Hier kannst du unseren Newsletter vom Oktober 2026 nachlesen. Zuerst geht es um deine Sicherheit: Eine WordPress-Sicherheitslücke wird seit September gezielt ausgenutzt, und eine Zwei-Faktor-Anmeldung schützt dich vor gestohlenen Passwörtern. Für Onlineshops gelten seit Ende September zwei neue Pflichten, und in vielen Impressen steht noch ein Absatz, der weg muss. Dazu: was bei KI auf der Website gekennzeichnet werden muss, unser Kundencenter my.mikas.at, Cloudfakt und Divi 5.
WordPress-Sicherheitslücke: Angriffe seit September
Am 22. September hat WordPress eine kritische Lücke im Kern geschlossen (CVE-2026-87902). Wenige Stunden später liefen die ersten Angriffe auf Seiten, die das Update noch nicht hatten. Inzwischen legen Angreifer darüber Schadprogramme auf Servern ab. Betroffen ist jede Version von 4.7 bis 7.1.1.
Mitte Oktober kam der nächste Fall. In einen Teil der Downloads von Rank Math SEO PRO 3.0.123 wurde Schadcode eingeschleust, verteilt zwischen dem Abend des 15. und dem Morgen des 16. Oktober. Der Code legt Hintertüren an und greift Zugangsdaten ab. Die bereinigte Version heißt 3.0.124.
Hast du einen Wartungsvertrag bei MIKAS, ist das bei deiner Seite schon erledigt. Du musst nichts tun. Alle anderen prüfen bitte:
- Läuft WordPress 7.1.2 oder die abgesicherte Version deines Versionszweigs?
- Sind alle Plugins aktuell?
- Ist Rank Math PRO installiert, und in welcher Version?
Lief Rank Math PRO 3.0.123 aus dem genannten Zeitfenster, reicht ein Update nicht. Dann muss die Seite aus einer Sicherung vor dem 15. Oktober zurück, und jedes Passwort wird geändert.
Weitere Informationen: Patchstack: CVE-2026-87902 (englisch).
Mehr dazu auf mikas.at: WordPress aktualisieren, Notfallplan, wenn deine Seite gehackt wurde, WordPress-Wartung bei MIKAS.
Zwei-Faktor-Anmeldung: ein Passwort reicht nicht mehr
Beide Angriffe zielen am Ende auf Zugangsdaten. Wer dein Passwort hat, ist in deiner Website. Mit einer Zwei-Faktor-Anmeldung braucht es beim Login zusätzlich einen Code aus einer App am Handy. Ein gestohlenes Passwort allein bringt dann nichts mehr.
WordPress hat das bis heute nicht eingebaut. Wir empfehlen das kostenlose Plugin Two Factor. Es kommt direkt vom WordPress-Team und ist in wenigen Minuten eingerichtet:
- Im Dashboard unter Plugins ein neues Plugin hinzufügen: nach „Two Factor“ suchen, auf „Jetzt installieren“ und danach auf „Aktivieren“ klicken.
- Eine Authentifizierungs-App aufs Handy laden, etwa Microsoft Authenticator oder Google Authenticator.
- Unter Benutzer → Profil zum Abschnitt „Two-Factor-Optionen“ gehen, „Authentifizierungs-App aktivieren“ anhaken und den QR-Code mit der App scannen.
- Den Code aus der App ins Feld „Authentifizierungscode“ eingeben und auf „Verifizieren“ klicken.
- „Wiederherstellungscodes aktivieren“ anhaken, auf „Neue Wiederherstellungscodes erzeugen“ klicken und die Codes sicher aufbewahren. Mit ihnen kommst du auch ohne Handy hinein.
- Ganz unten auf „Profil aktualisieren“ klicken.
Sinnvoll ist das für jedes Konto mit Admin-, Redakteurs- oder Shop-Manager-Rechten. Jede Person richtet es in ihrem eigenen Profil ein. Ist dein WordPress auf Deutsch (Österreich) eingestellt, zeigt das Plugin seine Texte auf Englisch, die Schritte bleiben gleich.
Auch im Kundencenter my.mikas.at kannst du die Zwei-Faktor-Anmeldung einschalten. Dort liegen deine Verträge und Rechnungen.
Mehr dazu auf mikas.at: WordPress-Sicherheit: Dein Leitfaden für 2026.
