WordPress sicher machen: Die Security-Checkliste zum Selbermachen

Warum WordPress so oft angegriffen wird

Angriffe auf WordPress laufen fast immer automatisiert: Bots scannen das halbe Internet nach Seiten mit bekannten Schwachstellen und schlagen zu, wo sie eine finden. Es geht selten um dich persönlich — es geht um die Masse. Genau deshalb schützt schon konsequente Grundhygiene besser als jedes Nischen-Tool: Wer keine bekannten Lücken offen lässt, fällt durch das Raster der automatisierten Scanner.

1. Updates & weniger Angriffsfläche

Der wichtigste Hebel überhaupt. Veraltete Plugins und Themes sind die häufigste Einfallstür. Halte alles aktuell — und miste aus, was du nicht brauchst:

• WordPress-Core, Themes und Plugins regelmäßig aktualisieren
• Updates vorab auf einer Staging-Kopie testen, nicht blind live
• Ungenutzte Plugins und Themes komplett löschen, nicht nur deaktivieren
• Nur Plugins aus vertrauenswürdigen Quellen mit aktiver Pflege installieren

2. Logins absichern

Nach veralteten Plugins sind schwache Zugangsdaten die zweithäufigste Ursache. Brute-Force-Bots probieren tausende Passwörter durch. So machst du ihnen das Leben schwer:

• Starke, einzigartige Passwörter für alle Konten
• Zwei-Faktor-Authentifizierung (2FA) aktivieren
• Login-Versuche begrenzen (Limit-Login)
• Keinen Benutzer namens „admin" verwenden
• Benutzerrollen sparsam vergeben — nicht jeder braucht Admin-Rechte

3. Backups, die im Ernstfall funktionieren

Ein Backup ist deine Lebensversicherung — aber nur, wenn es im Notfall auch wirklich funktioniert. Zu viele Backups liegen auf demselben Server wie die Seite (und sind damit im Hack-Fall genauso kompromittiert) oder wurden nie auf Wiederherstellbarkeit getestet. Richtig ist: automatische, regelmäßige Backups an einem externen Ort — und mindestens einmal ein echter Test-Restore, damit du weißt, dass es klappt.

4. Server & Konfiguration härten

Ein paar technische Einstellungen erhöhen die Hürde deutlich. Vieles davon lässt sich einmalig einrichten und ist dann erledigt:

• HTTPS/SSL erzwingen (kein unverschlüsselter Zugriff)
• Die wp-config.php und sensible Dateien schützen
• Datei-Bearbeitung im Backend deaktivieren (DISALLOW_FILE_EDIT)
• Sinnvolle Datei- und Ordner-Rechte setzen
• XML-RPC deaktivieren, wenn nicht benötigt

5. Monitoring — und was im Ernstfall zählt

Ein Sicherheits-Plugin mit regelmäßigen Malware-Scans meldet Auffälligkeiten früh. Beobachte außerdem ungewöhnliche Aktivitäten wie unbekannte Benutzer oder plötzliche Traffic-Spitzen. Wenn es trotz allem passiert: Ruhe bewahren, die Seite bei Bedarf in den Wartungsmodus nehmen und die Kompromittierung sauber und vollständig beseitigen — halbherzig entfernte Backdoors holen den Angreifer zurück.