IONOS-Mail „Handeln erforderlich – WordPress Sicherheitslücke“ (wp2shell): echt oder Panikmache? Was Sie jetzt wirklich tun sollten

Sie haben diese Mail von IONOS bekommen?

Sie haben gerade eine E-Mail von IONOS im Postfach – Betreff „Handeln erforderlich – WordPress Sicherheitslücke“. Weiter unten finden Sie die komplette Mail im Wortlaut (anonymisiert), damit Sie sicher abgleichen können, ob es dieselbe ist.

Die erste Frage, die sich fast alle stellen, ist dieselbe wie die unserer Kundin, die uns die Mail weitergeleitet hat:

„Ist das echt? Oder muss ich jetzt selbst etwas tun?“

Die kurze Antwort: Ja, solche Mails sind echt und kommen wirklich von IONOS. Aber der vorgeschlagene Weg – einfach ein Backup einspielen – ist in vielen Fällen nicht die Lösung, sondern verschlimmert die Situation. Warum, erklären wir hier in Ruhe.

Die Original-Mail von IONOS im Wortlaut (anonymisiert)

So sieht die Mail aus, die aktuell verschickt wird. Wir haben ausschließlich die persönlichen Daten des Empfängers entfernt – der Rest ist der Originaltext:

Von: [Name des IONOS-Beraters] von IONOS
Betreff: Handeln erforderlich – WordPress Sicherheitslücke
Kundennummer: [Ihre Kundennummer]
An: [Ihre E-Mail-Adresse]

Handeln erforderlich – WordPress Sicherheitslücke

Guten Tag [Ihr Name],

wir haben Sie bereits über die globale Sicherheitslücke wp2shell in WordPress informiert, von der potenziell Installationen weltweit betroffen sind.

Bei einer Sicherheitsprüfung haben wir konkrete Hinweise gefunden, dass Ihr WordPress durch diesen Angriff kompromittiert wurde und dass Dateien und/oder Datenbanken betroffen sind. Angreifer könnten Daten in Ihrer WordPress-Installation eingesehen, verändert oder gelöscht haben. Das betrifft insbesondere Passwörter und Zugangsdaten (z. B. API-Keys, Token) für alle Programme und Erweiterungen (Plugins), die mit Ihrer Website verbunden sind – zum Beispiel für Ihren Online-Shop.

Was jetzt zu tun ist: Backup einspielen

Um sicherzustellen, dass sich keine kompromittierten Dateien mehr auf Ihrer Website befinden, empfehlen wir dringend, Ihre Daten auf den Stand vor den Angriffen (Samstag, 18. Juli 2026) zurückzusetzen.

Das müssen Sie jetzt tun:

• Loggen Sie sich in Ihr IONOS Konto ein.
• Erteilen Sie uns Ihre Zustimmung, ein sicheres Backup einzuspielen.
• Tragen Sie nach dem erfolgreichen Update Ihre geänderten Passwörter und sonstige Zugangsdaten wie API-Keys und Tokens in Ihr WordPress ein.

Das übernehmen wir für Sie: Nach Ihrer Zustimmung spielen wir Ihr letztes sicheres Backup ein und schützen Ihr WordPress erneut gegen die Sicherheitslücke.

Wichtiger Hinweis zum Datenverlust

Wir bemühen uns, den aktuellen Stand Ihrer Datenbank zu sichern und nach der Wiederherstellung wieder einzuspielen – einen vollständigen Erhalt aller Daten können wir jedoch nicht garantieren. Wir empfehlen Ihnen deshalb, wichtige Inhalte vorher selbst zu exportieren und zu sichern.

Vielen Dank für Ihre Mithilfe.

Mit freundlichen Grüßen
[Name des IONOS-Beraters] – Ihr persönlicher IONOS Berater

Wenn Ihre Mail so oder so ähnlich aussieht: Sie ist echt. Aber das heißt noch lange nicht, dass Sie den vorgeschlagenen Weg genau so gehen sollten.

Was ist wp2shell überhaupt?

„wp2shell“ beschreibt eine Angriffsklasse, bei der Angreifer über eine Schwachstelle (z. B. in einem veralteten Plugin oder Theme) eine sogenannte Web-Shell oder einen versteckten Admin-Zugang auf Ihrer WordPress-Seite platzieren. Damit haben sie dann Kontrolle über die Seite: Sie können Dateien nachladen, Weiterleitungen einbauen, Spam ausspielen oder Zugangsdaten abgreifen.

Hosting-Anbieter wie IONOS scannen ihre Server regelmäßig auf verdächtige Muster. Finden sie Hinweise, verschicken sie automatisiert solche Warn-Mails an die betroffenen Kunden.

