Ein Online-Shop wurde nach einem Cyberangriff mit 20.700 € bestraft

Am 27. Juni 2026 gab die rumänische Datenschutzbehörde ANSPDCP den Abschluss einer Untersuchung bei Homelux SRL bekannt — einem Online-Shop für Möbel und Heimdekoration. Das Unternehmen wurde mit 20.700 Euro nach einem Cyberangriff und Unregelmäßigkeiten bei der Sicherheit personenbezogener Nutzerdaten bestraft.

Dies ist kein Einzelfall. Es ist der vierte Online-Shop, der von ANSPDCP in den letzten 12 Monaten nach einem Cyberangriff bestraft wurde.

Im September 2025 wurde PRIMONET RO SRL mit 20.000 Euro bestraft, nachdem Kunden nach einem Cyberangriff fehlende Beträge auf ihren Karten festgestellt hatten. Ebenfalls im September 2025 erhielt Vellea Home SRL eine Geldstrafe von 5.000 Euro, nachdem personenbezogene Kundendaten unbefugt abgerufen wurden. Im November 2025 wurde Greencorp SRL nach einem ähnlichen Vorfall mit 3.000 Euro sanktioniert.

Warum das passiert — und warum es häufiger vorkommen wird

Über 70 % der Unternehmen in Rumänien sind Cyberangriffen direkt ausgesetzt, so eine Studie von Frames und Infosec Center, die am 6. Juli 2026 veröffentlicht wurde. Allein im Jahr 2024 wurden auf nationaler Ebene über 27 Millionen Cybersicherheitsereignisse registriert.

Ein Barometer aus dem Zeitraum 30. Juni bis 2. Juli 2026 zeigt, dass sieben von zehn Unternehmern zugeben, keine zusätzlichen Sicherheitsmaßnahmen ergriffen zu haben, 53 % sich auf IT-Teams und klassische Schutzlösungen verlassen und 87 % der Unternehmen kein spezielles Protokoll für die Verwaltung von Cybersicherheitsvorfällen haben.

Der DNSC-Direktor warnte im Juli 2026, dass Rumänien unter konstantem Druck durch Cyberangriffe steht, einschließlich staatlicher Akteure, und das DNSC-Quartalsbulletin für Q1 2026 zeigt, dass Rumänien ein konstantes Ziel bleibt, besonders im Kontext von Hacktivistenangriffen und Schwachstellen im KMU-Bereich.

Aber es gibt ein Detail, das die Perspektive vollständig verändert. Die meisten Angriffe sind automatisiert: Bots, die permanent das Internet scannen und nach anfälligen WordPress-Versionen, veralteten Plugins, Administrationsfeldern, schwachen Passwörtern, offenen Ports oder falsch konfigurierten Servern suchen. Wenn eine Domain im Internet sichtbar ist, wird sie früher oder später automatisch gescannt, getestet und angegriffen.

Sie werden nicht angegriffen, weil Sie wichtig sind. Sie werden angegriffen, weil Sie sichtbar und angreifbar sind.

Wo die eigentliche Schwachstelle liegt: WordPress und seine Plugins

Laut DNSC sind 80 % der gemeldeten Vorfälle Ransomware-Angriffe, und viele Vorfälle werden durch grundlegende Probleme verursacht: Fehlkonfigurationen oder fehlende Updates.

Wenn Ihre Website auf WordPress läuft — und die Wahrscheinlichkeit ist hoch, WordPress betreibt 43 % aller Websites im Internet — wird die Angriffsfläche in erster Linie durch die installierten Plugins bestimmt.

Im Jahr 2025 wurden 11.334 Schwachstellen im WordPress-Ökosystem entdeckt, 91 % in Plugins, und die durchschnittliche Zeit bis zum ersten Angriff nach Veröffentlichung einer Schwachstelle beträgt 5 Stunden.

Jedes nicht aktualisierte Plugin ist eine Tür. Jedes von seinem Entwickler aufgegebene Theme ist ein Fenster. Jedes Admin-Panel mit dem Standard-Passwort ist eine offene Einladung. Und die Bots schlafen nicht. Sie scannen rund um die Uhr.

Was ANSPDCP nach einem Angriff prüft — und was sie in der Regel finden

Wenn ANSPDCP einen Sicherheitsvorfall untersucht, sucht sie nicht nur nach Beweisen für den Angriff. Sie sucht nach Beweisen für Fahrlässigkeit bei der Prävention.

Bei der Untersuchung von Vellea Home SRL stellte die Behörde einen Verstoß gegen Artikel 32 der DSGVO fest — derjenige, der Betreiber verpflichtet, angemessene technische und organisatorische Maßnahmen zur Datensicherheit zu implementieren — und ordnete an, dass das Unternehmen seinen Vorfallsreaktionsplan überarbeitet, klare Verfahren zur frühzeitigen Erkennung von Bedrohungen und automatische Warnmechanismen durch periodische Systemscans einbezieht.

Einfach ausgedrückt: Es reicht nicht zu sagen, dass Sie angegriffen wurden. Sie müssen nachweisen, dass Sie alle zumutbaren Maßnahmen zur Verhinderung des Angriffs ergriffen haben. Wenn Ihre Website auf veralteten Plugins läuft, mit einem alten Theme, ohne periodische Scans und ohne Vorfallsreaktionsplan — haben Sie keine zumutbaren Maßnahmen ergriffen.

