WordPress-Sicherheitslücke WP2Shell: Wann liegt eine Datenschutzverletzung vor?

Viele Unternehmen nutzen WordPress für ihre Website oder ihren Online-Shop. Im Juli 2026 wurden zwei schwere Fehler im WordPress-Kern bekannt.

In Kombination können die Schwachstellen Angreifern ermöglichen, ohne vorhandene Zugangsdaten ein Administratorkonto anzulegen und die Website zu kompromittieren. Sicherheitsforscher nennen diese Angriffskette WP2Shell.

Unternehmen müssen deshalb zwei Fragen klären: Ist die eigene Website betroffen? Und konnten Angreifer auf personenbezogene Daten zugreifen? Denn nicht jeder Angriff auf eine Website ist automatisch eine Datenschutzverletzung.

Eine Datenschutzverletzung setzt voraus, dass ein Sicherheitsereignis zur Vernichtung, zum Verlust, zur Veränderung, zur unbefugten Offenlegung oder zum unbefugten Zugang zu personenbezogenen Daten führt. Die Meldung darf unterbleiben, wenn die Verletzung voraussichtlich nicht zu einem Risiko führt.

Dieser Artikel erklärt, welche WordPress-Versionen betroffen sind. Sie erfahren außerdem, wann eine Meldung an die Datenschutzaufsicht nötig ist.

Was die WordPress-Sicherheitslücke WP2Shell bedeutet

WP2Shell ist keine einzelne Sicherheitslücke. Der Name bezeichnet das Zusammenspiel zweier Fehler im WordPress-Kern.

Ein Angreifer kann beide Fehler nacheinander ausnutzen. Die Angriffskette verbindet eine SQL-Injection mit einer fehlerhaften Verarbeitung von REST-API-Batchanfragen. Dadurch kann ein Angreifer ohne bestehende Zugangsdaten ein Administratorkonto erzeugen.

Mit diesen Rechten kann der Angreifer ein schädliches Plug-in installieren. Dadurch kann der Angreifer Code mit den Rechten des Webserver-Prozesses ausführen. Er kann auf Dateien und Daten zugreifen, die für diesen Prozess erreichbar sind.

Ein vorhandenes Benutzerkonto benötigt er dafür nicht. Auch ein zusätzliches fehlerhaftes Plug-in ist nicht erforderlich.

WordPress veröffentlichte am 17.07.2026 mehrere Sicherheits-Updates. Von der vollständigen Angriffskette sind folgende Versionen betroffen:

• WordPress 6.9.0 bis 6.9.4
• WordPress 7.0.0 bis 7.0.1

Die Versionen 6.8.0 bis 6.8.5 sind nicht von der vollständigen Angriffskette betroffen. Die dort vorhandene SQL-Injection kann jedoch bereits den Zugriff auf vertrauliche Datenbankinhalte ermöglichen.

WordPress-Versionen vor 6.8 sind nach Angaben des Herstellers nicht betroffen.

WordPress schloss die Fehler mit den Versionen 6.8.6, 6.9.5 und 7.0.2. WordPress aktivierte automatische Sicherheitsupdates für betroffene Installationen. Unternehmen sollten trotzdem prüfen, ob das Update auf ihrer Website tatsächlich erfolgreich installiert wurde.

Wann ein WordPress-Angriff zum Datenschutzvorfall wird

Eine verwundbare WordPress-Version ist noch keine Datenschutzverletzung. Auch ein abgewehrter Angriff löst nicht automatisch eine Meldung aus.

Eine Datenschutzverletzung liegt vor, wenn ein Sicherheitsvorfall personenbezogene Daten betrifft. Das kann auf verschiedene Weise geschehen:

• Daten gehen verloren.
• Daten werden verändert oder gelöscht.
• Unbefugte Personen erhalten Zugriff.
• Daten werden unbefugt weitergegeben.
• Personenbezogene Daten gehen verloren oder stehen wegen des Vorfalls nicht mehr wie erforderlich zur Verfügung.

Auf einer WordPress-Website können viele personenbezogene Daten gespeichert sein. Dazu gehören etwa:

• Namen und E-Mail-Adressen
• Nachrichten aus Kontaktformularen
• Bestell- und Kundendaten
• Bewerbungen
• Newsletter-Anmeldungen
• Kommentare
• Benutzerkonten

Auch Zugangsdaten für Datenbanken oder verbundene Dienste können betroffen sein.

Ein Unternehmen muss deshalb klären, was auf der Website passiert ist. Ein bloßer Angriffsversuch reicht nicht. Es muss aber auch nicht zwingend ein Datenabfluss nachgewiesen sein. Bereits ein unbefugter Zugriff kann eine Datenschutzverletzung darstellen.

Welche Spuren Unternehmen prüfen sollten

Ein Update behebt die Schwachstelle. Es entfernt aber keine bereits angelegten Konten, schädlichen Plug-ins oder Webshells.

Unternehmen sollten daher gemeinsam mit ihrer technischen Betreuung prüfen:

• Gibt es unbekannte Administratorkonten?
• Wurden neue Plug-ins installiert?
• Haben sich Dateien auf dem Server verändert?
• Finden sich auffällige Anfragen in den Protokollen?
• Gab es Zugriffe auf Datenbanken oder Konfigurationsdateien?
• Konnten Angreifer tatsächlich auf personenbezogene Daten zugreifen, sie verändern oder ihre Verfügbarkeit beeinträchtigen? Falls sich dies nicht sicher feststellen lässt, welche technischen Indizien sprechen dafür oder dagegen?

