WordPress absichern: 10 Maßnahmen, die wirklich zählen

Kategorien: Security

WordPress ist das meistgenutzte Content-Management-System der Welt. Genau das macht es zu einem attraktiven Ziel: Angreifer müssen nur eine bekannte Schwachstelle finden und können sie anschließend automatisiert bei Tausenden Websites ausprobieren. Dabei geht es selten um persönliche Rache oder gezielte Angriffe auf Ihr Unternehmen. Meist läuft es nüchtern ab: Bots durchsuchen das Internet nach veralteten Plugins, schwachen Passwörtern und offenen Einfallstoren.

Die gute Nachricht: Mit wenigen, gut gewählten Maßnahmen lässt sich das Risiko drastisch senken. Sie brauchen dafür keine Spezialkenntnisse in IT-Sicherheit und kein teures Tool-Arsenal. Entscheidend ist, die richtigen Dinge konsequent zu tun. In diesem Artikel stellen wir zehn Maßnahmen vor, die in der Praxis den größten Unterschied machen, verständlich erklärt und mit konkreten Handlungsempfehlungen.

Warum WordPress-Sicherheit mehr ist als ein technisches Thema

Eine gehackte Website ist nicht nur ein Ärgernis für Ihr Technikteam. Die Folgen reichen weiter:

• Reputationsschaden: Besucher sehen Warnseiten des Browsers oder Spam-Inhalte und verlieren Vertrauen.
• Sichtbarkeitsverlust: Suchmaschinen können kompromittierte Seiten abwerten oder mit einer Warnung versehen.
• Datenschutzrisiko: Kontaktformulare, Newsletter-Anmeldungen oder Shop-Kundendaten können abfließen.
• Rechtliche Pflichten: Die DSGVO verlangt in Artikel 32 angemessene technische und organisatorische Maßnahmen zum Schutz personenbezogener Daten. Eine ungepflegte Website kann diesem Anspruch kaum genügen.
• Wirtschaftlicher Schaden: Ausfallzeiten, Bereinigung und Wiederherstellung kosten Zeit und Geld.

Wer Sicherheit als laufenden Prozess versteht, spart sich in der Regel viel Aufwand im Ernstfall.

Maßnahme 1: Alles aktuell halten (WordPress, Plugins, Themes, PHP)

Veraltete Software ist die häufigste Ursache erfolgreicher Angriffe. Sobald eine Sicherheitslücke in einem Plugin oder Theme bekannt wird, veröffentlichen Entwickler ein Update und beschreiben das Problem häufig öffentlich im Changelog. Ab diesem Moment wissen auch Angreifer davon. Wer nicht zeitnah aktualisiert, bleibt angreifbar, und zwar oft nur wenige Tage nach Bekanntwerden einer Lücke.

Was Sie tun sollten:

• Aktivieren Sie automatische Updates für den WordPress-Kern. Kleinere Sicherheitsupdates werden standardmäßig automatisch eingespielt.
• Aktivieren Sie automatische Updates für Plugins, zumindest für jene, die als zuverlässig gelten und selten Probleme verursachen. In der Plugin-Übersicht gibt es dafür pro Plugin einen Schalter.
• Prüfen Sie bei wichtigen Seiten Updates zunächst in einer Staging-Umgebung, also einer Testkopie Ihrer Website.
• Nutzen Sie eine aktuell unterstützte PHP-Version. Alte PHP-Versionen erhalten keine Sicherheitskorrekturen mehr. Die Einstellung finden Sie meist im Hosting-Panel.

