Website-Sicherheit im KI-Zeitalter: Was nach dem «Black October» wirklich zählt

In den letzten Wochen war das Thema Cybersicherheit kaum aus den Schlagzeilen wegzudenken. Fachmedien sprechen bereits vom «Black October». Vielleicht haben auch Sie sich gefragt: Betrifft mich das? Ist meine Website sicher?

Dieser Artikel ordnet ein, was passiert ist, was sich durch KI tatsächlich verändert und welche sechs Punkte jetzt wirklich zählen. Ruhig, sachlich und ohne Fachchinesisch.

Was in den letzten Wochen passiert ist

Mehrere grosse Ereignisse fielen zeitlich zusammen und haben deshalb besonders viel Aufmerksamkeit erhalten. Die wichtigsten im Überblick:

• PHP-Sicherheitslücke «PHP2Shell»: Am 21. Oktober wurden zwei kritische Lücken in PHP bekannt, der Programmiersprache, die bei rund 70 Prozent der Websites mit bestimmbarer Technik im Einsatz ist, darunter WordPress. Das Bundesamt für Cybersicherheit BACS empfahl, Sicherheitsupdates unverzüglich einzuspielen. Laut SRF nahmen der Kanton Basel-Stadt und mehrere Hochschulen ihre Websites vorsorglich vom Netz.
• WordPress-Update 7.1.4: Am 28. Oktober veröffentlichte WordPress ein Update, das fast zwei Dutzend Sicherheitsprobleme behebt. Eine Lücke im Update-Prozess selbst wurde laut heise online bereits kurz nach Erscheinen gezielt angegriffen.
• Manipuliertes Plugin: Beim Premium-SEO-Plugin Rank Math PRO wurden während rund elf Stunden am 15. und 16. Oktober verseuchte Versionen über die offizielle Download-Quelle verteilt, wie BleepingComputer Die kostenlose Version war nicht betroffen.
• Angriffe mit KI-Agenten: Gemäss einer von Fortune zitierten Reuters-Recherche liess ein einzelner Angreifer KI-Agenten über 1’200 Websites angreifen. Rund 100 Firmen wurden erfolgreich kompromittiert, bei Kosten von etwa 50 US-Dollar pro Einbruch.

Das klingt zunächst beunruhigend. Ein genauerer Blick zeigt aber ein differenzierteres Bild.

Warum Panik der falsche Ratgeber ist

Die meisten dieser Angriffe sind gescheitert, weil Betreiber rasch reagiert haben. Das US-Newsportal Axios zieht einen treffenden Vergleich mit dem Jahr-2000-Problem: Millionen von Angriffsversuchen führten zu vergleichsweise wenigen erfolgreichen Einbrüchen. Nicht aus Glück, sondern weil viele Unternehmen und Hoster koordiniert Updates eingespielt haben.

Auch bei der PHP-Lücke meldete SRF zum Zeitpunkt der Berichterstattung zwar erste Angriffsversuche, aber keine bestätigten Einbrüche. Viele Websites, die vorsorglich offline gingen, waren laut Deutschlandfunk schon kurz darauf wieder erreichbar.

Ein Blick in die Schweizer Statistik relativiert ebenfalls. Gemäss dem Halbjahresbericht des BACS gingen im ersten Halbjahr 2026 insgesamt 27’128 freiwillige Meldungen ein, weniger als im Vorjahreszeitraum mit 35’727. Die häufigsten Meldungen betreffen Betrug und Phishing, nicht hochkomplexe Hackerangriffe.

Die nüchterne Botschaft: Die Grundlagen wirken. Wer sie konsequent umsetzt, ist auch im KI-Zeitalter gut aufgestellt.

Was sich durch KI tatsächlich verändert

KI erfindet keine neuen Grundregeln der Sicherheit, aber sie erhöht das Tempo. Drei Veränderungen sind für KMU relevant:

1. Lücken werden schneller gefunden und ausgenutzt

Früher vergingen zwischen dem Bekanntwerden einer Sicherheitslücke und den ersten Angriffen oft Wochen. Heute sind es manchmal nur noch Stunden. Bei der aktuellen WordPress-Lücke registrierten Sicherheitsforscher laut heise online in den ersten 21 Stunden über 18’500 automatisierte Abfragen nach verwundbaren Installationen. Bezeichnend: Die PHP-Lücken selbst wurden laut Axios von KI-Agenten entdeckt. KI hilft also auch der Verteidigung.