Drei Szenarien, in denen Sie exponiert sind, ohne es zu wissen

Das Plugin, das Sie seit 6 Monaten nicht aktualisiert haben

Sie haben ein Kontaktformular-Plugin, einen Bild-Slider, ein Newsletter-Modul installiert. Es funktioniert. Sie rühren es nicht mehr an. Inzwischen hat der Entwickler eine kritische Schwachstelle entdeckt, einen Patch veröffentlicht, und Bots begannen am selben Tag, alte Versionen auszunutzen. Ihr nicht aktualisiertes Plugin ist jetzt ein aktiver Einstiegspunkt.

Das Theme, das vor 4 Jahren bei ThemeForest gekauft wurde

Das Theme erhielt in den ersten 2 Jahren Updates. Jetzt haben die Entwickler es aufgegeben oder sind zu anderen Projekten übergegangen. Sie erhalten keine Sicherheitsupdates mehr. Anschließend entdeckte Schwachstellen bleiben dauerhaft auf Ihrer Website offen.

Die unverschlüsselte Datenbank mit personenbezogenen Kundendaten

Kunden haben Ihnen ihren Namen, ihre E-Mail-Adresse, Telefonnummer, möglicherweise ihre Lieferadresse hinterlassen. Alles liegt in einer MySQL-Datenbank mit der Standard-Konfiguration von WordPress. Ein Angreifer, der eine Schwachstelle in einem beliebigen Plugin findet, kann die gesamte Datenbank mit einer einzigen Abfrage extrahieren. Sie werden erfahren, dass Sie einen Sicherheitsverstoß hatten, wenn Kunden anfangen anzurufen.

Was „aktualisiert" bedeutet, ist nicht das, was Sie denken

Es gibt ein häufiges Missverständnis: „Ich habe WordPress auf die neueste Version aktualisiert, ich bin sicher." Aktualisierter WordPress-Core ist das Minimum, nicht das Ausreichende. Wenn Sie 15 Plugins haben und 3 davon nicht behobene Schwachstellen aufweisen — unabhängig von der WordPress-Version — sind Sie exponiert.

Darüber hinaus: Einige Schwachstellen haben keinen verfügbaren Patch, weil Entwickler das Plugin aufgegeben haben. Die einzige Möglichkeit, sicher zu sein, ist, das Plugin zu entfernen und eine aktive Alternative zu finden — oder die Funktionalität nativ zu erstellen, ohne Abhängigkeit von einem Drittanbieter-Plugin.

Die Alternative: Was wir anbieten und warum es für die Sicherheit wichtig ist

Wenn wir eine Website von WordPress auf moderne Technologien migrieren — React, Next.js, Headless-Architekturen — machen wir nicht nur ein Redesign. Wir ändern die gesamte Sicherheitsarchitektur.

• Keine Drittanbieter-Plugins mit eigener Angriffsfläche — der Code wird speziell für Sie geschrieben, nicht aus externen Quellen mit eigener Schwachstellengeschichte bezogen.
• Datenbanken vom Frontend getrennt — ein Angriff auf das Frontend erreicht nicht automatisch die personenbezogenen Kundendaten.
• Kontrollierte Updates, nicht ausgelagert — Sie entscheiden, was und wann aktualisiert wird, nicht ein Plugin-Anbieter, der das Produkt aufgeben kann.
• Sicherheitsaudit in jedem gelieferten Projekt inbegriffen — kein Häkchen in einer Checkliste.

Wenn Sie jetzt nicht migrieren möchten — was Sie sofort tun können

Nicht jede Website braucht eine sofortige Migration. Es gibt auch Zwischenschritte, die das Risiko erheblich reduzieren:

1. Machen Sie eine Bestandsaufnahme der aktiven Plugins und entfernen Sie alles, was Sie nicht nutzen.
2. Aktualisieren Sie WordPress Core, alle Themes und alle aktiven Plugins auf die neueste Version.
3. Aktivieren Sie die Zwei-Faktor-Authentifizierung für das Admin-Panel.
4. Ändern Sie die Standard-Admin-URL (/wp-admin) — es ist das Erste, wonach Bots suchen.
5. Implementieren Sie periodische automatische Scans mit einem dedizierten Tool (Wordfence, Sucuri oder ähnlich).
6. Erstellen Sie tägliche Backups der Datenbank und stellen Sie sicher, dass Sie wissen, wie Sie sie wiederherstellen.

Diese Maßnahmen eliminieren das Risiko nicht — sie reduzieren es. Wenn die Website personenbezogene Kundendaten verarbeitet, ist das akzeptable Risikoniveau im Hinblick auf die DSGVO deutlich niedriger als das, was WordPress mit nicht aktiv verwalteten Plugins bietet.

Was wir konkret tun, wenn Sie uns kontaktieren

Der erste Schritt ist eine kostenlose Analyse Ihrer aktuellen Website: welche Plugins laufen, wie viele aktive Schwachstellen bestehen, wie die Sicherheitsarchitektur aussieht und wie hoch das tatsächliche Gefährdungsniveau ist.

Wenn es klare Gründe für eine Migration gibt, präsentieren wir einen konkreten Vorschlag. Wenn nicht, sagen wir Ihnen direkt, welche Zwischenschritte das Risiko am meisten reduzieren würden, ohne eine große Investition. Wir bauen keine Lösungen, wo sie nicht gebraucht werden. Aber wir lassen eine Situation mit echtem Risiko auch nicht unbenannt.

Lassen Sie uns sehen, wie exponiert Ihre Website gerade ist

Schicken Sie uns eine Nachricht auf der Kontaktseite mit Ihrer Website-Adresse. Wir machen eine kostenlose erste Analyse und sagen Ihnen ehrlich, was wir gefunden haben. Keine Verpflichtungen — eine ehrliche Einschätzung der realen Situation.

Schreiben Sie uns auf der Kontaktseite → →