WordPress-Sicherheit ist keine Option, sondern Pflicht, sobald eine Website Traffic oder Umsatz generiert. Jeden Monat repariere ich kompromittierte Websites (eingeschleuster Content, bösartige Weiterleitungen, ein durch einen Kartenskimmer geleerter Shop), bei denen das Schlimmste mit ein paar Basismaßnahmen hätte vermieden werden können – oft vernachlässigt aus Zeit- oder Wissensmangel. Hier der komplette Leitfaden, vom Einfachsten bis zum Technischsten.
1. Starke Authentifizierung
Aktivieren Sie konsequent die Zwei-Faktor-Authentifizierung (2FA) für alle Konten mit Administrator- oder Redakteurrolle: Ein Plugin wie Wordfence oder Two Factor bietet eine einfache Integration mit einer Authenticator-App. Begrenzen Sie die Login-Versuche strikt (Wordfence, Limit Login Attempts Reloaded), mit automatischer IP-Sperre nach 3 bis 5 Fehlversuchen. Verbieten Sie zudem generische Benutzernamen wie "admin", die weiterhin das Hauptziel automatisierter Brute-Force-Angriffe sind.
2. Datei- und Konfigurations-Hardening
Deaktivieren Sie die Dateibearbeitung direkt über die wp-admin-Oberfläche, indem Sie die Konstante DISALLOW_FILE_EDIT in wp-config.php hinzufügen: Das verhindert, dass ein Angreifer mit Admin-Zugang direkt den Theme- oder Plugin-Code ändert. Schützen Sie die Datei wp-config.php selbst über eine .htaccess-Regel, die den direkten Zugriff blockiert. Setzen Sie strikte Berechtigungen für Dateien (644) und Ordner (755), und lassen Sie niemals einen Ordner mit 777 beschreibbar, auch nicht vorübergehend.
3. Konsequentes Update-Management
Aktivieren Sie automatische Minor-Updates des WordPress-Kerns (Sicherheitspatches), die kein Risiko für Fehlfunktionen bergen. Für Major-Updates und Plugins planen Sie einen Test in einer Staging-Umgebung, bevor Sie live gehen. Prüfen Sie monatlich alle aktiven Erweiterungen: Ein seit über einem Jahr nicht mehr aktualisiertes Plugin ist ein Sicherheitsrisiko, das mit der Zeit wächst, und sollte ersetzt oder entfernt werden. Eine Website mit 40 installierten Plugins, von denen 15 inaktiv sind, ist ein Einfallstor, das ich bei meinen Kunden konsequent schließe.
4. Web Application Firewall und Monitoring
Eine vorgeschaltete Web Application Firewall (WAF), wie die kostenlos im Cloudflare-Basisplan enthaltene, filtert einen Großteil des bösartigen Traffics heraus, bevor er den Server überhaupt erreicht. Ergänzend führen Wordfence oder Sucuri regelmäßige Malware-Scans der Site-Dateien durch, mit sofortiger Warnung bei jeder verdächtigen Änderung einer Core-Datei. Richten Sie E-Mail-Benachrichtigungen für jede erkannte Anomalie ein: Login aus einem ungewöhnlichen Land, Änderung einer Systemdatei, ungewöhnlicher Traffic-Anstieg.
5. Zuverlässige, getestete Backups
Automatisierte, ausgelagerte Backups (zum Beispiel UpdraftPlus in Kombination mit Google-Drive- oder Amazon-S3-Speicher) sollten mindestens einmal täglich laufen und sowohl die Datenbank als auch die Dateien umfassen. Die 3-2-1-Regel bleibt der Maßstab: 3 Kopien der Daten, auf 2 verschiedenen Medien, davon 1 extern. Der am häufigsten vernachlässigte Punkt: die Wiederherstellung mindestens einmal pro Quartal tatsächlich testen. Ein nie getestetes Backup ist nur trügerische Sicherheit.
6. SSL-Zertifikat und Sicherheits-Header
HTTPS muss auf der gesamten Website ausnahmslos aktiv sein, mit automatischer Weiterleitung von HTTP zu HTTPS. Fügen Sie die empfohlenen Sicherheits-Header hinzu (Content-Security-Policy, X-Frame-Options, X-Content-Type-Options), über die Serverkonfiguration oder ein dediziertes Plugin, um die Angriffsfläche gegen Cross-Site-Scripting und Clickjacking zu verringern.
Was tun, wenn die Seite bereits kompromittiert ist
Ist die Website bereits kompromittiert, isolieren Sie sie sofort (Wartungsmodus, eingeschränkter Zugriff), ändern Sie alle Passwörter (Admin, FTP, Datenbank), stellen Sie nach Möglichkeit ein sauberes Backup von vor der Kompromittierung wieder her, und identifizieren Sie dann die ausgenutzte Schwachstelle, bevor die Seite wieder online geht, um eine sofortige Wiederholung zu vermeiden. Bei Websites, die ich nach einem Hack betreue, ist die Ursache in 70% der Fälle ein veraltetes Plugin oder ein schwaches Passwort.
