WordPress-Sicherheit: 9 Schritte, die wirklich helfen

Wenn mir jemand sagt, seine Website sei gehackt worden, ist die Geschichte fast immer dieselbe: ein Plugin, das seit acht Monaten nicht aktualisiert wurde, oder ein Passwort wie firma2023. Angreifer suchen sich WordPress-Seiten selten gezielt aus. Bots scannen das Internet und probieren bekannte Schwachstellen an allem aus, was sie finden. Das ist eigentlich eine gute Nachricht, denn Verteidigung ist damit eine Frage der Disziplin, nicht des Budgets.

Hier sind neun Schritte, geordnet nach Sicherheitsgewinn pro investierter Minute.

1. Core, Themes und Plugins aktualisieren

Ein langweiliger Rat, der mehr Probleme löst als alles andere auf dieser Liste. Sobald ein Sicherheitspatch erscheint, werden die Details der Schwachstelle öffentlich — und Bots suchen noch am selben Tag danach. Aktivieren Sie automatische Updates für kleinere Core-Versionen und für Plugins, denen Sie vertrauen. Größere Änderungen testen Sie vorher auf einer Staging-Umgebung.

2. Löschen Sie, was Sie nicht nutzen

Ein deaktiviertes Plugin ist kein sicheres Plugin. Der Code liegt weiterhin auf dem Server und ist in manchen Fällen über eine direkte URL erreichbar. Entfernen Sie alle Themes außer dem aktiven und einem Fallback, sowie jedes Plugin, das Sie seit sechs Monaten nicht geöffnet haben. Die durchschnittliche Website, die wir migrieren, hat 24 Plugins installiert und nutzt tatsächlich neun.

3. Starke Passwörter und ein Passwortmanager

Ein zufälliges Passwort mit 16 Zeichen ist gegen Brute Force praktisch immun. Ein achtstelliges Passwort mit einer Ziffer am Ende fällt in wenigen Stunden. Nutzen Sie Bitwarden, 1Password oder Vergleichbares — ein Passwort, das Sie sich merken, alles andere wird generiert.

4. Zwei-Faktor-Authentifizierung

Selbst wenn Ihr Passwort bei einem Datenleck auf einer ganz anderen Seite durchsickert, stoppt 2FA die Anmeldung. Für WordPress genügen Plugins wie Wordfence Login Security oder Two Factor. Machen Sie es für jedes Konto mit der Rolle Administrator verpflichtend.

5. Anmeldeversuche begrenzen

Standardmäßig erlaubt WordPress unbegrenzte Versuche auf wp-login.php. Setzen Sie ein Limit von fünf Versuchen mit anschließender temporärer IP-Sperre. Das senkt nebenbei die Serverlast — ein Brute-Force-Angriff erzeugt schnell Tausende Anfragen pro Stunde.

6. Benutzerrollen nach dem Prinzip der geringsten Rechte

Wer Blogbeiträge schreibt, braucht Autor oder Redakteur, nicht Administrator. Wenn eine Agentur ihr Projekt abschließt, deaktivieren Sie deren Zugang, statt ihn „für alle Fälle" bestehen zu lassen. Jedes Administratorkonto ist eine weitere Tür.

7. WAF und DDoS-Schutz vor der Website

Eine Web Application Firewall filtert schädliche Anfragen, bevor sie WordPress überhaupt erreichen — SQL-Injection-Versuche, bekannte Exploit-Muster, schädliche Bots. Das ist die Schicht, die Sie an dem Tag schützt, an dem Sie ein Update vergessen. Alle Pakete bei SEOhosting.rs enthalten WAF- und DDoS-Schutz ohne Aufpreis.

8. Backups nach der 3-2-1-Regel

Backups verhindern keine Angriffe, aber sie sind die einzige Garantie für eine Wiederherstellung. Drei Kopien, zwei verschiedene Medien, eine außer Haus. Ein tägliches automatisches Backup auf getrennter Infrastruktur bedeutet, dass Ihr schlimmster Fall eine Stunde kostet statt einer Woche. Testen Sie die Wiederherstellung mindestens einmal im Jahr — ein ungetestetes Backup ist eine Vermutung, kein Backup.

9. HTTPS überall, ohne Ausnahme

Ein SSL-Zertifikat schützt Daten während der Übertragung: Anmeldedaten, Formulare, Zahlungsinformationen. Erzwingen Sie die Weiterleitung von HTTP auf HTTPS auf Serverebene und beseitigen Sie Mixed-Content-Warnungen. Kostenloses SSL ist heute Standard, es gibt keinen Grund darauf zu verzichten.

Wenn es bereits zu spät ist

Merkwürdige Weiterleitungen, unbekannte Administratorkonten, eine Warnung in der Google Search Console — flicken Sie nicht im laufenden Betrieb. Nehmen Sie die Seite offline, ändern Sie sämtliche Zugangsdaten inklusive FTP und Datenbank, spielen Sie ein sauberes Backup von vor dem Vorfall ein und schließen Sie erst danach die Lücke, durch die die Angreifer kamen.

Gutes Hosting übernimmt Punkt 7 und 8 für Sie. Die übrigen sieben sind Disziplin und zusammen in weniger als einem Nachmittag erledigt. Wenn Sie noch überlegen, wo Ihre Website liegen soll, sehen Sie sich unser WordPress-Hosting an — NVMe-Speicher, tägliche Backups, WAF und kostenloses SSL sind in jedem Paket enthalten.