WordPress
absichern
Zwölf Maßnahmen, nach Wirkung sortiert – und ehrlich benannt, was davon wenig bringt. Dazu das Sicherheits-Audit zum Festpreis, wenn jemand draufschauen soll.
nach Wirkung sortiert
das im Ernstfall trägt
zzgl. USt.
Rückmeldung innerhalb von 24 Stunden. Unverbindlich – die Anleitung darunter kannst du auch ohne mich abarbeiten.
-
Vollständige Anleitung, nicht angeteasert
Alles Wirksame steht auf dieser Seite. Nichts davon ist absichtlich weggelassen.
-
Auch das, was wenig bringt
Zwei verbreitete Ratschläge sind Security by Obscurity – hier steht, welche.
-
Audit mit schriftlichem Ergebnis
Befunde nach Dringlichkeit sortiert, mit Umsetzungsempfehlung und Besprechung.
-
Der Audit-Preis kann sich anrechnen
Bei einem Wartungsvertrag innerhalb von 30 Tagen fließen die 490 € in die ersten Monatsbeiträge.
Die meisten Angriffe
meinen niemanden persönlich
Wer sich vorstellt, dass jemand gezielt vor der eigenen Website sitzt und sie knacken will, stellt sich die falsche Situation vor. Der Normalfall ist automatisiert: Skripte klappern fortlaufend große Mengen an Adressen ab und prüfen, ob dort eine bekannte Lücke offen steht – meist in einem Plugin, für das es das Update längst gibt.
Daraus folgt, worauf es wirklich ankommt. Nicht darauf, ein möglichst unauffälliges Ziel zu sein, sondern darauf, keine der bekannten Lücken offen zu haben und im Ernstfall schnell zurückzukönnen. Genau in dieser Reihenfolge stehen die Maßnahmen unten: erst das, was den automatisierten Massenangriff ins Leere laufen lässt, dann das, was den Schaden begrenzt, wenn doch etwas durchkommt.
- Angriffe suchen bekannte Lücken, keine bestimmten Websites
- Die Lücke ist meist ein Plugin, nicht der WordPress-Kern
- Zwischen Veröffentlichung einer Lücke und den ersten Scans liegt wenig Zeit
- Kleine Seiten sind nicht uninteressant – sie sind nur billiger zu übernehmen
- Was zählt: keine offenen Lücken und ein Backup, das nachweislich funktioniert
Schon betroffen? Wenn dein Browser bereits vor der Seite warnt, Besucher weitergeleitet werden oder ein unbekannter Administrator auftaucht, ist diese Seite der falsche Startpunkt. Dann gilt: Soforthilfe bei gehacktem WordPress – dort stehen die fünf Dinge, die du sofort selbst tun kannst.
WordPress absichern: die wichtigsten Maßnahmen
Nach Wirkung sortiert. Wer oben anfängt, hat den größten Teil des Risikos schon abgeräumt.
Updates einspielen, Plugins reduzieren
Die meisten erfolgreichen Angriffe nutzen eine Lücke, für die es längst ein Update gibt. Jedes Plugin, das du nicht brauchst, ist zusätzliche Angriffsfläche – und eines, das du löschst, musst du nie wieder aktualisieren. Deaktivieren genügt dabei nicht: Auch inaktive Plugins liegen mit ihrem Code auf dem Server.
Zwei-Faktor für alle Administratoren
Ein gestohlenes Passwort allein reicht damit nicht mehr für eine Anmeldung. Für Administratoren ist das die wirksamste einzelne Maßnahme, weil ein übernommenes Adminkonto praktisch alles erlaubt. Entscheidend ist, dass wirklich alle Konten mit Adminrechten sie nutzen – nicht nur das eigene.
Rollen und Rechte sauber vergeben
Nicht jeder, der Texte schreibt, braucht Administratorrechte. Wer Beiträge pflegt, kommt mit der Rolle Redakteur oder Autor aus – dann richtet auch ein übernommenes Konto weniger an. Zugänge ausgeschiedener Mitarbeiter oder früherer Dienstleister gehören gelöscht, nicht nur deaktiviert.
