WordPress-Sicherheit: Härtungs-Checkliste nach Priorität

Bei der WordPress-Sicherheit geht es selten um raffinierte Angriffe. Meist geht es um ein Plugin, das seit einem Jahr kein Update gesehen hat, um ein Admin-Konto mit schwachem Passwort oder um ein Backup, das nur auf demselben Server liegt. Hier bekommst du eine Härtungs-Checkliste in der richtigen Reihenfolge: was zuerst kommt, was am meisten bringt und was nur nach Schutz aussieht. Dazu die Schritte für den Ernstfall, wenn deine WordPress-Website gehackt wurde.

Wie sicher ist WordPress?

Der WordPress-Kern wird von einem eigenen Sicherheitsteam gepflegt. Laut WordPress.org sucht das Team Sicherheitslücken im Kern, entwickelt Korrekturen und veröffentlicht sie als Wartungsversionen. Kleinere Versionen und Sicherheitsupdates spielt WordPress seit Version 3.7 auf den meisten Websites automatisch ein. Der Kern ist deshalb selten die Stelle, an der es hakt.

Ich entwickle seit über 20 Jahren Plugins, für Shopsysteme und für WordPress, einige meiner WordPress-Plugins stehen im offiziellen Verzeichnis. Aus dieser Sicht ist eine Sache klar: Ein Plugin läuft mit denselben Rechten wie WordPress selbst. Es kann Dateien schreiben, die Datenbank lesen und Benutzer anlegen. Jedes installierte Plugin ist damit Code eines weiteren Herstellers, dem du deine ganze Website anvertraust. Genau deshalb fängt Sicherheit bei der Frage an, welcher Code überhaupt auf deinem Server liegt.

Drei Stellen, an denen Angriffe ansetzen

Die Verschlüsselung der Verbindung über HTTPS gehört ebenfalls zur Grundausstattung, ist aber kein WordPress-Thema im engeren Sinn. Was ein SSL-Zertifikat leistet und worauf du achten solltest, steht im Beitrag Website-Sicherheit mit SSL und HTTPS.

WordPress absichern: die Checkliste nach Priorität

Viele Tipplisten zur WordPress-Sicherheit stellen ihre Punkte gleichrangig nebeneinander. In der Praxis haben die Maßnahmen aber sehr unterschiedliche Wirkung. Ich teile sie deshalb in drei Stufen: was zuerst kommt, was danach folgt und was keine Priorität hat.

Das Schaubild in Kürze:

• Stufe 1, zuerst, große Wirkung bei wenig Aufwand: Updates von Kern, Plugins und Theme, ungenutzte Plugins löschen, starke Passwörter und Zwei-Faktor-Anmeldung für alle Admins, Backups außerhalb des Servers.
• Stufe 2, danach, solide Härtung mit etwas Technik: Rechte nur so weit wie nötig, Dateieditor im Backend abschalten, Login-Versuche begrenzen, SFTP statt FTP, Server und PHP aktuell halten.
• Keine Priorität, kein Ersatz für Schutz: Login-URL verstecken, Tabellenpräfix ändern, ein zweites Sicherheits-Plugin installieren.
• Erst Stufe 1 vollständig, dann Stufe 2. Was keine Priorität hat, ersetzt keine Stufe.

Alle Maßnahmen auf einen Blick

Diese Maßnahmen müssen auch nach der Einrichtung gepflegt werden. Updates, Konten und Backups bleiben eine laufende Aufgabe.

Stufe 1: was zuerst kommt

Diese vier Punkte schließen die häufigsten Einfallstore. Sie kosten wenig Zeit und brauchen kein technisches Spezialwissen. Solange einer davon fehlt, lohnt sich keine Maßnahme aus den späteren Stufen.

Updates: der größte Hebel

Die WordPress-Dokumentation zur Härtung von WordPress rät, immer die aktuelle Version einzusetzen. Für den Kern übernimmt WordPress das bei kleineren Versionen meist selbst. Seit Version 5.6 sind bei neuen Installationen auch große Versionen automatisch eingeschaltet, sofern keine Versionsverwaltung erkannt wird. Bei Plugins und Themes musst du dich dagegen selbst kümmern oder die automatischen Updates dafür bewusst einschalten.

Automatische Updates halten die Software aktuell, prüfen aber nicht, ob deine Website danach noch funktioniert. Vor größeren Updates gehört deshalb eine Sicherung dazu, danach ein kurzer Blick auf Startseite, Formulare und die wichtigsten Unterseiten. Das empfiehlt auch die WordPress-Anleitung zum Aktualisieren: vor dem Update eine Sicherung anlegen, damit du im Fehlerfall zurück kannst.

