WordPress Sicherheit: So schützen Sie Ihre Website wirksam

Wie sicher ist WordPress?

Der WordPress-Kern selbst ist gut gepflegt, ein eigenes Sicherheitsteam reagiert schnell auf neue Lücken. Die Schwachstellen liegen fast immer woanders: in veralteten Plugins und Themes, in schwachen Passwörtern und in schlecht konfigurierten Servern. Weil WordPress so verbreitet ist, suchen Bots rund um die Uhr nach genau diesen Schwachstellen. Ins Visier gerät dabei jede Website mit einer bekannten Lücke, ganz gleich, wem sie gehört.

Mit einer übernommenen Website machen Hacker fast immer dasselbe: Sie verstecken Spam-Links für fremde Shops, leiten Besucher auf betrügerische Seiten um, verschicken über Ihren Server Spam-Mails oder legen Phishing-Seiten in Ihren Verzeichnissen ab. Für Sie bedeutet das Warnungen bei Google, gesperrte E-Mail-Adressen und im schlimmsten Fall abgeflossene Kundendaten. Weil sich das für Angreifer lohnt, suchen ihre Programme bekannte Sicherheitslücken oft schon wenige Stunden nach der Veröffentlichung.

WordPress-Sicherheit in 15 Minuten prüfen

Mit dieser Checkliste bekommen Sie schnell ein Gefühl dafür, wie es um Ihre Installation steht. Sie brauchen nur einen Administrator-Zugang und den Zugang zu Ihrem Hosting.

1. Updates prüfen

   Unter Dashboard, Aktualisierungen: Stehen Updates für WordPress, Plugins oder Themes aus? Alles, was älter als ein paar Tage ist, ist ein Risiko.

2. Plugins und Themes durchsehen

   Gibt es deaktivierte Plugins oder ungenutzte Themes? Wurde ein Plugin seit über einem Jahr nicht mehr vom Entwickler aktualisiert? Beides sind Kandidaten zum Löschen oder Ersetzen.

3. Benutzer kontrollieren

   Unter Benutzer nach Rolle filtern: Kennen Sie jeden Administrator? Gibt es Konten ehemaliger Mitarbeiter oder Dienstleister?

4. Website-Zustand öffnen

   Unter Werkzeuge, Website-Zustand zeigt WordPress selbst Hinweise zu PHP-Version, HTTPS und veralteten Komponenten.

5. SSL und Weiterleitung testen

   Rufen Sie Ihre Adresse mit http:// auf. Sie sollten automatisch auf https:// landen, ohne Warnung im Browser.

6. Backups kontrollieren

   Wann wurde die letzte Sicherung erstellt, wo liegt sie und wurde eine Wiederherstellung schon einmal getestet?

7. Search Console ansehen

   Der Bericht Sicherheitsprobleme in der Google Search Console meldet, wenn Google Schadcode oder gehackte Inhalte gefunden hat.

Wenn Sie bei zwei oder mehr Punkten unsicher sind, lohnt sich ein genauerer Blick durch einen Profi.

Die wichtigsten Maßnahmen für mehr WordPress-Sicherheit

Diese zehn Punkte schützen vor dem Großteil aller Angriffe. Die ersten fünf können Sie heute selbst umsetzen.

1. Updates regelmäßig einspielen

WordPress, Plugins und Themes aktuell halten ist die wirksamste Einzelmaßnahme. Sicherheitsupdates gehören innerhalb weniger Tage installiert, vorher mit Backup.

2. Starke Passwörter und Zwei-Faktor-Anmeldung

Jedes Benutzerkonto bekommt ein langes, einzigartiges Passwort aus einem Passwortmanager. Administratoren nutzen zusätzlich 2FA per App.

3. Benutzer und Rechte aufräumen

Verzichten Sie auf ein Konto namens „admin“ und löschen Sie alte Zugänge ehemaliger Dienstleister. Jeder bekommt nur die Rechte, die er wirklich braucht.

4. Ungenutzte Plugins und Themes löschen

Auch deaktivierte Plugins können angreifbar sein. Was nicht gebraucht wird, wird entfernt.

