WordPress-Sicherheit: Was wirklich schützt, und was nur beruhigt

Die meisten gehackten WordPress-Seiten, die ich bereinige, hatten ein Sicherheits-Plugin installiert. Es hat die Anzeige grün gefärbt und den Betreiber beruhigt, während ein veraltetes Plugin daneben die Tür offen hielt. WordPress-Sicherheit ist keine Frage des richtigen Plugins, sondern von zwölf Gewohnheiten. Auf dieser Seite stehen sie in der Reihenfolge ihrer Wirkung, jede mit einem konkreten „So geht’s“. Dazu erkläre ich, welche Sicherheitslücken es in WordPress gibt, was die bekannten Sicherheits-Plugins leisten und woran Sie merken, dass etwas nicht stimmt. Und wenn Sie wissen wollen, wo Ihre Seite steht: Ich prüfe sie kostenlos von außen.

Ist WordPress sicher?

Ja, der Kern von WordPress ist sicher, und er wird von einem eigenen Sicherheitsteam gepflegt. Sicherheitsupdates für den Kern kommen seit Jahren automatisch, auch für ältere Versionszweige. Unsicher wird WordPress durch das, was um den Kern herum installiert ist, und durch das, was nicht passiert: Updates, die liegen bleiben, Plugins, die niemand mehr pflegt, Passwörter, die seit 2015 dieselben sind.

Das zeigt sich in den Zahlen. Patchstack, ein Anbieter, der Sicherheitslücken im WordPress-Umfeld sammelt und auswertet, hat für das Jahr 2025 insgesamt 11.334 neue Lücken erfasst (State of WordPress Security 2026). 91 Prozent davon steckten in Plugins, der Rest fast vollständig in Themes. Der Kern selbst machte nur einen verschwindend kleinen Teil aus. Wer also fragt, ob WordPress sicher ist, sollte eigentlich fragen: Sind meine Plugins sicher, und spiele ich ihre Updates schnell genug ein?

Ganz ausgeschlossen sind Lücken im Kern trotzdem nicht. Im Juli 2026 hat die US-Behörde CISA eine Kern-Lücke unter dem Namen „wp2shell“ (CVE-2026-63030) in ihren Katalog nachweislich ausgenutzter Schwachstellen aufgenommen. Wer die automatischen Kern-Updates abgeschaltet hatte, war betroffen. Wer sie laufen ließ, hatte die Korrektur ohne eigenes Zutun.

Ist WordPress vertrauenswürdig?

WordPress ist Open Source: Der Quellcode ist öffentlich, jede Änderung nachvollziehbar, und Lücken werden über ein geregeltes Verfahren gemeldet und geschlossen. Das ist eher ein Vorteil als ein Risiko, weil viele Augen auf denselben Code schauen. Bei geschlossenen Baukastensystemen müssen Sie dem Anbieter glauben, bei WordPress können Sie nachsehen lassen.

Vertrauenswürdig heißt aber nicht wartungsfrei. Weil WordPress so verbreitet ist, lohnt es sich für Angreifer, automatisiert nach verwundbaren Installationen zu suchen. Ihre Seite wird nicht gezielt ausgewählt, sie wird gefunden, weil ein Bot das Internet nach einer bestimmten Plugin-Version abklopft. Ob WordPress für Ihr Vorhaben grundsätzlich noch die richtige Wahl ist, bespreche ich im Ratgeber Ist WordPress noch zeitgemäß?

Welche Sicherheitslücken gibt es in WordPress?

Eine Lücke ist ein Fehler im Code, der jemandem mehr erlaubt, als vorgesehen war. Für Betreiber reicht es, zwei Dinge zu unterscheiden: wo die Lücke sitzt und was sie ermöglicht.

Wo die Lücken sitzen

• Plugins. Der mit Abstand größte Anteil. Ein Kontaktformular, ein Slider oder ein Seitenbaukasten stammt oft von kleinen Teams oder Einzelpersonen, und die Qualität schwankt stark. Mit jedem zusätzlichen Plugin wächst die Fläche, die angegriffen werden kann.
• Themes. Seltener, aber nicht harmlos, vor allem bei großen Premium-Themes mit eingebauten Funktionen wie Importern, Formularen oder Dateiuploads. Ein Theme mit eingebautem Seitenbaukasten ist sicherheitlich eher ein Plugin.
• Der WordPress-Kern. Selten, gut geprüft und meist innerhalb von Tagen per automatischem Update geschlossen.
• Alles daneben. Veraltete PHP-Versionen, eine vergessene Testinstallation im selben Webspace, ein FTP-Zugang mit schwachem Passwort. Das sind keine WordPress-Lücken im engeren Sinn, führen aber genauso zum Hack.

