Die meisten gehackten WordPress-Seiten, die ich bereinige, hatten ein Sicherheits-Plugin installiert. Es hat die Anzeige grün gefärbt und den Betreiber beruhigt, während ein veraltetes Plugin daneben die Tür offen hielt. Sicherheit ist keine Frage des richtigen Plugins, sondern von zwölf Gewohnheiten. Hier sind sie, in der Reihenfolge ihrer Wirkung. Und wenn Sie wissen wollen, wo Ihre Seite steht: Ich prüfe sie kostenlos von außen.
Die 12-Punkte-Checkliste
- Updates innerhalb von Tagen, nicht Monaten. Über 90 Prozent der bekannten WordPress-Lücken stecken in Plugins. Sobald eine Lücke veröffentlicht ist, scannen Bots nach Seiten, die das Update noch nicht haben. Wer wöchentlich aktualisiert, ist fast immer schneller als die Angreifer.
- Plugins, die niemand mehr pflegt, entfernen. Kein Update seit über einem Jahr, keine Prüfung mit der aktuellen WordPress-Version: Das Plugin ist ein Risiko, egal wie nützlich es ist. Ersetzen oder löschen, nicht nur deaktivieren.
- Keine Themes und Plugins aus zweiter Hand. Kostenlose Kopien bezahlter Erweiterungen bringen in vielen Fällen die Hintertür gleich mit. Nur aus dem offiziellen Verzeichnis oder direkt vom Hersteller installieren.
- Ein eigener Benutzer pro Person, keiner davon heißt „admin“. Und jeder mit einem langen, einmaligen Passwort aus einem Passwortmanager.
- Zwei-Faktor-Anmeldung für alle Administratoren. Ein gestohlenes Passwort reicht dann nicht mehr. Kostenlos mit Plugins wie WP 2FA oder Solid Security.
- Login-Versuche begrenzen. Fünf Fehlversuche, dann Sperre. Damit sind Wörterbuch-Angriffe praktisch wirkungslos.
- PHP-Ausführung in Uploads verbieten. Der Ordner für Bilder darf keine Programme ausführen. Eine Zeile in der .htaccess, und die häufigste Ablage für Hintertüren ist unbrauchbar.
- Dateirechte richtig setzen. Ordner 755, Dateien 644, wp-config.php 600. Nichts auf 777, auch nicht „nur kurz“.
- Aktuelle PHP-Version. PHP-Versionen ohne Sicherheitsupdates bleiben beim Hoster oft jahrelang aktiv. PHP 8.2 oder neuer, und beim Hoster nachsehen, ob die Umstellung ansteht.
- Backups, die außerhalb des Hostings liegen. Ein Backup auf demselben Server ist bei einem Hack oder einer Hoster-Sperre mit betroffen. Täglich, 30 Tage, an zweitem Ort.
- Überwachung, die Sie anruft. Uptime-Monitoring und ein Datei-Scan, der meldet, wenn sich Dateien im WordPress-Kern ändern. Nicht das Plugin-Dashboard, das Sie einmal im Quartal öffnen.
- Alte Installationen im selben Webspace löschen. Die vergessene Testseite von 2019 ist die Tür in Ihre Hauptseite. Alles, was nicht gebraucht wird, weg.
Sicherheits-Plugins: Was reicht
Ein Sicherheits-Plugin ist sinnvoll für Punkte 5, 6 und 11. Wordfence und Solid Security decken das in der kostenlosen Version ab. Alles darüber hinaus ist Komfort, kein Schutz. Zwei Sicherheits-Plugins gleichzeitig sind kein doppelter Schutz, sondern doppelte Last und häufig gegenseitige Störung.
Was kein Plugin ersetzt: Updates, das Entfernen alter Erweiterungen, Backups außerhalb des Hostings und jemanden, der hinschaut.
Der Hoster entscheidet mit
Ein Teil der Sicherheit liegt vor WordPress: Web Application Firewall, Isolation der Kunden voneinander, automatische PHP-Updates, Schadcode-Scan auf Server-Ebene. Meine Kunden hosten bei Mittwald in Deutschland, wo das enthalten ist. Bei sehr günstigem Massen-Hosting fehlt es oft, und dann muss WordPress selbst mehr abfangen.
Kostenloser Sicherheitscheck
Ich prüfe Ihre Website so, wie es ein Angreifer als Erstes tun würde, von außen und ohne Zugang: WordPress-Version, sichtbare Plugins und deren Stand, PHP-Version, SSL, Login-Schutz, Google-Warnungen, Sperrlisten. Sie erhalten das Ergebnis werktags innerhalb von 24 Stunden per Mail, mit einer Liste der Punkte, die Sie selbst ändern können. Ohne Verpflichtung.
Kostenloser Website-Check
Ich prüfe von außen WordPress-Version, Plugins, SSL, Google-Warnungen und Ladezeit. Ergebnis per Mail, ohne Verpflichtung.
Ich lese jede Nachricht selbst und antworte werktags innerhalb von 24 Stunden. Kai Rauch
Absicherung durch mich
Wenn Sie die zwölf Punkte nicht selbst umsetzen möchten: Ich härte Ihre Seite in einem Durchgang zum Festpreis von 249 € netto. Enthalten sind alle zwölf Punkte, Zwei-Faktor-Anmeldung, ein Bericht mit dem Vorher-Nachher-Stand und Empfehlungen zu Plugins, die ersetzt werden sollten. In den Wartungspaketen Plus und Betreuung ist die Absicherung enthalten und wird laufend nachgehalten. Zur WordPress-Wartung
Häufige Fragen
Reicht ein Sicherheits-Plugin nicht aus?
Es hilft bei Login-Schutz und Überwachung. Gegen veraltete Plugins, schwache Passwörter und fehlende Backups hilft es nicht, und das sind die drei häufigsten Ursachen für Hacks.
Ist WordPress unsicher?
WordPress selbst wird von einem großen Team gepflegt und schnell aktualisiert. Unsicher sind vernachlässigte Installationen. Die meisten Hacks nutzen Lücken, für die es seit Monaten ein Update gab.
Woran erkenne ich, ob meine Seite schon gehackt ist?
Weiterleitungen auf fremde Seiten, fremde Texte in den Google-Ergebnissen, unbekannte Administratoren, Google-Warnung, Hoster-Meldung. Details unter WordPress gehackt.
Muss ich meine Website nach DSGVO absichern?
Ja. Art. 32 DSGVO verlangt angemessene technische Maßnahmen für personenbezogene Daten, und schon ein Kontaktformular verarbeitet solche Daten. Updates, Verschlüsselung und Zugriffsschutz gehören dazu.
Wie oft sollte ich Backups machen?
Täglich, wenn sich Inhalte ändern, mindestens wöchentlich sonst. Entscheidend ist weniger die Häufigkeit als der Ort: außerhalb des Hostings.