Die Website der Stadtwerke Voitsberg war von einem Cyberangriff auf WordPress betroffen. Kein Hinweis auf einen gezielten Angriff, möglicherweise abgegriffene Formulardaten – und eine ziemlich konkrete Antwort auf die Frage, die kleine Betriebe beim Thema IT-Sicherheit gerne stellen: „Warum sollte jemand ausgerechnet mich hacken?“
Kurzfassung: Vielleicht will dich gar niemand gezielt hacken. Moderne Angriffe suchen automatisiert nach verwundbarer Software. Im Fall der Stadtwerke Voitsberg fand eine externe forensische Untersuchung keinen Hinweis darauf, dass gerade dieses Unternehmen ausgewählt wurde. Genau deshalb ist der Fall für jeden Betrieb mit Website interessant.
Was in Voitsberg passiert ist
Am 31. Juli war die Website der Stadtwerke Voitsberg vorübergehend nicht erreichbar. Laut einem aktuellen Bericht von MeinBezirk dürfte eine Sicherheitslücke im dahinterliegenden WordPress-System die Ursache gewesen sein.
Nach derzeitigen Erkenntnissen wurden dabei möglicherweise Daten abgegriffen, die Besucher zuvor über Online-Formulare eingegeben hatten – etwa bei An- und Abmeldungen, Bewerbungen oder allgemeinen Anfragen. (MeinBezirk.at)
Die Stadtwerke haben danach die Website bereinigt und wiederhergestellt, sämtliche Zugangsdaten erneuert und zusätzliche Sicherheitsmaßnahmen eingerichtet. Externe Spezialisten wurden mit einer forensischen Untersuchung beauftragt, Anzeige gegen unbekannte Täter wurde erstattet.
Und ein Punkt ist mir bei diesem Fall besonders wichtig:
Die Untersuchung fand keinen Hinweis auf einen gezielten Angriff auf die Stadtwerke Voitsberg. (MeinBezirk.at)
Das ist kein Detail. Das ist eigentlich die ganze Geschichte.
Wer interessiert sich schon für meine kleine Website?
Den Satz hört man ständig.
Ein Installateur in Köflach, eine Ordination in Voitsberg oder ein kleiner Betrieb in Ligist hat keine geheimen Forschungsdaten auf seinem Webserver. Warum sollte sich ein Hacker dafür interessieren?
Tut er vielleicht gar nicht.
Viele Angriffe funktionieren nicht so, dass irgendwo jemand sitzt, „Stadtwerke Voitsberg“ googelt und beschließt, genau diese Website anzugreifen.
Die Suche übernimmt Software.
Ist eine Sicherheitslücke bekannt, können automatisierte Systeme das Internet nach Installationen absuchen, auf denen genau diese verwundbare Version läuft. Gefunden wird dann nicht das interessanteste Unternehmen, sondern das passende System.
Das ist ein wesentlicher Unterschied.
Du musst kein interessantes Ziel sein. Deine Software muss nur auf die Anfrage des Angreifers antworten.
Elf Tage vorher hatte CERT.at gewarnt
Am 20. Juli veröffentlichte CERT.at eine Warnung zu zwei Sicherheitslücken in WordPress.
Eine davon wurde als kritisch eingestuft. In Kombination konnten die Schwachstellen bei bestimmten WordPress-Versionen dazu führen, dass Angreifer beliebigen Code ausführen und damit im schlimmsten Fall die Website und das darunterliegende System vollständig übernehmen konnten. (CERT.at)
Der unangenehme Teil: Laut der von CERT.at zitierten Analyse war die Angriffskette ohne Anmeldung und ohne besondere Voraussetzungen nutzbar.
Und nein, dafür brauchte es nicht einmal das berüchtigte WordPress mit 27 schlecht gewarteten Plugins.
Betroffen sein konnte eine Standardinstallation ohne Plugins. (CERT.at)
Zu diesem Zeitpunkt waren bereits mehrere fertige Proof-of-Concept-Exploits öffentlich verfügbar. CERT.at rechnete deshalb ausdrücklich mit Angriffen auf ungepatchte Systeme und empfahl, die Updates sofort einzuspielen. (CERT.at)
Am 31. Juli war die Website der Stadtwerke Voitsberg nicht erreichbar.
Ob genau diese Schwachstellen in genau dieser Form für den konkreten Vorfall verantwortlich waren, lässt sich aus den öffentlich verfügbaren Informationen nicht zweifelsfrei ableiten. Und genauso wenig lässt sich daraus ableiten, dass bei den Stadtwerken jemand ein Update „verschlafen“ hätte.
Das wäre Spekulation.
Was man sehr wohl daraus ableiten kann: Zwischen einer veröffentlichten kritischen Lücke und realen Angriffen liegt heute nicht mehr viel Zeit.
Ist WordPress also unsicher?
Die einfache Antwort wäre: ja.
