{"id":5648,"date":"2026-10-26T16:54:52","date_gmt":"2026-10-26T15:54:52","guid":{"rendered":"https:\/\/wwwschutz.de\/blog\/?p=5648"},"modified":"2026-10-23T16:06:37","modified_gmt":"2026-10-23T14:06:37","slug":"wordpress-absichern-10-massnahmen-die-wirklich-zaehlen","status":"publish","type":"post","link":"https:\/\/wwwschutz.de\/blog\/wordpress-absichern-10-massnahmen-die-wirklich-zaehlen\/","title":{"rendered":"WordPress absichern: 10 Ma\u00dfnahmen, die wirklich z\u00e4hlen"},"content":{"rendered":"\n

WordPress ist das meistgenutzte Content-Management-System der Welt. Genau das macht es zu einem attraktiven Ziel: Angreifer m\u00fcssen nur eine bekannte Schwachstelle finden und k\u00f6nnen sie anschlie\u00dfend automatisiert bei Tausenden Websites ausprobieren. Dabei geht es selten um pers\u00f6nliche Rache oder gezielte Angriffe auf Ihr Unternehmen. Meist l\u00e4uft es n\u00fcchtern ab: Bots durchsuchen das Internet nach veralteten Plugins, schwachen Passw\u00f6rtern und offenen Einfallstoren.<\/em><\/p>\n\n\n\n

Die gute Nachricht: Mit wenigen, gut gew\u00e4hlten Ma\u00dfnahmen l\u00e4sst sich das Risiko drastisch senken. Sie brauchen daf\u00fcr keine Spezialkenntnisse in IT-Sicherheit und kein teures Tool-Arsenal. Entscheidend ist, die richtigen Dinge konsequent zu tun. In diesem Artikel stellen wir zehn Ma\u00dfnahmen vor, die in der Praxis den gr\u00f6\u00dften Unterschied machen, verst\u00e4ndlich erkl\u00e4rt und mit konkreten Handlungsempfehlungen.<\/p>\n\n\n\n

\"Angriff
Angriffe laufen meist automatisiert ab: Ein Bot findet ein veraltetes Plugin, nutzt die L\u00fccke aus und \u00fcbernimmt die Website.<\/figcaption><\/figure>\n\n\n\n

Warum WordPress-Sicherheit mehr ist als ein technisches Thema<\/h2>\n\n\n\n

Eine gehackte Website ist nicht nur ein \u00c4rgernis f\u00fcr Ihr Technikteam. Die Folgen reichen weiter:<\/p>\n\n\n\n

    \n
  • Reputationsschaden:<\/strong> Besucher sehen Warnseiten des Browsers oder Spam-Inhalte und verlieren Vertrauen.<\/li>\n\n\n\n
  • Sichtbarkeitsverlust:<\/strong> Suchmaschinen k\u00f6nnen kompromittierte Seiten abwerten oder mit einer Warnung versehen.<\/li>\n\n\n\n
  • Datenschutzrisiko:<\/strong> Kontaktformulare, Newsletter-Anmeldungen oder Shop-Kundendaten k\u00f6nnen abflie\u00dfen.<\/li>\n\n\n\n
  • Rechtliche Pflichten:<\/strong> Die DSGVO verlangt in Artikel 32 angemessene technische und organisatorische Ma\u00dfnahmen zum Schutz personenbezogener Daten. Eine ungepflegte Website kann diesem Anspruch kaum gen\u00fcgen.<\/li>\n\n\n\n
  • Wirtschaftlicher Schaden:<\/strong> Ausfallzeiten, Bereinigung und Wiederherstellung kosten Zeit und Geld.<\/li>\n<\/ul>\n\n\n\n
    \"F\u00fcnf
    Sicherheit entsteht in Schichten: F\u00e4llt eine Ebene aus, greift die n\u00e4chste.<\/figcaption><\/figure>\n\n\n\n

    Wer Sicherheit als laufenden Prozess versteht, spart sich in der Regel viel Aufwand im Ernstfall.<\/p>\n\n\n\n

    Ma\u00dfnahme 1: Alles aktuell halten (WordPress, Plugins, Themes, PHP)<\/h2>\n\n\n\n

    Veraltete Software ist die h\u00e4ufigste Ursache erfolgreicher Angriffe. Sobald eine Sicherheitsl\u00fccke in einem Plugin oder Theme bekannt wird, ver\u00f6ffentlichen Entwickler ein Update und beschreiben das Problem h\u00e4ufig \u00f6ffentlich im Changelog. Ab diesem Moment wissen auch Angreifer davon. Wer nicht zeitnah aktualisiert, bleibt angreifbar, und zwar oft nur wenige Tage nach Bekanntwerden einer L\u00fccke.<\/p>\n\n\n\n

    Was Sie tun sollten:<\/strong><\/p>\n\n\n\n

      \n
    • Aktivieren Sie automatische Updates f\u00fcr den WordPress-Kern. Kleinere Sicherheitsupdates werden standardm\u00e4\u00dfig automatisch eingespielt.<\/li>\n\n\n\n
    • Aktivieren Sie automatische Updates f\u00fcr Plugins, zumindest f\u00fcr jene, die als zuverl\u00e4ssig gelten und selten Probleme verursachen. In der Plugin-\u00dcbersicht gibt es daf\u00fcr pro Plugin einen Schalter.<\/li>\n\n\n\n
    • Pr\u00fcfen Sie bei wichtigen Seiten Updates zun\u00e4chst in einer Staging-Umgebung, also einer Testkopie Ihrer Website.<\/li>\n\n\n\n
    • Nutzen Sie eine aktuell unterst\u00fctzte PHP-Version. Alte PHP-Versionen erhalten keine Sicherheitskorrekturen mehr. Die Einstellung finden Sie meist im Hosting-Panel.<\/li>\n<\/ul>\n\n\n\n

      Wer lieber alles selbst steuert, kann in der Datei wp-config.php<\/code> oder in einem kleinen Plugin gezielt festlegen, was automatisch aktualisiert wird:<\/p>\n\n\n\n

      \/\/ Automatische Updates f\u00fcr Plugins und Themes aktivieren\nadd_filter( 'auto_update_plugin', '__return_true' );\nadd_filter( 'auto_update_theme', '__return_true' );\n<\/code><\/pre>\n\n\n\n
      Ma\u00dfnahme 2: Starke Passw\u00f6rter und Zwei-Faktor-Authentifizierung<\/h2>\n\n\n\n
      Gestohlene oder erratene Zugangsdaten geh\u00f6ren zu den einfachsten Wegen in ein System. Viele Menschen verwenden dasselbe Passwort bei mehreren Diensten. Wird einer davon gehackt, probieren Angreifer die erbeuteten Kombinationen automatisiert bei anderen Seiten aus, auch bei Ihrem WordPress-Login.<\/p>\n\n\n\n
      Was Sie tun sollten:<\/strong><\/p>\n\n\n\n
        \n
      • Verwenden Sie lange, zuf\u00e4llige Passw\u00f6rter, am besten \u00fcber einen Passwortmanager. L\u00e4nge schl\u00e4gt Komplexit\u00e4t: Eine Passphrase aus mehreren W\u00f6rtern ist st\u00e4rker als ein kurzes Passwort mit Sonderzeichen.<\/li>\n\n\n\n
      • Vergeben Sie f\u00fcr jeden Benutzer ein eigenes Passwort. Teilen Sie keine Zug\u00e4nge.<\/li>\n\n\n\n
      • Aktivieren Sie die Zwei-Faktor-Authentifizierung (2FA) f\u00fcr alle Konten mit Redakteurs- oder Administratorrechten. Authenticator-Apps oder Hardware-Schl\u00fcssel sind SMS-Codes vorzuziehen.<\/li>\n\n\n\n
      • Verzichten Sie auf den Benutzernamen \u201eadmin\u201c. Er ist der erste, den Angriffsprogramme ausprobieren. Legen Sie einen neuen Administrator mit einem unauff\u00e4lligen Namen an und l\u00f6schen Sie den alten Account.<\/li>\n\n\n\n
      • Achten Sie darauf, dass der \u00f6ffentlich angezeigte Name nicht dem Login-Namen entspricht.<\/li>\n<\/ul>\n\n\n\n
        2FA ist eine der wirkungsvollsten Einzelma\u00dfnahmen \u00fcberhaupt. Selbst wenn ein Passwort in falsche H\u00e4nde ger\u00e4t, bleibt das Konto gesch\u00fctzt.<\/p>\n\n\n\n
        Ma\u00dfnahme 3: Den Login-Bereich gegen Angriffe sch\u00fctzen<\/h2>\n\n\n\n
        Der Anmeldebereich unter \/wp-login.php<\/code> und \/wp-admin<\/code> ist \u00f6ffentlich erreichbar und wird deshalb permanent von Bots beschossen. Bei sogenannten Brute-Force-Angriffen probieren Programme in kurzer Zeit tausende Passw\u00f6rter durch. Selbst wenn sie keinen Erfolg haben, belasten sie Ihren Server.<\/p>\n\n\n\n
        Was Sie tun sollten:<\/strong><\/p>\n\n\n\n
          \n
        • Begrenzen Sie fehlgeschlagene Anmeldeversuche. Nach einer festgelegten Zahl von Fehlversuchen wird die IP-Adresse vor\u00fcbergehend gesperrt. Viele Sicherheits-Plugins bieten diese Funktion.<\/li>\n\n\n\n
        • Setzen Sie ein CAPTCHA oder eine vergleichbare Bot-Abwehr ein. Achten Sie bei externen Diensten auf die datenschutzkonforme Einbindung, da Daten an Drittanbieter \u00fcbertragen werden k\u00f6nnen.<\/li>\n\n\n\n
        • Schr\u00e4nken Sie den Zugriff auf \/wp-admin<\/code> nach M\u00f6glichkeit auf bekannte IP-Adressen ein, falls Ihr Team mit festen Adressen arbeitet.<\/li>\n\n\n\n
        • Erw\u00e4gen Sie, die Login-Adresse zu \u00e4ndern. Das ist keine echte Sicherheitsma\u00dfnahme, reduziert aber das Hintergrundrauschen durch Bots deutlich. Verlassen Sie sich nie allein darauf.<\/li>\n\n\n\n
