WordPress Sicherheit: Website richtig absichern
Die meisten Angriffe auf WordPress laufen automatisiert und zielen auf bekannte Lücken. Wer Updates, Zugangsdaten und Serverkonfiguration im Griff hat, fällt aus dem Raster. Dieser Überblick zeigt die Grundlagen, die typischen Schwachstellen und eine Checkliste zum Abarbeiten.
Ist WordPress sicher?
Ob WordPress sicher ist, entscheidet sich selten am System und fast immer an seiner Pflege. Das Kernsystem wird laufend weiterentwickelt und schließt bekannte Lücken über Updates. Die Risiken liegen woanders: bei veralteten Plugins und Themes, bei schwachen Zugangsdaten und bei einer Serverkonfiguration, die mehr preisgibt als nötig.
Ein zweiter Punkt hilft bei der Einordnung. Die meisten Angriffe richten sich nicht gegen Ihre Website im Besonderen. Automatisierte Skripte klopfen im Minutentakt ganze Adressbereiche nach bekannten Schwachstellen ab. Wer diese Schwachstellen nicht hat, wird schlicht übersprungen. Sicherheit heißt hier vor allem, keine offene Tür stehen zu lassen.
Eine gehackte Website kostet mehr als Nerven. Suchmaschinen können sie abwerten oder mit einer Warnung versehen, Besucher verlieren Vertrauen, und im schlechtesten Fall geht der Zugriff auf die eigene Seite verloren.
Die fünf Ebenen einer sicheren Website
Updates
Kern, Themes und Plugins zeitnah aktualisieren. Das schließt genau die Lücken, auf die automatisierte Angriffe zielen.
Zugangsdaten
Lange, einzigartige Passwörter und ein zweiter Faktor für alle Administratoren. Die wirksamste Einzelmaßnahme.
Benutzer
Keine Standardnamen, keine überflüssigen Administratoren, keine Konten von Leuten, die längst weg sind.
Serverebene
Sensible Dateien sperren, Zugriffe einschränken, Dateirechte prüfen. Vieles davon läuft über die .htaccess.
Backup
Die einzige Maßnahme, die auch dann noch hilft, wenn alles andere versagt hat. Extern speichern und einmal testen.
Die wichtigsten Schutzmaßnahmen im Detail
Für die zentralen Aufgaben gibt es eigene Schritt-für-Schritt-Anleitungen.
Zugangsdaten
Kennwort im Profil, per E-Mail oder über die Datenbank neu setzen.
Serverebene
Sensible Dateien sperren und Zugriffe gezielt einschränken.
Typische WordPress-Sicherheitslücken
Bevor Sie Maßnahmen ergreifen, hilft ein Blick darauf, wo Angriffe tatsächlich ansetzen. Die folgende Übersicht ordnet die häufigsten Einfallstore nach Aufwand für die Behebung.
| Schwachstelle | Was passiert | Aufwand |
|---|---|---|
| Veraltete Plugins und Themes | Bekannte Lücke wird automatisiert ausgenutzt | gering |
| Schwaches Administrator-Passwort | Anmeldung wird durchprobiert | gering |
| Benutzername admin | Halbe Arbeit für den Angreifer entfällt | mittel |
| Unbegrenzte Login-Versuche | Brute-Force ohne Bremse | gering |
| Offene wp-config.php | Datenbankzugang liegt frei | gering |
| Aktiver Datei-Editor im Backend | Ein gekapertes Konto kann Code einschleusen | gering |
| Offenes XML-RPC | Massenhafte Anmeldeversuche in einer Anfrage | mittel |
| Fehlendes Backup | Kein Weg zurück nach einem Vorfall | mittel |
WordPress absichern: die Grundlagen
Updates aktuell halten
Aktualisieren Sie Kern, Themes und Plugins zeitnah. Kleinere Sicherheitsupdates des Kerns spielt WordPress von sich aus ein, größere Versionssprünge und alle Erweiterungen brauchen Ihre Entscheidung. Automatische Updates für Plugins lassen sich je Erweiterung in der Plugin-Übersicht aktivieren. Das ist bequem, sollte aber mit einem funktionierenden Backup und einem gelegentlichen Blick auf die Website einhergehen.
Prüfen Sie in unregelmäßigen Abständen, welche Erweiterungen Sie tatsächlich noch nutzen. Ein deaktiviertes Plugin liegt weiterhin auf dem Server und bleibt angreifbar. Was Sie nicht brauchen, gehört gelöscht, nicht abgeschaltet.
Zugang absichern
Ein langes, einzigartiges Passwort ist die Basis, ein zweiter Faktor macht daraus einen belastbaren Schutz. Selbst wenn ein Passwort in falsche Hände gerät, fehlt dem Angreifer dann der Code aus der Authenticator-App. Aktivieren Sie die Zwei-Faktor-Authentifizierung mindestens für alle Konten mit Administratorrechten.
Ergänzend gehört eine Begrenzung der Anmeldeversuche dazu. Nach wenigen Fehlversuchen wird die IP-Adresse gesperrt, womit automatisierte Angriffe auf das Anmeldeformular ins Leere laufen.
Serverseitige Absicherung
Auf Serverebene lässt sich einiges vorab abriegeln. Der direkte Zugriff auf die wp-config.php gehört gesperrt, ebenso das Auflisten von Verzeichnisinhalten. Dateirechte sollten so eng wie möglich gesetzt sein, in der Regel 644 für Dateien und 755 für Verzeichnisse, für die wp-config.php auch enger.
