Gute WordPress Sicherheit beruht auf wenigen Grundregeln: Kern, Plugins und Themes aktuell halten, alles Ungenutzte löschen, jeden Admin-Zugang mit einem zweiten Faktor schützen und regelmäßig ein Backup außer Haus ablegen. Die meisten gehackten WordPress-Seiten werden nicht über WordPress selbst angegriffen, sondern über ein veraltetes Plugin. Sicherheits-Plugins, Dateirechte und Einstellungen in der wp-config.php machen die Seite zusätzlich robuster, ersetzen aber keine Updates.
Woher die Gefahr kommt
WordPress läuft auf einem großen Teil aller Websites. Für Angreifer lohnt es sich deshalb, das Netz automatisch nach bekannten Lücken abzusuchen. Gezielt angegriffen wird kaum jemand. Ihre Seite wird gefunden, weil ein Bot sie bei der Suche nach einem bestimmten Plugin in einer bestimmten Version entdeckt. Der Sicherheitsdienst Patchstack zählt in seinen Jahresberichten regelmäßig weit über 90 Prozent der neu gefundenen Lücken in Plugins, nur einen kleinen Rest in Themes und fast nichts im WordPress-Kern.
Updates: der wichtigste Schritt für WordPress Sicherheit
Kleinere Versionen des WordPress-Kerns, etwa von 6.8.1 auf 6.8.2, spielt WordPress ab Werk automatisch ein. Sie enthalten vor allem Sicherheitskorrekturen. Für Plugins und Themes gibt es seit WordPress 5.5 einen Schalter „Automatische Aktualisierung aktivieren“ in der Plugin-Liste. Schalten Sie ihn für alle Plugins ein, bei denen ein fehlerhaftes Update keinen großen Schaden anrichtet. Für Shop- oder Page-Builder-Plugins, die oft größere Änderungen bringen, prüfen Sie Updates lieber von Hand, aber zeitnah.
- Ungenutztes löschen: Deaktivierte Plugins liegen weiter auf dem Server und können angreifbar sein. Löschen Sie sie. Von den Themes bleibt nur das aktive und ein Standard-Theme als Reserve.
- Verlassene Plugins ersetzen: In der Plugin-Verzeichnis-Seite steht, wann ein Plugin zuletzt aktualisiert wurde. Zwei Jahre ohne Update sind ein Warnzeichen.
- Keine „nulled“ Versionen: Kostenlose Kopien von Bezahl-Plugins aus inoffiziellen Quellen enthalten häufig Hintertüren.
- Aktuelles PHP: Alte PHP-Versionen bekommen keine Sicherheitsupdates mehr. Stellen Sie im Kundenmenü eine unterstützte Version ein.
Die Anmeldung absichern
Nach den Updates ist die Anmeldung der wichtigste Punkt für die WordPress Sicherheit. Bots probieren rund um die Uhr Passwörter auf /wp-login.php und über die Schnittstelle xmlrpc.php aus. Dagegen hilft eine Kombination aus mehreren Maßnahmen:
- Lange, einzigartige Passwörter aus einem Passwort-Manager für jedes Konto mit Schreibrechten.
- Zwei-Faktor-Anmeldung für alle Administratoren und Redakteure. Das Plugin „Two Factor“, gepflegt von WordPress-Entwicklern, unterstützt Apps mit Einmalcodes, Codes per Mail und Ersatzcodes für den Notfall. Auch Wordfence Login Security ist verbreitet.
- Login-Versuche begrenzen: Nach einigen Fehlversuchen wird die IP-Adresse eine Zeit lang gesperrt. Das erledigen Sicherheits-Plugins oder auf dem eigenen Server Fail2ban.
- XML-RPC abschalten, wenn Sie es nicht brauchen. Die Schnittstelle nutzen vor allem ältere Apps und Jetpack. Viele Sicherheits-Plugins haben dafür einen Schalter.
- Kein Benutzer „admin“: Legen Sie einen neuen Administrator mit eigenem Namen an, übertragen Sie die Inhalte und löschen Sie das alte Konto.
Das Verschieben der Login-Adresse auf eine geheime URL reduziert die Zahl der Bot-Anfragen im Log. Einen echten Schutz bietet es nicht, denn die Adresse lässt sich oft trotzdem herausfinden. Der zweite Faktor ist wirksamer.
Benutzer und Rollen für mehr WordPress Sicherheit
Jedes Konto mit Administratorrechten kann Plugins installieren und damit beliebigen Code auf den Server bringen. Geben Sie diese Rolle nur Personen, die die Seite technisch betreuen. Für alle anderen reichen die kleineren Rollen:
Prüfen Sie die Benutzerliste zweimal im Jahr. Ehemalige Mitarbeiter, Agenturen nach Projektende und Testkonten gehören gelöscht. Ein unbekannter Administrator in der Liste ist ein deutliches Zeichen für einen Einbruch.
