Du hast eine E-Mail von einem „Independent Security Researcher“ bekommen, der eine angebliche Sicherheitslücke auf deiner WordPress-Website gefunden hat? Keine Panik. In diesem Artikel erklären wir, was dahintersteckt, warum es (meistens) keinen Grund zur Sorge ist – und was du trotzdem tun kannst. Häufige Meldung: „Passwort-Reset-Mails“. mehr dazu im Artikel…
„Security Researcher“ meldet WordPress-Sicherheitslücke – und möchte Geld dafür: Was steckt hinter Beg Bounty Mails?
Immer häufiger erhalten WordPress-Betreiber E-Mails von angeblichen „Security Researchern“, die auf eine vermeintliche Sicherheitslücke hinweisen – verbunden mit der Erwartung einer finanziellen „Belohnung“. Was auf den ersten Blick wie verantwortungsbewusstes Vulnerability Disclosure wirkt, entpuppt sich bei genauerer Analyse nicht selten als sogenannte Beg Bounty Mail: eine Mischung aus automatisierter Schwachstellensuche, pauschaler Bedrohungskommunikation und subtiler Zahlungsaufforderung.
Doch wo verläuft die Grenze zwischen seriösem Bug-Bounty-Programm und opportunistischer Abzocke? Welche typischen Muster, technischen Indikatoren und rhetorischen Strategien stecken dahinter – und wie sollten Website-Betreiber, Agenturen und Entwickler professionell reagieren?
Hinweis: JEDE WordPress-Installation hat das weltweit.
Die E-Mail: professionell formuliert, inhaltlich dünn
Das Muster ist fast immer gleich: Eine höflich formulierte E-Mail, oft auf Englisch, mit einem Betreff wie „Vulnerability Report – Urgent Attention Required“. Der Absender stellt sich als unabhängiger Sicherheitsforscher vor und beschreibt eine vermeintliche Schwachstelle auf deiner Website. Oft ist sogar ein Screenshot oder ein Video beigefügt – das Ganze wirkt professionell und seriös.
Nach ein paar Tagen folgt eine zweite Mail: Man fragt höflich nach, ob das Problem behoben wurde – und ob es vielleicht eine Bug Bounty, also eine Belohnung für die verantwortungsvolle Meldung, gibt.
Willkommen in der Welt der Beg Bounties.
Was ist ein Beg Bounty?
Der Begriff Beg Bounty (etwa: „Bettel-Prämie“) beschreibt ein mittlerweile weit verbreitetes Phänomen. Personen scannen mit automatisierten Tools tausende Websites nach bekannten Standard-Konfigurationen und melden diese dann als „Sicherheitslücken“ – in der Hoffnung, dass der Website-Betreiber aus Angst oder Unwissenheit eine Belohnung zahlt.
Im Gegensatz zu echten Bug-Bounty-Programmen, bei denen Unternehmen gezielt Sicherheitsforscher einladen und klare Regeln aufstellen, handelt es sich hier um unaufgeforderte Meldungen von Nicht-Schwachstellen.
Sichtbar/er werden bei Google & Social Media?
In einem kostenlosen Strategiegespräch für datenbasiertes Online-Marketing, decken wir Ihre ungenutzten Potenziale auf, überprüfen ggf. vorhandene Anzeigenkonten, schauen uns das SEO-Ranking und die Sichtbarkeit an und prüfen was zu Ihrem Budget die passende Strategie ist und welche aktiven Maßnahmen zu mehr Anfragen oder Verkäufen führen.
✅ Mehr Sichtbarkeit & Wahrnehmung durch gezielte Platzierung
✅ Mehr Besucher > Interessenten > Kunden > Umsatz
✅ Mit SEA skalierbar Zielgruppe ansprechen
✅ Mit SEO nachhaltig agieren und wachsen
🫵 Maximale Erfolge mit unserer Hybrid-Strategie
💪 Mehr als 15 Jahre Erfahrung branchenübergreifend in über 1.000+ Projekten nachweisbar!
Der Klassiker: WordPress REST API User Enumeration
Die mit Abstand häufigste „Schwachstelle“, die in solchen Mails gemeldet wird, ist die WordPress REST API User Enumeration. Konkret geht es um den Endpunkt:
/wp-json/wp/v2/users/Ruft man diese URL auf, liefert WordPress eine Liste der Benutzer zurück, die Beiträge veröffentlicht haben – inklusive Benutzername, Anzeigename und Profilbild. Das sieht auf den ersten Blick beunruhigend aus, ist aber Standard-WordPress-Verhalten seit Version 4.7 (Januar 2017).
Warum existiert dieser Endpunkt?