Wer lieber alles selbst steuert, kann in der Datei wp-config.php oder in einem kleinen Plugin gezielt festlegen, was automatisch aktualisiert wird:

// Automatische Updates für Plugins und Themes aktivieren
add_filter( 'auto_update_plugin', '__return_true' );
add_filter( 'auto_update_theme', '__return_true' );

Maßnahme 2: Starke Passwörter und Zwei-Faktor-Authentifizierung

Gestohlene oder erratene Zugangsdaten gehören zu den einfachsten Wegen in ein System. Viele Menschen verwenden dasselbe Passwort bei mehreren Diensten. Wird einer davon gehackt, probieren Angreifer die erbeuteten Kombinationen automatisiert bei anderen Seiten aus, auch bei Ihrem WordPress-Login.

Was Sie tun sollten:

• Verwenden Sie lange, zufällige Passwörter, am besten über einen Passwortmanager. Länge schlägt Komplexität: Eine Passphrase aus mehreren Wörtern ist stärker als ein kurzes Passwort mit Sonderzeichen.
• Vergeben Sie für jeden Benutzer ein eigenes Passwort. Teilen Sie keine Zugänge.
• Aktivieren Sie die Zwei-Faktor-Authentifizierung (2FA) für alle Konten mit Redakteurs- oder Administratorrechten. Authenticator-Apps oder Hardware-Schlüssel sind SMS-Codes vorzuziehen.
• Verzichten Sie auf den Benutzernamen „admin“. Er ist der erste, den Angriffsprogramme ausprobieren. Legen Sie einen neuen Administrator mit einem unauffälligen Namen an und löschen Sie den alten Account.
• Achten Sie darauf, dass der öffentlich angezeigte Name nicht dem Login-Namen entspricht.

2FA ist eine der wirkungsvollsten Einzelmaßnahmen überhaupt. Selbst wenn ein Passwort in falsche Hände gerät, bleibt das Konto geschützt.

Maßnahme 3: Den Login-Bereich gegen Angriffe schützen

Der Anmeldebereich unter /wp-login.php und /wp-admin ist öffentlich erreichbar und wird deshalb permanent von Bots beschossen. Bei sogenannten Brute-Force-Angriffen probieren Programme in kurzer Zeit tausende Passwörter durch. Selbst wenn sie keinen Erfolg haben, belasten sie Ihren Server.

Was Sie tun sollten:

• Begrenzen Sie fehlgeschlagene Anmeldeversuche. Nach einer festgelegten Zahl von Fehlversuchen wird die IP-Adresse vorübergehend gesperrt. Viele Sicherheits-Plugins bieten diese Funktion.
• Setzen Sie ein CAPTCHA oder eine vergleichbare Bot-Abwehr ein. Achten Sie bei externen Diensten auf die datenschutzkonforme Einbindung, da Daten an Drittanbieter übertragen werden können.
• Schränken Sie den Zugriff auf /wp-admin nach Möglichkeit auf bekannte IP-Adressen ein, falls Ihr Team mit festen Adressen arbeitet.
• Erwägen Sie, die Login-Adresse zu ändern. Das ist keine echte Sicherheitsmaßnahme, reduziert aber das Hintergrundrauschen durch Bots deutlich. Verlassen Sie sich nie allein darauf.
• Deaktivieren Sie xmlrpc.php, wenn Sie die Schnittstelle nicht benötigen. Sie wird häufig für Brute-Force-Angriffe missbraucht. Beachten Sie, dass manche Dienste und Apps sie noch verwenden.

Ein Beispiel für Apache-Server in der Datei .htaccess:

# xmlrpc.php für alle Anfragen sperren
<Files xmlrpc.php>
    Require all denied
</Files>

Maßnahme 4: Benutzerrechte nach dem Minimalprinzip vergeben

Nicht jeder, der Inhalte pflegt, braucht Administratorrechte. Je mehr Konten volle Rechte besitzen, desto größer ist die Angriffsfläche. Wird ein Redakteurskonto gehackt, ist der Schaden begrenzt. Bei einem Administratorkonto hat der Angreifer dagegen alles in der Hand: Er kann Plugins installieren, Inhalte verändern und weitere Hintertüren anlegen.

