Websites herunterladen, die Wordfence nutzen

Über Wordfence

Ein Sicherheits-Plugin, das sich von außen per Fingerprint erkennen lässt, hat im Kleinen schon etwas preisgegeben. Wordfence läuft innerhalb von WordPress als PHP-Code auf dem Server, filtert Anfragen, bevor die Anwendung sie sieht, durchsucht Dateien nach bekannten Schadmustern und härtet das Login-Formular. Arbeitet ein Sicherheits-Plugin unauffällig, muss ein Besucher von seiner Arbeit nichts sehen. In der Praxis dringen jedoch Sperrseiten, Challenge-Seiten, Asset-Pfade und Versionsangaben nach außen, und genau die Installationen, bei denen das passiert, können wir zählen.

Daraus entsteht eine Zahl, die sorgfältig gelesen werden muss. Stand Oktober 2026 ordnen wir das Plugin 43 Websites zu. Die Zahl ist keine Schätzung dafür, wie viele WordPress-Installationen das Plugin einsetzen, und sollte auch nie so zitiert werden. Serverseitige Plugins sind für externe Erkennung systematisch unsichtbar, die Zählung misst also tatsächlich den Teil der Installationen, der ein identifizierbares Artefakt preisgibt. Die tatsächliche installierte Basis ist weit größer als alles, was ein Crawl sehen kann.

Die Verzerrung in diesem Teilbestand ist der interessante Teil und kein Mangel, für den man sich entschuldigen müsste. Eine Website, die eine erkennbare Sperrseite oder einen Asset-Pfad mit Versionsnummer ausliefert, ist eine Website, deren Konfiguration nahe am Standard belassen wurde, was mit genau den Websites korreliert, an denen am seltensten jemand nachjustiert. Für einen Forscher, der untersucht, wie schnell Sicherheitskorrekturen gewöhnliche Websites tatsächlich erreichen, ist dieser Bestand keine schlechte Stichprobe. Vernachlässigte Installationen sind genau der Gegenstand der Untersuchung.

Versionsdaten stützen dieselbe Forschungsrichtung. Unsere Daten enthalten 12 verschiedene Versionsangaben für das Plugin, darunter Version 7.4.14. Für ein Produkt, das häufig Updates ausliefert und Administratoren zur Installation auffordert, ist das eine breite Streuung. Ein Sicherheitstool mit altem Code ist schon für sich ein Befund, denn die Schutzwirkung einer Firewall hängt davon ab, dass ihr Regelwerk aktuell ist, und ein veraltetes Plugin kann einem Betreiber das Gefühl geben, geschützt zu sein, während der Schutz allmählich nachgelassen hat.

Etwas Kontext zum Produkt ordnet das alles ein. Der Anbieter Defiant Inc. vertreibt es seit 2011 unter dem Lizenzmodell Freemium, und es richtet sich klar an WordPress-Websites, die ihre Betreiber selbst verwalten, also an solche ohne eigenes Sicherheitsteam. Der Einsatz deutet daher auf einen Website-Betreiber hin, dem eine Kompromittierung genug Sorgen bereitet hat, um zu handeln, der aber zugleich die Plattform betreibt, die im Web den meisten automatisierten Angriffs-Traffic abbekommt.

Eine herunterladbare Liste ist gerade wegen dieser Verzerrung nützlich und nicht trotz ihrer. Hosting-Anbieter prüfen, welche ihrer Kunden sich schützen und welche nicht. Konkurrierende Sicherheitsanbieter und Anbieter von Managed-WordPress-Hosting suchen nach Kunden, die sie ansprechen können. Forscher messen, wie lange Patches in einem echten Bestand brauchen, statt sich auf eine Umfrage zu verlassen. Eine Einzelabfrage zu einer Domain klärt eine Support-Frage. Nur der Export ermöglicht Zählungen, Vergleiche zwischen Exporten und jede Aussage darüber, wie sich ein Plugin-Ökosystem im Lauf der Zeit verhält.