Wie sicher ist WordPress?
WordPress selbst ist gut gepflegt und gilt als sicher. Gehackt werden WordPress-Websites trotzdem oft, meist über Erweiterungen, schwache Zugangsdaten oder fehlende Updates. Diese Seite ordnet ein, woher die Risiken kommen und was eine WordPress-Website tatsächlich sicher macht.
Die kurze Antwort
Ein aktuelles WordPress ist sicher. Um den Kern der Software kümmert sich ein eigenes Sicherheitsteam. Lücken werden in Wartungsversionen geschlossen, die WordPress seit Version 3.7 automatisch im Hintergrund installiert. Wie das Projekt mit Sicherheit umgeht, beschreibt WordPress auf der eigenen Seite zur Sicherheit.
Das Risiko liegt fast immer daneben: in Plugins und Themes, in Passwörtern und in Installationen, die seit Monaten niemand aktualisiert hat. Ob eine WordPress-Website sicher ist, entscheidet deshalb vor allem ihre Pflege.
Stand: Oktober 2026
Warum WordPress so oft angegriffen wird
WordPress betreibt laut den Erhebungen von W3Techs mehr als ein Drittel aller Websites. Für Angreifer lohnt es sich deshalb, Werkzeuge genau für WordPress zu bauen.
Diese Angriffe laufen automatisiert. Programme durchsuchen das Netz nach Installationen mit bekannten Lücken in bestimmten Plugin-Versionen und probieren an der Anmeldung gängige Kombinationen aus Benutzername und Passwort. Es geht dabei selten um eine bestimmte Firma. Getroffen wird jede Website, die die Lücke hat.
Daraus folgt auch: Eine kleine Website ist nicht sicherer, weil sie unbekannt ist. Für einen Bot ist sie genauso ein Ziel wie jede andere.
Wo die Sicherheitslücken tatsächlich stecken
Plugins und Themes
Der größte Teil der gemeldeten Lücken betrifft Erweiterungen. Besonders riskant sind verwaiste Plugins und Themes aus unseriösen Quellen.
Zugangsdaten
Schwache Passwörter, ein Benutzer namens admin und zu viele Administratorkonten öffnen die Tür ohne jede technische Lücke.
Fehlende Updates
Eine bekannte Lücke bleibt so lange offen, bis das Update eingespielt ist. Angreifer nutzen genau diese Zeitspanne.
Die jährlichen Auswertungen von Sicherheitsanbietern wie Patchstack und Wordfence kommen seit Jahren zum gleichen Ergebnis: Die große Mehrheit der Schwachstellen im WordPress-Umfeld steckt in Plugins und Themes, nur ein sehr kleiner Teil im Kern von WordPress.
WordPress im Vergleich
Kein Content-Management-System ist ohne Pflege sicher. TYPO3 hat weniger Erweiterungen von Drittanbietern und ist seltener Ziel automatisierter Angriffe, braucht aber ebenso regelmäßige Updates. Baukastensysteme wie Wix oder Squarespace nehmen Ihnen die Wartung ab, dafür haben Sie weniger Kontrolle über Technik und Daten.
Der Unterschied liegt weniger in der Software als im Betrieb. Eine gepflegte WordPress-Website mit wenigen, aktuellen Plugins ist gut geschützt. Eine verwaiste Installation mit dreißig Plugins ist es nicht, egal wie sicher der Kern ist. Wie wir die Wahl zwischen den beiden großen Systemen sehen, steht in unserer Diskussion WordPress oder TYPO3.
Was eine WordPress-Website sicher macht
Die folgenden Punkte decken die häufigsten Ursachen ab. Zusammen bringen sie eine typische Website auf ein solides Niveau, ohne dass Sie ein eigenes Sicherheitskonzept brauchen.
- Updates zeitnah einspielen. WordPress, Plugins und Themes. Seit Version 5.5 lassen sich automatische Updates auch für einzelne Plugins und Themes einschalten.
- Wenige und gepflegte Plugins. Entfernen Sie, was Sie nicht nutzen. Prüfen Sie vor der Installation, wann ein Plugin zuletzt aktualisiert wurde. Welche Schutz-Plugins sich lohnen, zeigt der Vergleich der WordPress Sicherheits-Plugins.