Was Sie tun sollten:

• Vergeben Sie Rollen nach dem Prinzip der minimalen Rechte. WordPress kennt Administrator, Redakteur, Autor, Mitarbeiter und Abonnent.
• Prüfen Sie regelmäßig, welche Benutzer existieren. Konten ehemaliger Mitarbeiter, Agenturen oder Freelancer sollten umgehend entfernt oder deaktiviert werden.
• Beschränken Sie die Zahl der Administratoren auf das Nötigste, in kleinen Teams oft ein bis zwei Personen.
• Deaktivieren Sie die offene Registrierung, wenn Sie sie nicht benötigen (Einstellungen, Allgemein, „Mitgliedschaft“).
• Nutzen Sie für die tägliche Arbeit ein Konto mit eingeschränkten Rechten und den Administratorzugang nur für administrative Aufgaben.

Maßnahme 5: Plugins und Themes konsequent ausmisten

Plugins erweitern WordPress, sind aber zugleich die häufigste Einfallstür. Jede zusätzliche Erweiterung ist Code, der gepflegt werden muss und Fehler enthalten kann. Dabei zählt nicht nur die Anzahl, sondern vor allem die Qualität und Pflege.

Was Sie tun sollten:

• Deinstallieren Sie alles, was Sie nicht aktiv nutzen. Deaktivierte Plugins und Themes sind nicht automatisch ungefährlich, ihr Code liegt weiterhin auf dem Server und kann verwundbar sein.
• Prüfen Sie vor der Installation: Wann gab es das letzte Update? Wie viele aktive Installationen hat das Plugin? Wie reagiert der Entwickler auf Supportanfragen und Sicherheitsmeldungen?
• Laden Sie Plugins und Themes ausschließlich aus vertrauenswürdigen Quellen, etwa dem offiziellen WordPress-Verzeichnis oder direkt vom Hersteller.
• Verwenden Sie niemals sogenannte „Nulled“-Versionen, also illegal kostenlos verbreitete Premium-Erweiterungen. Sie enthalten sehr häufig Schadcode.
• Entfernen Sie ungenutzte Standard-Themes, behalten Sie aber ein aktuelles als Rückfalloption.
• Verzichten Sie auf Plugins, die seit langer Zeit keine Updates mehr erhalten haben, und suchen Sie nach gepflegten Alternativen.

Ein schlanker Plugin-Bestand ist nicht nur sicherer, sondern verbessert oft auch die Ladezeit.

Maßnahme 6: HTTPS erzwingen und Sicherheits-Header setzen

Eine verschlüsselte Verbindung per HTTPS ist heute Standard. Sie schützt Anmeldedaten und Formulareingaben auf dem Weg zwischen Browser und Server vor dem Mitlesen und ist zudem ein Vertrauenssignal für Besucher und Suchmaschinen. Zertifikate sind bei den meisten Hostern kostenlos verfügbar.

Was Sie tun sollten:

• Leiten Sie sämtliche Anfragen von HTTP auf HTTPS um.
• Stellen Sie sicher, dass in den WordPress-Einstellungen sowohl die WordPress-Adresse als auch die Website-Adresse mit https:// beginnen.
• Erzwingen Sie verschlüsselte Verbindungen im Backend mit einer Zeile in der wp-config.php:

// Anmeldung und Administrationsbereich nur über HTTPS
define( 'FORCE_SSL_ADMIN', true );

• Setzen Sie zusätzliche HTTP-Sicherheits-Header. Sie weisen den Browser an, bestimmte riskante Verhaltensweisen zu unterbinden. Beispiel für Apache mit aktiviertem mod_headers:

# Grundlegende Sicherheits-Header
Header always set X-Content-Type-Options "nosniff"
Header always set X-Frame-Options "SAMEORIGIN"
Header always set Referrer-Policy "strict-origin-when-cross-origin"

Der Header Strict-Transport-Security (HSTS) weist Browser an, Ihre Seite künftig ausschließlich per HTTPS aufzurufen. Aktivieren Sie ihn erst, wenn Ihre gesamte Seite fehlerfrei über HTTPS läuft, und beginnen Sie mit einer kurzen Gültigkeitsdauer. Eine Content-Security-Policy ist ein mächtiges Werkzeug, erfordert aber sorgfältiges Testen, da sie schnell Funktionen wie eingebettete Inhalte oder Skripte blockiert.