        • Deaktivieren Sie xmlrpc.php<\/code>, wenn Sie die Schnittstelle nicht ben\u00f6tigen. Sie wird h\u00e4ufig f\u00fcr Brute-Force-Angriffe missbraucht. Beachten Sie, dass manche Dienste und Apps sie noch verwenden.<\/li>\n<\/ul>\n\n\n\n
          Ein Beispiel f\u00fcr Apache-Server in der Datei .htaccess<\/code>:<\/p>\n\n\n\n
          # xmlrpc.php f\u00fcr alle Anfragen sperren\n<Files xmlrpc.php>\n    Require all denied\n<\/Files>\n<\/code><\/pre>\n\n\n\n
          Ma\u00dfnahme 4: Benutzerrechte nach dem Minimalprinzip vergeben<\/h2>\n\n\n\n
          Nicht jeder, der Inhalte pflegt, braucht Administratorrechte. Je mehr Konten volle Rechte besitzen, desto gr\u00f6\u00dfer ist die Angriffsfl\u00e4che. Wird ein Redakteurskonto gehackt, ist der Schaden begrenzt. Bei einem Administratorkonto hat der Angreifer dagegen alles in der Hand: Er kann Plugins installieren, Inhalte ver\u00e4ndern und weitere Hintert\u00fcren anlegen.<\/p>\n\n\n\n
          Was Sie tun sollten:<\/strong><\/p>\n\n\n\n
            \n
          • Vergeben Sie Rollen nach dem Prinzip der minimalen Rechte. WordPress kennt Administrator, Redakteur, Autor, Mitarbeiter und Abonnent.<\/li>\n\n\n\n
          • Pr\u00fcfen Sie regelm\u00e4\u00dfig, welche Benutzer existieren. Konten ehemaliger Mitarbeiter, Agenturen oder Freelancer sollten umgehend entfernt oder deaktiviert werden.<\/li>\n\n\n\n
          • Beschr\u00e4nken Sie die Zahl der Administratoren auf das N\u00f6tigste, in kleinen Teams oft ein bis zwei Personen.<\/li>\n\n\n\n
          • Deaktivieren Sie die offene Registrierung, wenn Sie sie nicht ben\u00f6tigen (Einstellungen, Allgemein, \u201eMitgliedschaft\u201c).<\/li>\n\n\n\n
          • Nutzen Sie f\u00fcr die t\u00e4gliche Arbeit ein Konto mit eingeschr\u00e4nkten Rechten und den Administratorzugang nur f\u00fcr administrative Aufgaben.<\/li>\n<\/ul>\n\n\n\n
            Ma\u00dfnahme 5: Plugins und Themes konsequent ausmisten<\/h2>\n\n\n\n
            Plugins erweitern WordPress, sind aber zugleich die h\u00e4ufigste Einfallst\u00fcr. Jede zus\u00e4tzliche Erweiterung ist Code, der gepflegt werden muss und Fehler enthalten kann. Dabei z\u00e4hlt nicht nur die Anzahl, sondern vor allem die Qualit\u00e4t und Pflege.<\/p>\n\n\n\n
            Was Sie tun sollten:<\/strong><\/p>\n\n\n\n
              \n
            • Deinstallieren Sie alles, was Sie nicht aktiv nutzen. Deaktivierte Plugins und Themes sind nicht automatisch ungef\u00e4hrlich, ihr Code liegt weiterhin auf dem Server und kann verwundbar sein.<\/li>\n\n\n\n
            • Pr\u00fcfen Sie vor der Installation: Wann gab es das letzte Update? Wie viele aktive Installationen hat das Plugin? Wie reagiert der Entwickler auf Supportanfragen und Sicherheitsmeldungen?<\/li>\n\n\n\n
            • Laden Sie Plugins und Themes ausschlie\u00dflich aus vertrauensw\u00fcrdigen Quellen, etwa dem offiziellen WordPress-Verzeichnis oder direkt vom Hersteller.<\/li>\n\n\n\n
            • Verwenden Sie niemals sogenannte \u201eNulled\u201c-Versionen, also illegal kostenlos verbreitete Premium-Erweiterungen. Sie enthalten sehr h\u00e4ufig Schadcode.<\/li>\n\n\n\n
            • Entfernen Sie ungenutzte Standard-Themes, behalten Sie aber ein aktuelles als R\u00fcckfalloption.<\/li>\n\n\n\n
            • Verzichten Sie auf Plugins, die seit langer Zeit keine Updates mehr erhalten haben, und suchen Sie nach gepflegten Alternativen.<\/li>\n<\/ul>\n\n\n\n
              Ein schlanker Plugin-Bestand ist nicht nur sicherer, sondern verbessert oft auch die Ladezeit.<\/p>\n\n\n\n
              Ma\u00dfnahme 6: HTTPS erzwingen und Sicherheits-Header setzen<\/h2>\n\n\n\n
              Eine verschl\u00fcsselte Verbindung per HTTPS ist heute Standard. Sie sch\u00fctzt Anmeldedaten und Formulareingaben auf dem Weg zwischen Browser und Server vor dem Mitlesen und ist zudem ein Vertrauenssignal f\u00fcr Besucher und Suchmaschinen. Zertifikate sind bei den meisten Hostern kostenlos verf\u00fcgbar.<\/p>\n\n\n\n
              Was Sie tun sollten:<\/strong><\/p>\n\n\n\n
                \n
              • Leiten Sie s\u00e4mtliche Anfragen von HTTP auf HTTPS um.<\/li>\n\n\n\n
              • Stellen Sie sicher, dass in den WordPress-Einstellungen sowohl die WordPress-Adresse als auch die Website-Adresse mit https:\/\/<\/code> beginnen.<\/li>\n\n\n\n
              • Erzwingen Sie verschl\u00fcsselte Verbindungen im Backend mit einer Zeile in der wp-config.php<\/code>:<\/li>\n<\/ul>\n\n\n\n
                \/\/ Anmeldung und Administrationsbereich nur \u00fcber HTTPS\ndefine( 'FORCE_SSL_ADMIN', true );\n<\/code><\/pre>\n\n\n\n
                  \n
                • Setzen Sie zus\u00e4tzliche HTTP-Sicherheits-Header. Sie weisen den Browser an, bestimmte riskante Verhaltensweisen zu unterbinden. Beispiel f\u00fcr Apache mit aktiviertem mod_headers<\/code>:<\/li>\n<\/ul>\n\n\n\n
                  # Grundlegende Sicherheits-Header\nHeader always set X-Content-Type-Options \"nosniff\"\nHeader always set X-Frame-Options \"SAMEORIGIN\"\nHeader always set Referrer-Policy \"strict-origin-when-cross-origin\"\n<\/code><\/pre>\n\n\n\n
                  Der Header Strict-Transport-Security<\/code> (HSTS) weist Browser an, Ihre Seite k\u00fcnftig ausschlie\u00dflich per HTTPS aufzurufen. Aktivieren Sie ihn erst, wenn Ihre gesamte Seite fehlerfrei \u00fcber HTTPS l\u00e4uft, und beginnen Sie mit einer kurzen G\u00fcltigkeitsdauer. Eine Content-Security-Policy ist ein m\u00e4chtiges Werkzeug, erfordert aber sorgf\u00e4ltiges Testen, da sie schnell Funktionen wie eingebettete Inhalte oder Skripte blockiert.<\/p>\n\n\n\n
                  Ma\u00dfnahme 7: Regelm\u00e4\u00dfige Backups, die Sie wirklich wiederherstellen k\u00f6nnen<\/h2>\n\n\n\n
                  Keine Schutzma\u00dfnahme bietet hundertprozentige Sicherheit. Deshalb ist das Backup Ihre Lebensversicherung. Nach einem erfolgreichen Angriff, einem fehlerhaften Update oder einem Serverausfall entscheidet es, ob Sie in Minuten oder in Tagen wieder online sind.<\/p>\n\n\n\n
                  \"Drei
                  Die 3-2-1-Regel: drei Kopien, zwei Speichermedien, eine Kopie an einem externen Ort.<\/figcaption><\/figure>\n\n\n\n
                  Was Sie tun sollten:<\/strong><\/p>\n\n\n\n
                    \n
                  • Sichern Sie Dateien und Datenbank. Nur beides zusammen ergibt ein vollst\u00e4ndiges Backup.<\/li>\n\n\n\n
                  • Richten Sie automatische Backups ein, bei aktiven Seiten t\u00e4glich, bei Shops mit vielen Bestellungen gegebenenfalls h\u00e4ufiger.<\/li>\n\n\n\n
                  • Befolgen Sie die 3-2-1-Regel: drei Kopien, auf zwei verschiedenen Medien, davon eine an einem externen Ort. Ein Backup, das auf demselben Server liegt wie die Website, hilft bei einem Totalausfall nichts.<\/li>\n\n\n\n
                  • Bewahren Sie mehrere Generationen auf. Manche Infektionen bleiben zun\u00e4chst unbemerkt. Wenn nur das gestrige Backup existiert, ist es unter Umst\u00e4nden bereits verseucht.<\/li>\n\n\n\n
                  • Testen Sie die Wiederherstellung.<\/strong> Ein Backup, das sich nicht einspielen l\u00e4sst, ist wertlos. Spielen Sie es regelm\u00e4\u00dfig in einer Testumgebung ein.<\/li>\n\n\n\n
                  • Sch\u00fctzen Sie Backups selbst: verschl\u00fcsselt speichern und mit eigenen Zugangsdaten versehen.<\/li>\n<\/ul>\n\n\n\n
                    Ma\u00dfnahme 8: Konfiguration und Dateisystem h\u00e4rten<\/h2>\n\n\n\n
                    Viele Angriffe zielen nicht auf WordPress selbst, sondern auf Fehlkonfigurationen des Servers. Mit wenigen Einstellungen schlie\u00dfen Sie typische L\u00fccken.<\/p>\n\n\n\n
