UpdraftPlus-Nutzer aufgepasst: Lösch jetzt deine UpdraftCentral-Schlüssel

Nutzt du UpdraftPlus für deine WordPress (*)-Backups? Dann solltest du heute noch handeln. Beim Hersteller TeamUpdraft gab es einen Einbruch, und dabei sind Schlüssel abgeflossen, mit denen Angreifer deine Website fernsteuern können. Ein Plugin-Update allein reicht nicht – du musst selbst Hand anlegen.

Was ist passiert?

Am 18. Oktober 2026 hat TeamUpdraft einen unbefugten Zugriff auf teamupdraft.com festgestellt. Der Zugang wurde geschlossen, alle Konten abgemeldet. Trotzdem hatten die Angreifer Zugriff auf die Kundendatenbank. Betroffen sind Namen, E-Mail-Adressen und Bestellhistorien. Passwörter lagen nur verschlüsselt (gehasht) vor, Zahlungsdaten laufen über Stripe und PayPal und waren nicht auf den Servern.

Nicht betroffen: das Plugin selbst und seine Downloads, deine Backups in Google Drive, Dropbox oder Amazon S3 sowie selbst gehostetes UpdraftCentral.

Das eigentliche Problem: Auch die Verbindungsschlüssel für UpdraftCentral sind abgeflossen.

Warum das so gefährlich ist

UpdraftCentral ist die Fernwartung, die in jeder UpdraftPlus-Installation steckt. Mit einem gültigen Schlüssel kann man deiner Website Befehle schicken – etwa „installiere dieses Plugin“. Genau das passiert seit dem 18. Oktober: Angreifer schleusen getarnte Hintertür-Plugins ein. Sicherheitsforscher haben schon rund 100 verschiedene Varianten gezählt.

Stell dir das wie einen geklauten Haustürschlüssel vor: Deine Tür ist nicht kaputt, das Schloss funktioniert einwandfrei – es erkennt den Schlüssel eben als echt an. Deshalb schützt dich auch die neueste Plugin-Version nicht automatisch. Dazu kommt: Diese Schlüssel laufen nie ab. Ein Schlüssel von vor einem Jahr funktioniert heute noch.

Bist du betroffen? Nur wenn auf deiner Website ein UpdraftCentral-Schlüssel gespeichert ist. Das kann passiert sein, ohne dass du es gemerkt hast: Wenn du dein TeamUpdraft-Konto mit dem Plugin verbunden hast, war die UpdraftCentral-Option bereits angehakt.

Was du jetzt tun solltest

1. Schlüssel auf jeder Website löschen (das Wichtigste!)

Mach das für jede Website mit UpdraftPlus – auch wenn du UpdraftCentral nie bewusst genutzt hast:

1. Melde dich direkt im WordPress (*)-Dashboard der Website an, nicht über UpdraftCentral.
2. Geh zu Einstellungen → UpdraftPlus Backups → Erweiterte Werkzeuge → UpdraftCentral.
3. Lösche dort alle Verbindungsschlüssel.

Keine Sorge: Deine Backups laufen danach ganz normal weiter. Nur die Fernwartung ist dann aus. Wichtig: Die Website nur im UpdraftCentral-Dashboard zu entfernen genügt nicht – der entscheidende Schlüssel liegt auf deiner Website.

2. Website auf Spuren prüfen

• Plugins (auch unter „Must-Use“): Gibt es eines, das du nicht kennst? Typisch ist eine harmlos klingende Beschreibung wie „Small maintenance toolkit: keeps option storage tidy.“
• Benutzer: Achte auf ein Konto namens „Site Tools“ oder auf „Redakteure“, die plötzlich Administratorrechte haben. Tückisch: Dieses Konto kann sich an deiner Zwei-Faktor-Anmeldung vorbei einloggen.
• UpdraftCentral-Protokoll: Taucht dort „Command received: plugin.upload_plugin“ auf?
• Fehlermeldungen: Plötzliche „HTTP-Fehler 500“ können ein Hinweis sein.