Zwei neue Pflichten für Onlineshops
Wer online an Verbraucher verkauft, hat seit Ende September zwei neue Baustellen.
Widerrufsbutton. In Österreich gilt er seit 1. Oktober 2026 (§ 13a FAGG) für jede Bestellung ab diesem Tag. In Deutschland schon seit 19. Juni, das zählt, wenn du auch dorthin lieferst. Viele Shopbetreiber denken: „Ein Button reicht.“ Genau da liegt das Risiko. Prüfe deinen Shop:
- Gibt es einen gut sichtbaren Button „Vertrag widerrufen“, erreichbar ohne Login?
- Fragt das Formular Name, Bestellnummer und Kontaktweg ab, auch für einen Teilwiderruf?
- Folgt ein zweiter Button „Widerruf bestätigen“?
- Kommt sofort eine Eingangsbestätigung per E-Mail mit Datum und Uhrzeit?
- Funktioniert alles am Handy und mit der Tastatur?
- Verweist die Widerrufsbelehrung auf den Button?
Hinweis zur Gewährleistung. Seit 27. September 2026 muss jeder Onlineshop den einheitlichen EU-Hinweis zur gesetzlichen Gewährleistung zeigen. Text, Symbol und QR-Code sind vorgegeben und dürfen nicht verändert werden. Der Hinweis gehört gut sichtbar auf die Website und zusätzlich in die Bestellbestätigung. Gibt ein Hersteller eine kostenlose Haltbarkeitsgarantie über mehr als zwei Jahre, kommt beim betroffenen Produkt das GARAN-Label dazu.
Mit derselben EU-Richtlinie sind pauschale Werbeaussagen wie „umweltfreundlich“ oder „klimaneutral“ ohne Nachweis verboten, genauso selbst gestaltete Nachhaltigkeitssiegel.
Weitere Informationen: WKO: Widerrufsbutton im Webshop, WKO: Informationspflichten zu Garantie und Gewährleistung.
Mehr dazu auf mikas.at: Der Widerrufsbutton ist da, Onlineshop erstellen lassen.
Impressum: der Absatz zur EU-Streitschlichtung muss weg
Die EU hat ihre Plattform zur Online-Streitbeilegung am 20. Juli 2025 eingestellt. Der Link auf ec.europa.eu/consumers/odr führt seitdem ins Leere, die Pflicht dazu gibt es nicht mehr. Steht der Absatz noch in deinem Impressum oder in den AGB, streich ihn. Der Satz „Unsere E-Mail-Adresse finden Sie oben im Impressum“ gehört dazu und fällt mit weg.
Eine Ausnahme bleibt: Nimmst du freiwillig an einer Schlichtung teil, etwa bei der Internet Ombudsstelle, muss dieser Hinweis samt Link weiter auf die Website.
Weitere Informationen: WKO: Alternative Streitbeilegung.
KI auf der Website: was gekennzeichnet werden muss
Seit 2. August 2026 gelten die Transparenzregeln des EU AI Act. Für eine normale Firmenwebsite heißt das:
- Ein Chatbot gibt sich als KI zu erkennen. Ein Satz im Chatfenster genügt.
- Realistisch wirkende KI-Bilder, -Videos oder -Stimmen echter Personen, Orte oder Ereignisse bekommen einen Hinweis.
- KI-Texte zu Themen von öffentlichem Interesse ebenso, außer ein Mensch hat sie geprüft und verantwortet sie.
- Gewöhnliche Produkt- und Stimmungsbilder aus der KI brauchen in der Regel keine Kennzeichnung.
Wer KI im Betrieb einsetzt, muss außerdem dafür sorgen, dass die Mitarbeiter damit umgehen können. Für die meisten Betriebe reicht eine kurze, dokumentierte Einweisung. Die strengen Regeln für Hochrisiko-KI wurden auf Dezember 2027 und August 2028 verschoben.
Weitere Informationen: WKO: AI Act, die KI-Verordnung der EU.
Mehr dazu auf mikas.at: KI-Agentur Salzburg: den richtigen Partner finden.
Kundencenter: my.mikas.at
Unser Kundencenter unter my.mikas.at ist online. Dort verwaltest du deine Kundendaten, Services, Verträge und Rechnungen an einem Ort.
Neu dazugekommen ist:
- Verfügbarkeit deiner Dienste: Grün, Gelb oder Rot zeigt dir auf einen Blick, ob deine Dienste auf unseren Servern gerade erreichbar sind.