XML-RPC brauchen die wenigsten Websites noch. Die Schnittstelle erlaubt es, viele Anmeldeversuche in einer einzigen Anfrage zu bündeln, was sie für Angreifer attraktiv macht. Wenn keine App und kein Dienst darauf zugreift, können Sie sie abschalten.
Backups
Ein Backup ist die Rückfallebene für den Fall, dass alles andere versagt. Wichtig sind drei Dinge: Es läuft automatisch, es liegt außerhalb des Servers, und Sie haben die Rücksicherung einmal ausprobiert. Ein Backup, das noch nie zurückgespielt wurde, ist eine Vermutung.
WordPress Hardening
Über die Grundlagen hinaus gibt es Stellschrauben, mit denen Sie die Angriffsfläche weiter verkleinern. Sie richten sich an Betreiber, die das Fundament bereits stehen haben.
- Datei-Editor abschalten. Der Eintrag
define( 'DISALLOW_FILE_EDIT', true );in der wp-config.php verhindert, dass sich über ein gekapertes Konto Code einschleusen lässt. - Sicherheitsschlüssel erneuern. Die Salts in der wp-config.php lassen sich austauschen, was alle aktiven Anmeldungen beendet. Nach einem Verdacht die erste Maßnahme.
- Rechte sparsam vergeben. Nicht jeder Zugang braucht Administratorrechte. Ein Redakteur kommt mit deutlich weniger aus.
- Benutzernamen nicht preisgeben. Autorenarchive und die REST-Schnittstelle geben Anmeldenamen preis, wenn man sie lässt.
Wenn die Website gehackt wurde
Erst prüfen, dann handeln. Warnung in der Search Console, unbekannte Administratoren, fremde Dateien oder Weiterleitungen auf andere Seiten sind die typischen Anzeichen.
- Website offline nehmen oder in den Wartungsmodus schalten, damit kein Besucher weiter gefährdet wird.
- Alle Passwörter ändern, auch für FTP, Datenbank und Hosting-Konto.
- Benutzerliste prüfen und unbekannte Konten entfernen.
- Sauberes Backup einspielen aus der Zeit vor dem Vorfall.
- Kern-Dateien neu installieren und alle Erweiterungen aktualisieren.
- Die Lücke schließen, über die der Angriff lief. Ohne diesen Schritt wiederholt sich der Ablauf.
Bei Kundendaten kommt eine Meldepflicht dazu. Klären Sie das im Zweifel früh, nicht erst nach der Bereinigung.
WordPress-Sicherheit Checkliste
Diese Liste können Sie von oben nach unten abarbeiten. Die ersten vier Punkte bringen den größten Zuwachs an Sicherheit bei geringem Aufwand.
- Kern, Themes und Plugins aktualisieren, danach automatische Updates einschalten
- Starkes, einzigartiges Passwort für jeden Administrator setzen
- Zwei-Faktor-Authentifizierung für alle Administratoren aktivieren
- Anmeldeversuche begrenzen
- Ungenutzte Plugins und Themes vollständig löschen
- Benutzerliste durchgehen, überflüssige Konten und Rechte entfernen
- Generischen Benutzernamen wie admin ersetzen
- Zugriff auf wp-config.php sperren und Verzeichnislisten abschalten
- Datei-Editor im Backend deaktivieren
- XML-RPC abschalten, falls kein Dienst darauf zugreift
- Automatisches Backup einrichten, extern speichern, Rücksicherung testen
- Bei Bedarf ein Sicherheits-Plugin als Ergänzung einsetzen
Häufige Fragen zur WordPress-Sicherheit
Nein. WordPress ist das meistgenutzte System und deshalb das häufigste Ziel automatisierter Angriffe. Das Kernsystem selbst gilt als solide gepflegt. Die Schwachstellen entstehen fast immer durch veraltete Erweiterungen und nachlässige Zugangsdaten, und diese Risiken gibt es bei jedem System.
Mit drei Dingen: Alles aktualisieren, ein starkes Passwort für jeden Administrator setzen und die Zwei-Faktor-Authentifizierung einschalten. Diese drei Punkte decken den größten Teil der real vorkommenden Angriffe ab und sind in einer knappen Stunde erledigt.
Es ist eine Ergänzung, kein Ersatz für die Grundlagen. Ein Plugin bündelt Login-Schutz, Firewall und Überwachung und nimmt Ihnen Handarbeit ab. Auf einer veralteten Installation bringt es allerdings wenig. Welche Lösung wofür passt, steht im Vergleich der Sicherheits-Plugins.
Typische Anzeichen sind eine Warnung in der Search Console, unbekannte Administratorkonten, Weiterleitungen auf fremde Seiten, veränderte Dateien im Kernverzeichnis und ein plötzlicher Einbruch der Sichtbarkeit. Ein Malware-Scanner meldet Dateiänderungen, bevor Ihnen etwas auffällt.
So oft, wie sich Inhalte ändern. Bei einer Website, die einmal im Monat einen Beitrag bekommt, reicht ein wöchentliches Backup. Bei einem Shop mit täglichen Bestellungen sollte die Datenbank mehrmals täglich gesichert werden. Entscheidend ist, wie viel Arbeit Sie im Ernstfall verlieren dürfen.
HTTPS verschlüsselt die Verbindung zwischen Besucher und Server und ist heute Pflicht. Gegen einen Angriff auf Ihre Installation hilft es nicht. Es schützt die Übertragung, nicht die Website selbst.
Weiterlesen
Benutzer und Rechte
Wer darf was, und wie halten Sie die Rechtevergabe schlank?
Sicherheit lieber abgeben?
Wir prüfen Ihre Installation, schließen die offenen Punkte und übernehmen Updates, Backups und Überwachung im laufenden Betrieb.