Wenn eine WordPress-Website gehackt wird, steckt selten ein gezielter Angriff dahinter. Viel häufiger durchsuchen Programme das Internet automatisch nach Seiten mit veralteten Plugins, schwachen Passwörtern oder offenen Schnittstellen. Das klingt bedrohlich, hat aber eine gute Seite: Gegen solche Massenangriffe helfen schon wenige, konsequent umgesetzte Grundlagen.
1. Aktuell bleiben – mit Plan
Die meisten Sicherheitslücken in WordPress-Seiten stecken nicht im WordPress-Kern, sondern in Plugins und Themes. Sobald eine Lücke öffentlich bekannt ist, wird sie innerhalb kurzer Zeit ausgenutzt. Updates sind deshalb die wichtigste Schutzmaßnahme überhaupt.
„Aktuell bleiben“ heißt aber nicht, blind auf jeden Update-Knopf zu drücken. Größere Updates teste ich vorher auf einer Kopie der Seite. Wie das funktioniert, beschreibe ich im Beitrag über die Staging-Umgebung.
- WordPress, Plugins und Themes regelmäßig aktualisieren
- Plugins entfernen, die nicht mehr gebraucht werden – deaktiviert reicht nicht
- keine Plugins einsetzen, die seit Jahren keine Updates mehr bekommen haben
- die PHP-Version auf dem Server im Blick behalten
2. Zugänge richtig schützen
Der Login unter /wp-admin ist das beliebteste Ziel automatisierter Angriffe. Programme probieren dort tausende Kombinationen aus Benutzername und Passwort durch. Drei Maßnahmen machen das praktisch aussichtslos:
- lange, einzigartige Passwörter aus einem Passwort-Manager
- Zwei-Faktor-Anmeldung für alle Konten mit Redaktions- oder Admin-Rechten
- eine Begrenzung der Anmeldeversuche, damit automatisiertes Durchprobieren ins Leere läuft
Mehr dazu, wie das im Alltag bequem bleibt, lesen Sie im Beitrag über Login-Schutz und Zwei-Faktor-Anmeldung.
3. Nur so viele Rechte wie nötig
Nicht jeder, der Beiträge schreibt, braucht Administratorrechte. WordPress bringt ein durchdachtes Rollensystem mit: Redakteure, Autoren und Mitarbeiter dürfen jeweils nur das, was sie für ihre Aufgabe brauchen. Wird ein solches Konto übernommen, bleibt der Schaden begrenzt.
Tipp: Prüfen Sie einmal im Jahr die Liste der Benutzer. Konten von ehemaligen Mitarbeitern oder Agenturen, die nicht mehr gebraucht werden, sollten verschwinden.
4. Eine Firewall als Türsteher
Eine Web Application Firewall filtert verdächtige Anfragen, bevor sie WordPress überhaupt erreichen – etwa bekannte Angriffsmuster oder auffällig viele Aufrufe aus derselben Quelle. Je nach Hosting gibt es diese Schutzschicht bereits auf dem Server oder über einen vorgeschalteten Dienst. Ein Sicherheits-Plugin kann sie ergänzen, sollte aber nicht die einzige Verteidigung sein.
5. Backups – die Versicherung für den Ernstfall
Hundertprozentige Sicherheit gibt es nicht. Entscheidend ist deshalb, wie schnell Sie nach einem Vorfall wieder online sind. Dafür braucht es regelmäßige, automatische Backups, die getrennt vom Webserver gespeichert werden – und die auch wirklich funktionieren. Wie man das prüft, erkläre ich im Beitrag Backups, die im Ernstfall wirklich helfen.
Fazit
Sicherheit ist kein einmaliges Projekt, sondern Routine: aktuelle Software, gut geschützte Zugänge, sparsam vergebene Rechte, eine Firewall und geprüfte Backups. Wer diese Grundlagen beherrscht, ist für die allermeisten Angriffe kein lohnendes Ziel mehr.
Sie möchten wissen, wie gut Ihre Website aufgestellt ist? Auf der Seite Sicherheit beschreibe ich, wie ich WordPress-Seiten prüfe und absichere – oder Sie schreiben mir direkt.