Einstellungen in der wp-config.php
Die Datei wp-config.php enthält die Zugangsdaten zur Datenbank und einige Schalter, die die WordPress Sicherheit erhöhen. Diese Zeilen setzen Sie oberhalb von „That's all, stop editing“:
// Datei-Editor im Backend abschalten
define( 'DISALLOW_FILE_EDIT', true );
// Backend nur über HTTPS
define( 'FORCE_SSL_ADMIN', true );
// Fehler nicht im Browser anzeigen
define( 'WP_DEBUG_DISPLAY', false );Ohne den Datei-Editor kann ein Angreifer mit gestohlenem Admin-Passwort keinen PHP-Code mehr über das Backend in Theme-Dateien schreiben. Die geheimen Schlüssel in der Datei, die sogenannten Salts, erneuern Sie nach einem Einbruch über den Generator von WordPress.org. Damit werden alle angemeldeten Sitzungen ungültig.
Dateirechte und Uploads
Falsch gesetzte Rechte erlauben es fremden Prozessen, Dateien zu verändern. Bei den meisten Hostern sind diese Werte richtig:
Im Ordner wp-content/uploads liegen Bilder und Dokumente. PHP-Dateien haben dort nichts zu suchen. Wird über eine Lücke doch eine hochgeladen, verhindert diese Regel, dass sie ausgeführt wird. Für Apache legen Sie in den Upload-Ordner eine .htaccess mit diesem Inhalt:
<FilesMatch "\.(php|phtml|phar)$">
Require all denied
</FilesMatch>Unter Nginx entspricht dem eine Regel location ~* /wp-content/uploads/.*\.php$ { deny all; } im Server-Block. Dazu gehören HTTPS für die ganze Seite und die Security Header, die in den Grundlagen der Website-Sicherheit beschrieben sind.
Kommentare, Formulare und Benutzernamen
Offene Kommentarfelder und Kontaktformulare sind kein direktes Einfallstor, ziehen aber Spam-Bots an, die die Datenbank füllen und den Server belasten. Wer keine Kommentare braucht, schaltet sie unter Einstellungen, Diskussion ab. Sonst hilft ein Spam-Filter wie Antispam Bee, der ohne Übertragung an fremde Server arbeitet, oder Akismet. Für Formulare reicht oft ein unsichtbares Honeypot-Feld, das nur Bots ausfüllen.
WordPress verrät außerdem gern die Benutzernamen der Autoren, etwa über die Adresse /?author=1 oder die Schnittstelle /wp-json/wp/v2/users. Mit dem Namen fehlt Angreifern nur noch das Passwort. Viele Sicherheits-Plugins sperren diese Abfragen. Wichtiger ist, dass der Anzeigename im Profil nicht dem Anmeldenamen entspricht und der zweite Faktor aktiv ist. Für Apps und externe Dienste, die per Schnittstelle schreiben, nutzen Sie die Anwendungspasswörter im Benutzerprofil statt Ihres echten Passworts. Sie lassen sich einzeln widerrufen.
Was der Hoster für die WordPress Sicherheit tut
Ein Teil der Arbeit liegt beim Anbieter. Bei einem guten Hosting laufen die Konten der Kunden voneinander getrennt, sodass eine gehackte Nachbarseite nicht auf Ihre Dateien zugreifen kann. Dazu kommen eine Firewall vor dem Webserver, die bekannte Angriffe auf WordPress abfängt, regelmäßige Malware-Scans und tägliche Backups. Bei verwalteten WordPress-Tarifen spielt der Anbieter zusätzlich Updates ein und testet sie teilweise vorher.
Fragen Sie vor der Buchung, welche dieser Punkte enthalten sind. Für die WordPress Sicherheit ist ein günstiger Tarif mit aktueller PHP-Version, getrennten Konten und Backups besser als ein teurer ohne diese Grundlagen.
Brauchen Sie ein Sicherheits-Plugin?
Ein Plugin wie Wordfence, Solid Security oder All-In-One Security bündelt viele der genannten Maßnahmen: Login-Sperre, Zwei-Faktor-Anmeldung, Dateiprüfung, Firewall-Regeln und Hinweise auf veraltete Plugins. Für Betreiber ohne technischen Hintergrund ist das bequem. Drei Dinge sollten Sie wissen:
- Installieren Sie nur ein Sicherheits-Plugin. Zwei Firewalls in WordPress stören sich gegenseitig und bremsen die Seite.
- Eine Firewall im Plugin läuft erst, wenn WordPress schon geladen ist. Ein Filter beim Hoster oder in einem CDN wie Cloudflare greift früher und entlastet den Server.
- Kein Plugin schützt eine Seite, deren Updates monatelang liegen bleiben.
