UpdraftCentral-Schlüssel kompromittiert: eine Checkliste pro Seite für Agenturen

Am Wochenende des 17.–18. Oktober 2026 stellte TeamUpdraft (das Unternehmen hinter UpdraftPlus) unbefugten Zugriff auf teamupdraft.com fest und fand heraus, dass auf die Kundendatenbank zugegriffen wurde. Diese Datenbank enthielt unter anderem die Verbindungsschlüssel für UpdraftCentral, UpdraftVault und UpdraftClone. Am 21. Oktober bestätigte TeamUpdraft, dass der Angreifer einen kompromittierten UpdraftCentral-Schlüssel nutzte, um Administratorkonten anzulegen und Plugins auf Seiten zu installieren; das volle Ausmaß wird noch untersucht. Wenn du Kundenseiten über UpdraftCentral (Cloud) verwaltest, behandle jede Seite, die dort vor dem 18. Oktober gelistet war, als möglicherweise betroffen. Diese Anleitung macht aus den offiziellen Empfehlungen eine Checkliste pro Seite, die du jedem im Team geben kannst, und ergänzt, was du Kunden sagst.

Alles zum Vorfall selbst stammt aus der Sicherheitsmitteilung von TeamUpdraft (veröffentlicht am 19. Oktober, zuletzt aktualisiert am 22. Oktober zum Zeitpunkt des Schreibens). Prüfe dort den neuesten Stand, bevor du anfängst.

Zuerst: Bist du betroffen?

• Du hast UpdraftCentral (Cloud) zur Verwaltung von Seiten genutzt: betroffen. Die Verbindungsschlüssel wurden kompromittiert und mindestens einer wurde benutzt. Arbeite heute jede gelistete Seite ab.
• Du nutzt selbst gehostetes UpdraftCentral: laut TeamUpdraft nicht betroffen.
• Du nutzt UpdraftVault: alle Seiten wurden getrennt und neue Zugangsdaten ausgegeben. Du musst jede Seite neu verbinden (siehe unten).
• Du hast UpdraftClone-Schlüssel mit Kunden geteilt: alte Schlüssel funktionieren nicht mehr; schick deinen Kunden die neuen.
• Du hast überhaupt ein teamupdraft.com-Konto: ändere dieses Passwort und jedes, bei dem du es wiederverwendet hast.
• Kostenloses UpdraftPlus ohne teamupdraft.com-Konto: nichts zu tun, aber halte das Plugin aktuell.

Die Plugin-Downloads waren nicht betroffen, und Backups, die du an deinen eigenen externen Speicher schickst (Google Drive, Dropbox, Amazon S3 und Ähnliches), ebenfalls nicht. Kartendaten wurden von TeamUpdraft nicht gespeichert. Wenn eine Seite über UpdraftCentral erreicht wurde, empfiehlt TeamUpdraft, den externen Speicher neu zu autorisieren und vorsorglich die Zugriffsschlüssel des Speichers zu ändern.

Erst eine Liste, dann anfassen

Bei vielen Kundenseiten besteht das Risiko, eine zu übersehen. Exportiere oder kopiere zuerst die Liste der mit UpdraftCentral verbundenen Seiten und gib jeder Seite eine Zeile: Seite, wer geprüft hat, Uhrzeit, Admin-Benutzer OK, Plugins OK, Schlüssel gelöscht, Passwörter geändert, neu verbunden. Das dauert fünf Minuten und ist das, was du dem Kunden später zeigst.

Die Checkliste für jede verbundene Seite

Erledige das über das eigene WordPress-Dashboard der Seite (melde dich direkt auf der Seite an), nicht über UpdraftCentral. Tippe die Adresse selbst ein, statt auf Links in E-Mails zu klicken.

1. Aktualisiere UpdraftPlus auf 1.26.13 (kostenlos) oder 2.26.13 (Premium) oder neuer. Diese Versionen widerrufen UpdraftCentral-Verbindungsschlüssel, die vor 13:07 BST am 18. Oktober erstellt wurden. WordPress.org hat das Update automatisch verteilt, aber prüfe die Version auf jeder Seite.
2. Lösche den alten Verbindungsschlüssel unter Einstellungen → UpdraftPlus → Advanced Tools → UpdraftCentral.
3. Prüfe Benutzer. Filtere nach Administrator und nach Redakteur und entferne jedes Konto, das du nicht kennst. Notiere Benutzername und Erstellungsdatum, bevor du es löschst; du brauchst sie vielleicht später.
4. Prüfe Plugins, einschließlich des Tabs Must-Use. Entferne alles, was du nicht installiert hast. Angreifer mögen Plugins mit harmlos klingenden Namen, und Must-Use-Plugins erscheinen nicht in der normalen Liste.
5. Ändere die Passwörter aller Administratorkonten, einschließlich des Kontos deiner eigenen Agentur auf dieser Seite.
6. Wirkt etwas verdächtig, stelle ein Backup von vor dem 17. Oktober wieder herund wiederhole dann die Prüfungen auf der wiederhergestellten Seite.
7. Autorisiere den externen Speicher neu (Google Drive, Dropbox, S3 und Ähnliches) und ändere diese Zugriffsschlüssel, wenn die Seite in UpdraftCentral gelistet war.
8. Verbinde die Seite neu mit UpdraftCentral erst, wenn die Schritte oben erledigt sind. Seiten, die du so neu verbindest, werden durch das Update nicht noch einmal getrennt.