Was die Lücken ermöglichen

• Cross-Site-Scripting (XSS). Angreifer schleusen Skriptcode in die Seite, etwa über ein Formularfeld, das nicht gefiltert wird. Der Code läuft dann im Browser der Besucher oder, schlimmer, im Browser eines eingeloggten Administrators und kann dort zum Beispiel einen neuen Admin-Benutzer anlegen.
• SQL-Injection. Eine Eingabe wird ungeprüft an die Datenbank weitergereicht. Damit lassen sich Daten auslesen oder verändern, im schlimmsten Fall Benutzerkonten und Passwort-Hashes.
• Fehlende Rechteprüfung. Eine Funktion prüft nicht, ob der Aufrufer sie überhaupt benutzen darf. Dann kann ein einfacher Abonnent Einstellungen ändern oder ein Besucher ohne Login eine Aktion auslösen, die nur Administratoren vorbehalten sein sollte. Patchstack nennt diesen Typ als den am häufigsten ausgenutzten, weil die Angriffe wie normaler Verkehr aussehen.
• Unsichere Datei-Uploads. Ein Upload-Feld akzeptiert nicht nur Bilder, sondern auch PHP-Dateien. Liegt so eine Datei erst im Uploads-Ordner, ist sie eine Hintertür. Genau dagegen hilft Punkt 7 der Checkliste.

Wie schnell es nach der Veröffentlichung geht

Zwei Zahlen aus dem Patchstack-Bericht sollten Sie kennen. Erstens: Bei 46 Prozent der Lücken stand zum Zeitpunkt der Veröffentlichung noch kein Update bereit. Zweitens: Patchstack beziffert die gewichtete mittlere Zeit bis zum ersten Ausnutzungsversuch auf 5 Stunden. Gewichtet heißt: Die Lücken, auf die sich Angreifer am stärksten stürzen, werden typischerweise schon wenige Stunden nach Bekanntwerden angegriffen. Das gilt nicht für jede Lücke, aber gerade für die gefährlichen.

Welche Lücken gerade bekannt sind, welche davon ausgenutzt werden und ob es ein Update gibt, zeige ich laufend aktualisiert im Lücken-Radar für WordPress. Den Kasten oben auf dieser Seite speist dieselbe Quelle.

Die 12-Punkte-Checkliste für WordPress-Sicherheit

Die Reihenfolge ist bewusst gewählt: Die ersten drei Punkte verhindern die Mehrzahl der Hacks, die ich bereinige. Wer nur Zeit für drei Dinge hat, fängt dort an.

1. Updates innerhalb von Tagen, nicht Monaten

Über 90 Prozent der bekannten Lücken stecken in Plugins, und für die gefährlichen beginnen die Angriffe wenige Stunden nach Bekanntwerden. Wer monatlich aktualisiert, ist zu spät. Wer wöchentlich oder automatisch aktualisiert, ist fast immer schneller als die Masse der Bots.

So geht’s: Unter „Plugins“ in der Spalte „Automatische Updates“ für jedes Plugin, das sich bewährt hat, „Automatische Updates aktivieren“ anklicken. Große Plugins wie Seitenbaukästen oder WooCommerce-Erweiterungen aktualisiere ich lieber von Hand nach einem Backup, alle anderen laufen automatisch. Kern-Updates für Sicherheitsversionen nie abschalten. Mit Shell-Zugang zeigt WP-CLI auf einen Blick, was offen ist:

wp plugin list --update=available
wp theme list --update=available
wp core check-update

2. Plugins, die niemand mehr pflegt, entfernen

Kein Update seit über einem Jahr, kein Test mit der aktuellen WordPress-Version: Das Plugin ist ein Risiko, egal wie nützlich es ist. Wenn dort eine Lücke gefunden wird, kommt keine Korrektur mehr.

So geht’s: Für jedes Plugin die Seite auf wordpress.org aufrufen und „Zuletzt aktualisiert“ prüfen. Steht dort ein Hinweis, dass das Plugin geschlossen wurde, sofort handeln. Deaktivierte Plugins löschen, nicht liegen lassen: Auch ein deaktiviertes Plugin liegt mit seinen Dateien auf dem Server, und manche Lücken lassen sich über den direkten Aufruf einer Datei ausnutzen.

3. Keine Themes und Plugins aus zweiter Hand

Kostenlose Kopien bezahlter Erweiterungen, sogenannte „nulled“ Plugins, bringen in vielen Fällen die Hintertür gleich mit. Außerdem bekommen sie keine Updates.