                    Was Sie tun sollten:<\/strong><\/p>\n\n\n\n
                      \n
                    • Datei-Editor abschalten:<\/strong> WordPress erlaubt Administratoren, Theme- und Plugin-Code direkt im Backend zu bearbeiten. Gelangt ein Angreifer ins Backend, kann er hier\u00fcber Schadcode einschleusen. Deaktivieren Sie das Feature:<\/li>\n<\/ul>\n\n\n\n
                      \/\/ Code-Editor im Backend abschalten\ndefine( 'DISALLOW_FILE_EDIT', true );\n<\/code><\/pre>\n\n\n\n
                        \n
                      • wp-config.php sch\u00fctzen:<\/strong> Diese Datei enth\u00e4lt Datenbank-Zugangsdaten und Sicherheitsschl\u00fcssel. Sie sollte nicht von au\u00dfen erreichbar sein und nach M\u00f6glichkeit eine Ebene oberhalb des Web-Verzeichnisses liegen, was WordPress unterst\u00fctzt. Alternativ sperren Sie den Zugriff per .htaccess<\/code>:<\/li>\n<\/ul>\n\n\n\n
                        # Zugriff auf wp-config.php verbieten\n<Files wp-config.php>\n    Require all denied\n<\/Files>\n<\/code><\/pre>\n\n\n\n
                          \n
                        • Verzeichnisauflistung deaktivieren:<\/strong> Ohne Index-Datei zeigen manche Server den Inhalt eines Ordners an. Das verr\u00e4t Angreifern, welche Plugins und Dateien vorhanden sind.<\/li>\n<\/ul>\n\n\n\n
                          # Verzeichnisinhalte nicht anzeigen\nOptions -Indexes\n<\/code><\/pre>\n\n\n\n
                            \n
                          • Dateirechte korrekt setzen:<\/strong> \u00dcblich sind 755 f\u00fcr Verzeichnisse und 644 f\u00fcr Dateien, die wp-config.php<\/code> darf strenger sein (etwa 640 oder 600, je nach Hosting). Keine Datei sollte 777 haben.<\/li>\n\n\n\n
                          • Sicherheitsschl\u00fcssel erneuern:<\/strong> Die Schl\u00fcssel und Salts in der wp-config.php<\/code> k\u00f6nnen Sie mit dem offiziellen WordPress-Generator neu erzeugen. Dadurch werden alle bestehenden Sitzungen ung\u00fcltig, was nach einem Verdacht auf Missbrauch sinnvoll ist.<\/li>\n\n\n\n
                          • Ausf\u00fchrung von PHP in Upload-Ordnern unterbinden:<\/strong> Der Ordner wp-content\/uploads<\/code> sollte nur Medien enthalten. Ein Angreifer, der dort eine PHP-Datei ablegen kann, darf sie nicht ausf\u00fchren k\u00f6nnen.<\/li>\n\n\n\n
                          • Hosting pr\u00fcfen:<\/strong> Gute Hoster bieten getrennte Benutzerkonten pro Website, aktuelle Server-Software, Firewalls auf Serverebene und t\u00e4gliche Backups. Auf Billigangeboten, bei denen sich viele Websites ein Konto teilen, kann sich eine Infektion leichter ausbreiten.<\/li>\n<\/ul>\n\n\n\n
                            Ma\u00dfnahme 9: Firewall und Malware-Scanner einsetzen<\/h2>\n\n\n\n
                            Eine Web Application Firewall (WAF) filtert Anfragen, bevor sie WordPress erreichen, und blockiert typische Angriffsmuster, etwa das Einschleusen von Schadcode \u00fcber Formularfelder. Ein Scanner pr\u00fcft Dateien auf Ver\u00e4nderungen und bekannte Schadsoftware.<\/p>\n\n\n\n
                            \"Schema
                            Eine Firewall l\u00e4sst normale Besucher durch und stoppt Angriffe, bevor sie WordPress erreichen.<\/figcaption><\/figure>\n\n\n\n
                            Was Sie tun sollten:<\/strong><\/p>\n\n\n\n
                              \n
                            • Entscheiden Sie sich f\u00fcr eine Variante: Eine Firewall auf DNS- oder Cloud-Ebene<\/strong> stoppt Angriffe, bevor sie Ihren Server erreichen. Eine Firewall als Plugin<\/strong> arbeitet innerhalb von WordPress, belastet dadurch aber den Server st\u00e4rker und greift erst sp\u00e4ter.<\/li>\n\n\n\n
                            • Nutzen Sie ein etabliertes Sicherheits-Plugin, das Dateiintegrit\u00e4t pr\u00fcft, Schadcode erkennt und Sie bei Auff\u00e4lligkeiten benachrichtigt. W\u00e4hlen Sie bewusst eines und kombinieren Sie nicht mehrere Plugins mit \u00fcberlappenden Funktionen, da sie sich gegenseitig st\u00f6ren k\u00f6nnen.<\/li>\n\n\n\n
                            • Planen Sie regelm\u00e4\u00dfige automatische Scans ein.<\/li>\n\n\n\n
                            • Pr\u00fcfen Sie datenschutzrechtliche Aspekte: Cloud-Dienste verarbeiten Zugriffsdaten, oft inklusive IP-Adressen. Kl\u00e4ren Sie Auftragsverarbeitung und Serverstandort, und erw\u00e4hnen Sie den Dienst in Ihrer Datenschutzerkl\u00e4rung.<\/li>\n<\/ul>\n\n\n\n
                              Eine Firewall ersetzt keine Updates. Sie ist eine zus\u00e4tzliche Schutzschicht, kein Freibrief.<\/p>\n\n\n\n
                              Ma\u00dfnahme 10: \u00dcberwachen, protokollieren und einen Notfallplan bereithalten<\/h2>\n\n\n\n
                              Wer nicht bemerkt, dass etwas passiert ist, kann nicht reagieren. Viele Kompromittierungen bleiben wochenlang unentdeckt und werden dann zuf\u00e4llig bemerkt, etwa weil Besucher Spam sehen oder der Hoster das Konto sperrt.<\/p>\n\n\n\n
                              Was Sie tun sollten:<\/strong><\/p>\n\n\n\n
                                \n
                              • Aktivit\u00e4tsprotokoll einrichten:<\/strong> Ein Audit-Log h\u00e4lt fest, wer wann welche \u00c4nderungen vorgenommen hat, etwa neue Benutzer, installierte Plugins oder ge\u00e4nderte Einstellungen. Ungew\u00f6hnliche Vorg\u00e4nge fallen so schneller auf.<\/li>\n\n\n\n
                              • Verf\u00fcgbarkeit \u00fcberwachen:<\/strong> Ein Uptime-Monitoring meldet per E-Mail oder Nachricht, wenn die Seite nicht erreichbar ist oder sich der Inhalt auff\u00e4llig ver\u00e4ndert.<\/li>\n\n\n\n
                              • Benachrichtigungen aktivieren:<\/strong> Lassen Sie sich bei neuen Administratoren, ge\u00e4nderten Dateien oder fehlgeschlagenen Backups informieren.<\/li>\n\n\n\n
                              • Notfallplan schriftlich festhalten:<\/strong> Wer wird im Ernstfall informiert? Wo liegen die Backups? Wer hat Zugriff auf Hosting, Domain und DNS? Welche Schritte werden in welcher Reihenfolge durchgef\u00fchrt?<\/li>\n<\/ul>\n\n\n\n
                                Ein einfacher Ablauf bei Verdacht auf eine Infektion:<\/p>\n\n\n\n
                                  \n
                                1. Seite in den Wartungsmodus versetzen oder vom Netz nehmen, um weiteren Schaden und Verbreitung zu verhindern.<\/li>\n\n\n\n
                                2. Alle Passw\u00f6rter \u00e4ndern: WordPress, Datenbank, FTP\/SFTP, Hosting-Konto und E-Mail.<\/li>\n\n\n\n
                                3. Eine Kopie des aktuellen Zustands f\u00fcr die sp\u00e4tere Analyse sichern.<\/li>\n\n\n\n
                                4. Auf ein sauberes Backup zur\u00fcckgehen, das vor dem Angriff erstellt wurde, oder die Seite sauber neu aufbauen.<\/li>\n\n\n\n
                                5. WordPress, Plugins und Themes aktualisieren und die Ursache kl\u00e4ren, damit sich der Vorfall nicht wiederholt.<\/li>\n\n\n\n
                                6. Pr\u00fcfen, ob personenbezogene Daten betroffen sind. Dann kann eine Meldepflicht an die Datenschutzaufsicht innerhalb von 72 Stunden bestehen. Holen Sie hierzu fachlichen Rat ein.<\/li>\n<\/ol>\n\n\n\n
                                  Die Ma\u00dfnahmen im \u00dcberblick: Ihre Checkliste<\/h2>\n\n\n\n
                                  Nutzen Sie diese Liste als Schnellpr\u00fcfung f\u00fcr Ihre eigene Website:<\/p>\n\n\n\n
                                    \n
                                  • WordPress-Kern, Plugins, Themes und PHP sind aktuell, automatische Updates sind aktiv.<\/li>\n\n\n\n