5. SSL-Verschlüsselung durchgängig nutzen

Die gesamte Website läuft über HTTPS, auch der Login-Bereich. Dafür reicht ein kostenloses Zertifikat aus.

6. Login-Versuche begrenzen

Nach wenigen Fehlversuchen wird die IP-Adresse gesperrt. Das stoppt Brute-Force-Angriffe fast vollständig.

7. Backups außerhalb des Servers

Die Sicherungen laufen täglich und automatisch auf einen getrennten Speicher. Nur so sind Sie auch bei einem kompromittierten Server abgesichert.

8. Dateirechte und Konfiguration härten

Den Dateieditor im Backend abschalten, die wp-config.php schützen, Dateirechte korrekt setzen und Sicherheits-Header wie Content-Security-Policy aktivieren.

9. Aktuelle PHP-Version und gutes Hosting

Ein Hoster mit aktueller Server-Software, Firewall und Malware-Scan nimmt Ihnen viel Arbeit ab.

10. Überwachung und Protokolle

Ein Monitoring meldet geänderte Dateien, verdächtige Logins und Ausfälle. So wird ein Angriff in Minuten entdeckt statt in Monaten.

Security-Plugins im Vergleich

Die bekanntesten Security-Plugins für WordPress verfolgen unterschiedliche Ansätze. Keines ist für jede Website das richtige. Die folgende Übersicht fasst allgemein bekannte Stärken und Schwächen zusammen, wir erhalten für keine dieser Empfehlungen eine Provision.

Wichtiger als die Wahl des Plugins ist, dass nur eines davon aktiv ist. Zwei Security-Plugins gleichzeitig behindern sich oft gegenseitig und machen Fehler schwer auffindbar. Auf Server-Ebene beim Hosting lassen sich viele Schutzfunktionen besser umsetzen als in PHP innerhalb von WordPress.

wp-config.php und .htaccess härten

Einige der wirksamsten Einstellungen brauchen kein Plugin. Sie stehen in zwei Dateien: der wp-config.php im Hauptverzeichnis und der .htaccess auf Apache-Servern. Legen Sie vor jeder Änderung eine Sicherung beider Dateien an. Ein Tippfehler kann die ganze Seite lahmlegen.

Einstellungen in der wp-config.php

// Datei-Editor im Backend abschalten
define( 'DISALLOW_FILE_EDIT', true );

// Login und Backend nur über HTTPS
define( 'FORCE_SSL_ADMIN', true );

// Fehlermeldungen auf der Live-Seite nicht anzeigen
define( 'WP_DEBUG', false );

DISALLOW_FILE_EDIT verhindert, dass jemand mit gestohlenem Admin-Passwort direkt im Backend Schadcode in Theme- oder Plugin-Dateien schreibt. Prüfen Sie außerdem, ob die Sicherheitsschlüssel (Salts) gesetzt sind. Neue Schlüssel melden alle Benutzer ab, das ist nach einem Hack sinnvoll. Ein eigenes Tabellenpräfix statt wp_ ist bei neuen Installationen eine kleine Zusatzhürde.

Regeln in der .htaccess

# wp-config.php vor Zugriff von außen schützen
<Files wp-config.php>
  Require all denied
</Files>

# Verzeichnisinhalte nicht auflisten
Options -Indexes

Zusätzlich sinnvoll: Im Ordner wp-content/uploads die Ausführung von PHP-Dateien verbieten, denn dort gehören nur Bilder und Dokumente hin. Dateirechte setzen Sie in der Regel auf 644 für Dateien und 755 für Ordner, die wp-config.php restriktiver. Läuft Ihr Hosting auf Nginx statt Apache, werden diese Regeln in der Server-Konfiguration hinterlegt.

Benutzerrollen in WordPress richtig vergeben

Jedes Konto mit zu vielen Rechten ist ein zusätzliches Einfallstor. WordPress bringt fünf Standardrollen mit. Vergeben Sie immer die kleinste Rolle, mit der die Person ihre Aufgabe erledigen kann.