Plugins ausmisten: weniger Code, weniger Lücken

Die WordPress-Dokumentation rät, Plugins und Themes nur aus vertrauenswürdigen Quellen zu installieren und alles zu löschen, was du nicht nutzt. Wichtig ist das Wort löschen: Ein deaktiviertes Plugin liegt weiter mit allen Dateien auf dem Server. Aus Sicht eines Plugin-Entwicklers lohnt bei jeder Erweiterung der Blick auf diese Punkte:

Passwörter und Zwei-Faktor-Anmeldung

Lange, einmalige Passwörter aus einem Passwort-Manager sind Pflicht, und zwar für alle Zugänge: WordPress, Hosting-Panel, FTP und Datenbank. Benutzernamen wie „admin“ oder „webmaster“ meidest du, weil sie laut WordPress-Dokumentation typischerweise zuerst angegriffen werden. Die Seite zu Brute-Force-Angriffen empfiehlt außerdem eine Zwei-Faktor-Anmeldung für Administratoren. Sie steckt nicht im WordPress-Kern, sondern kommt über ein seriöses Plugin oder einen Identitätsdienst dazu.

Backups, die im Notfall wirklich helfen

Ein Backup, das auf demselben Server liegt wie die Website, ist bei einem Angriff oder einem Serverausfall oft mit betroffen. Sichere deshalb Dateien und Datenbank regelmäßig an einen zweiten Ort und bewahre mehrere Stände auf. Die WordPress-Dokumentation rät zu regelmäßigen Sicherungen der ganzen Installation. Ob eine Sicherung etwas taugt, zeigt erst die Wiederherstellung. Probier sie deshalb einmal aus, bevor du sie brauchst.

Stufe 2: die solide Härtung

Wenn Stufe 1 steht, machen diese Maßnahmen einen erfolgreichen Angriff deutlich schwerer. Einige brauchen Zugriff auf Dateien oder Hosting-Einstellungen.

Rechte nur so weit wie nötig

Nicht jede Person, die Texte pflegt, braucht ein Administratorkonto. WordPress bringt Rollen wie Redakteur und Autor mit, die Inhalte bearbeiten, aber keine Plugins installieren dürfen. Lösche Konten von ehemaligen Mitarbeitenden oder Dienstleistern, sobald die Zusammenarbeit endet. Ein Konto, das nicht existiert, kann auch niemand übernehmen.

Dateieditor abschalten und Dateien schützen

WordPress kann Theme- und Plugin-Dateien direkt im Backend bearbeiten. Wer ein Admin-Konto übernimmt, kann darüber Code einschleusen. Eine Zeile in der wp-config.php schaltet den Editor ab:

define( 'DISALLOW_FILE_EDIT', true );

Die WordPress-Dokumentation sagt selbst, dass das einen Upload schädlicher Dateien nicht verhindert, aber manche Angriffe stoppen kann. Dazu kommen drei Punkte für Dateien und Verbindung:

Login-Versuche begrenzen

Bei einem Brute-Force-Angriff probiert ein Programm automatisch viele Kombinationen aus Benutzername und Passwort durch. Laut WordPress-Dokumentation können schon erfolglose Angriffe die Website mit Anfragen überlasten. Am besten begrenzt der Hoster oder eine vorgeschaltete Firewall die Login-Versuche. Ein Sicherheits-Plugin kann das ebenfalls, läuft aber selbst innerhalb von WordPress und belastet bei starken Angriffen den Server mit. Frag deinen Hoster deshalb zuerst, was er auf Serverebene anbietet. Worauf es beim Hosting sonst ankommt, steht im WordPress-Hosting-Vergleich.

Server und PHP aktuell halten

Unter WordPress laufen Webserver, Datenbank und PHP. Auch diese Software braucht Updates. Die WordPress-Dokumentation rät zu einem Hoster mit aktueller Serversoftware und dazu, ihn nach seinen Sicherheitsvorkehrungen zu fragen. Bei üblichem Webhosting pflegt der Hoster den Server, die PHP-Version wählst du oft selbst im Hosting-Panel. Laut PHP.net bekommt jede PHP-Version insgesamt vier Jahre Unterstützung, danach keine Sicherheitskorrekturen mehr. Prüf vor dem Wechsel auf eine neuere Version, ob Theme und Plugins sie unterstützen, am besten zuerst auf einer Testkopie.

Was nach Schutz aussieht, aber keiner ist

Einige Maßnahmen tauchen in fast jeder Tippliste auf, haben aber keine Priorität und sind kein Ersatz für Schutz, solange Stufe 1 und 2 fehlen. Die WordPress-Dokumentation nennt Sicherheit durch Verschleierung als Hauptstrategie ausdrücklich ungeeignet.

Brauchst du ein Sicherheits-Plugin?

Ein Sicherheits-Plugin kann sinnvoll sein, etwa für die Zwei-Faktor-Anmeldung, für einen Scan auf veränderte Dateien oder wenn dein Hoster Login-Versuche nicht selbst begrenzt. Es ersetzt aber keine Updates und kein Backup. Behandle es wie jedes andere Plugin: ein gepflegtes aus dem offiziellen Verzeichnis, nicht mehrere nebeneinander.

