37.288 Angriffsmeldungen an einem Wochenende: 23. und 24. Mai 2026
Am Wochenende des 23. und 24. Mai 2026 hat das ReportedIP-Netzwerk 37.288 Angriffsmeldungen von 15.066 verschiedenen IP-Adressen erfasst. Die Zahlen zeigen, wie ein gewöhnliches Wochenende mit Hintergrundangriffen für jeden Server aussieht, der aus dem Internet erreichbar ist, also auch für jede öffentliche WordPress-Site.
Alle Zahlen unten sind eine Momentaufnahme dieser 48 Stunden (Berliner Zeit), ausgezählt aus der Meldungsdatenbank am 29. September 2026.
Wie viele Angriffe hat das Netzwerk am 23. und 24. Mai 2026 erfasst?
Eine Angriffsmeldung ist ein Eintrag, den ein Honeypot oder eine Mitglieds-Site sendet, wenn sie einen Angreifer erkennt. Samstag und Sonntag lagen fast gleichauf:
| Tag | Angriffsmeldungen | Verschiedene IPs |
|---|---|---|
| Samstag, 23. Mai | 18.908 | 8.468 |
| Sonntag, 24. Mai | 18.380 | 9.131 |
| Wochenende gesamt | 37.288 | 15.066 |
Die Wochenendsumme zählt jede IP-Adresse nur einmal und liegt deshalb unter der Summe der beiden Tage. Ein Ausreißer war das Wochenende nicht. Von Montag, 18. Mai, bis Freitag, 22. Mai, kam das Netzwerk auf durchschnittlich 20.616 Meldungen pro Tag, mehr als an jedem der beiden Wochenendtage. Angriffsverkehr macht keine Pause, wenn das Büro zu ist.
Welche Angriffskategorien haben das Wochenende bestimmt?
Jede Meldung trägt eine oder mehrere der 63 Bedrohungskategorien. Eine Meldung kann mehrere Kategorien tragen, die Zeilen unten überschneiden sich also:
| Kategorie | Meldungen |
|---|---|
| Hacking | 23.019 |
| Brute-Force | 10.215 |
| SSH | 2.638 |
| WordPress-Kategorien zusammen | 1.255 |
| WordPress-Login-Brute-Force | 1.174 |
Der gemeinsame Nenner ist das Erraten von Passwörtern. MITRE führt es als Technik T1110, und es betrifft SSH, Mail und WordPress-Logins gleichermaßen. Am Wochenende tauchte eine Angreifer-IP im Schnitt in 1,18 Kategorien auf, insgesamt kamen 20 verschiedene Kategorien vor. Die meisten Adressen blieben bei einer Aufgabe.
Woher kamen die Angriffsmeldungen?
27.210 Meldungen stammten von ReportedIP-Honeypot-Servern, Lockrechnern, die nur existieren, um angegriffen zu werden. Die übrigen 10.078 kamen über die API-Schlüssel von Mitglieds-Sites und Server-Integrationen. Wenn Sie einen eigenen Sensor beisteuern möchten, erklärt die Anleitung zum Honeypot-Server die Einrichtung.
Nach Herkunftsland fielen vier Länder auf. Die Länderangabe stammt aus der aktuellen Geolokalisierung jeder Adresse:
- USA: 10.984 Meldungen von 3.922 IPs.
- Indien: 3.038 Meldungen von 2.414 IPs.
- Pakistan: 2.281 Meldungen von 499 IPs.
- Niederlande: 2.009 Meldungen von 320 IPs.
Die Niederlande kamen auf 6,3 Meldungen pro IP-Adresse und Pakistan auf 4,6, gegenüber 2,5 über das ganze Wochenende. Eine kleine Gruppe von Adressen in diesen beiden Ländern kam immer wieder. Ganze Länder zu sperren ist ein grobes Werkzeug, die wiederkehrenden Adressen zu sperren ist genauer.
Was bedeutet so ein Wochenende für eine WordPress-Site?
Nur 1.255 der 37.288 Meldungen nannten eine WordPress-spezifische Kategorie. Der Rest kam von Bots, die jeden offenen Dienst abklopfen, und eine WordPress-Site hängt im selben Internet. Diese Bots landen früher oder später auf der Login-Seite, und die meisten wurden anderswo schon gemeldet.
Genau dort hilft gemeinsame Bedrohungserkennung. Sobald ein Honeypot oder eine andere Site eine Adresse gemeldet hat, kann eine Site mit Hive im Modus Community-Netzwerk sie vor dem ersten Passwortversuch abweisen. Greifen viele Adressen parallel an, verschärft der Hardening Mode die Login-Schwellen für eine Stunde.
Was hat sich rund um dieses Wochenende in Hive geändert?
In dieselbe Woche fielen drei Hive-Versionen:
- Hive 2.0.14 (20. Mai): Die Liste der Köderpfade wuchs von 16 auf 40 Einträge. Eine Anfrage nach einer dieser Köderdateien ist ein starkes Angreifersignal. Hive 2.1.67 bringt 45 mit.
- Hive 2.0.15 (21. Mai): Admin-Benachrichtigungen mit mehreren Empfängern werden jetzt über das verwaltete Mail-Relay zugestellt, eine Mail pro Adresse.
- Hive 2.0.16 (27. Mai): Der Hardening Mode schaltet sich nach Ablauf nicht mehr selbst wieder ein, und ein Relay-Backoff pausiert den Mail- und SMS-Versand jetzt für die ganze Site.
Häufige Fragen
Wie viele Angriffe hat ReportedIP am 23. und 24. Mai 2026 erfasst?
Das ReportedIP-Netzwerk hat am Wochenende des 23. und 24. Mai 2026 37.288 Angriffsmeldungen von 15.066 verschiedenen IP-Adressen erfasst. Der Samstag brachte 18.908 Meldungen, der Sonntag 18.380. Honeypot-Server schickten 27.210 davon, Mitglieds-Sites und Server-Integrationen die übrigen 10.078 über ihre API-Schlüssel.
Richteten sich die meisten Angriffe am Wochenende gegen WordPress?
Die meisten Angriffe waren allgemein. Nur 1.255 der 37.288 Meldungen nannten eine WordPress-spezifische Kategorie, 1.174 davon Login-Brute-Force. Die größten Gruppen waren Hacking mit 23.019 Meldungen und Brute-Force mit 10.215. Dieselben Bots tasten jeden erreichbaren Dienst ab, deshalb bekommen auch WordPress-Sites ihren Anteil.
Sperrt Hive gemeldete Angreifer kostenlos?
Hive sperrt gemeldete Angreifer kostenlos, sobald eine Site mit einem kostenlosen ReportedIP-Konto in den Modus Community-Netzwerk wechselt. Alle 16 Erkennungssensoren und die 2FA-Methoden TOTP, Passkey und E-Mail sind ebenfalls gratis. Der Hardening Mode gegen koordinierte Angriffe, SMS-2FA und die verwalteten Relays setzen den Professional-Tarif voraus.
Weiterlesen
- Hive für WordPress holen: 16 Sensoren, vier 2FA-Methoden und Community-Sperren in einem Plugin.
- WordPress Attack Report: Angriffsdaten vom 1. Mai bis 21. Juli 2026, dieses Wochenende eingeschlossen.
- Alle Bedrohungskategorien: die 63 Kategorien mit ihren Schweregraden.