                                  • Alle Konten haben starke, einzigartige Passw\u00f6rter, 2FA ist f\u00fcr Redakteure und Administratoren aktiviert.<\/li>\n\n\n\n
                                  • Fehlversuche beim Login werden begrenzt, xmlrpc.php<\/code> ist gesperrt, sofern nicht ben\u00f6tigt.<\/li>\n\n\n\n
                                  • Benutzerrechte sind minimal vergeben, nicht mehr ben\u00f6tigte Konten sind entfernt.<\/li>\n\n\n\n
                                  • Ungenutzte Plugins und Themes sind gel\u00f6scht, es werden nur vertrauensw\u00fcrdige Quellen genutzt.<\/li>\n\n\n\n
                                  • HTTPS ist erzwungen, grundlegende Sicherheits-Header sind gesetzt.<\/li>\n\n\n\n
                                  • T\u00e4gliche Backups liegen extern, die Wiederherstellung wurde getestet.<\/li>\n\n\n\n
                                  • Datei-Editor ist deaktiviert, wp-config.php<\/code> ist gesch\u00fctzt, Verzeichnislisting ist aus, Dateirechte sind korrekt.<\/li>\n\n\n\n
                                  • Eine Firewall und ein Malware-Scanner sind eingerichtet.<\/li>\n\n\n\n
                                  • Aktivit\u00e4tsprotokoll, Uptime-Monitoring und ein schriftlicher Notfallplan sind vorhanden.<\/li>\n<\/ul>\n\n\n\n
                                    H\u00e4ufige Fragen<\/h2>\n\n\n\n
                                    Reicht ein Sicherheits-Plugin allein aus?<\/strong> Nein. Ein Plugin ist ein Baustein, aber es ersetzt weder Updates noch gute Passw\u00f6rter oder Backups. Sicherheit entsteht aus dem Zusammenspiel mehrerer Ma\u00dfnahmen.<\/p>\n\n\n\n
                                    Wie oft sollte ich meine Website pr\u00fcfen?<\/strong> Updates sollten Sie mindestens w\u00f6chentlich einspielen, sicherheitskritische sofort. Eine umfassende Kontrolle von Benutzern, Plugins und Backups empfiehlt sich etwa viertelj\u00e4hrlich.<\/p>\n\n\n\n
                                    Ist meine kleine Website \u00fcberhaupt ein Ziel?<\/strong> Ja. Angriffe erfolgen automatisiert und unabh\u00e4ngig von Gr\u00f6\u00dfe oder Bekanntheit. Auch kleine Seiten werden gekapert, etwa um Spam zu versenden, Schadsoftware zu verteilen oder Rechenleistung zu missbrauchen.<\/p>\n\n\n\n
                                    Kann ich das alles selbst umsetzen?<\/strong> Vieles ja, etwa Updates, Passw\u00f6rter, 2FA, Benutzerverwaltung und Plugin-Hygiene. F\u00fcr Server-Konfiguration, Firewalls und Notf\u00e4lle lohnt sich die Unterst\u00fctzung durch erfahrene Fachleute oder einen guten Hoster.<\/p>\n\n\n\n
                                    \"Checkliste
                                    Die zehn Ma\u00dfnahmen im \u00dcberblick: Wie viele k\u00f6nnen Sie heute abhaken?<\/figcaption><\/figure>\n\n\n\n
                                    Fazit: Konsequenz schl\u00e4gt Perfektion<\/h2>\n\n\n\n
                                    WordPress ist grunds\u00e4tzlich ein ausgereiftes und sicheres System. Die meisten erfolgreichen Angriffe nutzen keine geheimnisvollen Tricks, sondern bekannte Schwachstellen in veralteter Software, schwache Zugangsdaten oder Fehlkonfigurationen. Genau dort setzen die zehn Ma\u00dfnahmen an.<\/p>\n\n\n\n
                                    Beginnen Sie mit den Grundlagen: Updates, starke Passw\u00f6rter mit 2FA, ein aufger\u00e4umter Plugin-Bestand und funktionierende Backups. Diese vier Punkte decken bereits einen gro\u00dfen Teil der realistischen Risiken ab. Erg\u00e4nzen Sie anschlie\u00dfend Schritt f\u00fcr Schritt H\u00e4rtung, Firewall und Monitoring.<\/p>\n\n\n\n
                                    Sicherheit ist keine einmalige Aufgabe, sondern eine Gewohnheit. Wer sie fest in die regelm\u00e4\u00dfige Pflege seiner Website einplant, sch\u00fctzt nicht nur Technik, sondern auch das Vertrauen von Kunden, Lesern und Gesch\u00e4ftspartnern.<\/p>\n\n\n\n
                                    Unsicher, wo Ihre Website heute steht? Gehen Sie die Checkliste durch und markieren Sie, was noch fehlt. Das Ergebnis ist Ihre pers\u00f6nliche Priorit\u00e4tenliste f\u00fcr die n\u00e4chsten Wochen.<\/p>\n","protected":false},"excerpt":{"rendered":"
                                    WordPress-Websites sind beliebte Ziele f\u00fcr Angriffe, da sie oft veraltete Software oder schwache Passw\u00f6rter verwenden.  Angreifer nutzen automatisierte Bots, um diese Schwachstellen auszunutzen und Websites zu kompromittieren. Um das Risiko zu minimieren, sollten Website-Betreiber ihre Software regelm\u00e4\u00dfig aktualisieren, starke Passw\u00f6rter verwenden und die Zwei-Faktor-Authentifizierung aktivieren.<\/p>\n","protected":false},"author":4,"featured_media":5650,"comment_status":"closed","ping_status":"closed","sticky":false,"template":"","format":"standard","meta":{"inline_featured_image":false,"footnotes":""},"categories":[90],"tags":[],"class_list":["post-5648","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-security","entry"],"blocks":"\n
                                    WordPress ist das meistgenutzte Content-Management-System der Welt. Genau das macht es zu einem attraktiven Ziel: Angreifer m\u00fcssen nur eine bekannte Schwachstelle finden und k\u00f6nnen sie anschlie\u00dfend automatisiert bei Tausenden Websites ausprobieren. Dabei geht es selten um pers\u00f6nliche Rache oder gezielte Angriffe auf Ihr Unternehmen. Meist l\u00e4uft es n\u00fcchtern ab: Bots durchsuchen das Internet nach veralteten Plugins, schwachen Passw\u00f6rtern und offenen Einfallstoren.<\/em><\/p>\n\n\n\n
                                    Die gute Nachricht: Mit wenigen, gut gew\u00e4hlten Ma\u00dfnahmen l\u00e4sst sich das Risiko drastisch senken. Sie brauchen daf\u00fcr keine Spezialkenntnisse in IT-Sicherheit und kein teures Tool-Arsenal. Entscheidend ist, die richtigen Dinge konsequent zu tun. In diesem Artikel stellen wir zehn Ma\u00dfnahmen vor, die in der Praxis den gr\u00f6\u00dften Unterschied machen, verst\u00e4ndlich erkl\u00e4rt und mit konkreten Handlungsempfehlungen.<\/p>\n\n\n\n
                                    \"Angriff
                                    Angriffe laufen meist automatisiert ab: Ein Bot findet ein veraltetes Plugin, nutzt die L\u00fccke aus und \u00fcbernimmt die Website.<\/figcaption><\/figure>\n\n\n\n
                                    Warum WordPress-Sicherheit mehr ist als ein technisches Thema<\/h2>\n\n\n\n
                                    Eine gehackte Website ist nicht nur ein \u00c4rgernis f\u00fcr Ihr Technikteam. Die Folgen reichen weiter:<\/p>\n\n\n\n
                                      \n
                                    • Reputationsschaden:<\/strong> Besucher sehen Warnseiten des Browsers oder Spam-Inhalte und verlieren Vertrauen.<\/li>\n\n\n\n
                                    • Sichtbarkeitsverlust:<\/strong> Suchmaschinen k\u00f6nnen kompromittierte Seiten abwerten oder mit einer Warnung versehen.<\/li>\n\n\n\n
                                    • Datenschutzrisiko:<\/strong> Kontaktformulare, Newsletter-Anmeldungen oder Shop-Kundendaten k\u00f6nnen abflie\u00dfen.<\/li>\n\n\n\n
                                    • Rechtliche Pflichten:<\/strong> Die DSGVO verlangt in Artikel 32 angemessene technische und organisatorische Ma\u00dfnahmen zum Schutz personenbezogener Daten. Eine ungepflegte Website kann diesem Anspruch kaum gen\u00fcgen.<\/li>\n\n\n\n
                                    • Wirtschaftlicher Schaden:<\/strong> Ausfallzeiten, Bereinigung und Wiederherstellung kosten Zeit und Geld.<\/li>\n<\/ul>\n\n\n\n