Login gegen Brute Force schützen
Automatisierte Skripte probieren Zugangsdaten in großer Zahl durch. Eine Begrenzung der Fehlversuche pro IP-Adresse macht das unpraktikabel, ohne dass du im Alltag etwas davon merkst. Zusammen mit Zwei-Faktor-Authentifizierung ist der Login danach kein lohnendes Ziel mehr.
Backups extern und getestet
Ein Backup, das auf demselben Server liegt wie die Website, ist bei einem Serverproblem genauso weg wie die Seite. Es muss außerhalb liegen – und es muss mindestens einmal zurückgespielt worden sein. Dazu weiter unten mehr, weil an diesem Punkt in der Praxis die meisten scheitern.
Security-Plugin mit Malware-Scan
Ein Scanner findet manipulierte Dateien und bekannte Schadmuster, oft bevor es jemandem sonst auffällt. Er ersetzt keine der Maßnahmen davor, verkürzt aber die Zeit zwischen Einbruch und Entdeckung erheblich. Genau diese Zeitspanne entscheidet darüber, wie aufwendig eine Bereinigung später wird.
Datei-Integritätsprüfung
Die Core-Dateien von WordPress sind bekannt – jede Abweichung davon lässt sich automatisch erkennen. Eine regelmäßige Prüfung meldet veränderte oder zusätzliche Dateien, auch wenn der Schadcode selbst neu und unbekannt ist. Das fängt die Fälle, an denen ein reiner Signatur-Scan vorbeisieht.
Aktuelle PHP-Version
WordPress läuft auf PHP, und alte PHP-Versionen bekommen keine Sicherheitsupdates mehr. Der Wechsel auf eine unterstützte Version ist meist eine Einstellung beim Hoster, braucht aber vorher einen Test, weil ältere Plugins daran brechen können. Nebeneffekt: Die Seite wird spürbar schneller.
HTTPS und Security-Header
HTTPS ist Standard und beim Hoster in der Regel kostenfrei enthalten. Darüber hinaus lassen sich per Header Regeln setzen, die dem Browser sagen, was auf deiner Seite erlaubt ist – etwa aus welchen Quellen er Skripte ausführen darf. Das begrenzt, was eingeschleuster Code bei deinen Besuchern anrichten kann.
XML-RPC und Datei-Editor abschalten
xmlrpc.php ist eine alte Schnittstelle, die kaum eine Seite noch braucht, die aber gern für automatisierte Anmeldeversuche genutzt wird. Der Datei-Editor im Backend erlaubt es, PHP-Dateien direkt im Browser zu bearbeiten – für jemanden mit Adminzugang ein bequemer Weg, Code zu hinterlegen. Beides lässt sich abschalten, ohne dass im Alltag etwas fehlt.
Hosting-Qualität
Ein Hoster, der PHP aktuell hält, Kundenaccounts sauber voneinander trennt und im Ernstfall brauchbare Backups und Server-Logs liefert, nimmt dir einen großen Teil der Arbeit ab. Beim billigsten Paket fehlt oft genau das. Wie groß der Unterschied ist, merkst du erst, wenn du unter Zeitdruck an Logs kommen musst.
Monitoring
Ohne Monitoring erfährst du von einem Problem durch einen Kunden oder durch Google. Uptime- und Malware-Überwachung melden sich vorher. Das ist der Unterschied zwischen einem Vorfall, der eine Stunde kostet, und einem Ausfall über ein ganzes Wochenende.
Und was wenig bringt: Zwei Ratschläge halten sich hartnäckig – die Login-URL umbenennen und die WordPress-Versionsnummer verstecken. Beides ist Security by Obscurity: Es macht die Seite für einen flüchtigen Blick unauffälliger, hält aber niemanden auf, der gezielt sucht. Schädlich sind die beiden nicht, sie ersetzen aber keine einzige der Maßnahmen darüber. Wer nur das tut, hat nichts gewonnen außer dem Gefühl, etwas getan zu haben.
Security-Plugins im Vergleich
Drei verbreitete Lösungen, jeweils mit Stärke, Schwäche und der Frage, wofür sie passen.