Maßnahme 7: Regelmäßige Backups, die Sie wirklich wiederherstellen können

Keine Schutzmaßnahme bietet hundertprozentige Sicherheit. Deshalb ist das Backup Ihre Lebensversicherung. Nach einem erfolgreichen Angriff, einem fehlerhaften Update oder einem Serverausfall entscheidet es, ob Sie in Minuten oder in Tagen wieder online sind.

Was Sie tun sollten:

• Sichern Sie Dateien und Datenbank. Nur beides zusammen ergibt ein vollständiges Backup.
• Richten Sie automatische Backups ein, bei aktiven Seiten täglich, bei Shops mit vielen Bestellungen gegebenenfalls häufiger.
• Befolgen Sie die 3-2-1-Regel: drei Kopien, auf zwei verschiedenen Medien, davon eine an einem externen Ort. Ein Backup, das auf demselben Server liegt wie die Website, hilft bei einem Totalausfall nichts.
• Bewahren Sie mehrere Generationen auf. Manche Infektionen bleiben zunächst unbemerkt. Wenn nur das gestrige Backup existiert, ist es unter Umständen bereits verseucht.
• Testen Sie die Wiederherstellung. Ein Backup, das sich nicht einspielen lässt, ist wertlos. Spielen Sie es regelmäßig in einer Testumgebung ein.
• Schützen Sie Backups selbst: verschlüsselt speichern und mit eigenen Zugangsdaten versehen.

Maßnahme 8: Konfiguration und Dateisystem härten

Viele Angriffe zielen nicht auf WordPress selbst, sondern auf Fehlkonfigurationen des Servers. Mit wenigen Einstellungen schließen Sie typische Lücken.

Was Sie tun sollten:

• Datei-Editor abschalten: WordPress erlaubt Administratoren, Theme- und Plugin-Code direkt im Backend zu bearbeiten. Gelangt ein Angreifer ins Backend, kann er hierüber Schadcode einschleusen. Deaktivieren Sie das Feature:

// Code-Editor im Backend abschalten
define( 'DISALLOW_FILE_EDIT', true );

• wp-config.php schützen: Diese Datei enthält Datenbank-Zugangsdaten und Sicherheitsschlüssel. Sie sollte nicht von außen erreichbar sein und nach Möglichkeit eine Ebene oberhalb des Web-Verzeichnisses liegen, was WordPress unterstützt. Alternativ sperren Sie den Zugriff per .htaccess:

# Zugriff auf wp-config.php verbieten
<Files wp-config.php>
    Require all denied
</Files>

• Verzeichnisauflistung deaktivieren: Ohne Index-Datei zeigen manche Server den Inhalt eines Ordners an. Das verrät Angreifern, welche Plugins und Dateien vorhanden sind.

# Verzeichnisinhalte nicht anzeigen
Options -Indexes

• Dateirechte korrekt setzen: Üblich sind 755 für Verzeichnisse und 644 für Dateien, die wp-config.php darf strenger sein (etwa 640 oder 600, je nach Hosting). Keine Datei sollte 777 haben.
• Sicherheitsschlüssel erneuern: Die Schlüssel und Salts in der wp-config.php können Sie mit dem offiziellen WordPress-Generator neu erzeugen. Dadurch werden alle bestehenden Sitzungen ungültig, was nach einem Verdacht auf Missbrauch sinnvoll ist.
• Ausführung von PHP in Upload-Ordnern unterbinden: Der Ordner wp-content/uploads sollte nur Medien enthalten. Ein Angreifer, der dort eine PHP-Datei ablegen kann, darf sie nicht ausführen können.
• Hosting prüfen: Gute Hoster bieten getrennte Benutzerkonten pro Website, aktuelle Server-Software, Firewalls auf Serverebene und tägliche Backups. Auf Billigangeboten, bei denen sich viele Websites ein Konto teilen, kann sich eine Infektion leichter ausbreiten.

