr für Sie arbeiten. Ein vergessenes Konto mit altem Passwort bleibt ein Zugang, an jeder Begrenzung vorbei.
Weiter in der Cybersicherheit
- Was will mein Cyberversicherer von meiner Website sehen?Die Obliegenheiten der GDV-Musterbedingungen, der Risikofragebogen nach Umsatz und was davon an Ihrer Website von außen messbar ist. Mit Quellen.
- Gilt NIS2 für mich, und was ändert der Cyber Resilience Act an meiner Website?NISG 2026 in Österreich, BSI-Gesetz in Deutschland, Cyber Resilience Act: Schwellen, Fristen, Pflichten und was kleine Betriebe über ihre Kunden erreicht.
- Wann darf ein Zwischenspeicher eine Seite mit Cookie weitergeben?Antworten, die ein Cookie setzen, gehören oft einem Besucher. Mit Cache-Control: public darf ein Zwischenspeicher sie dem nächsten Besucher geben.
- Wann sollte Ihre Website eine Sitzung anlegen?Legt eine Website je Abruf eine neue Sitzung an, wachsen Speicher und Last, und Zwischenspeicher helfen nicht mehr. Die Prüfung misst das an der Startseite.
Dieser Prüfpunkt gehört zur Cybersicherheit, Unterthema Offene Türen und Abwehr. Gemessen wird er im Prüfbereich Aktualität. Was die Prüfung insgesamt leistet, zeigt die Leistungsseite; wie ein Ergebnis zustande kommt, erklärt das Prüfverfahren.
