Widerrufsbutton in Kraft + BetterDocs CVSS 9.8

Der Widerrufsbutton ist seit Donnerstag letzter Woche Gesetz. § 356a BGB gilt seit dem 19. Juni 2026. Wer ihn bis heute noch nicht hat, ist abmahnbar. Gleichzeitig wurden letzte Woche zwei neue WordPress-Plugin-Lücken offengelegt, eine davon mit CVSS 9.8. Und Let's Encrypt stellt die Zertifikatslaufzeiten um, was für viele Websites zu einem unerwarteten Ausfall führen kann.

Drei Themen diese Woche. Das erste ist ein Follow-up zu einem Thema das wir in den letzten Wochen intensiv begleitet haben, jetzt mit einer veränderten Ausgangslage. Die anderen beiden sind neu. Alle drei können deine Website direkt betreffen.

Als Webentwickler aus der Region Oldenburg beobachte ich die Situation bei Betrieben aus Ganderkesee, Wildeshausen und der gesamten Region. Der Widerrufsbutton war eine der meistdiskutierten Compliance-Anforderungen der letzten Monate. Jetzt ist er nicht mehr zukünftig. Er ist Gegenwart.

Widerrufsbutton: Jetzt in Kraft, jetzt abmahnbar

Seit dem 19. Juni 2026 ist § 356a BGB aktiv. Das ist keine Ankündigung mehr. Das ist geltendes Recht. Wer einen B2C-Online-Shop betreibt oder digitale Dienstleistungen online abschließt und keinen rechtmäßigen Widerrufsbutton hat, riskiert Abmahnungen, Bußgelder bis 50.000 Euro und eine Verlängerung der Widerrufsfrist auf 12 Monate plus 14 Tage.

Die Erfahrung mit ähnlichen Regelungen zeigt: Nach dem Inkrafttreten folgen Abmahnwellen typischerweise schnell, weil Fehler von außen leicht erkennbar sind. Beim Kündigungsbutton nach § 312k BGB war das Muster identisch. Das Fehlen eines Buttons muss kein Vertragsabschluss mehr abgewartet werden, es reicht die öffentlich zugängliche Prüfung der Website.

Was "rechtmäßig" bedeutet, ist dabei präzise definiert. Der Button muss auf jeder relevanten Seite gut sichtbar sein, nicht nur auf einer Unterseite. "Gut sichtbar" schließt einen unauffälligen Textlink im Footer ausdrücklich aus. Er darf nicht hinter einer Login-Pflicht versteckt sein. Der Ablauf muss zweistufig sein: Auswahl des Vertrags, dann Bestätigung des Widerrufs. Und nach dem Widerruf muss eine automatische Eingangsbestätigung auf einem dauerhaften Datenträger zugestellt werden. Das ist in aller Regel eine E-Mail.

Was viele Betriebe noch nicht geprüft haben: Die Eingangsbestätigung. Der Button ist eingebaut. Die E-Mail kommt aber entweder nicht an, landet im Spam, oder wurde nie konfiguriert. Das ist eine fehlerhafte Implementierung die genauso abmahnbar ist wie kein Button. Ich habe das bei Website-Checks in der Region mehrfach gesehen: die technische Komponente "Button" ist vorhanden, die Prozess-Komponente "Bestätigung" fehlt.

BetterDocs Pro und Bit Integrations: Zwei neue WordPress-Lücken

Wordfence und die CVE-Datenbank haben letzte Woche zwei neue WordPress-Plugin-Schwachstellen offengelegt. Beide sind neu, nicht die bereits berichteten Lücken in WP Maps Pro, Everest Forms Pro oder Kirki.

BetterDocs Pro CVE-2026-7515, CVSS 9.8 (kritisch): Die Lücke wurde am 18. Juni 2026 veröffentlicht. Sie betrifft alle Versionen bis einschließlich 3.8.0 und ist in Version 3.8.1 gefixt. Die Schwachstelle liegt im doc_style-Parameter und erlaubt Local File Inclusion ohne vorherige Authentifizierung. Konkret bedeutet das: Ein Angreifer kann beliebige PHP-Dateien auf dem Server einbinden und ausführen. Das ist Remote Code Execution durch die Hintertür. Die Lücke wurde von Nguyen Ngoc Duc gefunden und über das Wordfence-Bug-Bounty-Programm gemeldet.

Bit Integrations CVE-2026-11989, CVSS 6.5 (mittel): Veröffentlicht am 19. Juni 2026. Betrifft alle Versionen bis einschließlich 2.8.7, gefixt in 2.8.8. Die Lücke im upload_attachment-Endpunkt ermöglicht Server-Side Request Forgery (SSRF) ohne Authentifizierung. SSRF ist technisch weniger spektakulär als Remote Code Execution, aber ebenfalls ernst zu nehmen: Angreifer können den Server dazu bringen Anfragen an interne Netzwerke oder externe Dienste zu senden, was zu Datenlecks führen kann.