                                      \"F\u00fcnf
                                      Sicherheit entsteht in Schichten: F\u00e4llt eine Ebene aus, greift die n\u00e4chste.<\/figcaption><\/figure>\n\n\n\n
                                      Wer Sicherheit als laufenden Prozess versteht, spart sich in der Regel viel Aufwand im Ernstfall.<\/p>\n\n\n\n
                                      Ma\u00dfnahme 1: Alles aktuell halten (WordPress, Plugins, Themes, PHP)<\/h2>\n\n\n\n
                                      Veraltete Software ist die h\u00e4ufigste Ursache erfolgreicher Angriffe. Sobald eine Sicherheitsl\u00fccke in einem Plugin oder Theme bekannt wird, ver\u00f6ffentlichen Entwickler ein Update und beschreiben das Problem h\u00e4ufig \u00f6ffentlich im Changelog. Ab diesem Moment wissen auch Angreifer davon. Wer nicht zeitnah aktualisiert, bleibt angreifbar, und zwar oft nur wenige Tage nach Bekanntwerden einer L\u00fccke.<\/p>\n\n\n\n
                                      Was Sie tun sollten:<\/strong><\/p>\n\n\n\n
                                        \n
                                      • Aktivieren Sie automatische Updates f\u00fcr den WordPress-Kern. Kleinere Sicherheitsupdates werden standardm\u00e4\u00dfig automatisch eingespielt.<\/li>\n\n\n\n
                                      • Aktivieren Sie automatische Updates f\u00fcr Plugins, zumindest f\u00fcr jene, die als zuverl\u00e4ssig gelten und selten Probleme verursachen. In der Plugin-\u00dcbersicht gibt es daf\u00fcr pro Plugin einen Schalter.<\/li>\n\n\n\n
                                      • Pr\u00fcfen Sie bei wichtigen Seiten Updates zun\u00e4chst in einer Staging-Umgebung, also einer Testkopie Ihrer Website.<\/li>\n\n\n\n
                                      • Nutzen Sie eine aktuell unterst\u00fctzte PHP-Version. Alte PHP-Versionen erhalten keine Sicherheitskorrekturen mehr. Die Einstellung finden Sie meist im Hosting-Panel.<\/li>\n<\/ul>\n\n\n\n
                                        Wer lieber alles selbst steuert, kann in der Datei wp-config.php<\/code> oder in einem kleinen Plugin gezielt festlegen, was automatisch aktualisiert wird:<\/p>\n\n\n\n
                                        \/\/ Automatische Updates f\u00fcr Plugins und Themes aktivieren\nadd_filter( 'auto_update_plugin', '__return_true' );\nadd_filter( 'auto_update_theme', '__return_true' );\n<\/code><\/pre>\n\n\n\n
                                        Ma\u00dfnahme 2: Starke Passw\u00f6rter und Zwei-Faktor-Authentifizierung<\/h2>\n\n\n\n
                                        Gestohlene oder erratene Zugangsdaten geh\u00f6ren zu den einfachsten Wegen in ein System. Viele Menschen verwenden dasselbe Passwort bei mehreren Diensten. Wird einer davon gehackt, probieren Angreifer die erbeuteten Kombinationen automatisiert bei anderen Seiten aus, auch bei Ihrem WordPress-Login.<\/p>\n\n\n\n
                                        Was Sie tun sollten:<\/strong><\/p>\n\n\n\n
                                          \n
                                        • Verwenden Sie lange, zuf\u00e4llige Passw\u00f6rter, am besten \u00fcber einen Passwortmanager. L\u00e4nge schl\u00e4gt Komplexit\u00e4t: Eine Passphrase aus mehreren W\u00f6rtern ist st\u00e4rker als ein kurzes Passwort mit Sonderzeichen.<\/li>\n\n\n\n
                                        • Vergeben Sie f\u00fcr jeden Benutzer ein eigenes Passwort. Teilen Sie keine Zug\u00e4nge.<\/li>\n\n\n\n
                                        • Aktivieren Sie die Zwei-Faktor-Authentifizierung (2FA) f\u00fcr alle Konten mit Redakteurs- oder Administratorrechten. Authenticator-Apps oder Hardware-Schl\u00fcssel sind SMS-Codes vorzuziehen.<\/li>\n\n\n\n
                                        • Verzichten Sie auf den Benutzernamen \u201eadmin\u201c. Er ist der erste, den Angriffsprogramme ausprobieren. Legen Sie einen neuen Administrator mit einem unauff\u00e4lligen Namen an und l\u00f6schen Sie den alten Account.<\/li>\n\n\n\n
                                        • Achten Sie darauf, dass der \u00f6ffentlich angezeigte Name nicht dem Login-Namen entspricht.<\/li>\n<\/ul>\n\n\n\n
                                          2FA ist eine der wirkungsvollsten Einzelma\u00dfnahmen \u00fcberhaupt. Selbst wenn ein Passwort in falsche H\u00e4nde ger\u00e4t, bleibt das Konto gesch\u00fctzt.<\/p>\n\n\n\n
                                          Ma\u00dfnahme 3: Den Login-Bereich gegen Angriffe sch\u00fctzen<\/h2>\n\n\n\n
                                          Der Anmeldebereich unter \/wp-login.php<\/code> und \/wp-admin<\/code> ist \u00f6ffentlich erreichbar und wird deshalb permanent von Bots beschossen. Bei sogenannten Brute-Force-Angriffen probieren Programme in kurzer Zeit tausende Passw\u00f6rter durch. Selbst wenn sie keinen Erfolg haben, belasten sie Ihren Server.<\/p>\n\n\n\n
                                          Was Sie tun sollten:<\/strong><\/p>\n\n\n\n
                                            \n
                                          • Begrenzen Sie fehlgeschlagene Anmeldeversuche. Nach einer festgelegten Zahl von Fehlversuchen wird die IP-Adresse vor\u00fcbergehend gesperrt. Viele Sicherheits-Plugins bieten diese Funktion.<\/li>\n\n\n\n
                                          • Setzen Sie ein CAPTCHA oder eine vergleichbare Bot-Abwehr ein. Achten Sie bei externen Diensten auf die datenschutzkonforme Einbindung, da Daten an Drittanbieter \u00fcbertragen werden k\u00f6nnen.<\/li>\n\n\n\n
                                          • Schr\u00e4nken Sie den Zugriff auf \/wp-admin<\/code> nach M\u00f6glichkeit auf bekannte IP-Adressen ein, falls Ihr Team mit festen Adressen arbeitet.<\/li>\n\n\n\n
                                          • Erw\u00e4gen Sie, die Login-Adresse zu \u00e4ndern. Das ist keine echte Sicherheitsma\u00dfnahme, reduziert aber das Hintergrundrauschen durch Bots deutlich. Verlassen Sie sich nie allein darauf.<\/li>\n\n\n\n
                                          • Deaktivieren Sie xmlrpc.php<\/code>, wenn Sie die Schnittstelle nicht ben\u00f6tigen. Sie wird h\u00e4ufig f\u00fcr Brute-Force-Angriffe missbraucht. Beachten Sie, dass manche Dienste und Apps sie noch verwenden.<\/li>\n<\/ul>\n\n\n\n
                                            Ein Beispiel f\u00fcr Apache-Server in der Datei .htaccess<\/code>:<\/p>\n\n\n\n
                                            # xmlrpc.php f\u00fcr alle Anfragen sperren\n<Files xmlrpc.php>\n    Require all denied\n<\/Files>\n<\/code><\/pre>\n\n\n\n
                                            Ma\u00dfnahme 4: Benutzerrechte nach dem Minimalprinzip vergeben<\/h2>\n\n\n\n
                                            Nicht jeder, der Inhalte pflegt, braucht Administratorrechte. Je mehr Konten volle Rechte besitzen, desto gr\u00f6\u00dfer ist die Angriffsfl\u00e4che. Wird ein Redakteurskonto gehackt, ist der Schaden begrenzt. Bei einem Administratorkonto hat der Angreifer dagegen alles in der Hand: Er kann Plugins installieren, Inhalte ver\u00e4ndern und weitere Hintert\u00fcren anlegen.<\/p>\n\n\n\n
                                            Was Sie tun sollten:<\/strong><\/p>\n\n\n\n
                                              \n
                                            • Vergeben Sie Rollen nach dem Prinzip der minimalen Rechte. WordPress kennt Administrator, Redakteur, Autor, Mitarbeiter und Abonnent.<\/li>\n\n\n\n
                                            • Pr\u00fcfen Sie regelm\u00e4\u00dfig, welche Benutzer existieren. Konten ehemaliger Mitarbeiter, Agenturen oder Freelancer sollten umgehend entfernt oder deaktiviert werden.<\/li>\n\n\n\n