- Bestellungen: Neue Leistungen bestellst du direkt im Kundencenter.
- Kündigungen: Einen Dienst kündigst du jetzt einfacher, ebenfalls direkt im Kundencenter.
- Supportablage: Alle E-Mails zwischen dir und uns liegen gesammelt an einem Ort.
- Service-PIN: Du legst dir eine PIN an und gibst sie an Personen weiter, die für dich bei uns anrufen, etwa deinen Techniker. Wer die PIN nennt, bekommt von uns Auskunft zu deinen Diensten.
Wichtiger Sicherheitshinweis: Aus Sicherheitsgründen wurden alle Passwörter zurückgesetzt. Für die erste Anmeldung vergibst du dir über „Passwort vergessen“ ein neues. So gehst du vor:
- Rufe my.mikas.at auf.
- Klicke auf „Passwort vergessen“.
- Gib deine E-Mail-Adresse ein und vergib ein neues Passwort.
- Melde dich anschließend mit dem neuen Passwort an.
Cloudfakt: unsere Software für Provider und Agenturen
Cloudfakt ist unsere eigene Software für Provider, Hoster und Digitalagenturen. Kunden, Verträge, Domains, Hosting und Rechnungen liegen darin auf einer Cloud-Plattform. Ein Rechnungslauf bündelt alle fälligen Leistungen je Kunde zu einer Rechnung, mit SEPA-Lastschrift und XRechnung. Die Kunden bestellen und zahlen über ein eigenes Portal.
Die Pakete beginnen bei 9 € im Monat, alle 46 Module sind in jedem Paket enthalten. Wer bisher mit Webfakt arbeitet, nimmt seine Daten mit. Alle Infos findest du unter https://cloudfakt.com/.
Divi 5: umsteigen, aber nicht blind
Divi 5 ist seit Februar 2026 als stabile Version da. Die Seiten laden schneller, dazu kommen Design-Variablen, ein Loop Builder und eigene WooCommerce-Module. Ein bestehender Divi-4-Auftritt läuft nach dem Update im Kompatibilitätsmodus weiter, verschenkt dort aber einen Teil des Tempos.
Der mitgelieferte Migrator stellt die meisten Module sauber um. Module von Drittanbietern und eigenes CSS brauchen oft Nacharbeit. Deshalb nicht einfach auf der Live-Seite updaten, sondern zuerst auf einer Testkopie umstellen und durchklicken. Divi 4 bekommt noch bis mindestens Anfang 2027 Updates, für einen geplanten Umstieg ist also Zeit.
Weitere Informationen: Elegant Themes: Divi 5 ist da (englisch).
Mehr dazu auf mikas.at: Gestalte deine Webseite mit Divi 5.
Häufige Fragen
Welche Versionen betrifft die WordPress-Sicherheitslücke CVE-2026-87902?
Alle Versionen ab 4.7 bis einschließlich 7.1.1. Seit 22. September 2026 gibt es Updates: WordPress 7.1.2 und abgesicherte Fassungen für ältere Versionszweige.
Was muss ich tun, wenn Rank Math PRO 3.0.123 installiert war?
Prüfe, wann die Version heruntergeladen wurde. Fällt der Download in die Nacht vom 15. auf den 16. Oktober 2026, setzt du die Website auf einen Stand vor dem 15. Oktober zurück, änderst danach jedes Passwort und installierst 3.0.124.
Welches Plugin eignet sich für WordPress 2FA?
Das kostenlose Plugin Two Factor. Es kommt vom WordPress-Team selbst und arbeitet mit Apps wie Microsoft Authenticator oder Google Authenticator zusammen.
Ab wann gilt der Widerrufsbutton in Österreich?
Für Bestellungen ab 1. Oktober 2026, geregelt in § 13a FAGG. Wer auch nach Deutschland liefert, braucht ihn dort seit 19. Juni 2026.
Muss der Link zur EU-Streitschlichtung noch ins Impressum?
Nein, seit 20. Juli 2025 gibt es die EU-Plattform nicht mehr. Nur wer sich freiwillig einer Schlichtungsstelle angeschlossen hat, nennt diese weiterhin mit Link.
Bei Fragen erreichst du uns per E-Mail an hello@mikas.at oder telefonisch unter +43 664 4460768.