Maßnahme 9: Firewall und Malware-Scanner einsetzen

Eine Web Application Firewall (WAF) filtert Anfragen, bevor sie WordPress erreichen, und blockiert typische Angriffsmuster, etwa das Einschleusen von Schadcode über Formularfelder. Ein Scanner prüft Dateien auf Veränderungen und bekannte Schadsoftware.

Was Sie tun sollten:

• Entscheiden Sie sich für eine Variante: Eine Firewall auf DNS- oder Cloud-Ebene stoppt Angriffe, bevor sie Ihren Server erreichen. Eine Firewall als Plugin arbeitet innerhalb von WordPress, belastet dadurch aber den Server stärker und greift erst später.
• Nutzen Sie ein etabliertes Sicherheits-Plugin, das Dateiintegrität prüft, Schadcode erkennt und Sie bei Auffälligkeiten benachrichtigt. Wählen Sie bewusst eines und kombinieren Sie nicht mehrere Plugins mit überlappenden Funktionen, da sie sich gegenseitig stören können.
• Planen Sie regelmäßige automatische Scans ein.
• Prüfen Sie datenschutzrechtliche Aspekte: Cloud-Dienste verarbeiten Zugriffsdaten, oft inklusive IP-Adressen. Klären Sie Auftragsverarbeitung und Serverstandort, und erwähnen Sie den Dienst in Ihrer Datenschutzerklärung.

Eine Firewall ersetzt keine Updates. Sie ist eine zusätzliche Schutzschicht, kein Freibrief.

Maßnahme 10: Überwachen, protokollieren und einen Notfallplan bereithalten

Wer nicht bemerkt, dass etwas passiert ist, kann nicht reagieren. Viele Kompromittierungen bleiben wochenlang unentdeckt und werden dann zufällig bemerkt, etwa weil Besucher Spam sehen oder der Hoster das Konto sperrt.

Was Sie tun sollten:

• Aktivitätsprotokoll einrichten: Ein Audit-Log hält fest, wer wann welche Änderungen vorgenommen hat, etwa neue Benutzer, installierte Plugins oder geänderte Einstellungen. Ungewöhnliche Vorgänge fallen so schneller auf.
• Verfügbarkeit überwachen: Ein Uptime-Monitoring meldet per E-Mail oder Nachricht, wenn die Seite nicht erreichbar ist oder sich der Inhalt auffällig verändert.
• Benachrichtigungen aktivieren: Lassen Sie sich bei neuen Administratoren, geänderten Dateien oder fehlgeschlagenen Backups informieren.
• Notfallplan schriftlich festhalten: Wer wird im Ernstfall informiert? Wo liegen die Backups? Wer hat Zugriff auf Hosting, Domain und DNS? Welche Schritte werden in welcher Reihenfolge durchgeführt?

Ein einfacher Ablauf bei Verdacht auf eine Infektion:

1. Seite in den Wartungsmodus versetzen oder vom Netz nehmen, um weiteren Schaden und Verbreitung zu verhindern.
2. Alle Passwörter ändern: WordPress, Datenbank, FTP/SFTP, Hosting-Konto und E-Mail.
3. Eine Kopie des aktuellen Zustands für die spätere Analyse sichern.
4. Auf ein sauberes Backup zurückgehen, das vor dem Angriff erstellt wurde, oder die Seite sauber neu aufbauen.
5. WordPress, Plugins und Themes aktualisieren und die Ursache klären, damit sich der Vorfall nicht wiederholt.
6. Prüfen, ob personenbezogene Daten betroffen sind. Dann kann eine Meldepflicht an die Datenschutzaufsicht innerhalb von 72 Stunden bestehen. Holen Sie hierzu fachlichen Rat ein.