                                            • Beschr\u00e4nken Sie die Zahl der Administratoren auf das N\u00f6tigste, in kleinen Teams oft ein bis zwei Personen.<\/li>\n\n\n\n
                                            • Deaktivieren Sie die offene Registrierung, wenn Sie sie nicht ben\u00f6tigen (Einstellungen, Allgemein, \u201eMitgliedschaft\u201c).<\/li>\n\n\n\n
                                            • Nutzen Sie f\u00fcr die t\u00e4gliche Arbeit ein Konto mit eingeschr\u00e4nkten Rechten und den Administratorzugang nur f\u00fcr administrative Aufgaben.<\/li>\n<\/ul>\n\n\n\n
                                              Ma\u00dfnahme 5: Plugins und Themes konsequent ausmisten<\/h2>\n\n\n\n
                                              Plugins erweitern WordPress, sind aber zugleich die h\u00e4ufigste Einfallst\u00fcr. Jede zus\u00e4tzliche Erweiterung ist Code, der gepflegt werden muss und Fehler enthalten kann. Dabei z\u00e4hlt nicht nur die Anzahl, sondern vor allem die Qualit\u00e4t und Pflege.<\/p>\n\n\n\n
                                              Was Sie tun sollten:<\/strong><\/p>\n\n\n\n
                                                \n
                                              • Deinstallieren Sie alles, was Sie nicht aktiv nutzen. Deaktivierte Plugins und Themes sind nicht automatisch ungef\u00e4hrlich, ihr Code liegt weiterhin auf dem Server und kann verwundbar sein.<\/li>\n\n\n\n
                                              • Pr\u00fcfen Sie vor der Installation: Wann gab es das letzte Update? Wie viele aktive Installationen hat das Plugin? Wie reagiert der Entwickler auf Supportanfragen und Sicherheitsmeldungen?<\/li>\n\n\n\n
                                              • Laden Sie Plugins und Themes ausschlie\u00dflich aus vertrauensw\u00fcrdigen Quellen, etwa dem offiziellen WordPress-Verzeichnis oder direkt vom Hersteller.<\/li>\n\n\n\n
                                              • Verwenden Sie niemals sogenannte \u201eNulled\u201c-Versionen, also illegal kostenlos verbreitete Premium-Erweiterungen. Sie enthalten sehr h\u00e4ufig Schadcode.<\/li>\n\n\n\n
                                              • Entfernen Sie ungenutzte Standard-Themes, behalten Sie aber ein aktuelles als R\u00fcckfalloption.<\/li>\n\n\n\n
                                              • Verzichten Sie auf Plugins, die seit langer Zeit keine Updates mehr erhalten haben, und suchen Sie nach gepflegten Alternativen.<\/li>\n<\/ul>\n\n\n\n
                                                Ein schlanker Plugin-Bestand ist nicht nur sicherer, sondern verbessert oft auch die Ladezeit.<\/p>\n\n\n\n
                                                Ma\u00dfnahme 6: HTTPS erzwingen und Sicherheits-Header setzen<\/h2>\n\n\n\n
                                                Eine verschl\u00fcsselte Verbindung per HTTPS ist heute Standard. Sie sch\u00fctzt Anmeldedaten und Formulareingaben auf dem Weg zwischen Browser und Server vor dem Mitlesen und ist zudem ein Vertrauenssignal f\u00fcr Besucher und Suchmaschinen. Zertifikate sind bei den meisten Hostern kostenlos verf\u00fcgbar.<\/p>\n\n\n\n
                                                Was Sie tun sollten:<\/strong><\/p>\n\n\n\n
                                                  \n
                                                • Leiten Sie s\u00e4mtliche Anfragen von HTTP auf HTTPS um.<\/li>\n\n\n\n
                                                • Stellen Sie sicher, dass in den WordPress-Einstellungen sowohl die WordPress-Adresse als auch die Website-Adresse mit https:\/\/<\/code> beginnen.<\/li>\n\n\n\n
                                                • Erzwingen Sie verschl\u00fcsselte Verbindungen im Backend mit einer Zeile in der wp-config.php<\/code>:<\/li>\n<\/ul>\n\n\n\n
                                                  \/\/ Anmeldung und Administrationsbereich nur \u00fcber HTTPS\ndefine( 'FORCE_SSL_ADMIN', true );\n<\/code><\/pre>\n\n\n\n
                                                    \n
                                                  • Setzen Sie zus\u00e4tzliche HTTP-Sicherheits-Header. Sie weisen den Browser an, bestimmte riskante Verhaltensweisen zu unterbinden. Beispiel f\u00fcr Apache mit aktiviertem mod_headers<\/code>:<\/li>\n<\/ul>\n\n\n\n
                                                    # Grundlegende Sicherheits-Header\nHeader always set X-Content-Type-Options \"nosniff\"\nHeader always set X-Frame-Options \"SAMEORIGIN\"\nHeader always set Referrer-Policy \"strict-origin-when-cross-origin\"\n<\/code><\/pre>\n\n\n\n
                                                    Der Header Strict-Transport-Security<\/code> (HSTS) weist Browser an, Ihre Seite k\u00fcnftig ausschlie\u00dflich per HTTPS aufzurufen. Aktivieren Sie ihn erst, wenn Ihre gesamte Seite fehlerfrei \u00fcber HTTPS l\u00e4uft, und beginnen Sie mit einer kurzen G\u00fcltigkeitsdauer. Eine Content-Security-Policy ist ein m\u00e4chtiges Werkzeug, erfordert aber sorgf\u00e4ltiges Testen, da sie schnell Funktionen wie eingebettete Inhalte oder Skripte blockiert.<\/p>\n\n\n\n
                                                    Ma\u00dfnahme 7: Regelm\u00e4\u00dfige Backups, die Sie wirklich wiederherstellen k\u00f6nnen<\/h2>\n\n\n\n
                                                    Keine Schutzma\u00dfnahme bietet hundertprozentige Sicherheit. Deshalb ist das Backup Ihre Lebensversicherung. Nach einem erfolgreichen Angriff, einem fehlerhaften Update oder einem Serverausfall entscheidet es, ob Sie in Minuten oder in Tagen wieder online sind.<\/p>\n\n\n\n
                                                    \"Drei
                                                    Die 3-2-1-Regel: drei Kopien, zwei Speichermedien, eine Kopie an einem externen Ort.<\/figcaption><\/figure>\n\n\n\n
                                                    Was Sie tun sollten:<\/strong><\/p>\n\n\n\n
                                                      \n
                                                    • Sichern Sie Dateien und Datenbank. Nur beides zusammen ergibt ein vollst\u00e4ndiges Backup.<\/li>\n\n\n\n
                                                    • Richten Sie automatische Backups ein, bei aktiven Seiten t\u00e4glich, bei Shops mit vielen Bestellungen gegebenenfalls h\u00e4ufiger.<\/li>\n\n\n\n
                                                    • Befolgen Sie die 3-2-1-Regel: drei Kopien, auf zwei verschiedenen Medien, davon eine an einem externen Ort. Ein Backup, das auf demselben Server liegt wie die Website, hilft bei einem Totalausfall nichts.<\/li>\n\n\n\n
                                                    • Bewahren Sie mehrere Generationen auf. Manche Infektionen bleiben zun\u00e4chst unbemerkt. Wenn nur das gestrige Backup existiert, ist es unter Umst\u00e4nden bereits verseucht.<\/li>\n\n\n\n
                                                    • Testen Sie die Wiederherstellung.<\/strong> Ein Backup, das sich nicht einspielen l\u00e4sst, ist wertlos. Spielen Sie es regelm\u00e4\u00dfig in einer Testumgebung ein.<\/li>\n\n\n\n
                                                    • Sch\u00fctzen Sie Backups selbst: verschl\u00fcsselt speichern und mit eigenen Zugangsdaten versehen.<\/li>\n<\/ul>\n\n\n\n
                                                      Ma\u00dfnahme 8: Konfiguration und Dateisystem h\u00e4rten<\/h2>\n\n\n\n
                                                      Viele Angriffe zielen nicht auf WordPress selbst, sondern auf Fehlkonfigurationen des Servers. Mit wenigen Einstellungen schlie\u00dfen Sie typische L\u00fccken.<\/p>\n\n\n\n