Hilfreich ist zusätzlich ein Dienst, der Sie über Lücken in Ihren installierten Plugins benachrichtigt, etwa Patchstack oder der Schwachstellen-Scanner WPScan. WordPress selbst zeigt unter Werkzeuge, Website-Zustand, ob die PHP-Version veraltet ist oder Updates fehlen.
Shops und Mitgliederbereiche
Sobald Kunden eigene Konten anlegen, etwa bei WooCommerce oder einem Mitgliederbereich, steigen die Anforderungen. In der Datenbank liegen dann Namen, Anschriften und Bestellungen. Zahlungsdaten selbst sollten nie auf Ihrem Server landen. Binden Sie Zahlungsanbieter so ein, dass Karten- und Kontodaten direkt bei ihnen eingegeben werden. Spielen Sie Updates für WooCommerce und seine Erweiterungen besonders zügig ein, denn Shops sind ein beliebtes Ziel für Skripte, die Zahlungsformulare manipulieren. Prüfen Sie außerdem, ob die Kundenkonten ein Mindestmaß an Passwortlänge verlangen. Welche Anforderungen ein Shop an den Server stellt, erklärt der Ratgeber zum Onlineshop-Hosting.
WordPress Sicherheit: die wichtigsten Maßnahmen
| Maßnahme | Wo | Aufwand | Wirkung |
|---|---|---|---|
| automatische Updates | Plugins, Design | einmalig | sehr hoch |
| Ungenutztes löschen | Plugins, Design | gering | hoch |
| Zwei-Faktor-Anmeldung | Plugin, Profil | gering | sehr hoch |
| Rollen prüfen | Benutzer | gering | hoch |
| Datei-Editor aus | wp-config.php | eine Zeile | mittel |
| PHP in Uploads sperren | .htaccess oder Nginx | gering | mittel |
| Backup außer Haus | Plugin oder Hoster | einmalig | rettet im Ernstfall |
Die Einschätzung der Wirkung ist eine Faustregel aus der Praxis. Die offizielle Anleitung zum Absichern finden Sie im Handbuch von WordPress.org.
WordPress Sicherheit als Routine
Am meisten bringt eine feste Routine. Die automatischen Updates laufen täglich, einmal pro Woche schauen Sie ins Backend, ob alles aktuell ist, und einmal im Monat prüfen Sie Benutzer, Backups und die Meldungen des Website-Zustands. Vor größeren Updates legen Sie ein Website-Backup an. Ein gutes Hosting nimmt Ihnen einen Teil davon ab, etwa mit Malware-Scans, isolierten Konten und aktuellen PHP-Versionen. Worauf Sie bei der Auswahl achten, steht im Ratgeber zum WordPress-Hosting.
Wenn es trotzdem passiert ist
Auch bei guter WordPress Sicherheit bleibt ein Restrisiko, etwa durch eine Lücke, die noch niemand kennt. Typische Zeichen für einen Einbruch sind Weiterleitungen auf fremde Seiten, unbekannte Administratoren, neue PHP-Dateien im Upload-Ordner, Warnungen in der Google Search Console oder Spam-Mails, die über Ihren Server verschickt werden. Dann reicht es nicht, das auffällige Plugin zu löschen. Wie Sie Schadcode vollständig finden und entfernen, beschreibt die Anleitung Website gehackt: Schadcode finden und entfernen.
Häufig gestellte Fragen
Ist WordPress unsicher?
Nein. Der Kern wird von einem eigenen Sicherheitsteam gepflegt und bekommt schnelle Updates. Die meisten Probleme entstehen durch veraltete Plugins und schwache Passwörter.
Sind automatische Plugin-Updates riskant?
Selten. Ein fehlerhaftes Update kommt vor, ist aber meist mit einem Backup schnell behoben. Eine bekannte Lücke, die wochenlang offen bleibt, ist das größere Risiko.
Welches Sicherheits-Plugin ist das beste?
Wordfence, Solid Security und All-In-One Security sind weit verbreitet und decken die Grundlagen ab. Wichtiger als die Wahl ist, dass Sie nur eines nutzen und die Updates nicht vernachlässigen.
Bringt es etwas, das Tabellenpräfix wp_ zu ändern?
Wenig. Es erschwert nur einfache automatisierte SQL-Angriffe. Bei einer bestehenden Seite ist das Umbenennen fehleranfällig und lohnt den Aufwand kaum.
Wie oft sollte ich nach Updates schauen?
Mit automatischen Updates einmal pro Woche. Ohne automatische Updates mehrmals pro Woche, denn Angriffe auf neue Lücken beginnen oft wenige Tage nach der Veröffentlichung.
WordPress Sicherheit heute verbessern
Schalten Sie automatische Updates ein, löschen Sie ungenutzte Plugins und Themes und aktivieren Sie den zweiten Faktor für alle Administratoren. Danach setzen Sie DISALLOW_FILE_EDIT und prüfen das Backup. Diese fünf Schritte bringen für die WordPress Sicherheit am meisten.