Die Maßnahmen im Überblick: Ihre Checkliste

Nutzen Sie diese Liste als Schnellprüfung für Ihre eigene Website:

• WordPress-Kern, Plugins, Themes und PHP sind aktuell, automatische Updates sind aktiv.
• Alle Konten haben starke, einzigartige Passwörter, 2FA ist für Redakteure und Administratoren aktiviert.
• Fehlversuche beim Login werden begrenzt, xmlrpc.php ist gesperrt, sofern nicht benötigt.
• Benutzerrechte sind minimal vergeben, nicht mehr benötigte Konten sind entfernt.
• Ungenutzte Plugins und Themes sind gelöscht, es werden nur vertrauenswürdige Quellen genutzt.
• HTTPS ist erzwungen, grundlegende Sicherheits-Header sind gesetzt.
• Tägliche Backups liegen extern, die Wiederherstellung wurde getestet.
• Datei-Editor ist deaktiviert, wp-config.php ist geschützt, Verzeichnislisting ist aus, Dateirechte sind korrekt.
• Eine Firewall und ein Malware-Scanner sind eingerichtet.
• Aktivitätsprotokoll, Uptime-Monitoring und ein schriftlicher Notfallplan sind vorhanden.

Häufige Fragen

Reicht ein Sicherheits-Plugin allein aus? Nein. Ein Plugin ist ein Baustein, aber es ersetzt weder Updates noch gute Passwörter oder Backups. Sicherheit entsteht aus dem Zusammenspiel mehrerer Maßnahmen.

Wie oft sollte ich meine Website prüfen? Updates sollten Sie mindestens wöchentlich einspielen, sicherheitskritische sofort. Eine umfassende Kontrolle von Benutzern, Plugins und Backups empfiehlt sich etwa vierteljährlich.

Ist meine kleine Website überhaupt ein Ziel? Ja. Angriffe erfolgen automatisiert und unabhängig von Größe oder Bekanntheit. Auch kleine Seiten werden gekapert, etwa um Spam zu versenden, Schadsoftware zu verteilen oder Rechenleistung zu missbrauchen.

Kann ich das alles selbst umsetzen? Vieles ja, etwa Updates, Passwörter, 2FA, Benutzerverwaltung und Plugin-Hygiene. Für Server-Konfiguration, Firewalls und Notfälle lohnt sich die Unterstützung durch erfahrene Fachleute oder einen guten Hoster.

Fazit: Konsequenz schlägt Perfektion

WordPress ist grundsätzlich ein ausgereiftes und sicheres System. Die meisten erfolgreichen Angriffe nutzen keine geheimnisvollen Tricks, sondern bekannte Schwachstellen in veralteter Software, schwache Zugangsdaten oder Fehlkonfigurationen. Genau dort setzen die zehn Maßnahmen an.

Beginnen Sie mit den Grundlagen: Updates, starke Passwörter mit 2FA, ein aufgeräumter Plugin-Bestand und funktionierende Backups. Diese vier Punkte decken bereits einen großen Teil der realistischen Risiken ab. Ergänzen Sie anschließend Schritt für Schritt Härtung, Firewall und Monitoring.

Sicherheit ist keine einmalige Aufgabe, sondern eine Gewohnheit. Wer sie fest in die regelmäßige Pflege seiner Website einplant, schützt nicht nur Technik, sondern auch das Vertrauen von Kunden, Lesern und Geschäftspartnern.

Unsicher, wo Ihre Website heute steht? Gehen Sie die Checkliste durch und markieren Sie, was noch fehlt. Das Ergebnis ist Ihre persönliche Prioritätenliste für die nächsten Wochen.