2. Phishing wird überzeugender

Gefälschte E-Mails ohne Tippfehler, persönlich zugeschnitten und im richtigen Tonfall: Das ist mit KI einfach geworden. Eine Studie von BSI und TÜV-Verband zeigt, dass 90 Prozent der von KI-gestützten Angriffen betroffenen Unternehmen täuschend echte Phishing-Mails erlebt haben. Auch das BACS beobachtet mehr Fälle, in denen Microsoft-365-Konten übernommen oder IT-Helpdesks und Führungspersonen imitiert werden.

3. Die Lieferkette wird zum Angriffspunkt

Der Fall Rank Math zeigt: Selbst ein Update aus offizieller Quelle kann in seltenen Fällen manipuliert sein. Der Sicherheitsexperte Reto Zbinden bringt es in der Luzerner Zeitung auf den Punkt: «Der Schreiner kann nicht bei Microsoft anklopfen und fragen, ob die Programme wirklich sicher sind.» Umso wichtiger sind Backups und eine Überwachung, die Auffälligkeiten früh erkennt.

Sechs Punkte, die jetzt wirklich zählen

Sie müssen nicht alles auf einmal umsetzen. Diese sechs Massnahmen decken den Grossteil der Risiken ab.

1. Updates zeitnah einspielen, nicht nur bei WordPress

WordPress, Plugins und Themes sollten innert weniger Tage aktualisiert werden, bei kritischen Lücken innert Stunden. Oft vergessen wird die Server-Ebene: Auch die PHP-Version muss aktuell und offiziell unterstützt sein. Gemäss SRF liefen rund drei Viertel der Server mit älteren PHP-Versionen, für die es zunächst keinen offiziellen Fix gab.

2. Plugins ausmisten

Jedes Plugin ist eine potenzielle Tür. Deaktivierte oder ungenutzte Erweiterungen sollten vollständig gelöscht werden. Als Faustregel gilt: lieber wenige, gut gepflegte Plugins von seriösen Anbietern als viele kleine Helfer.

3. Logins mit zweitem Faktor schützen

Zwei-Faktor-Authentifizierung oder Passkeys sind heute die wirksamste Einzelmassnahme gegen gestohlene Passwörter. Das gilt für das WordPress-Backend, das E-Mail-Konto und Microsoft 365 gleichermassen. Reto Zbinden hält in der Luzerner Zeitung fest: «Es kann nicht sein, dass auf Passkeys oder Zwei-Faktor-Authentifizierung verzichtet wird, weil sich der Chef schnell und einfach einloggen will.»

4. Backups nicht nur haben, sondern testen

Ein Backup ist erst etwas wert, wenn die Wiederherstellung funktioniert. Wichtig sind tägliche Sicherungen, eine Aufbewahrung über mehrere Wochen und mindestens eine Kopie ausserhalb des Webservers. So lässt sich im Ernstfall auf einen sauberen Stand vor dem Vorfall zurückspringen.

5. Software nur aus offiziellen Quellen beziehen

Plugins und Themes gehören ausschliesslich aus dem offiziellen WordPress-Verzeichnis oder direkt vom Hersteller installiert. Download-Links per E-Mail sind ein Warnsignal. Seriöse Anbieter wie Rank Math betonen ausdrücklich, dass sie solche Links nie per E-Mail verschicken.

6. Zuständigkeit klar regeln

Wer kümmert sich um die Website-Sicherheit, wer reagiert bei einem Vorfall? Laut der Mobiliar-Studie, über die die Luzerner Zeitung berichtet, hat nur jedes zehnte KMU eine klar definierte Rolle für Cybersicherheit. Es braucht keine eigene Stelle. Aber es braucht einen Namen und eine Telefonnummer für den Ernstfall.

Drei Gewohnheiten für Ihr Team

Technik schützt die Website, aufmerksame Menschen schützen das Unternehmen. Diese drei Gewohnheiten lassen sich ohne Aufwand einführen:

• Bei Zahlungsaufforderungen zurückrufen: Kommt eine ungewöhnliche Überweisungsbitte per E-Mail oder Telefon, wird über eine bekannte Nummer zurückgerufen, nie über die Nummer in der Nachricht.
• Bei Zeitdruck innehalten: Angreifer setzen fast immer auf Dringlichkeit. Ein «Das muss sofort passieren» ist ein guter Grund, kurz durchzuatmen.
• Fragen ist erwünscht: Wer eine verdächtige Nachricht meldet, macht alles richtig, auch wenn sie sich als harmlos herausstellt.