Wordfence
Bringt Firewall und Malware-Scanner zusammen und meldet detailliert, wenn etwas auffällt. Der Umfang ist zugleich die Schwäche: Die Standardeinstellungen erzeugen viele Meldungen, und der Scan kostet auf kleinen Servern spürbar Leistung. Passend für Seiten, bei denen jemand die Meldungen auch tatsächlich liest.
Solid Security
Konzentriert sich auf Login und Benutzerkonten – Zwei-Faktor, Rechte, Begrenzung von Fehlversuchen. Ein Malware-Scanner im Funktionsumfang von Wordfence gehört nicht zum Kern. Passend, wenn der Schwerpunkt auf der Zugangssicherheit liegt und die Dateiprüfung anderswo läuft.
Sucuri
Arbeitet stark serverseitig und bietet eine vorgelagerte Firewall, die Angriffe abfängt, bevor sie WordPress überhaupt erreichen. Der volle Funktionsumfang hängt am kostenpflichtigen Dienst, nicht am Plugin allein. Passend für Seiten, bei denen Ausfälle teuer sind und ein externer Dienst das rechtfertigt.
Welches der drei läuft, ist zweitrangig gegenüber der Frage, ob überhaupt jemand die Meldungen liest. Ein Scanner, der seit Monaten in ein ungelesenes Postfach schreibt, ist kein Schutz, sondern eine Ablage.
Backups: der Punkt,
an dem die meisten scheitern
Nicht daran, dass keine existieren. Sondern daran, dass nie jemand geprüft hat, ob sie sich zurückspielen lassen. Ein Backup, das nie wiederhergestellt wurde, ist kein Backup – es ist eine Datei, von der man hofft, dass sie das Richtige enthält.
Das 3-2-1-Prinzip ist die einfachste brauchbare Regel: drei Kopien der Daten, auf zwei verschiedenen Systemen, davon eine an einem anderen Ort. Für eine Website heißt das konkret: der Live-Stand, ein Backup beim Hoster und ein zweites außerhalb.
Der Speicherort außerhalb des Servers ist der entscheidende Teil. Fällt der Server aus oder wird er kompromittiert, ist ein Backup, das dort liegt, mit betroffen – und bei einem Hack gehört das Löschen erreichbarer Sicherungen zum Repertoire. Der Wiederherstellungstest zeigt dann, ob die Datenbank dabei ist, ob die Dateirechte stimmen und wie lange die Rückkehr tatsächlich dauert.
- Drei Kopien: Live-Stand plus zwei Sicherungen
- Zwei verschiedene Systeme, nicht zweimal derselbe Server
- Eine Kopie außerhalb – für den Fall, dass der Server selbst das Problem ist
- Die Datenbank gehört dazu, nicht nur die Dateien
- Mindestens eine Wiederherstellung tatsächlich durchgeführt
- Bekannt, wie lange eine vollständige Rückkehr dauert
- Automatisch, nicht abhängig davon, dass jemand daran denkt
Selbst absichern oder absichern lassen
Eine ehrliche Gegenüberstellung – ohne die Variante schlechtzureden, bei der ich nichts verdiene.
Selbst machen ist eine völlig vernünftige Entscheidung – deshalb steht die Anleitung oben vollständig auf dieser Seite und nicht in einem Formular hinter einer E-Mail-Adresse. Wer sie abarbeitet, hat eine gut abgesicherte Website, ganz ohne mich. Die Frage ist weniger, ob du es kannst, sondern ob du es in sechs Monaten immer noch regelmäßig tust. Wenn die Antwort ehrlich „eher nicht“ lautet, ist die laufende WordPress-Betreuung der praktischere Weg.
Das Sicherheits-Audit
zum Festpreis
Wenn du wissen willst, wo deine Installation gerade steht – bevor du entscheidest, was du damit machst.
Preis zzgl. USt. Festpreis, unabhängig vom Ergebnis.