So geht’s: Nur aus dem offiziellen Verzeichnis auf wordpress.org oder direkt beim Hersteller installieren. Bei gekauften Erweiterungen die Lizenz im Plugin hinterlegen, sonst kommen keine Updates an. Wer eine Seite übernimmt, sollte jedes Premium-Plugin ohne gültige Lizenz als verdächtig behandeln.

4. Ein eigener Benutzer pro Person, keiner davon heißt „admin“

Geteilte Zugänge lassen sich nicht sperren, ohne alle auszusperren, und niemand weiß, wer was geändert hat. Der Name „admin“ ist das Erste, was Bots beim Login probieren.

So geht’s: Unter „Benutzer“ für jede Person ein eigenes Konto mit der kleinsten passenden Rolle anlegen: Redakteure brauchen keine Administratorrechte. Passwörter mit mindestens 16 Zeichen aus einem Passwortmanager. Alte Konten von Agenturen und ehemaligen Mitarbeitern löschen und die Inhalte dabei einem anderen Benutzer zuordnen. Die Liste aller Administratoren liefert wp user list --role=administrator.

5. Zwei-Faktor-Anmeldung für alle Administratoren

Ein gestohlenes oder erratenes Passwort reicht dann nicht mehr, es fehlt der Code vom Smartphone.

So geht’s: Ein Plugin wie „Two Factor“ (von WordPress-Mitwirkenden gepflegt), WP 2FA oder die Login-Funktion von Wordfence oder Solid Security installieren. Jeder Administrator verbindet sein Konto mit einer Authenticator-App und speichert die Ersatzcodes im Passwortmanager. Danach für Administratoren und Redakteure verpflichtend machen. SMS als zweiten Faktor meide ich, App-Codes oder ein Sicherheitsschlüssel sind zuverlässiger.

6. Login-Versuche begrenzen

Bots probieren am Login Tausende Kombinationen aus Benutzernamen und Passwörtern. Eine Sperre nach wenigen Fehlversuchen macht das praktisch wirkungslos.

So geht’s: Limit Login Attempts Reloaded oder die Login-Sperre eines Sicherheits-Plugins aktivieren: fünf Fehlversuche, dann 20 Minuten Sperre, bei Wiederholung länger. Die XML-RPC-Schnittstelle abschalten, wenn Sie keine App und kein Jetpack nutzen, denn auch dort lassen sich Passwörter durchprobieren. Den Login auf eine andere Adresse zu verlegen, hält Bots aus den Protokollen fern, ist aber kein Schutz, sondern Kosmetik.

7. PHP-Ausführung in Uploads verbieten

Der Ordner wp-content/uploads ist für Bilder und Dokumente da, nicht für Programme. Trotzdem ist er die häufigste Ablage für Hintertüren, weil er beschreibbar sein muss.

So geht’s: Bei Apache-Servern eine Datei .htaccess im Ordner wp-content/uploads anlegen (oder ergänzen) mit diesem Inhalt:

<FilesMatch "\.(?i:php|phtml|phar)$">
  Require all denied
</FilesMatch>

Danach testen: Eine Datei test.php in den Uploads-Ordner legen und im Browser aufrufen. Es muss „403 Forbidden“ kommen, dann die Testdatei wieder löschen. Bei Nginx-Servern macht das der Hoster in der Server-Konfiguration. Bei manchen Hostern lässt sich die Sperre auch im Kundenmenü einschalten.

8. Dateirechte richtig setzen und den Datei-Editor abschalten

Zu großzügige Rechte erlauben es fremden Prozessen auf dem Server, Ihre Dateien zu verändern. Und der eingebaute Datei-Editor im Backend macht aus jedem gestohlenen Admin-Zugang einen Zugang zum Code.

So geht’s: Ordner 755, Dateien 644, die wp-config.php 600 oder, wenn die Seite danach nicht mehr lädt, 640. Nichts auf 777, auch nicht „nur kurz“. Per SSH im WordPress-Verzeichnis:

find . -type d -exec chmod 755 {} \;
find . -type f -exec chmod 644 {} \;
chmod 600 wp-config.php

In die wp-config.php oberhalb von „That’s all, stop editing“ gehört außerdem diese Zeile, sie blendet den Theme- und Plugin-Editor im Backend aus:

define( 'DISALLOW_FILE_EDIT', true );

Wenn die Sicherheitsschlüssel in der wp-config.php noch die Platzhalter enthalten oder nach einem Vorfall nie erneuert wurden: neue erzeugen unter api.wordpress.org/secret-key/1.1/salt/ und einsetzen. Alle Benutzer werden dabei abgemeldet, das ist gewollt. Weitere Härtungsschritte beschreibt die offizielle Anleitung zur Härtung von WordPress.