Die REST API ist ein zentraler Bestandteil von WordPress. Sie wird unter anderem benötigt für:
- Den Gutenberg-Block-Editor
- Autorenseiten und Autorenarchive
- Headless-WordPress-Setups
- Mobile Apps und externe Integrationen
Die Anzeige von Autorennamen auf einem Blog ist gewollt und gehört zum normalen Betrieb einer Website. Wer einen Blog betreibt, zeigt Autorennamen – das ist keine Sicherheitslücke, sondern eine Funktion.
Ist das wirklich gefährlich?
Kurze Antwort: Nein.
in Benutzername allein ist noch kein Schlüssel. Die tatsächliche Sicherheit hängt von ganz anderen Faktoren ab:
- Wie stark ist das Passwort?
- Ist Zwei-Faktor-Authentifizierung (2FA) aktiviert?
- Gibt es einen Brute-Force-Schutz?
- Ist die WordPress-Installation aktuell?
Benutzernamen lassen sich übrigens auch ohne die REST API herausfinden – zum Beispiel über Autorenarchive (?author=1) oder über die Login-Seite selbst. Die REST API ist nur der bequemste Weg.
Die häufigsten Beg-Bounty-Meldungen
Die REST API User Enumeration ist bei weitem nicht die einzige „Schwachstelle“, die in solchen Mails auftaucht. Hier sind die Klassiker, die regelmäßig als vermeintlich kritische Sicherheitslücken gemeldet werden:
- WordPress-Version sichtbar – Die WordPress-Versionsnummer ist im Quellcode oder im RSS-Feed erkennbar. Das ist Standard und allein kein Sicherheitsrisiko. Ein Angreifer probiert Exploits unabhängig von der sichtbaren Version.
- Fehlende Security-Header – Headers wie
X-Frame-Options,Content-Security-PolicyoderStrict-Transport-Securityfehlen oder sind unvollständig. Korrekt konfigurierte Header sind gute Praxis, aber das Fehlen ist keine aktive Schwachstelle – schon gar nicht auf einer einfachen Unternehmenswebsite. - Directory Listing aktiviert – Ein Verzeichnis wie
/wp-content/uploads/zeigt seinen Inhalt an. Unschön, aber bei öffentlich zugänglichen Mediendateien kein echtes Sicherheitsproblem. - XMLRPC.php erreichbar – Die Datei
xmlrpc.phpist von außen aufrufbar. Das ist bei jeder Standard-WordPress-Installation der Fall. Erst in Kombination mit schwachen Passwörtern und fehlendem Brute-Force-Schutz wird daraus ein Problem. - Clickjacking „möglich“ – Die Website lässt sich theoretisch in einen iFrame einbetten. Bei einer normalen Unternehmensseite ohne sensible Formulare ist das Risiko minimal.
- SSL/TLS-Konfiguration „nicht optimal“ – Ein Scanner bemängelt, dass bestimmte ältere TLS-Versionen oder Cipher-Suites noch unterstützt werden. Solange TLS 1.2+ aktiv ist und das Zertifikat gültig, besteht kein realistisches Risiko.
- Login-Seite öffentlich erreichbar – Die Tatsache, dass
/wp-adminoder/wp-login.phpaufrufbar ist, wird als Schwachstelle gemeldet. Das ist schlicht die Standard-Login-Seite jeder WordPress-Installation weltweit. - Fehlende Rate-Limiting auf dem Login – Es gibt keine Begrenzung der Login-Versuche. Das ist tatsächlich ein Punkt, den man adressieren sollte – aber kein Bug, sondern eine fehlende Härtungsmaßnahme.
Allen diesen Meldungen ist gemeinsam: Sie beschreiben Standard-Konfigurationen oder fehlende Härtung, keine aktiven Sicherheitslücken. Automatisierte Scanner wie Nikto, WPScan oder Shodan finden diese „Probleme“ auf Millionen von Websites – und genau das ist die Grundlage für massenhaft versendete Beg-Bounty-Mails.
„Aber ich bekomme ständig Passwort-Reset-Mails!“
Viele Website-Betreiber bemerken nach einer solchen Meldung, dass sie vermehrt E-Mails über Passwort-Zurücksetzungen erhalten. Das sorgt verständlicherweise für Unruhe – hat aber in der Regel nichts mit dem „Researcher“ zu tun.
Was passiert hier wirklich?
Automatisierte Bots durchsuchen das Internet nach WordPress-Installationen und probieren bekannte Benutzernamen mit gängigen Passwörtern durch. Der Grund ist einfach: Es gibt immer noch Websites, bei denen der Benutzer „admin“ das Passwort „123456″ hat. Die Bots probieren tausende Kombinationen und wenn eine funktioniert, wird es vermerkt.
