WordPress Sicherheit: So schützen Sie Ihre Website richtig

WordPress ist nicht automatisch unsicher. Probleme entstehen häufig dann, wenn veraltete Erweiterungen, schwache Zugangsdaten, unnötige Administratorrechte oder fehlende Backups zusammenkommen. Ein einzelnes Security-Plugin kann diese Bereiche nicht vollständig ersetzen. Gute WordPress-Sicherheit besteht deshalb aus mehreren Schutzebenen: aktuelle Software, sichere Zugänge, eingeschränkte Benutzerrechte, Backups und eine laufende Überwachung wichtiger Veränderungen. Das Ziel ist nicht nur, Angriffe zu verhindern. Eine sichere Website sollte einen Angriff oder eine Fehlkonfiguration auch möglichst früh erkennen und sich im Ernstfall zuverlässig wiederherstellen lassen.

Warum WordPress-Sicherheit mehrere Ebenen braucht

Angreifer müssen nicht zwingend eine Schwachstelle im WordPress-Core ausnutzen. Häufiger liegen Probleme in veralteten Plugins, gestohlenen Zugangsdaten, unsicheren Erweiterungen oder kompromittierten Hosting-Zugängen. Deshalb sollte nicht nur das WordPress-Dashboard betrachtet werden. Auch Hosting, SFTP/SSH, Datenbank, PHP-Version und die verwendeten Plugins und Themes gehören zur Sicherheitskette.

• WordPress-Core
• Plugins
• Themes
• Benutzerkonten
• Hosting-Zugang
• SFTP/SSH
• Datenbank
• Backups
• PHP- und Serverumgebung

1. WordPress, Plugins und Themes aktuell halten

Sicherheitsupdates schließen bekannte Schwachstellen. Deshalb sollten WordPress-Core, Plugins und Themes regelmäßig aktualisiert werden. Entscheidend ist nicht nur, ob eine Erweiterung aktuell installiert ist. Prüfen Sie auch, ob sie vom Entwickler weiterhin gepflegt wird. Erweiterungen, die seit langer Zeit keine Updates erhalten, sollten kritisch bewertet und gegebenenfalls ersetzt werden.

• WordPress-Core aktuell halten
• Plugins regelmäßig aktualisieren
• Themes aktualisieren
• ungenutzte Plugins löschen
• ungenutzte Themes entfernen
• nicht mehr gepflegte Erweiterungen ersetzen
• PHP-Version aktuell und kompatibel halten

Bei Problemen nach einem Update hilft die gezielte WordPress Update-Fehler beheben-Analyse mehr als das wahllose Deaktivieren vieler Komponenten.

2. Administrator-Zugänge mit 2FA schützen

Ein starkes Passwort schützt nur dann zuverlässig, wenn es nicht wiederverwendet und nicht gestohlen wird. Administrator- und Hosting-Zugänge sollten deshalb individuelle Passwörter verwenden. Zusätzlich sollte für administrative Konten möglichst Zwei-Faktor-Authentifizierung aktiviert werden. Selbst wenn ein Passwort kompromittiert wird, reicht es dann allein nicht für eine Anmeldung.

• individuelles Passwort für WordPress
• individuelles Passwort für Hosting
• individuelle SFTP-/SSH-Zugangsdaten
• Passwort nicht mehrfach verwenden
• Passwortmanager verwenden
• Zwei-Faktor-Authentifizierung aktivieren

3. Benutzer und Berechtigungen kontrollieren

Nicht jeder Benutzer benötigt Administratorrechte. Je mehr Administratorkonten vorhanden sind, desto größer ist die Angriffsfläche. Vergeben Sie deshalb immer nur die Berechtigungen, die für die jeweilige Aufgabe tatsächlich notwendig sind.

• nicht benötigte Benutzer entfernen
• unbekannte Konten sofort untersuchen
• Administratorrechte begrenzen
• ehemalige Mitarbeiter entfernen
• gemeinsame Admin-Konten vermeiden
• Benutzer regelmäßig kontrollieren

wp user list

Der Befehl zeigt vorhandene WordPress-Benutzer und Rollen an, wenn WP-CLI auf der Installation verfügbar ist. Unbekannte Konten sollten nicht vorschnell gelöscht werden, bevor Zugriffsprotokolle und mögliche Auswirkungen geprüft wurden.

4. Backups richtig absichern

Ein Backup ist eine der wichtigsten Absicherungen gegen Hacks, defekte Updates und Bedienfehler. Entscheidend ist jedoch, dass sich das Backup tatsächlich wiederherstellen lässt. Backups sollten außerdem nicht ausschließlich im selben Webspace wie die Website gespeichert werden. Wird der Server kompromittiert, könnten sonst auch die Sicherungen betroffen sein.

• Dateien sichern
• Datenbank sichern
• automatisierte Backups verwenden
• mehrere Backup-Versionen aufbewahren
• Sicherung getrennt vom Webspace speichern
• Wiederherstellung regelmäßig testen

Eine ausführliche WordPress Backup richtig planen-Anleitung hilft bei Aufbewahrung und Restore-Tests.

