Sie haben Ihre Plugins aktualisiert, HTTPS konfiguriert und eine Firewall eingerichtet. Ihre Website sieht sicher aus. Aber woher wissen Sie, dass eines der installierten Plugins nicht eine Schwachstelle aufweist, die gerade jetzt ausgenutzt wird?

Der manuelle Abgleich mit Schwachstellendatenbanken dauert Stunden. WPScan erledigt das in einer halben Minute: ein quelloffener WordPress-Sicherheitsscanner mit Kommandozeilenschnittstelle, der laut seiner eigenen Datenbankstatistik über 73.000 Schwachstellen in Core, Plugins und Themes erfasst. Im Folgenden: Installation, API-Token, grundlegendes und erweitertes Scannen, Passwort-Brute-Forcing.

💡 Kurzüberblick:

• Installieren Sie WPScan via Ruby-Gem, Docker oder Homebrew und aktualisieren Sie die Metadaten-Datenbank mit wpscan --update

• Registrieren Sie einen kostenlosen API-Token auf wpscan.com: 25 Anfragen pro Tag, ohne Token zeigt der Scanner keine Schwachstellendaten an

• Führen Sie einen Basisscan aus: wpscan --url https://your-site.com --api-token YOUR_TOKEN

• Prüfen Sie angreifbare Plugins und Themes mit den Flags -e vp und -e vt, listen Sie Benutzer mit -e u auf

• Für Passwort-Brute-Forcing bereiten Sie eine Wortlistendatei vor und übergeben diese mit dem Flag --passwords

Was ist WPScan

WPScan, ein für nicht-kommerzielle Nutzung kostenloser WordPress-Sicherheitsscanner, ist in Ruby geschrieben. Die erste Version erschien im Juni 2011, und seitdem hat sich das Tool zum De-facto-Standard für Pentesting von WordPress-Websites entwickelt.

Der Scanner gleicht die installierte WordPress-Version, aktive Plugins und Themes mit der WordPress Vulnerability Database auf wpscan.com ab, die von einem Team aus Sicherheitsspezialisten gepflegt wird. Laut Datenbankstatistik dokumentiert sie über 73.000 Schwachstellen in Core, Plugins und Themes. Jeder Eintrag wird von einem dedizierten Team aus WordPress-Experten manuell verifiziert. Seit 2023 ist WPScan eine CVE Numbering Authority und vergibt direkt CVE-Nummern für Schwachstellen im WordPress-Ökosystem.

Über Schwachstellen hinaus kann WPScan Benutzer-Logins über die REST-API und Autoren-Feeds enumerieren, Passwörter per Wörterbuch brute-forcen, offen liegende wp-config.php-Backups, Datenbank-Dumps und ungeschützte Fehlerprotokolle finden.

Eine wichtige lizenzrechtliche Nuance: Die kostenlose Nutzung des CLI-Scanners ist nur für nicht-kommerzielle Zwecke gestattet. Agenturen, die Kunden-Websites scannen, benötigen ein kostenpflichtiges Abonnement. Die Bedingungen sind auf der offiziellen WPScan-Website beschrieben.

Installation und Updates

WPScan ist auf drei Wegen verfügbar. Wählen Sie den, der zu Ihrem Workflow passt.

Ruby-Gem, universelle Option für Linux, macOS und Windows mit installiertem Ruby:

1
gem install wpscan

Docker, isolierte Umgebung ohne Abhängigkeiten:

1
docker pull wpscanteam/wpscan

Beispiel für einen Docker-Aufruf:

1
docker run -it --rm wpscanteam/wpscan --url https://example.com -e u

Homebrew, für macOS:

1
brew install wpscanteam/tap/wpscan

Aktualisieren Sie nach der Installation zunächst die lokale Metadaten-Datenbank. Sie enthält Informationen zu den neuesten Plugin- und Theme-Versionen; ohne sie kann der Scanner nicht feststellen, ob die installierte Version veraltet ist. Schwachstelleninformationen werden separat in Echtzeit per API abgefragt.

1
wpscan --update

Das Update dauert einige Sekunden. Die Ausgabe zeigt die WPScan-Version und die Bestätigung, dass die Datenbank aktuell ist. Führen Sie wpscan --update vor jedem Audit erneut aus: Die Entwickler veröffentlichen mehrmals pro Woche Metadaten-Updates.