Wichtig zu verstehen:

• Die Mail bedeutet meist, dass IONOS Indikatoren gefunden hat – nicht zwingend, dass Ihre komplette Seite bereits Schaden anrichtet.
• Manchmal ist die Seite tatsächlich aktiv kompromittiert. Manchmal ist es ein Restartefakt oder eine Vorsichtsmeldung. Das lässt sich nur durch eine echte Prüfung unterscheiden – nicht durch die Mail allein.

Warum „einfach ein Backup einspielen“ gefährlich ist

IONOS schlägt vor, ein Backup vom Stand vor dem Angriff einzuspielen. Das klingt bequem – „das übernehmen wir für Sie“. In der Praxis hat dieser Weg drei große Haken:

1. Sie verlieren Daten.

IONOS schreibt selbst im Kleingedruckten: „einen vollständigen Erhalt aller Daten können wir jedoch nicht garantieren.“ Alles, was seit dem Backup-Datum passiert ist – neue Bestellungen, Kontaktanfragen, Blog-Beiträge, Shop-Daten – kann weg sein.

2. Das Einfallstor bleibt oft offen.

Ein Backup setzt die Dateien zurück – aber wenn die ursprüngliche Schwachstelle (z. B. ein verwundbares Plugin) nicht geschlossen wird, kann die Seite innerhalb von Tagen erneut übernommen werden. Wir sehen genau das regelmäßig: Seite „gesäubert“, eine Woche später ist der Hack zurück.

3. Versteckte Backdoors überleben Backups.

Moderne Angriffe legen sich mehrfach ab – als getarntes Plugin, als versteckter Admin-Account, in der Datenbank. Ein einzelnes Backup erwischt selten alles. Wir hatten erst kürzlich einen Fall, in dem ein als „Cache-Optimierer“ getarntes Fake-Plugin immer wieder einen versteckten Admin-Nutzer neu erzeugte – von den gängigen Sicherheits-Scannern völlig unbemerkt.

Was jetzt wirklich zu tun ist

Bitte tun Sie zuerst nichts Überstürztes – vor allem nicht blind das Backup bestätigen. Die richtige Reihenfolge ist:

1. Ruhe bewahren. Die Mail ist ein Warnsignal, kein Grund zur Panik.
2. Nicht sofort das Backup einspielen, solange nicht klar ist, ob und wo die Seite betroffen ist und ob Sie aktuelle Inhalte verlieren würden.
3. Wichtige Inhalte sichern, falls Sie selbst Zugriff haben (Exporte von Shop-Bestellungen, Formular-Eingängen etc.).
4. Passwörter noch nicht neu eintragen, bevor die Seite sauber ist – sonst landen die neuen Zugangsdaten möglicherweise wieder in fremden Händen.
5. Die Seite fachgerecht prüfen lassen – von außen (auf aktive Schadfunktionen, Weiterleitungen, fremde Domains) und von innen (versteckte Nutzer, manipulierte Dateien, Datenbank).

Erst wenn klar ist, was passiert ist und wo das Einfallstor war, ergibt eine saubere Bereinigung Sinn – inklusive Schließen der Lücke, damit es nicht wieder passiert.

Genau das ist unser Job

Wir sind Captain WordPress und auf genau diese Fälle spezialisiert: gehackte und potenziell kompromittierte WordPress-Seiten – von IONOS, Strato, Domain Factory und anderen Hostern.

Wenn Sie so eine Mail bekommen haben, machen wir für Sie Folgendes:

• Ehrliche Einschätzung, ob und wie stark Ihre Seite betroffen ist – ohne Panikmache.
• Vollständige Prüfung auf Backdoors, versteckte Admin-Accounts, Schad-Weiterleitungen und manipulierte Dateien (auch die, die Standard-Scanner übersehen).
• Fachgerechte Bereinigung mit dem Ziel, so wenig Daten wie möglich zu verlieren – statt pauschal ein altes Backup drüberzubügeln.
• Schließen der Sicherheitslücke, damit der Hack nicht in einer Woche zurückkommt.
• Absicherung Ihrer Seite gegen zukünftige Angriffe.

Sie haben die IONOS-Mail zu wp2shell erhalten und sind unsicher, was zu tun ist?
Leiten Sie sie uns einfach weiter oder schreiben Sie uns kurz – wir schauen uns Ihre Seite an und sagen Ihnen ehrlich, was Sache ist.

Jetzt Kontakt aufnehmen →

Kurz gesagt: Die IONOS-Mail ist echt und ernst zu nehmen – aber der einfachste angebotene Weg (Backup einspielen) ist oft der falsche. Bevor Sie Daten verlieren oder das Problem nur kurz verschwindet, lassen Sie Ihre Seite lieber einmal richtig prüfen.