9. Aktuelle PHP-Version

PHP-Versionen ohne Sicherheitsupdates bleiben beim Hoster oft jahrelang wählbar. Lücken darin werden nicht mehr geschlossen, egal wie aktuell WordPress ist.

So geht’s: Die aktive Version steht im Backend unter „Werkzeuge → Website-Zustand → Bericht → Server“. Umgestellt wird beim Hoster, meist je Domain oder Webspace. PHP 8.2 bekommt nur noch bis Ende 2026 Sicherheitsupdates, ich stelle deshalb auf 8.3 oder neuer um. Wie lange welche Version noch unterstützt wird, zeigt der Countdown unter aktuelle PHP-Version. Vorher Backup, danach Startseite, Formulare, Login und gegebenenfalls Kasse testen.

10. Backups, die außerhalb des Hostings liegen

Ein Backup auf demselben Server ist bei einem Hack, einem Plattenschaden oder einer Sperre durch den Hoster mit betroffen. Ein Backup ist nur so gut wie die letzte erfolgreiche Wiederherstellung.

So geht’s: Ein Backup-Plugin wie UpdraftPlus so einstellen, dass Dateien und Datenbank täglich an einen zweiten Ort gehen, etwa einen Cloud-Speicher, und 30 Tage aufbewahrt werden. Einmal im Quartal eine Wiederherstellung auf einer Testumgebung durchspielen. Wie das im Ernstfall abläuft, beschreibe ich unter Website wiederherstellen.

11. Überwachung, die Sie benachrichtigt

Ein Plugin-Dashboard, das Sie einmal im Quartal öffnen, ist keine Überwachung. Entscheidend ist, dass Sie eine Nachricht bekommen, wenn etwas passiert.

So geht’s: Ein Uptime-Monitoring, das alle paar Minuten prüft und per Mail oder SMS meldet. Dazu ein Datei-Abgleich, der Änderungen am WordPress-Kern erkennt. Mit WP-CLI geht das ohne Plugin:

wp core verify-checksums
wp plugin verify-checksums --all

Beide Befehle vergleichen Ihre Dateien mit den Originalen auf wordpress.org und melden jede Abweichung. Premium-Plugins, die nicht im Verzeichnis stehen, lassen sich so nicht prüfen. Und die Search Console von Google gehört eingerichtet: Sie meldet, wenn Google Schadcode oder gehackte Inhalte auf Ihrer Seite findet.

12. Alte Installationen im selben Webspace löschen

Die vergessene Testseite von 2019 im Unterordner ist die Tür in Ihre Hauptseite. Liegen beide im selben Webspace, kann Schadcode von der einen auf die andere übergreifen.

So geht’s: Per FTP oder im Dateimanager des Hosters alle Ordner durchsehen. Jede wp-config.php, die nicht zur Hauptseite gehört, ist eine weitere Installation. Was nicht gebraucht wird: sichern, löschen, die zugehörige Datenbank ebenfalls. Gleiches gilt für alte Kopien wie backup.zip oder alt/ im Hauptverzeichnis, die oft frei herunterladbar sind.

Sicherheits-Plugins im Vergleich

Ein Sicherheits-Plugin ist sinnvoll für die Punkte 5, 6 und 11: Zwei-Faktor-Anmeldung, Login-Sperre und Überwachung. Für die Punkte 1 bis 3, also die wirksamsten, kann es Sie höchstens erinnern. Die bekannten Plugins unterscheiden sich vor allem darin, wo sie ansetzen.

Meine Empfehlung: Für die meisten Seiten reicht ein einziges Plugin für Login-Schutz und Zwei-Faktor, dazu ein Dienst, der bei bekannten Lücken warnt. Bei sehr günstigem Hosting ohne eigene Server-Firewall setze ich Wordfence ein, bei gutem Hosting mit Firewall genügt oft ein schlankes Plugin für Zwei-Faktor und Login-Sperre. Zwei Sicherheits-Plugins gleichzeitig sind kein doppelter Schutz, sondern doppelte Last und häufig gegenseitige Störung. Und keines ersetzt Updates, das Entfernen alter Erweiterungen, Backups außerhalb des Hostings und jemanden, der hinschaut.