Wann eine Meldung an die Datenschutzaufsicht nötig ist

Eine Datenschutzverletzung muss nicht in jedem Fall gemeldet werden.

Eine Meldung ist nötig, wenn die Verletzung voraussichtlich ein Risiko für betroffene Personen verursacht. Die Meldung darf nur unterbleiben, wenn die Verletzung voraussichtlich nicht zu einem Risiko für die Rechte und Freiheiten natürlicher Personen führt.

Für die Bewertung kommt es unter anderem auf folgende Fragen an:

• Welche Daten waren betroffen?
• Wie viele Personen waren betroffen?
• Wie leicht lassen sich die Personen erkennen?
• Konnten Angreifer die Daten lesen oder verändern?
• Welche Folgen drohen den Betroffenen?
• Welche Schutzmaßnahmen waren vorhanden?

Bei einfachen Kontaktdaten kann das Risiko geringer sein. Anders kann es bei Zugangsdaten, Zahlungsdaten oder vertraulichen Nachrichten aussehen. Auch die Verbindung mehrerer Datenarten kann das Risiko erhöhen.

Entscheidend bleibt der konkrete Vorfall. Eine pauschale Antwort ist nicht möglich.

Wann die Frist von 72 Stunden beginnt

Unternehmen müssen eine meldepflichtige Datenschutzverletzung unverzüglich melden. Die Meldung soll unverzüglich und möglichst binnen 72 Stunden erfolgen.

Die Frist beginnt nicht mit der Veröffentlichung der WordPress-Sicherheitslücke. Sie beginnt auch nicht allein deshalb, weil eine veraltete WordPress-Version installiert war.

Nach den Leitlinien des Europäischen Datenschutzausschusses beginnt die Frist bei hinreichender Gewissheit. Das Unternehmen muss erkennen können, dass personenbezogene Daten beeinträchtigt wurden.

Bei einem ersten Verdacht darf das Unternehmen den Vorfall kurz untersuchen. Die Prüfung muss aber sofort beginnen. Sie darf nicht dazu dienen, die Meldung unnötig hinauszuzögern.

Stehen nach 72 Stunden noch nicht alle Einzelheiten fest, kann das Unternehmen schrittweise melden. Zunächst übermittelt es die vorhandenen Informationen. Weitere Ergebnisse können später folgen.

Erfolgt die erste Meldung verspätet, muss das Unternehmen die Verzögerung begründen.

Wann betroffene Personen informiert werden müssen

Für die Information betroffener Personen gelten strengere Voraussetzungen.

Eine Benachrichtigung ist nötig, wenn die Datenschutzverletzung voraussichtlich ein hohes Risiko verursacht. Dafür gilt keine eigene starre Frist von 72 Stunden. Die Information muss aber unverzüglich erfolgen.

Ein hohes Risiko kann besonders bei folgenden Daten bestehen:

• Passwörter und Zugangsdaten
• Bank- und Zahlungsdaten
• Gesundheitsdaten
• Bewerbungsunterlagen
• vertrauliche Kundenanfragen
• umfangreiche Datensätze mit Missbrauchspotenzial

Entscheidend bleibt auch hier der Einzelfall. Nicht jede betroffene WordPress-Website führt automatisch zu einer Benachrichtigung aller betroffenen Personen.

Müssen Betroffene informiert werden, sollte die Nachricht verständlich sein. Sie muss den Vorfall und die möglichen Folgen erklären. Auch die ergriffenen Schutzmaßnahmen und eine Kontaktstelle gehören in die Nachricht.

Was für Agenturen und Hoster gilt

Viele Unternehmen betreiben ihre WordPress-Website nicht selbst. Häufig sind Agenturen, Hoster oder technische Dienstleister beteiligt.

Verarbeitet ein Dienstleister personenbezogene Daten ausschließlich nach Weisung des Unternehmens, kann er Auftragsverarbeiter sein. Die konkrete Rollenverteilung muss im Einzelfall geprüft werden. Stellt er eine Datenschutzverletzung fest, muss er seinen Kunden unverzüglich informieren.

Der Dienstleister muss die Risikobewertung nicht selbst abschließen. Er sollte die vorhandenen Informationen schnell an den Kunden weitergeben.

Der Kunde bleibt grundsätzlich dafür verantwortlich, die Datenschutzaufsicht zu informieren. Gleiches gilt für die Benachrichtigung betroffener Personen.

Unternehmen sollten daher klare Ansprechpartner und Meldewege festlegen. Im Ernstfall darf nicht erst geklärt werden müssen, wer wen informiert.

Was Unternehmen jetzt tun sollten

Unternehmen mit einer WordPress-Website sollten strukturiert vorgehen:

1. Version prüfen: Stellen Sie fest, welche WordPress-Version installiert ist.
2. Update installieren: Nutzen Sie mindestens Version 6.8.6, 6.9.5 oder 7.0.2.
3. Angriffsspuren sichern: Bewahren Sie Protokolle und verdächtige Dateien auf.
4. Website untersuchen: Prüfen Sie Benutzer, Plug-ins, Dateien und Datenbankzugriffe.
5. Betroffene Daten erfassen: Klären Sie, welche personenbezogenen Daten angreifbar waren.
6. Risiko bewerten: Prüfen Sie mögliche Folgen für betroffene Personen.
7. Meldung vorbereiten: Warten Sie bei einer Meldepflicht nicht auf jedes Detail.
8. Dokumentieren: Halten Sie Ihre Prüfung und die Maßnahmen fest.

Weitere Informationen

Europäischer Datenschutzausschuss, Leitlinien 9/2022 zur Meldung von Datenschutzverletzungen