- Starke Passwörter und eine zweite Anmeldestufe. Wie Sie ein unsicheres Kennwort ersetzen, steht in der Anleitung WordPress Passwort ändern.
- Kein Benutzer namens admin. Angreifer probieren diesen Namen zuerst. Die Anleitung zum Ändern von Admin-ID und Benutzername zeigt den Weg.
- Anmeldeversuche begrenzen. Nach einigen Fehlversuchen wird die Adresse gesperrt. Mehr dazu unter Login-Versuche begrenzen.
- Sensible Dateien schützen. Den Zugriff auf die wp-config.php und andere Dateien sperren Sie über die Server-Konfiguration. Beispiele liefern die WordPress .htaccess Regeln.
- Rechte sparsam vergeben. Jedes Administratorkonto ist ein Generalschlüssel. Konten ehemaliger Mitarbeiter gehören gesperrt, wie unter WordPress Benutzer sperren beschrieben.
- Regelmäßige Sicherungen außerhalb des Servers. Sie ersetzen keinen Schutz, verkürzen aber die Ausfallzeit nach einem Angriff erheblich. Eine Anleitung finden Sie unter WordPress Backup erstellen.
- Aktuelles Hosting. Eine unterstützte PHP-Version und ein Hoster, der Sicherheitsupdates für den Server einspielt.
Weitere technische Maßnahmen beschreibt die offizielle Anleitung zum Härten von WordPress. Den Überblick über alle Bereiche bietet unsere Seite WordPress absichern.
Sicherheit und DSGVO
Wer über die Website personenbezogene Daten verarbeitet, etwa über ein Kontaktformular oder einen Shop, muss nach Artikel 32 DSGVO angemessene technische Maßnahmen zum Schutz dieser Daten treffen. Eine Installation mit bekannten, ungepatchten Lücken erfüllt diese Anforderung schwer. Regelmäßige Updates sind deshalb auch eine Frage des Datenschutzes. Für eine rechtliche Bewertung Ihres Einzelfalls ist eine Fachperson für Datenschutz die richtige Ansprechpartnerin.
Wenn es doch passiert ist
Leitet die Website plötzlich auf fremde Seiten um oder warnt Google vor ihr, ist schnelles Handeln wichtig. Ändern Sie alle Zugangsdaten, prüfen Sie die Benutzerkonten und stellen Sie eine saubere Sicherung wieder her. Die einzelnen Schritte beschreibt unser Beitrag Was tun, wenn die WordPress-Seite gehackt wurde.
Häufige Fragen zur Sicherheit von WordPress
Ja, wenn die Installation gepflegt wird. Der Kern von WordPress wird von einem Sicherheitsteam betreut, Lücken werden schnell geschlossen. Die meisten Angriffe gelingen über veraltete Plugins, Themes oder schwache Passwörter.
Nicht grundsätzlich. WordPress ist häufiger Ziel automatisierter Angriffe, weil es so verbreitet ist, und hat mehr Erweiterungen von Drittanbietern. Beide Systeme sind sicher, solange sie aktuell gehalten werden.
Weil die Angriffe automatisiert ablaufen. Bots suchen nach bekannten Lücken und testen Zugangsdaten, unabhängig davon, wem die Website gehört oder wie viele Besucher sie hat.
Es ist eine sinnvolle Ergänzung, etwa um Anmeldeversuche zu begrenzen und Dateien auf Veränderungen zu prüfen. Updates, gute Passwörter und wenige Plugins ersetzt es nicht.
Für den Kern in der Regel ja, er spielt Sicherheitsversionen selbst ein. Plugins und Themes aktualisieren sich nur, wenn Sie das einzeln einschalten. Größere Versionssprünge sollten Sie vorher testen.
Sicherheitsupdates so bald wie möglich, idealerweise innerhalb weniger Tage. Ein fester Termin pro Woche für Plugins und Themes hat sich in der Praxis bewährt.
Weiterlesen
Sicherheit als Dauerauftrag
Wir halten Ihre WordPress-Website aktuell, prüfen Plugins auf bekannte Lücken und sichern regelmäßig außerhalb des Servers.