WordPress-XML-RPC-Sicherheit: Der 2026-Leitfaden für britische Website-Betreiber
17. August 2026
Sichern Sie Ihre WordPress-Website vor XML-RPC-Angriffen. UK-spezifische Anleitung, DSGVO-Auswirkungen und Best Practices für 2026.
Was ist XML-RPC und warum sollten britische WordPress-Nutzer sich dafür interessieren?
XML-RPC ist eine veraltete WordPress-Funktion, die externen Apps wie der mobilen App oder Jetpack ermöglicht, über Remote-Aufrufe eine Verbindung zu Ihrer Website herzustellen. Das klingt harmlos, aber in der heutigen Bedrohungslage hat es sich zu einem bedeutenden Angriffsvektor entwickelt. Cyberkriminelle nutzen XML-RPC, um Brute-Force-Angriffe zu verstärken, sodass mit einer einzigen Anfrage Hunderte von Passwortversuchen pro Minute möglich sind. Für britische Websites, insbesondere solche, die personenbezogene Daten im Sinne der DSGVO verarbeiten, ist dies eine kritische Sicherheitslücke. Wenn Ihre Website bei einem britischen Hosting-Anbieter wie 123 Reg oder Krystal läuft, sollten Sie verstehen, wie XML-RPC missbraucht werden kann und was Sie dagegen unternehmen können. Das ICO erwartet, dass Sie „angemessene technische Maßnahmen“ ergreifen – XML-RPC offen zu lassen, könnte als Verstoß gewertet werden.
So deaktivieren Sie XML-RPC auf Ihrer WordPress-Seite
Der effektivste Weg, das XML-RPC-Risiko zu beseitigen, ist, es vollständig zu deaktivieren, es sei denn, Sie sind auf Dienste angewiesen, die es benötigen (wie die WordPress-Mobile-App oder Jetpack). Für die meisten Website-Betreiber in Großbritannien ist die Deaktivierung unnötig, aber sicher. Sie können XML-RPC über ein Plugin wie „Disable XML-RPC“ oder „Wordfence“ deaktivieren, indem Sie ein paar Zeilen zu Ihrer .htaccess-Datei hinzufügen oder den functions.php-Snippet verwenden. Viele britische Hosting-Panels wie cPanel von Fasthosts oder 20i bieten einfache Schalter im WordPress-Verwaltungsbereich. Wenn Sie Managed WordPress Hosting nutzen, erkundigen Sie sich bei Ihrem Anbieter – viele blockieren XML-RPC aus Sicherheitsgründen bereits standardmäßig. Denken Sie daran, jede neue Methode sorgfältig zu testen, um keine Funktionen zu beeinträchtigen, die Sie tatsächlich verwenden.
DSGVO, das ICO und Ihre Pflicht, WordPress abzusichern
Als Website-Betreiber im Vereinigten Königreich müssen Sie die britische DSGVO und den Data Protection Act 2018 einhalten. Das ICO (Information Commissioner's Office) kann bei schwerwiegenden Verstößen Geldbußen von bis zu 17,5 Millionen Pfund oder 4 % des Jahresumsatzes verhängen. Wenn ein Cyberangriff über XML-RPC zu unbefugtem Zugriff auf personenbezogene Daten führt, können Sie haftbar gemacht werden. XML-RPC-Sicherheitslücken wurden bereits bei schwerwiegenden Datenpannen ausgenutzt, häufig durch Brute-Force-Angriffe auf Admin-Zugangsdaten. Die Absicherung Ihrer WordPress-Installation ist nicht nur gute Praxis, sondern eine gesetzliche Pflicht. Das britische National Cyber Security Centre (NCSC) empfiehlt, ungenutzte Funktionen zu deaktivieren und die Angriffsfläche zu reduzieren. Indem Sie XML-RPC deaktivieren, unternehmen Sie einen einfachen, sichtbaren Schritt in Richtung Compliance und zeigen, dass Sie Datenschutz ernst nehmen.
Häufige XML-RPC-Angriffe auf britische Websites im Jahr 2026.
Cyberkriminelle zielen unabhängig von ihrer Größe auf britische Websites ab und nutzen häufig automatisierte Botnetze, um verwundbare WordPress-Installationen aufzuspüren. Der häufigste XML-RPC-Angriff ist eine Brute-Force-Verstärkung, bei der ein Angreifer eine einzige „system.multicall“-Anfrage mit Tausenden von Passwortversuchen sendet. Dies kann Ihren Server überlasten und im Erfolgsfall Admin-Zugriff gewähren. Ein weiterer häufiger Missbrauch ist Pingback-Spam, bei dem Angreifer Ihre Website als Proxy nutzen, um andere Websites anzugreifen, was Ihren Ruf schädigt und zu IP-Sperrlisten führen kann. Auch DDoS-Verstärkung über XML-RPC nimmt zu. Insbesondere britische Unternehmen sind attraktiv, weil englischsprachige Websites wertvolle Daten und manchmal schwächere Schutzmaßnahmen bieten. Diese Angriffe sind oft nicht gezielt, sondern opportunistisch – daher ist die Absicherung von XML-RPC ein entscheidender Schritt, um nicht das schwächste Glied zu sein.
Überwachung und Wartung der XML-RPC-Sicherheit in der Zukunft
Das Deaktivieren von XML-RPC ist nur ein Teil einer robusten Sicherheitsstrategie. Für Website-Betreiber im Vereinigten Königreich ist eine kontinuierliche Überwachung unerlässlich. Nutzen Sie ein Sicherheits-Plugin, das XML-RPC-Anfragen protokolliert und Sie auf Anomalien aufmerksam macht. Sollten Sie jedoch auf XML-RPC angewiesen sein, beschränken Sie den Zugriff per IP-Adresse oder setzen Sie eine Firewall ein, die die Anzahl der Anfragen begrenzt. Überprüfen Sie regelmäßig Ihre WordPress-Benutzer und entfernen Sie inaktive Konten, und aktivieren Sie für Administratoren die Zwei-Faktor-Authentifizierung. Stellen Sie sicher, dass Ihr Hosting-Anbieter bewährte Verfahren einhält und Backups anbietet. Richten Sie Ihre Vorgehensweise an Cyber Essentials aus, einem von der britischen Regierung unterstützten Programm, das sich auf grundlegende technische Kontrollen konzentriert. Indem Sie wachsam bleiben und sich an neue Bedrohungen anpassen, schützen Sie nicht nur Ihr Unternehmen, sondern auch die Daten Ihrer Kunden. Das NCSC veröffentlicht kostenlose Anleitungen. Bleiben Sie also informiert und halten Sie Ihre WordPress-Version und Plugins auf dem neuesten Stand.
FAQ
In den meisten Fällen ja. Es sei denn, Sie nutzen die WordPress-App, Jetpack oder einen anderen Dienst, der auf XML-RPC angewiesen ist – das Deaktivieren beseitigt ein erhebliches Sicherheitsrisiko. Sie können es später jederzeit wieder aktivieren, falls nötig. Für Website-Besitzer im Vereinigten Königreich ist das Deaktivieren ein schneller Erfolg für Sicherheit und DSGVO-Konformität.