Schau etwas weiter als die offizielle Liste

Die offiziellen Schritte decken die offensichtlichen Einfallstore ab. Bei wichtigen Seiten (Shops, Mitgliederseiten, alles mit Kundendaten) nimm dir zehn Minuten mehr:

• Unbekannte Dateien und Ordner im Web-Root und in wp-content sowie unbekannte IP-Adressen in deinen Zugriffslogs, besonders kürzlich geänderte PHP-Dateien oder Ordner mit zufälligen Namen oder nur Ziffern.
• Geplante Aufgaben die du nicht kennst (WP-Cron-Einträge, über ein Tool wie WP Crontrol oder WP-CLI wp cron event list).
• Anwendungspasswörter in Administratorprofilen. Sie überstehen eine normale Passwortänderung.
• Ausgehende Weiterleitungen und Spam: öffne die Seite abgemeldet auf einem Handy und suche bei Google nach site:clientdomain.com , um Seiten zu entdecken, die du nie erstellt hast.
• Der Malware-Scan deines Sicherheits-Plugins oder Hosters, jetzt einmal ausgeführt, da du weißt, dass es etwas zu finden geben könnte.

UpdraftVault und UpdraftClone

UpdraftVault: gehe auf jeder Seite zu Einstellungen → UpdraftPlus → Settings, wähle UpdraftVault beim externen Speicher, klicke auf Connect unter „Already got space?“, gib deine teamupdraft.com-E-Mail mit dem neuen Passwort ein, speichere und führe ein manuelles Backup aus, um zu prüfen, dass es funktioniert. Bis du das tust, senden diese Seiten keine Backups an Vault.

UpdraftClone: wenn du nie Kundenschlüssel erstellt hast, ist nichts zu tun. Wenn doch, kopiere die neuen Schlüssel aus My Account → UpdraftClone → UpdraftClone Key Management und schick sie den Kunden, die sie nutzen.

Was du deinen Kunden sagst

Kunden erfahren von Datenlecks aus den Nachrichten oder von einem nervösen Kollegen. Besser, sie hören es von dir, kurz und mit bereits erledigter Arbeit. Eine kurze Nachricht genügt:

„Ein Backup-Tool, das wir nutzen, hat am 19. Oktober einen Sicherheitsvorfall gemeldet. Wir haben deine Seite geprüft: keine unbekannten Administratorkonten oder Plugins, Passwörter geändert, Verbindung erneuert. Du musst nichts tun. Wir behalten es im Blick.“

Schick das erst, wenn es für diese Seite stimmt. Hast du etwas gefunden, sag, was du gefunden hast, was du wiederhergestellt hast und worauf du als Nächstes achtest. Achte auch auf Phishing: TeamUpdraft sagt, dass es nie per E-Mail nach Passwörtern oder Schlüsseln fragt, also stammt jede Nachricht, die das tut, nicht von ihnen.

Die Lehre für jedes zentrale Dashboard

Es geht nicht nur um einen Anbieter. Jedes Tool, das viele Seiten von einem Ort aus verwaltet, hat einen Schlüssel zu jeder davon: ein Backup-Dashboard, eine Verwaltungskonsole, ein Hosting-Panel. Ein paar Gewohnheiten begrenzen den Schaden, wenn eines davon geknackt wird:

• Führe eine aktuelle Liste, welche Tools mit welchen Kundenseiten verbunden sind.
• Nutze eindeutige Passwörter und Zwei-Faktor-Authentifizierung für jedes Anbieterkonto.
• Bewahre Backups an einem Ort auf, den du kontrollierst, mit mehr als einer Kopie, und teste, dass sie sich wiederherstellen lassen.
• Bevorzuge Tools, die jede Anmeldung und jede Aktion auf einer Seite protokollieren und die der Seiteninhaber in WordPress abschalten kann.
• Wisse, wer im Team am Tag eines Vorfalls was macht, bevor dieser Tag kommt.

Wie Verploy damit umgeht

Verploy verbindet sich über ein kleines Connector-Plugin mit Kundenseiten. Ein-Klick-Logins in WP Admin aus Verploy werden protokolliert, und der Seiteninhaber kann sie in WordPress abschalten (Einstellungen → Verploy). Jedes Update wird geprüft. Riskante zuerst auf einer Kopie getestet. Mehr auf der Seite WordPress-Wartung für Agenturen .