Was bei diesen Lücken besonders auffällt: Beide sind unauthentifiziert ausnutzbar. Kein Account auf der Website nötig. Kein vorheriger Schritt. Eine einzelne HTTP-Anfrage von außen reicht.

Wie ich bereits im Artikel zu den WordPress-Lücken aus KW24 ausgeführt habe: Die Patchstack-Statistik zeigt dass 70 Prozent der WordPress-Schwachstellen innerhalb von sieben Tagen nach Offenlegung aktiv ausgenutzt werden. Diese Lücken sind beide weniger als eine Woche alt.

Let's Encrypt 45-Tage-Zertifikate: Warum kürzere Laufzeiten gefährlich sein können

Das dritte Thema ist technischer, betrifft aber viele Websites indirekt. Let's Encrypt hat am 13. Mai 2026 für das opt-in-Profil "tlsserver" die Umstellung auf 45-Tage-Zertifikate begonnen. Der Standard-Pfad folgt 2027 (64 Tage) und Februar 2028 (45 Tage für alle).

Was bedeutet das in der Praxis? Bisher hatten Let's-Encrypt-Zertifikate eine Laufzeit von 90 Tagen mit empfohlenem Renewal alle 60 Tage. Viele Hosting-Setups und Automatisierungen haben genau dieses 60-Tage-Intervall als festen Wert konfiguriert. "Alle 60 Tage erneuern" war lange die Standardempfehlung.

In einer 45-Tage-Welt führt ein fester 60-Tage-Renewal-Intervall zum Ablauf des Zertifikats bevor es erneuert wird. Das bedeutet: Die Website zeigt Browsern ein abgelaufenes Zertifikat. Browser blockieren die Seite. Besucher sehen eine Sicherheitswarnung. Die Website ist praktisch nicht erreichbar.

Das ist keine hypothetische Zukunft mehr. Das opt-in-Profil läuft seit Mai. Wer bei seinem Hoster oder in seiner Automation ein 45-Tage-Zertifikat zieht und einen hardcodierten 60-Tage-Renewal-Check hat, hat ein Problem das sich still aufbaut.

Die technische Empfehlung: ACME-Clients sollten ARI-Support haben. Certbot ab Version 4.1.0 unterstützt ARI (Automatic Renewal Information), einen Standard der dem Client mitteilt wann genau ein Zertifikat erneuert werden soll, unabhängig von festen Intervallen. Wer seinen Hoster oder seine Automation nicht selbst verwaltet, sollte dort nachfragen ob das Renewal-System mit kürzeren Zertifikatslaufzeiten umgehen kann.

Zum 8. Juli 2026 kommt noch ein weiterer Schritt: Das tlsclient-Profil (mTLS) wird von Let's Encrypt vollständig abgeschaltet. Es wurde bereits am 13. Mai eingefroren. Wer mTLS-Zertifikate von Let's Encrypt nutzt, braucht bis zum 8. Juli einen alternativen Anbieter.

Was diese Woche konkret zu tun ist

WordPress-Nutzer: Dashboard öffnen, unter Plugins nach BetterDocs Pro und Bit Integrations schauen. Wenn installiert und unter den gepatchten Versionen: sofort updaten. BetterDocs Pro auf 3.8.1, Bit Integrations auf 2.8.8. Fünf Minuten, Backup vorher.

Online-Händler: Widerrufsbutton-Implementierung nochmals manuell durchspielen. Nicht nur schauen ob der Button da ist. Den Widerruf tatsächlich ausführen (mit einer Test-E-Mail-Adresse). Kommt die Bestätigungs-E-Mail an? Stimmt der Inhalt? Ist der zweistufige Ablauf korrekt?

Alle Websites: SSL-Zertifikat-Ablaufdatum prüfen. Bei den meisten Hostern ist das in der Domain-Verwaltung oder im Hoster-Dashboard sichtbar. Wenn das Zertifikat in weniger als 45 Tagen abläuft und noch keine automatische Verlängerung sichtbar ist: beim Hoster nachfragen.

Ein häufiger Fehler den ich bei Betrieben sehe: Alle drei Aufgaben werden als gleich dringend eingestuft, dann passiert gar nichts weil man nicht weiß womit man anfangen soll. Die Priorität ist klar: BetterDocs Pro und Bit Integrations heute (aktiv ausnutzbare Lücken). Widerrufsbutton-Test diese Woche (rechtliches Risiko). SSL-Check in den nächsten zwei Wochen (längerer Vorlauf).