Der Hoster entscheidet mit

Ein Teil der Sicherheit liegt vor WordPress: eine Firewall auf dem Server, die Trennung der Kunden voneinander, automatische Updates der Server-Software, Schadcode-Scan auf Server-Ebene, Zugang nur über SFTP statt FTP. Meine Kunden hosten bei Mittwald in Deutschland, wo das enthalten ist. Bei sehr günstigem Massen-Hosting fehlt es oft, und dann muss WordPress selbst mehr abfangen. Ob Ihr Hoster gerade Störungen hat, sehen Sie im Hoster-Status.

Ist WordPress DSGVO-konform?

WordPress ist eine Software, die Sie selbst betreiben. Ob Ihre Website datenschutzkonform ist, hängt deshalb nicht an WordPress, sondern daran, wie Sie es einrichten. Zwei Bereiche betreffen die Sicherheit direkt:

• Art. 32 DSGVO verlangt angemessene technische und organisatorische Maßnahmen zum Schutz personenbezogener Daten. Schon ein Kontaktformular, Kommentare oder Benutzerkonten verarbeiten solche Daten. Updates, Verschlüsselung per HTTPS, Zugriffsschutz und Backups gehören zu dem, was ich für angemessen halte. Kommt es zu einer Datenpanne, kann nach Art. 33 DSGVO eine Meldung an die Aufsichtsbehörde innerhalb von 72 Stunden nötig sein.
• Plugins und externe Dienste sind der zweite Bereich. Schriften von fremden Servern, eingebettete Videos und Karten, Statistik-Werkzeuge, Gravatar bei Kommentaren oder Plugins, die Daten an ihre Hersteller senden, übertragen oft schon beim Seitenaufruf die IP-Adresse Ihrer Besucher. Ich lade Schriften lokal, binde Videos erst nach Klick ein und prüfe bei jedem Plugin, wohin es Daten schickt.

Das ist eine technische Einordnung, keine Rechtsberatung. Für die Datenschutzerklärung und die Frage, welche Einwilligungen Sie brauchen, ist ein Anwalt oder Datenschutzbeauftragter der richtige Ansprechpartner.

Woran Sie merken, dass etwas nicht stimmt

Ein Hack fällt selten mit einem Knall auf. Viele Seiten tragen Schadcode wochenlang, ohne dass der Betreiber etwas merkt, weil der Schadcode eingeloggte Administratoren bewusst verschont. Diese Anzeichen sollten Sie ernst nehmen:

• Besucher vom Smartphone oder aus Google landen auf fremden Seiten, Sie selbst sehen aber Ihre normale Seite.
• In den Google-Ergebnissen stehen bei Ihrer Domain fremde Titel, oft auf Japanisch oder mit Arzneimittel-Werbung.
• Unter „Benutzer“ steht ein Administrator, den niemand kennt.
• Chrome oder die Search Console zeigt eine Warnung, oder der Hoster meldet Schadcode oder Spam-Versand und sperrt die Seite.
• Die Seite ist plötzlich langsam, und im Uploads-Ordner liegen PHP-Dateien.

Trifft einer dieser Punkte zu, hilft keine weitere Härtung mehr, dann muss die Seite zuerst bereinigt werden. Was in den ersten Stunden zu tun ist, beschreibe ich unter WordPress gehackt. Die Bereinigung zum Festpreis biete ich unter WordPress-Malware entfernen an.

Kostenloser Sicherheitscheck

Ich prüfe Ihre Website so, wie es ein Angreifer als Erstes tun würde, von außen und ohne Zugang: WordPress-Version, sichtbare Plugins und deren Stand im Abgleich mit bekannten Lücken, PHP-Version, SSL, Login-Schutz, Google-Warnungen, Sperrlisten. Sie erhalten das Ergebnis werktags innerhalb von 24 Stunden per Mail, mit einer Liste der Punkte, die Sie selbst ändern können. Ohne Verpflichtung.

Absicherung durch mich

Wenn Sie die zwölf Punkte nicht selbst umsetzen möchten: Ich härte Ihre Seite in einem Durchgang zum Festpreis von 249 € netto. Enthalten sind alle zwölf Punkte, Zwei-Faktor-Anmeldung, ein Bericht mit dem Vorher-Nachher-Stand und Empfehlungen zu Plugins, die ersetzt werden sollten.

Sicherheit ist aber kein Zustand, sondern ein Takt. Die Härtung von heute schützt nicht vor der Plugin-Lücke von nächster Woche. Deshalb ist die Absicherung in den Wartungspaketen Plus (89 € im Monat) und Betreuung (149 € im Monat) enthalten und wird laufend nachgehalten: Updates nach Backup, Lücken-Abgleich, Überwachung, monatlicher Bericht. Mein Team übernimmt die Routine nach meiner Checkliste, ich prüfe. Mehr dazu unter WordPress-Wartung.

Häufige Fragen

---