-
Prüfung der Installation Der Ist-Zustand deiner Seite, gemessen an den Punkten oben
-
Schriftlicher Bericht Befunde nach Dringlichkeit sortiert – nicht alphabetisch, nicht nach Aufwand
-
Umsetzungsempfehlung Was zuerst, was kann warten, was lohnt gar nicht
-
Besprechung des Ergebnisses Damit klar ist, was die Befunde für dich bedeuten. Umsetzung auf Wunsch.
Preis zzgl. USt. Der Audit-Preis wird angerechnet, wenn du innerhalb von 30 Tagen abschließt.
-
Aus dem Befund wird ein Zustand Die Punkte aus dem Bericht werden umgesetzt und bleiben umgesetzt
-
Updates, Backups, Monitoring Genau die Maßnahmen, die laufend jemanden brauchen
-
Drei Pakete Vom kleinen Auftritt bis zum WooCommerce-Shop
Der Übergang ist der eigentliche Zweck: Schließt du innerhalb von 30 Tagen nach dem Audit einen Wartungsvertrag ab, werden die 490 € vollständig auf die ersten Monatsbeiträge angerechnet. Das Audit kostet dich in diesem Fall also nichts zusätzlich – es ist die Bestandsaufnahme, mit der die Betreuung ohnehin beginnt. Alle Preise im Detail stehen auf der Seite Was kostet WordPress-Wartung?
Häufige Fragen zur Sicherheit
Sechs Fragen, die vor jeder Absicherung stehen.
Wie erkenne ich, ob meine Seite bereits kompromittiert ist?
Typische Zeichen sind eine Google-Warnung in den Suchergebnissen, eine Browserwarnung vor Schadsoftware, Weiterleitungen auf fremde Seiten, unbekannte Administratoren in der Benutzerliste oder Spam-Mails vom eigenen Server. Die vollständige Liste und die fünf Sofortmaßnahmen stehen auf der Seite WordPress gehackt – Soforthilfe.
Reicht ein Security-Plugin?
Nein. Ein Security-Plugin verkürzt die Zeit zwischen Einbruch und Entdeckung, aber es schließt keine Lücke, die durch ein fehlendes Update offen steht, und es ersetzt weder Zwei-Faktor-Authentifizierung noch getestete Backups. Es ist eine sinnvolle Ergänzung, nicht die Grundlage.
Wie oft sollte ich updaten?
Sicherheitsupdates so schnell wie möglich, alles andere in einem festen Takt, damit es nicht liegen bleibt. In der laufenden Betreuung läuft das je nach Paket monatlich, 14-tägig oder wöchentlich – Sicherheitsupdates im Standard- und Shop-Paket sofort.
Ist WordPress unsicherer als andere Systeme?
Der Kern von WordPress wird aktiv gepflegt und ist nicht das Hauptproblem. Angreifbar macht WordPress die Verbreitung in Verbindung mit einem riesigen Plugin-Ökosystem sehr unterschiedlicher Qualität: Es lohnt sich, automatisiert nach bekannten Plugin-Lücken zu suchen. Ein gepflegtes WordPress mit wenigen Plugins ist nicht unsicherer als ein vergleichbar gepflegtes anderes System.
Was kostet ein Sicherheits-Audit?
Das WordPress-Sicherheits-Audit kostet 490 € zzgl. USt. als Festpreis. Schließt du innerhalb von 30 Tagen einen Wartungsvertrag ab, wird dieser Betrag vollständig auf die ersten Monatsbeiträge angerechnet.
Was ist der Unterschied zwischen Audit und laufender Wartung?
Das Audit ist eine einmalige Bestandsaufnahme: Es sagt dir, wo du stehst, und liefert eine sortierte Liste dessen, was zu tun ist. Die laufende Wartung sorgt dafür, dass dieser Zustand auch in sechs Monaten noch stimmt – mit geprüften Updates, externen Backups und Monitoring.
Wissen, wo
du gerade stehst.
Schreib mir kurz, um welche Seite es geht. Ich sage dir, ob ein Audit in deinem Fall sinnvoll ist – oder ob die Liste oben für dich schon reicht.
Website prüfen lassenFestpreis 490 € zzgl. USt. · Unverbindliche Anfrage · Rückmeldung innerhalb von 24 Stunden