5. WordPress-Dateien und wp-config.php schützen

Die wp-config.php enthält unter anderem Informationen zur Datenbankverbindung und sicherheitsrelevante WordPress-Einstellungen. Sie sollte deshalb besonders geschützt werden. Auch Dateirechte sollten so restriktiv wie möglich gesetzt werden, ohne die Funktionsfähigkeit von WordPress zu beeinträchtigen. Die korrekten Werte hängen von Hosting- und Serverumgebung ab und sollten nicht blind aus einer fremden Anleitung übernommen werden.

define( 'DISALLOW_FILE_EDIT', true );

Mit DISALLOW_FILE_EDIT lässt sich der integrierte Theme- und Plugin-Dateieditor im WordPress-Backend deaktivieren. Dadurch verhindert man nicht jeden Angriff, reduziert aber eine Möglichkeit, PHP-Dateien direkt über ein kompromittiertes Administratorkonto zu verändern. WordPress verwendet außerdem Sicherheitsschlüssel und Salts für Sitzungen und Cookies. Bei einem Kompromittierungsverdacht können diese Schlüssel über die offizielle WordPress-Generierung erneuert werden. Dadurch werden bestehende Sitzungen ungültig; reale Salts gehören nicht in eine Dokumentation.

6. HTTPS und Hosting absichern

HTTPS verschlüsselt die Verbindung zwischen Besucher und Website. Login-Daten, Formulare und andere übertragene Informationen sollten nicht unverschlüsselt übertragen werden. Ein gültiges SSL-Zertifikat gehört deshalb zur Grundabsicherung einer WordPress-Website.

• gültiges SSL-Zertifikat
• HTTP auf HTTPS weiterleiten
• aktuelle PHP-Version
• sichere Hosting-Zugänge
• SFTP statt unverschlüsseltem FTP bevorzugen
• unnötige Serverzugänge deaktivieren

7. Angriffe und Veränderungen überwachen

Viele Angriffe werden nicht sofort bemerkt. Eine Website kann weiterhin normal aussehen, obwohl neue Administratoren angelegt, PHP-Dateien verändert oder Weiterleitungen eingebaut wurden. Monitoring hilft, ungewöhnliche Veränderungen frühzeitig zu erkennen.

• fehlgeschlagene Login-Versuche
• neue Administratoren
• veränderte PHP-Dateien
• unerwartete Weiterleitungen
• neue oder unbekannte Plugins
• ungewöhnliche Cronjobs
• auffällige Server- oder PHP-Logs
• Änderungen an .htaccess oder wp-config.php

find wp-content -type f -name "*.php" -mtime -7 -print

Damit lassen sich kürzlich geänderte PHP-Dateien für eine weitere Prüfung eingrenzen. Eine kürzlich geänderte Datei ist jedoch nicht automatisch Malware. Entscheidend sind Kontext, Dateiinhalte, Benutzeraktivitäten und passende Logeinträge.

Was bei einem konkreten Hack-Verdacht zu tun ist

Wenn bereits unbekannte Administratoren, Weiterleitungen, Spam-Seiten oder verdächtige Dateien vorhanden sind, reicht normales Hardening nicht mehr aus. Dann muss zunächst geprüft werden, ob die Installation bereits kompromittiert wurde und über welchen Weg der Zugriff erfolgte. WordPress gehackt: Diese Schritte sind jetzt wichtig und WordPress Malware professionell entfernen sind passende nächste Schritte.

WordPress-Sicherheitscheck: die wichtigsten Punkte

• WordPress aktuell
• Plugins aktuell
• Themes aktuell
• unnötige Erweiterungen entfernt
• aktuelle kompatible PHP-Version
• starke individuelle Passwörter
• Zwei-Faktor-Authentifizierung
• nur notwendige Administratoren
• vollständige externe Backups
• HTTPS aktiv
• Hosting- und SFTP-Zugänge geschützt
• wp-config.php geschützt
• Monitoring aktiv
• Sicherheitsvorfälle dokumentiert

Wenn diese Bereiche regelmäßig kontrolliert werden, lässt sich ein großer Teil typischer WordPress-Sicherheitsprobleme vermeiden oder zumindest deutlich schneller erkennen. Planen Sie dafür feste Prüfintervalle und dokumentieren Sie, wann Updates, Backups und Benutzerkontrollen durchgeführt wurden. So bleibt nachvollziehbar, ob eine Maßnahme tatsächlich umgesetzt wurde oder nur vorgesehen ist. Prüfen Sie nach Änderungen außerdem Login, Formulare, Weiterleitungen und zentrale Inhalte. Ein Sicherheitscheck sollte nicht nur technische Werte betrachten, sondern auch die geschäftliche Bedeutung der Website: Legen Sie fest, welche Personen im Ernstfall informiert werden, wer Zugänge sperren darf und wo geprüfte Backups liegen. Dokumentieren Sie außerdem die wichtigsten Hosting- und Domainkontakte. Diese Vorbereitung spart im Vorfall Zeit, ohne ein bestimmtes Plugin oder einen einzelnen Anbieter zur Pflicht zu machen. Für einen Shop gelten bei Backups, Monitoring und Wiederherstellung andere Anforderungen als für eine selten aktualisierte Informationsseite. Werden Warnungen erkannt, sichern Sie zunächst den aktuellen Zustand, begrenzen Sie betroffene Zugänge und vermeiden Sie unkontrollierte Reparaturversuche. Bei einem bestätigten Vorfall gehören Ursachenanalyse, Bereinigung, Zugangsschutz und eine Nachkontrolle zusammen.