API-Token: der Schlüssel zu den Schwachstellendaten

Der häufigste Anfängerfehler: wpscan --url site.com ohne Token auszuführen und sich zu wundern, warum der Scanner zu Schwachstellen schweigt. Ohne Token arbeitet WPScan im Modus „nur Metadaten". Es meldet, dass ein Plugin veraltet ist, sagt aber nicht, welche CVEs damit verbunden sind.

Registrieren Sie sich unter wpscan.com, das ist kostenlos und dauert eine Minute. Der kostenlose Plan erlaubt 25 API-Anfragen pro Tag. Ein Scan verbraucht 1 Anfrage für die WordPress-Version, 1 Anfrage für jedes installierte Plugin und 1 Anfrage für jedes Theme. Eine typische WordPress-Site hat mehr als ein Dutzend Plugins installiert, das kostenlose Limit reicht also für einen vollständigen Scan pro Tag.

Der Token wird bei jedem Lauf mit dem Flag --api-token übergeben:

1
wpscan --url https://example.com --api-token YOUR_TOKEN

Um den Token nicht bei jedem Befehl eingeben zu müssen, speichern Sie ihn in der Konfigurationsdatei ~/.wpscan/scan.yml:

1
api_token: YOUR_TOKEN

Danach übernimmt WPScan den Token automatisch.

Grundlegende Site-Scans

Minimaler Audit-Befehl:

1
wpscan --url https://example.com --api-token YOUR_TOKEN

Der Scanner ermittelt die WordPress-Version, das aktive Theme, erkennt offengelegte Versionsnummern und prüft grundlegende Konfigurationsprobleme: Zugänglichkeit von wp-cron und readme.html, das Uploads-Verzeichnis, die Möglichkeit der Benutzerregistrierung.

Die Ausgabe ist mit Farbmarkierungen strukturiert: Grün für Informationsmeldungen, Gelb für Warnungen, Rot für gefundene Schwachstellen. Jede Schwachstelle wird von einem Link zur WPScan-Datenbankkarte begleitet, die den Angriffsvektor, betroffene Versionen und Empfehlungen zur Behebung beschreibt.

Ein grundlegender Scan dauert in der Regel weniger als eine Minute. Die genaue Zeit hängt von der Größe der Site und der Geschwindigkeit des Hostings ab.

Auffinden verwundbarer Plugins

Plugins, der Hauptangriffsvektor bei WordPress. Laut WPScan-Statistiken befinden sich über 90% der bekannten Schwachstellen in Plugins. Der Prüfbefehl:

1
wpscan --url https://example.com -e vp --api-token YOUR_TOKEN

Das Flag -e vp (enumerate vulnerable plugins) listet nur Plugins mit bekannten Schwachstellen auf. Dies ist der schnellste und praxisgerechteste Modus: Er gleicht installierte Plugins mit der Datenbank ab und meldet nur jene mit dokumentierten Problemen.

Standardmäßig nutzt WPScan den passiven Erkennungsmodus, der das HTML der Seite ohne zusätzliche Anfragen analysiert. Für eine maximale Abdeckung bei zusätzlicher Serverlast wechseln Sie in den gemischten Modus:

1
wpscan --url https://example.com -e vp --plugins-detection mixed --api-token YOUR_TOKEN

Der mixed-Modus wendet zunächst die passive Analyse an und prüft dann aggressiv bekannte Plugin-Pfade, um versteckte und inaktive Installationen zu erkennen.

Wenn der Scanner ein verwundbares Plugin gefunden hat, aktualisieren Sie es auf die neueste Version. Der Entwickler hat mit an Sicherheit grenzender Wahrscheinlichkeit einen Patch veröffentlicht. Gibt es kein Update und das Plugin wurde aufgegeben, entfernen Sie es und suchen Sie eine Alternative. Ein Plugin mit einer bekannten Schwachstelle auf einer Produktiv-Site zu belassen, ist nicht akzeptabel.

Auffinden verwundbarer Themes

Themes werden ähnlich wie Plugins geprüft:

1
wpscan --url https://example.com -e vt --api-token YOUR_TOKEN

Der -e vt-Flag (vulnerable themes) prüft das aktive Theme und alle installierten Themes auf bekannte Schwachstellen. Themes werden seltener angegriffen als Plugins, doch Sicherheitslücken kommen vor, insbesondere bei Themes mit integrierten Page Buildern und Slidern.