So unterstützen wir Sie

Sicherheit ist kein einmaliges Projekt, sondern laufende Pflege. Genau dafür gibt es unser Care-Paket: regelmässige Security-Scans, Support und je nach Stufe ein festes Kontingent für Anpassungen. Es startet ab CHF 59 pro Monat und funktioniert auch, wenn Ihre Website nicht bei uns gehostet ist. Für Unternehmen mit höheren Ansprüchen bietet das Paket «Sicher & Stabil» ab CHF 490 pro Monat zusätzlich einen Sicherheitscheck, eine Backup-Strategie und ein SLA-Upgrade.

Sie möchten zuerst wissen, wo Ihre Website heute steht? Dann starten Sie mit unserem kostenlosen Web Fit Check. Er prüft 50 Punkte in 10 Kategorien, darunter auch Sicherheit, und zeigt Ihnen in einem verständlichen Bericht, wo Handlungsbedarf besteht und wo alles im grünen Bereich ist.

Kostenlosen Web Fit Check starten

Häufige Fragen

Ist meine WordPress-Website jetzt gefährdet?

Nicht automatisch. Entscheidend ist, ob WordPress, Plugins und die PHP-Version auf dem Server aktuell sind. Ist Ihre Website auf WordPress 7.1.4 oder einer der parallel aktualisierten älteren Versionen und läuft eine unterstützte PHP-Version, sind die in den letzten Wochen bekannt gewordenen Lücken im WordPress-Kern und in PHP geschlossen. Plugins und Themes sollten ebenfalls aktuell sein. Im Zweifel fragen Sie Ihren Hoster oder Ihre Agentur.

Greift KI jetzt gezielt kleine Firmen an?

Gezielte Kampagnen gegen kleinere Unternehmen sind laut Fachleuten weiterhin selten. KI-gestützte Angriffe laufen meist automatisiert und breit gestreut: Sie suchen nach Websites mit veralteter Software. Wer aktuell ist, fällt aus diesem Raster.

Reichen automatische Updates aus?

Automatische Updates sind eine gute Basis, ersetzen aber keine Kontrolle. Manche Updates schlagen still fehl, und die PHP-Version auf dem Server wird nicht über WordPress aktualisiert. Zudem sollte nach grösseren Updates jemand prüfen, ob die Website noch korrekt funktioniert.

Was tue ich, wenn meine Website gehackt wurde?

Ruhe bewahren und sofort Ihren Hoster oder Ihre Agentur informieren. Danach gilt: Website auf ein sauberes Backup zurücksetzen, alle Passwörter ändern und den Vorfall beim BACS melden. Sind Personendaten betroffen, kann zusätzlich eine Meldung an den Eidgenössischen Datenschutz- und Öffentlichkeitsbeauftragten (EDÖB) nötig sein.

Wie erkenne ich KI-generierte Phishing-Mails?

Am Text oft gar nicht mehr, denn Rechtschreibfehler sind kein verlässliches Merkmal mehr. Achten Sie stattdessen auf den Kontext: unerwarteter Zeitdruck, ungewöhnliche Zahlungswege, neue Kontonummern oder Links zu Login-Seiten. Im Zweifel über einen bekannten Kanal nachfragen.

Quellen

1. Bundesamt für Cybersicherheit BACS: Aktuelle Vorfälle (Kritische Schwachstellen in PHP, 21.10.2026).
2. Bundesamt für Cybersicherheit BACS: Halbjahresbericht 2026/1.
3. SRF: Gravierende PHP-Sicherheitslücke bedroht Millionen Webseiten (21.10.2026).
4. heise online: WordPress: Exploit-Versuche beobachtet, Update stopft Schadcode-Lücke (30.10.2026).
5. BleepingComputer: WordPress SEO plugin Rank Math compromised to backdoor websites.
6. Fortune: Powerful new AI models are behind a wave of recent cyberattacks (21.10.2026).
7. Axios: Inside «Black October»: AI’s cyber scare delivers a Y2K lesson (28.10.2026).
8. BSI und TÜV-Verband: Nur jedes zehnte Unternehmen gegen KI-gestützte Angriffe gerüstet (08.10.2026).
9. Luzerner Zeitung: Cyberangriffe treffen vermehrt KMU – ein Experte gibt Tipps (04.11.2026).
10. Deutschlandfunk: Viele Internetseiten nach IT-Sicherheitsvorfall wieder online (22.10.2026).