Die richtige ist: so einfach ist es nicht.
WordPress läuft auf einem gewaltigen Teil des Internets. Entsprechend interessant ist jede gefundene Schwachstelle für Angreifer. Gleichzeitig gibt es ein großes Sicherheitsteam, Updates und – wie in diesem Fall – sogar erzwungene automatische Sicherheitsupdates für betroffene Versionen. (CERT.at)
Eine WordPress-Seite kann ordentlich gewartet und gut abgesichert betrieben werden.
Sie muss aber betrieben werden.
WordPress-Core, Plugins, Themes, PHP-Version, Webserver, Benutzerkonten: Das alles ist Software. Und Software verändert sich.
Genau da liegt für mich der interessantere Punkt.
Wie viel Technik braucht deine Website eigentlich?
Eine Tischlerei braucht eine Startseite, Leistungen, Referenzen, Kontaktdaten und vielleicht ein Formular.
Eine Ordination braucht Öffnungszeiten, Leistungen, Team, Anfahrt und Kontakt.
Dafür muss nicht zwingend rund um die Uhr ein komplettes Content-Management-System mit Datenbank und öffentlich erreichbarem Login auf dem Server laufen.
Was nicht vorhanden ist, muss nicht gepatcht werden und kann über diesen Weg auch nicht angegriffen werden.
Das ist einer der Gründe, warum ich bei klassischen Firmenwebsites auf möglichst wenig laufende Technik setze.
Aber auch das ist keine Zauberformel.
Eine statische Website kann Abhängigkeiten aus npm verwenden. Ein Kontaktformular hängt vielleicht an einem externen Dienst. Der Server braucht Updates. Zugangsdaten können gestohlen werden. Eine JavaScript-Bibliothek kann morgen eine CVE bekommen.
„Handprogrammiert“ bedeutet nicht „unknackbar“.
Es bedeutet im besten Fall: weniger Teile, die überhaupt kaputtgehen können.
Und genau diese Teile muss man kennen und überwachen.
Was ich einem Betrieb heute empfehlen würde
Nicht in Panik das CMS wechseln.
Sondern zuerst wissen, was eigentlich läuft.
Welche Software steckt hinter der Website? Welche Version? Welche Plugins oder Bibliotheken? Wer bekommt eine Nachricht, wenn dort morgen eine kritische Sicherheitslücke auftaucht? Wer spielt das Update ein? Gibt es ein funktionierendes Backup? Und weiß im Ernstfall jemand, was zu tun ist?
Wenn auf diese Fragen niemand eine Antwort hat, ist das größere Problem nicht WordPress.
Dann fehlt der Betrieb.
Ein paar Dinge gehören heute für mich zur Grundausstattung: automatische Sicherheitsupdates, wo sie sinnvoll sind, Überwachung bekannter Schwachstellen, sichere Administrator-Zugänge mit Mehrfaktor-Authentifizierung, Backups und möglichst wenig dauerhaft gespeicherte Daten aus Formularen.
Nicht besonders spektakulär.
Aber Cybersecurity besteht meistens nicht aus einem Mann im Kapuzenpulli vor sechs Bildschirmen.
Sie besteht daraus, dass jemand am Dienstag ein Update einspielt, bevor am Freitag der Bot vorbeikommt.
Und die Stadtwerke?
Die sind in diesem Beitrag nicht das abschreckende Beispiel.
Im Gegenteil: Nach Bekanntwerden des Vorfalls wurde die Seite bereinigt, Zugangsdaten wurden erneuert, zusätzliche Sicherheitsmaßnahmen umgesetzt, externe Forensiker hinzugezogen und Anzeige erstattet. Menschen, deren Daten möglicherweise betroffen sind, sollen entsprechend den gesetzlichen Vorgaben informiert werden. (MeinBezirk.at)
Mehr lässt sich von außen seriös nicht beurteilen.
Mich interessiert an dem Fall deshalb weniger die Frage, wer etwas falsch gemacht hat.
Interessanter ist, dass so ein Vorfall nicht in irgendeinem amerikanischen Tech-Konzern passiert ist.
Sondern hier in Voitsberg.
Und vielleicht ist genau das die brauchbarste Erinnerung für den nächsten Unternehmer, der sagt:
„Meine Website ist viel zu klein. Mich hackt doch keiner.“
Muss auch keiner.
Es reicht, wenn ein Bot vorbeikommt und eine bekannte offene Tür findet.
⸻
Stand: 11. September 2026. Grundlage sind die öffentlich verfügbaren Informationen von MeinBezirk vom 10. September 2026 sowie die Sicherheitswarnung von CERT.at vom 20. Juli 2026. Aus den veröffentlichten Informationen lässt sich nicht ableiten, ob und wann bei den Stadtwerken ein verfügbares Update eingespielt wurde.
Foto von Towfiqu barbhuiya
Beitrag teilen