Was dann passiert, variiert:
Manchmal wird Malware eingeschleust, manchmal werden Spam-Seiten angelegt, und in dreisten Fällen wird dem Betreiber sogar angeboten, den „Hack“ gegen Bezahlung zu beheben – wohlgemerkt ein Problem, das der Angreifer selbst verursacht hat!
Diese Bot-Angriffe laufen vollautomatisch und betreffen praktisch jede WordPress-Seite im Internet. Sie sind nicht die Folge der gemeldeten „Schwachstelle“.
Direkte Hilfe mit WordPress Erfahrung seit 2010:
Florian Ibe
CEO & Marketingberater
Ihr Ansprechpartner: Florian Ibe
Was du tun solltest (und was nicht)
Nicht tun:
- Nicht in Panik verfallen. Die gemeldete „Schwachstelle“ ist keine.
- Nicht antworten. Eine Antwort signalisiert, dass die E-Mail-Adresse aktiv ist und jemand reagiert – das kann zu weiteren Mails führen.
- Kein Geld zahlen. Es gibt keinen Grund, für die Meldung von Standard-WordPress-Verhalten eine Belohnung zu zahlen.
Tun (als allgemeine Härtung):
Auch wenn die gemeldete „Schwachstelle“ harmlos ist, gibt es sinnvolle Maßnahmen, um eine WordPress-Seite generell besser abzusichern:
- Starke Passwörter verwenden – Mindestens 16 Zeichen, zufällig generiert. Ein Passwort-Manager hilft dabei.
- Zwei-Faktor-Authentifizierung (2FA) aktivieren – Das ist die mit Abstand wirksamste Einzelmaßnahme. Selbst wenn ein Passwort erraten wird, kommt der Angreifer ohne den zweiten Faktor nicht rein.
- Brute-Force-Schutz einrichten – Plugins wie Limit Login Attempts Reloaded oder Wordfence begrenzen die Anzahl fehlgeschlagener Login-Versuche.
- WordPress und Plugins aktuell halten – Die meisten echten Sicherheitslücken werden durch veraltete Software verursacht, nicht durch die REST API.
- XML-RPC deaktivieren – Dieser ältere Endpunkt wird häufig für Brute-Force-Angriffe missbraucht und wird von den meisten Websites nicht mehr benötigt.
- Optional: REST API für nicht angemeldete Benutzer einschränken – Wer keinen Blog betreibt oder keine öffentlichen Autorenseiten benötigt, kann den Users-Endpunkt deaktivieren. Das ist aber Kosmetik, kein Sicherheitsgewinn.
Wie erkenne ich eine echte Sicherheitsmeldung?
Nicht jede Sicherheitsmeldung ist ein Beg Bounty. Es gibt durchaus seriöse Sicherheitsforscher, die verantwortungsvoll Schwachstellen melden. Merkmale einer seriösen Meldung:
- Sie beschreibt eine tatsächliche Schwachstelle, nicht Standard-Verhalten
- Sie enthält eine detaillierte technische Beschreibung mit reproduzierbaren Schritten
- Der Forscher hat eine nachvollziehbare Reputation (CVE-Einträge, HackerOne-Profil, bekannte Publikationen)
- Es wird kein Geld verlangt, sondern lediglich um Bestätigung und Behebung gebeten
- Die Kommunikation erfolgt über offizielle Kanäle (nicht über Gmail-Adressen mit Zahlenfolgen)
10 Sofort-Tipps: WordPress absichern ohne Panik
Unabhängig davon, ob du eine Beg-Bounty-Mail bekommen hast oder nicht – diese Maßnahmen sollte jeder WordPress-Betreiber umsetzen. Die meisten sind in wenigen Minuten erledigt und machen deine Seite deutlich sicherer.
1. Starke Passwörter für alle Benutzer erzwingen
Klingt banal, ist aber nach wie vor die häufigste Schwachstelle. Mindestens 16 Zeichen, zufällig generiert, keine Wiederverwendung. Am besten einen Passwort-Manager wie Bitwarden oder 1Password nutzen. Tipp: WordPress bietet beim Anlegen von Benutzern bereits einen starken Passwort-Generator – diesen auch wirklich verwenden.
Du bist unsicher, ob alle Benutzer deiner Seite sichere Passwörter verwenden? Florian Ibe von VASTCOB führt gerne einen Sicherheits-Check durch.