Der Standard-Erkennungsmodus für Themes ist aggressiv, da die passive Analyse inaktive Themes häufig übersieht. Ist der Server schwach und die Auslastung kritisch, beschränken Sie die Prüfung auf den passiven Modus:

1
wpscan --url https://example.com -e vt --themes-detection passive --api-token YOUR_TOKEN

Wird ein verwundbares Theme gefunden, handeln Sie nach demselben Prinzip: aktualisieren oder entfernen. Child-Themes erben die Schwachstellen des Parent-Themes, prüfen Sie beide.

Benutzer-Enumeration

Ein Angreifer, der die WordPress-Benutzernamen kennt, muss nur noch die Passwörter erraten. WPScan zeigt, welche Logins von außen sichtbar sind:

1
wpscan --url https://example.com -e u

Der Scanner iteriert über Benutzer-IDs und extrahiert die Logins aus der REST-API, Autoren-Feeds (/author/name/) und anderen öffentlichen Endpunkten. Das Ergebnis sieht so aus:

1
[i] User(s) Identified:
2
[+] admin
3
[+] editor
4
[+] serg

Idealerweise sollten Sie keine Logins sehen. Hat WPScan Benutzer gefunden, ergreifen Sie Maßnahmen:

• Hinterlegen Sie in den Profileinstellungen einen Anzeigenamen, der vom Login abweicht.
• Deaktivieren Sie die REST-API für nicht autorisierte Besucher per Plugin oder über die .htaccess.
• Eine Firewall auf DNS-Ebene, etwa Sucuri oder Cloudflare, blockiert den Scanner bereits vor dem Eintreffen: Sie sehen dann einen Timeout-Fehler statt einer Benutzerliste.

Aktuelle WordPress-Versionen schränken die Enumeration über die REST-API ein, doch Themes und Plugins können Umgehungen eröffnen. Sich allein auf den Core zu verlassen, genügt nicht.

Passwort-Brute-Forcing

WPScan unterstützt wörterbuchbasierte Passwortangriffe. Der Scanner versucht, sich als jeder gefundene Benutzer mit jedem Passwort aus einer Listendatei zu authentifizieren. Der Vorgang ist ressourcenintensiv, aber das Ergebnis lohnt sich: Sie erfahren, ob Administratoren qwerty123 verwenden.

Bereiten Sie eine Textdatei mit Passwörtern vor, eines pro Zeile, und führen Sie folgenden Befehl aus:

1
wpscan --url https://example.com -e u --passwords /path/to/passwords.txt

Fertige Wortlisten finden Sie in Kali Linux (/usr/share/wordlists/) und in offenen Quellen wie dem SecLists-Repository auf GitHub. Für eine grundlegende Prüfung genügt eine Datei mit den 500 bis 1000 häufigsten Passwörtern.

Der Parameter --threads N steuert die Anzahl gleichzeitiger Versuche. Der Standardwert ist 5. Eine Erhöhung auf 20 bis 30 beschleunigt das Brute-Forcing, erzeugt aber eine spürbare Serverlast und kann den Hosting-Schutz auslösen.

Erstellen Sie vor dem Brute-Force-Lauf ein Backup der Website und informieren Sie den Hosting-Provider: Manche Anbieter sperren IPs bei mehreren fehlgeschlagenen Anmeldeversuchen.

Weitere Funktionen

WPScan kann mehr als grundlegende Plugin- und Benutzerprüfungen. Hier einige nützliche Szenarien.

Alle Plugins finden, nicht nur verwundbare:

1
wpscan --url https://example.com -e ap --api-token YOUR_TOKEN

Das Flag -e ap (all plugins) listet sämtliche Plugins aus der WPScan-Datenbank auf. Der Vorgang nimmt erhebliche Zeit in Anspruch. Verwenden Sie es für vollständige Audits, nicht für Routineprüfungen.

Backups und Dumps erkennen:

1
wpscan --url https://example.com -e cb,dbe

Die Flags cb (config backups) und dbe (database exports) suchen nach öffentlich zugänglichen wp-config.php-Backups und SQL-Dumps, die versehentlich von Backup-Plugins hinterlassen wurden. Eine solche Datei im offenen Zugriff ist kritisch gefährlich: Ein Angreifer erhält die Datenbank-Zugangsdaten.

Unauffälliges Scannen:

1
wpscan --url https://example.com --stealthy --api-token YOUR_TOKEN

Das Flag --stealthy fügt zufällige Verzögerungen zwischen den Anfragen ein und tarnt die Scanner-Aktivität als normales Besucherverhalten. Nützlich, wenn der Server verdächtige Aktivitäten aggressiv sperrt.