Danach: Ändere die Passwörter aller Administratoren und aktualisiere UpdraftPlus auf die neueste Version.

3. TeamUpdraft-Konto absichern

• Ruf teamupdraft.com direkt im Browser auf, nicht über einen E-Mail-Link.
• Ändere dein Passwort – und überall dort, wo du dasselbe Passwort benutzt.
• Richte die Zwei-Faktor-Authentifizierung neu ein.
• Sei misstrauisch bei E-Mails, die nach Passwörtern oder Schlüsseln fragen. Mit deinen geklauten Kundendaten sind gezielte Phishing-Mails jetzt deutlich wahrscheinlicher.

4. Etwas gefunden? Dann richtig aufräumen

Behandle die Website als gehackt. Die Reihenfolge ist entscheidend:

1. Erst den Schlüssel löschen – sonst schiebt der Angreifer einfach eine neue Hintertür nach.
2. Das verdächtige Plugin per FTP oder Dateimanager aus dem Plugin-Ordner verschieben, statt im WordPress (*)-Backend auf „Löschen“ zu klicken.
3. Auf keinen Fall „reparieren“: Viele dieser Plugins sind fehlerhaft programmiert und verursachen nur Fehler. Wer den Fehler behebt, macht die Hintertür erst funktionsfähig.
4. Das fremde Benutzerkonto löschen.
5. Am sichersten: Spiel eine Sicherung von vor dem 18. Oktober ein, erneuere alle Passwörter und prüf Dateien und Benutzerrechte gründlich.

Betreibst du die Seite geschäftlich und könnten Kunden- oder Mitgliederdaten abgeflossen sein? Dann prüf, ob du den Vorfall nach Art. 33 DSGVO innerhalb von 72 Stunden der Datenschutzbehörde melden musst.

5. Mit dem Neuverbinden warten

Verbinde deine Websites erst wieder mit UpdraftCentral, wenn TeamUpdraft die Ursache vollständig geklärt hat. Brauchst du die Fernwartung nicht wirklich, lass sie einfach aus – weniger offene Türen heißt weniger Risiko.

UpdraftVault und UpdraftClone

UpdraftVault: TeamUpdraft hat alle Websites getrennt und neue Zugangsdaten ausgestellt. Deine Backups landen erst wieder dort, wenn du die Verbindung in den UpdraftPlus-Einstellungen neu herstellst. Starte danach ein manuelles Backup, um zu prüfen, ob alles klappt.

UpdraftClone: Alle Schlüssel wurden ersetzt, die alten funktionieren nicht mehr. Hast du Schlüssel an Kunden weitergegeben, musst du ihnen die neuen aus deinem Konto schicken.

Auf einen Blick

Deine Situation	Was du tun solltest
Nur TeamUpdraft-Konto, kein UpdraftCentral	Passwort ändern, 2FA neu einrichten
UpdraftCentral genutzt oder unsicher	Sofort alle Schlüssel direkt in WordPress löschen, Plugins und Benutzer prüfen, Admin-Passwörter ändern
UpdraftVault genutzt	Verbindung neu herstellen, Test-Backup machen
Verdächtiges gefunden	Schlüssel löschen, Backup von vor dem 18. Oktober einspielen, gründlich säubern

Die Lage ändert sich gerade schnell. Behalte die Meldungen von TeamUpdraft im Auge – aber warte nicht auf ein Update. Das manuelle Löschen der Schlüssel ist dein wichtigster Schutz, und es dauert pro Website nur zwei Minuten.

---

---

(*) Hinweis: Hinter einigen Links stehen Affiliate-Programme. Für Sie bleibt der Preis exakt derselbe, wir erhalten jedoch eine kleine Provision, die wir direkt in unsere kommenden Recherchen investieren. Vielen Dank, dass Sie unsere Arbeit auf diese Weise unterstützen!

Views: 0