2. Zwei-Faktor-Authentifizierung (2FA) aktivieren
Die wirksamste Einzelmaßnahme überhaupt. Selbst wenn ein Passwort kompromittiert wird, kommt niemand ohne den zweiten Faktor ins Backend. Empfehlenswerte Plugins: WP 2FA, Two-Factor oder die 2FA-Funktion von Wordfence. Für alle Benutzer mit Zugang zum Backend aktivieren – nicht nur für Administratoren.
Du brauchst Hilfe bei der Einrichtung? VASTCOB übernimmt die Konfiguration für dich.
3. Login-Versuche begrenzen
Ohne Begrenzung kann ein Bot unbegrenzt Passwörter durchprobieren. Plugins wie Limit Login Attempts Reloaded oder Wordfence sperren IP-Adressen nach einer bestimmten Anzahl fehlgeschlagener Versuche. Eine einfache Maßnahme mit großer Wirkung.
4. WordPress, Themes und Plugins aktuell halten
Die allermeisten echten Sicherheitslücken entstehen durch veraltete Software. Automatische Updates für kleinere Versionen sind standardmäßig aktiv – für Plugins und Themes sollte man ebenfalls regelmäßig aktualisieren. Wichtig: Vorher immer ein Backup erstellen. Keine Zeit oder Lust, Updates regelmäßig selbst zu prüfen? VASTCOB bietet WordPress-Wartungsverträge an, die genau das abdecken.
5. XML-RPC deaktivieren
Die Schnittstelle xmlrpc.php wird von den meisten Websites nicht mehr benötigt, ist aber ein beliebtes Einfallstor für Brute-Force-Angriffe. Eine Zeile in der functions.php reicht:
add_filter('xmlrpc_enabled','__return_false');Alternativ kann man den Zugriff direkt über die .htaccess oder die Server-Konfiguration blockieren.
6. Login-URL ändern
Die Standard-URLs /wp-admin und /wp-login.php sind jedem Bot bekannt. Mit Plugins wie WPS Hide Login lässt sich die Login-Adresse in wenigen Sekunden ändern – zum Beispiel auf /mein-zugang. Das reduziert automatisierte Angriffe drastisch.
7. Nicht genutzte Themes und Plugins löschen
Deaktivierte Themes und Plugins sind nicht sicher – sie können trotzdem Schwachstellen enthalten, die von außen ausgenutzt werden. Alles was nicht aktiv gebraucht wird, vollständig löschen, nicht nur deaktivieren.
8. Automatische Backups einrichten
Kein Sicherheitskonzept ist vollständig ohne Backups. Tägliche automatische Backups mit Plugins wie UpdraftPlus oder BackWPup, idealerweise an einen externen Speicherort (Cloud, FTP). Im Ernstfall ist ein aktuelles Backup Gold wert.
Du möchtest ein professionelles Backup-Konzept mit externer Speicherung? Florian Ibe von VASTCOB richtet das für dich ein.
9. Security-Header setzen
Auch wenn fehlende Header keine akute Schwachstelle sind – richtig konfiguriert bieten sie eine zusätzliche Schutzschicht. Die wichtigsten Header (X-Frame-Options, X-Content-Type-Options, Strict-Transport-Security, Content-Security-Policy) lassen sich über die .htaccess, ein Plugin oder die Server-Konfiguration setzen.
Die korrekte Konfiguration von Security-Headern kann je nach Theme und eingesetzten Plugins komplex werden. VASTCOB sorgt dafür, dass alles sauber funktioniert.
10. Regelmäßige Sicherheits-Audits durchführen
Einmal einrichten und vergessen reicht nicht. Plugins werden aktualisiert, neue Schwachstellen werden entdeckt, Konfigurationen ändern sich. Ein regelmäßiger Check – mindestens vierteljährlich – stellt sicher, dass die Absicherung aktuell bleibt.
Du möchtest deine WordPress-Seite von einem Experten prüfen lassen? Florian Ibe bietet umfassende WordPress-Sicherheits-Audits an – von der Konfiguration über Plugin-Analyse bis zur Server-Härtung.
Fazit zu diesen „Sicherheitslücken“ und damit verbundenen WordPress Hacker ich helfe dir gegen Geld E-Mails
Die Meldung der WordPress REST API User Enumeration als Sicherheitslücke ist der Klassiker unter den Beg Bounties. Sie klingt bedrohlich, ist aber nichts weiter als eine Standard-Funktion von WordPress. Wer ein starkes Passwort verwendet, 2FA aktiviert hat und seine Installation aktuell hält, ist bestens geschützt.
Also: Keine Panik, nicht zahlen, nicht antworten – und stattdessen die Zeit in echte Sicherheitsmaßnahmen investieren.