Shop- und Formular-Plugins fügen oft eigene Rollen hinzu, etwa für Kunden oder Shop-Manager. Prüfen Sie auch diese regelmäßig.

Sicherheits-Header schützen auf Browser-Ebene

HTTP-Header sagen dem Browser, wie er mit Ihrer Website umgehen soll. Sie werden auf dem Server oder über das Hosting gesetzt und schützen Besucher vor bestimmten Angriffen:

• Strict-Transport-Security (HSTS): Der Browser ruft Ihre Seite nur noch verschlüsselt auf. Setzt ein funktionierendes SSL-Zertifikat voraus.
• Content-Security-Policy (CSP): Legt fest, von welchen Quellen Skripte, Schriften und Bilder geladen werden dürfen. Erschwert eingeschleusten Code deutlich, muss aber sorgfältig getestet werden.
• X-Frame-Options: Verhindert, dass Ihre Seite unsichtbar in fremde Seiten eingebettet wird (Clickjacking).
• X-Content-Type-Options: Mit dem Wert nosniff interpretiert der Browser Dateien nur als den angegebenen Typ.

WordPress gehackt? Das sollten Sie jetzt tun

Anzeichen für einen Hack sind unerwartete Weiterleitungen, fremde Links oder Werbung, unbekannte Benutzerkonten, Warnungen von Google oder eine plötzlich sehr langsame Website. Bewahren Sie Ruhe und gehen Sie so vor:

1. Nichts löschen: Spuren helfen bei der Analyse, wie der Angreifer hereingekommen ist.
2. Passwörter ändern: WordPress-Admins, Hosting, FTP, Datenbank, von einem sauberen Gerät aus.
3. Hoster informieren: Viele Anbieter haben Malware-Scans und können die Seite vorübergehend sperren.
4. Backup prüfen: Gibt es eine Sicherung von vor dem Angriff? Diese nicht blind einspielen, die Lücke bleibt sonst offen.
5. Profi hinzuziehen: Schadcode versteckt sich oft an mehreren Stellen. Eine gründliche Bereinigung verhindert, dass der Angreifer zurückkommt.
6. Datenschutz beachten: Wurden personenbezogene Daten abgegriffen, kann eine Meldung an die Datenschutzbehörde innerhalb von 72 Stunden nötig sein. Klären Sie das sofort mit Ihrem Datenschutzbeauftragten.

Technische Fakten für den Datenschutz nach einem Hack

Wurde Ihre WordPress-Seite gehackt, geht es oft nicht nur um Technik. Hatten Angreifer Zugriff auf Formulareinträge, Kundenkonten im Shop oder E-Mail-Adressen aus dem Newsletter, sind personenbezogene Daten betroffen. Informieren Sie dann sofort Ihren Datenschutzbeauftragten oder Ihre Rechtsberatung. Die rechtliche Bewertung liegt dort, die technischen Fakten liefern wir:

• Zeitraum: wann der Angriff begann und wann die Lücke geschlossen wurde
• Betroffene Daten: welche Dateien, Datenbanktabellen und Formulardaten erreichbar waren
• Ursache: über welche Lücke die Angreifer eingedrungen sind
• Maßnahmen: was wir bereinigt, geändert und abgesichert haben, mit Protokoll

Diese Seite ersetzt keine Rechtsberatung.

Unsere Security-Leistungen

Für WordPress-Sicherheit ist bei uns Ertan Attay verantwortlich. Er prüft jede Website, die wir bauen, vor dem Livegang und betreut die Installationen unserer Wartungskunden.

• Security-Audit: Prüfung Ihrer Installation, Plugins, Benutzer, Server und Konfiguration mit schriftlichem Bericht
• Härtung: Umsetzung der Empfehlungen aus dem Audit, ohne dass die Funktion leidet
• Hack-Bereinigung: Malware entfernen, Ursache finden, Google-Warnungen aufheben lassen
• Laufender Schutz: Monitoring und Updates in unserer WordPress-Wartung