UpdraftPlus-Anbieter gehackt: Cloud-Verbindungen zu WordPress-Seiten prüfen
Beim Anbieter hinter UpdraftPlus und UpdraftCentral gab es am 17. und 18. Oktober 2026 unberechtigte Zugriffe auf die Website teamupdraft.com. Die Firma geht davon aus, dass Angreifer an Teile ihrer Kundendatenbank gelangen konnten. Besonders heikel sind dabei Verbindungsschlüssel für die Fernverwaltung von WordPress-Websites. Nicht jeder Nutzer des Backup-Plugins ist dadurch gleichermaßen betroffen.
Welche Daten und Funktionen berührt der Vorfall?
Nach Angaben von TeamUpdraft umfasste die betreffende Datenbank Namen, E-Mail-Adressen, Rechnungsinformationen, Bestellverlauf, gehashte Passwörter und Verbindungsdaten von UpdraftCentral, UpdraftVault sowie UpdraftClone. Zahlungsdaten speichert das Unternehmen nach eigener Darstellung nicht selbst. Die eigentlichen UpdraftPlus-Plugin-Downloads und Sicherungen auf eigenen externen Speichern wie Google Drive oder Amazon S3 waren laut Anbieter nicht betroffen.
Das besondere Risiko liegt in UpdraftCentral Cloud: Über bestehende Verbindungsschlüssel lassen sich verbundene WordPress-Installationen fernsteuern. Ist ein solcher Schlüssel missbraucht worden, reicht ein neues Passwort für das Anbieter-Konto allein möglicherweise nicht aus.
Wer jetzt handeln muss
- TeamUpdraft-Konto: Passwort direkt auf der selbst eingegebenen Anbieter-Webadresse ändern; identisch verwendete Passwörter ebenfalls ersetzen. Bei aktivierter Zwei-Faktor-Anmeldung die Herstellerhinweise zum Zurücksetzen beachten.
- UpdraftCentral Cloud: Jede betroffene WordPress-Website direkt im eigenen Backend öffnen, alte UpdraftCentral-Verbindungsschlüssel entfernen und erst nach einer Prüfung neu koppeln. Zusätzlich mindestens die korrigierte UpdraftPlus-Version 1.26.13 (Free) beziehungsweise die entsprechende aktuelle Premium-Sicherheitsversion installieren. Version 1.26.12 setzte die Schlüsselsperre laut Changelog noch nicht vollständig um.
- WordPress prüfen: Administratorenliste, installierte Plugins und Must-Use-Plugins auf unbekannte Änderungen untersuchen. Auffällige Zugriffe und Dateiveränderungen sollten Anlass für eine forensische Prüfung sein.
- UpdraftVault: Laut TeamUpdraft müssen getrennte Speicherkonten neu verbunden und anschließend mit einer manuellen Sicherung geprüft werden.
Was kostenlose UpdraftPlus-Nutzer nicht tun müssen
Wer lediglich die kostenlose UpdraftPlus-Version ohne teamupdraft.com-Konto verwendet, muss laut Hersteller aufgrund dieses Vorfalls nicht tätig werden. Auch selbst gehostetes UpdraftCentral ist nach dessen Angaben nicht betroffen. Eine vorsorgliche Löschung aller Backups wäre daher nicht sinnvoll – im Ernstfall werden diese Sicherungen benötigt.
Findest du unbekannte Administratoren oder Dateien, genügt ein Plugin-Update allein nicht als Beweis für einen sauberen Zustand. Dann sind eine geprüfte Sicherung von vor dem Vorfall, Passwortwechsel und die Überprüfung von Zugangsdaten und Serverprotokollen relevant. Das Vorgehen bei Wiederherstellung nach Sicherheitsvorfällen erklärt ein eigener Ratgeber.
Quelle und laufende Updates: TeamUpdraft – offizieller Sicherheitsbericht und Nutzeranweisungen. Stand: 21. Oktober 2026.