                                                      Was Sie tun sollten:<\/strong><\/p>\n\n\n\n
                                                        \n
                                                      • Datei-Editor abschalten:<\/strong> WordPress erlaubt Administratoren, Theme- und Plugin-Code direkt im Backend zu bearbeiten. Gelangt ein Angreifer ins Backend, kann er hier\u00fcber Schadcode einschleusen. Deaktivieren Sie das Feature:<\/li>\n<\/ul>\n\n\n\n
                                                        \/\/ Code-Editor im Backend abschalten\ndefine( 'DISALLOW_FILE_EDIT', true );\n<\/code><\/pre>\n\n\n\n
                                                          \n
                                                        • wp-config.php sch\u00fctzen:<\/strong> Diese Datei enth\u00e4lt Datenbank-Zugangsdaten und Sicherheitsschl\u00fcssel. Sie sollte nicht von au\u00dfen erreichbar sein und nach M\u00f6glichkeit eine Ebene oberhalb des Web-Verzeichnisses liegen, was WordPress unterst\u00fctzt. Alternativ sperren Sie den Zugriff per .htaccess<\/code>:<\/li>\n<\/ul>\n\n\n\n
                                                          # Zugriff auf wp-config.php verbieten\n<Files wp-config.php>\n    Require all denied\n<\/Files>\n<\/code><\/pre>\n\n\n\n
                                                            \n
                                                          • Verzeichnisauflistung deaktivieren:<\/strong> Ohne Index-Datei zeigen manche Server den Inhalt eines Ordners an. Das verr\u00e4t Angreifern, welche Plugins und Dateien vorhanden sind.<\/li>\n<\/ul>\n\n\n\n
                                                            # Verzeichnisinhalte nicht anzeigen\nOptions -Indexes\n<\/code><\/pre>\n\n\n\n
                                                              \n
                                                            • Dateirechte korrekt setzen:<\/strong> \u00dcblich sind 755 f\u00fcr Verzeichnisse und 644 f\u00fcr Dateien, die wp-config.php<\/code> darf strenger sein (etwa 640 oder 600, je nach Hosting). Keine Datei sollte 777 haben.<\/li>\n\n\n\n
                                                            • Sicherheitsschl\u00fcssel erneuern:<\/strong> Die Schl\u00fcssel und Salts in der wp-config.php<\/code> k\u00f6nnen Sie mit dem offiziellen WordPress-Generator neu erzeugen. Dadurch werden alle bestehenden Sitzungen ung\u00fcltig, was nach einem Verdacht auf Missbrauch sinnvoll ist.<\/li>\n\n\n\n
                                                            • Ausf\u00fchrung von PHP in Upload-Ordnern unterbinden:<\/strong> Der Ordner wp-content\/uploads<\/code> sollte nur Medien enthalten. Ein Angreifer, der dort eine PHP-Datei ablegen kann, darf sie nicht ausf\u00fchren k\u00f6nnen.<\/li>\n\n\n\n
                                                            • Hosting pr\u00fcfen:<\/strong> Gute Hoster bieten getrennte Benutzerkonten pro Website, aktuelle Server-Software, Firewalls auf Serverebene und t\u00e4gliche Backups. Auf Billigangeboten, bei denen sich viele Websites ein Konto teilen, kann sich eine Infektion leichter ausbreiten.<\/li>\n<\/ul>\n\n\n\n
                                                              Ma\u00dfnahme 9: Firewall und Malware-Scanner einsetzen<\/h2>\n\n\n\n
                                                              Eine Web Application Firewall (WAF) filtert Anfragen, bevor sie WordPress erreichen, und blockiert typische Angriffsmuster, etwa das Einschleusen von Schadcode \u00fcber Formularfelder. Ein Scanner pr\u00fcft Dateien auf Ver\u00e4nderungen und bekannte Schadsoftware.<\/p>\n\n\n\n
                                                              \"Schema
                                                              Eine Firewall l\u00e4sst normale Besucher durch und stoppt Angriffe, bevor sie WordPress erreichen.<\/figcaption><\/figure>\n\n\n\n
                                                              Was Sie tun sollten:<\/strong><\/p>\n\n\n\n
                                                                \n
                                                              • Entscheiden Sie sich f\u00fcr eine Variante: Eine Firewall auf DNS- oder Cloud-Ebene<\/strong> stoppt Angriffe, bevor sie Ihren Server erreichen. Eine Firewall als Plugin<\/strong> arbeitet innerhalb von WordPress, belastet dadurch aber den Server st\u00e4rker und greift erst sp\u00e4ter.<\/li>\n\n\n\n
                                                              • Nutzen Sie ein etabliertes Sicherheits-Plugin, das Dateiintegrit\u00e4t pr\u00fcft, Schadcode erkennt und Sie bei Auff\u00e4lligkeiten benachrichtigt. W\u00e4hlen Sie bewusst eines und kombinieren Sie nicht mehrere Plugins mit \u00fcberlappenden Funktionen, da sie sich gegenseitig st\u00f6ren k\u00f6nnen.<\/li>\n\n\n\n
                                                              • Planen Sie regelm\u00e4\u00dfige automatische Scans ein.<\/li>\n\n\n\n
                                                              • Pr\u00fcfen Sie datenschutzrechtliche Aspekte: Cloud-Dienste verarbeiten Zugriffsdaten, oft inklusive IP-Adressen. Kl\u00e4ren Sie Auftragsverarbeitung und Serverstandort, und erw\u00e4hnen Sie den Dienst in Ihrer Datenschutzerkl\u00e4rung.<\/li>\n<\/ul>\n\n\n\n
                                                                Eine Firewall ersetzt keine Updates. Sie ist eine zus\u00e4tzliche Schutzschicht, kein Freibrief.<\/p>\n\n\n\n
                                                                Ma\u00dfnahme 10: \u00dcberwachen, protokollieren und einen Notfallplan bereithalten<\/h2>\n\n\n\n
                                                                Wer nicht bemerkt, dass etwas passiert ist, kann nicht reagieren. Viele Kompromittierungen bleiben wochenlang unentdeckt und werden dann zuf\u00e4llig bemerkt, etwa weil Besucher Spam sehen oder der Hoster das Konto sperrt.<\/p>\n\n\n\n
                                                                Was Sie tun sollten:<\/strong><\/p>\n\n\n\n
                                                                  \n
                                                                • Aktivit\u00e4tsprotokoll einrichten:<\/strong> Ein Audit-Log h\u00e4lt fest, wer wann welche \u00c4nderungen vorgenommen hat, etwa neue Benutzer, installierte Plugins oder ge\u00e4nderte Einstellungen. Ungew\u00f6hnliche Vorg\u00e4nge fallen so schneller auf.<\/li>\n\n\n\n
                                                                • Verf\u00fcgbarkeit \u00fcberwachen:<\/strong> Ein Uptime-Monitoring meldet per E-Mail oder Nachricht, wenn die Seite nicht erreichbar ist oder sich der Inhalt auff\u00e4llig ver\u00e4ndert.<\/li>\n\n\n\n
                                                                • Benachrichtigungen aktivieren:<\/strong> Lassen Sie sich bei neuen Administratoren, ge\u00e4nderten Dateien oder fehlgeschlagenen Backups informieren.<\/li>\n\n\n\n
                                                                • Notfallplan schriftlich festhalten:<\/strong> Wer wird im Ernstfall informiert? Wo liegen die Backups? Wer hat Zugriff auf Hosting, Domain und DNS? Welche Schritte werden in welcher Reihenfolge durchgef\u00fchrt?<\/li>\n<\/ul>\n\n\n\n
                                                                  Ein einfacher Ablauf bei Verdacht auf eine Infektion:<\/p>\n\n\n\n
                                                                    \n
                                                                  1. Seite in den Wartungsmodus versetzen oder vom Netz nehmen, um weiteren Schaden und Verbreitung zu verhindern.<\/li>\n\n\n\n