Mediendatei-Auflistung:

1
wpscan --url https://example.com -e m1-100

Prüft Mediendatei-IDs im angegebenen Bereich. Hilft, vertrauliche Dokumente zu entdecken, die per Direktlink erreichbar sind, sowie Backups, die außerhalb der Mediathek hochgeladen wurden.

Vollständiges WPScan-Video-Tutorial, von der Installation bis zu fortgeschrittenen Szenarien:

⁉️🤔 Häufig gestellte Fragen

Brauche ich WPScan, wenn bereits Jetpack Protect oder Wordfence installiert ist?

Ja, es ist nötig. Sicherheits-Plugins arbeiten von innerhalb WordPress' und blockieren Angriffe in Echtzeit. WPScan betrachtet die Website von außen, genau wie ein Angreifer. Es findet Probleme, die das Plugin nicht sieht: offengelegte Backups, Benutzeraufzählung über nicht standardmäßige Vektoren, Schwachstellen in inaktiven, aber nicht entfernten Plugins. Beide Ansätze zusammen ergeben echte mehrschichtige Sicherheit.

Ist WPScan sicher für meine Website? Kann es den Server zum Absturz bringen?

Der Scanner sendet standardmäßige HTTP-Anfragen, dieselben wie ein normaler Besucher. Im passiven Modus analysiert er nur HTML, ohne zusätzliche Last. Der aggressive Modus mit vollständiger Plugin-Auflistung (-e ap) erzeugt Hunderte von Anfragen und kann schwaches Hosting verlangsamen. Verwenden Sie für regelmäßige Prüfungen -e vp,vt,u, das sind einige Dutzend Anfragen, sicher für jeden Server.

Kann das Scannen automatisiert werden?

Ja. Für Entwickler eignet sich ein Cron-Job, der einmal wöchentlich einen Docker-Container ausführt und einen Bericht per E-Mail versendet. Für alle anderen scannt der Dienst WPScan.com Websites automatisch nach Zeitplan und sendet Benachrichtigungen über neue Schwachstellen. Optimale Frequenz: vollständiger Scan einmal pro Woche, Prüfungen hochpriorer Komponenten täglich. Für manuelle Audits genügt die kostenlose CLI, für kontinuierliche Überwachung sollten Sie eine automatisierte Lösung in Betracht ziehen.

Was tun, wenn WPScan eine Schwachstelle gefunden hat und es kein Update gibt?

Das Plugin wurde vom Entwickler aufgegeben. Vorgehen: (1) Prüfen, ob die Schwachstelle aktiv ausgenutzt wird, die Karte der WPScan-Datenbank enthält diese Information; (2) gibt es keine Angriffe und das Plugin ist geschäftskritisch, schränken Sie den Zugriff darauf vorübergehend per .htaccess ein und planen Sie den Ersatz; (3) werden Angriffe verzeichnet, entfernen Sie das Plugin sofort. Ein Kompromiss zwischen Funktionalität und Sicherheit ist hier unmöglich.

Wie unterscheidet sich WPScan von anderen WordPress-Scannern?

WPScan ist der einzige Scanner mit einer eigenen Schwachstellen-Forschungsdatenbank, die seit über zehn Jahren existiert. Alternativen wie WPSeku listen Plugins aus einer statischen Liste ohne detaillierte CVE-Karten auf. WPScan wird von Automattic durch eine Partnerschaft mit Jetpack unterstützt, was die langfristige Projektentwicklung garantiert.

Was wählen: CLI, Docker oder SaaS

Die Wahl hängt von Ihren Aufgaben ab. Kurze Zusammenfassung:

• Haben Sie eine Website und benötigen eine einmalige Prüfung, nutzen Sie Docker: ein Befehl, null Abhängigkeiten.
• Haben Sie mehr als zehn Websites und benötigen regelmäßige Berichte, erledigt das Ruby Gem in einem Cron-Job die Aufgabe.
• Sind Sie eine Agentur mit hundert Kunden-Websites, nimmt Ihnen ein WPScan-SaaS-Abonnement den Überwachungsaufwand ab.

Vergessen Sie nicht den API-Token, ohne ihn sehen Sie nur die Hälfte des Bildes. Beginnen Sie mit drei Befehlen aus dem Block „Schnellüberblick" weiter oben. Eine halbe Minute, und Sie wissen genau, ob die Website offene Schwachstellen aufweist. Welches Sicherheitswerkzeug hat Ihnen in der Praxis geholfen? Schreiben Sie es in die Kommentare.