                                                                  2. Alle Passw\u00f6rter \u00e4ndern: WordPress, Datenbank, FTP\/SFTP, Hosting-Konto und E-Mail.<\/li>\n\n\n\n
                                                                  3. Eine Kopie des aktuellen Zustands f\u00fcr die sp\u00e4tere Analyse sichern.<\/li>\n\n\n\n
                                                                  4. Auf ein sauberes Backup zur\u00fcckgehen, das vor dem Angriff erstellt wurde, oder die Seite sauber neu aufbauen.<\/li>\n\n\n\n
                                                                  5. WordPress, Plugins und Themes aktualisieren und die Ursache kl\u00e4ren, damit sich der Vorfall nicht wiederholt.<\/li>\n\n\n\n
                                                                  6. Pr\u00fcfen, ob personenbezogene Daten betroffen sind. Dann kann eine Meldepflicht an die Datenschutzaufsicht innerhalb von 72 Stunden bestehen. Holen Sie hierzu fachlichen Rat ein.<\/li>\n<\/ol>\n\n\n\n
                                                                    Die Ma\u00dfnahmen im \u00dcberblick: Ihre Checkliste<\/h2>\n\n\n\n
                                                                    Nutzen Sie diese Liste als Schnellpr\u00fcfung f\u00fcr Ihre eigene Website:<\/p>\n\n\n\n
                                                                      \n
                                                                    • WordPress-Kern, Plugins, Themes und PHP sind aktuell, automatische Updates sind aktiv.<\/li>\n\n\n\n
                                                                    • Alle Konten haben starke, einzigartige Passw\u00f6rter, 2FA ist f\u00fcr Redakteure und Administratoren aktiviert.<\/li>\n\n\n\n
                                                                    • Fehlversuche beim Login werden begrenzt, xmlrpc.php<\/code> ist gesperrt, sofern nicht ben\u00f6tigt.<\/li>\n\n\n\n
                                                                    • Benutzerrechte sind minimal vergeben, nicht mehr ben\u00f6tigte Konten sind entfernt.<\/li>\n\n\n\n
                                                                    • Ungenutzte Plugins und Themes sind gel\u00f6scht, es werden nur vertrauensw\u00fcrdige Quellen genutzt.<\/li>\n\n\n\n
                                                                    • HTTPS ist erzwungen, grundlegende Sicherheits-Header sind gesetzt.<\/li>\n\n\n\n
                                                                    • T\u00e4gliche Backups liegen extern, die Wiederherstellung wurde getestet.<\/li>\n\n\n\n
                                                                    • Datei-Editor ist deaktiviert, wp-config.php<\/code> ist gesch\u00fctzt, Verzeichnislisting ist aus, Dateirechte sind korrekt.<\/li>\n\n\n\n
                                                                    • Eine Firewall und ein Malware-Scanner sind eingerichtet.<\/li>\n\n\n\n
                                                                    • Aktivit\u00e4tsprotokoll, Uptime-Monitoring und ein schriftlicher Notfallplan sind vorhanden.<\/li>\n<\/ul>\n\n\n\n
                                                                      H\u00e4ufige Fragen<\/h2>\n\n\n\n
                                                                      Reicht ein Sicherheits-Plugin allein aus?<\/strong> Nein. Ein Plugin ist ein Baustein, aber es ersetzt weder Updates noch gute Passw\u00f6rter oder Backups. Sicherheit entsteht aus dem Zusammenspiel mehrerer Ma\u00dfnahmen.<\/p>\n\n\n\n
                                                                      Wie oft sollte ich meine Website pr\u00fcfen?<\/strong> Updates sollten Sie mindestens w\u00f6chentlich einspielen, sicherheitskritische sofort. Eine umfassende Kontrolle von Benutzern, Plugins und Backups empfiehlt sich etwa viertelj\u00e4hrlich.<\/p>\n\n\n\n
                                                                      Ist meine kleine Website \u00fcberhaupt ein Ziel?<\/strong> Ja. Angriffe erfolgen automatisiert und unabh\u00e4ngig von Gr\u00f6\u00dfe oder Bekanntheit. Auch kleine Seiten werden gekapert, etwa um Spam zu versenden, Schadsoftware zu verteilen oder Rechenleistung zu missbrauchen.<\/p>\n\n\n\n
                                                                      Kann ich das alles selbst umsetzen?<\/strong> Vieles ja, etwa Updates, Passw\u00f6rter, 2FA, Benutzerverwaltung und Plugin-Hygiene. F\u00fcr Server-Konfiguration, Firewalls und Notf\u00e4lle lohnt sich die Unterst\u00fctzung durch erfahrene Fachleute oder einen guten Hoster.<\/p>\n\n\n\n
                                                                      \"Checkliste
                                                                      Die zehn Ma\u00dfnahmen im \u00dcberblick: Wie viele k\u00f6nnen Sie heute abhaken?<\/figcaption><\/figure>\n\n\n\n
                                                                      Fazit: Konsequenz schl\u00e4gt Perfektion<\/h2>\n\n\n\n
                                                                      WordPress ist grunds\u00e4tzlich ein ausgereiftes und sicheres System. Die meisten erfolgreichen Angriffe nutzen keine geheimnisvollen Tricks, sondern bekannte Schwachstellen in veralteter Software, schwache Zugangsdaten oder Fehlkonfigurationen. Genau dort setzen die zehn Ma\u00dfnahmen an.<\/p>\n\n\n\n
                                                                      Beginnen Sie mit den Grundlagen: Updates, starke Passw\u00f6rter mit 2FA, ein aufger\u00e4umter Plugin-Bestand und funktionierende Backups. Diese vier Punkte decken bereits einen gro\u00dfen Teil der realistischen Risiken ab. Erg\u00e4nzen Sie anschlie\u00dfend Schritt f\u00fcr Schritt H\u00e4rtung, Firewall und Monitoring.<\/p>\n\n\n\n
                                                                      Sicherheit ist keine einmalige Aufgabe, sondern eine Gewohnheit. Wer sie fest in die regelm\u00e4\u00dfige Pflege seiner Website einplant, sch\u00fctzt nicht nur Technik, sondern auch das Vertrauen von Kunden, Lesern und Gesch\u00e4ftspartnern.<\/p>\n\n\n\n
                                                                      Unsicher, wo Ihre Website heute steht? Gehen Sie die Checkliste durch und markieren Sie, was noch fehlt. Das Ergebnis ist Ihre pers\u00f6nliche Priorit\u00e4tenliste f\u00fcr die n\u00e4chsten Wochen.<\/p>\n","_links":{"self":[{"href":"https:\/\/wwwschutz.de\/blog\/wp-json\/wp\/v2\/posts\/5648","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/wwwschutz.de\/blog\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/wwwschutz.de\/blog\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/wwwschutz.de\/blog\/wp-json\/wp\/v2\/users\/4"}],"replies":[{"embeddable":true,"href":"https:\/\/wwwschutz.de\/blog\/wp-json\/wp\/v2\/comments?post=5648"}],"version-history":[{"count":6,"href":"https:\/\/wwwschutz.de\/blog\/wp-json\/wp\/v2\/posts\/5648\/revisions"}],"predecessor-version":[{"id":5660,"href":"https:\/\/wwwschutz.de\/blog\/wp-json\/wp\/v2\/posts\/5648\/revisions\/5660"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/wwwschutz.de\/blog\/wp-json\/wp\/v2\/media\/5650"}],"wp:attachment":[{"href":"https:\/\/wwwschutz.de\/blog\/wp-json\/wp\/v2\/media?parent=5648"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/wwwschutz.de\/blog\/wp-json\/wp\/v2\/categories?post=5648"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/wwwschutz.de\/blog\/wp-json\/wp\/v2\/tags?post=5648"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}