Ein Beispiel: eine erste Absicherung an einem Nachmittag

WordPress gehackt: was du jetzt tust

Typische Anzeichen sind fremde Inhalte oder Weiterleitungen auf deiner Seite, neue Benutzerkonten, die niemand angelegt hat, eine Warnung von Google oder vom Virenschutz der Besucher oder ein Hoster, der die Website sperrt. Die folgenden Schritte lehnen sich an die WordPress-Hilfe „My site was hacked“ an. Dort werden zuerst die Zugänge gesperrt, damit niemand weitere Änderungen vornimmt, und vor dem Aufräumen wird der befallene Stand gesichert.

1. 1

   Ruhe bewahren und dokumentieren. Notiere, was du siehst, seit wann und was sich zuletzt geändert hat, etwa ein neues Plugin oder ein Theme-Update.

2. 2

   Hoster informieren und scannen. Gerade bei geteiltem Hosting können weitere Websites betroffen sein. Der Hoster kann oft auch sagen, ob es ein Angriff oder eine Störung ist. Prüf die Website mit einem Scanner und deinen eigenen Rechner auf Schadsoftware.

3. 3

   Alle Zugänge zurücksetzen. Neue Passwörter für alle Benutzer, Hosting-Panel, FTP und Datenbank. Neue Sicherheitsschlüssel in der wp-config.php melden alle angemeldeten Sitzungen ab.

4. 4

   Den befallenen Stand sichern. Leg vor dem Aufräumen eine Kopie von Dateien und Datenbank an, auch wenn sie infiziert ist. Sie hilft später bei der Ursachensuche.

5. 5

   Bereinigen oder sauberen Stand zurückspielen. Gibt es ein Backup von vor dem Angriff, ist die Wiederherstellung meist der sicherste Weg. Sonst Kerndateien in derselben Version aus der offiziellen Quelle neu aufspielen und Plugins, Theme, .htaccess und Uploads prüfen.

6. 6

   Aktualisieren und Passwörter erneut ändern. Nach der Bereinigung alles auf den aktuellen Stand bringen und die Passwörter ein zweites Mal ändern, jetzt auf einem sauberen System.

7. 7

   Ursache finden und härten. Kläre, wie der Angreifer hereinkam, damit die Lücke geschlossen bleibt. Danach arbeitest du die Stufen 1 und 2 dieses Artikels ab.

Hat Google auf deiner Website gehackte Inhalte oder Schadsoftware gefunden, steht das in der Google Search Console im Bericht „Sicherheitsprobleme“. Laut Google-Hilfe forderst du dort nach der Bereinigung aller betroffenen Seiten eine Überprüfung an.

Meldepflicht bei personenbezogenen Daten

Hatte der Angreifer Zugriff auf personenbezogene Daten, etwa Formulareinsendungen, Kundenkonten oder Bestellungen, ist das eine Verletzung des Schutzes personenbezogener Daten. Nach Art. 33 DSGVO meldet der Verantwortliche sie unverzüglich und möglichst binnen 72 Stunden, nachdem sie ihm bekannt wurde, an die zuständige Aufsichtsbehörde, es sei denn, sie führt voraussichtlich nicht zu einem Risiko für die Rechte und Freiheiten der Betroffenen. Hat die Verletzung voraussichtlich ein hohes Risiko für die Betroffenen zur Folge, benachrichtigt der Verantwortliche nach Art. 34 DSGVO auch sie unverzüglich. Unabhängig von einer Meldepflicht dokumentiert der Verantwortliche nach Art. 33 Abs. 5 DSGVO jede Verletzung mit Fakten, Auswirkungen und ergriffenen Maßnahmen. Hol dir dafür früh Unterstützung von deiner Datenschutzberatung.

Selbst machen oder pflegen lassen?

Die Stufe 1 schaffst du mit etwas Sorgfalt selbst. Schwierig wird es erfahrungsgemäß beim Dranbleiben: Updates fallen laufend an, und ein Update, das das Kontaktformular bricht, merkt man oft erst, wenn Anfragen ausbleiben. Hier setzt eine laufende Wartung an. Bei meiner Website-Wartung halte ich WordPress, Plugins und Theme aktuell, sichere vor jedem Update und mache danach einen kurzen Funktionstest. Im Wartungspaket kommen regelmäßige Backups der ganzen Website und eine Überwachung der Erreichbarkeit dazu.

Soll an der Installation selbst etwas umgebaut werden, etwa verwaiste Plugins ersetzt, eine überladene Website aufgeräumt oder die Website nach einem Angriff wieder in Ordnung gebracht werden, passt die Seite WordPress Freelancer. Was laufende Pflege am Markt allgemein kostet, steht im Ratgeber Website-Pflege und Wartung: Was es kostet.

Häufige Fragen zur WordPress-Sicherheit

Ist WordPress unsicher?

Nein, nicht von sich aus. Der Kern wird von einem eigenen Sicherheitsteam gepflegt und bekommt Sicherheitsupdates in der Regel automatisch. Schwachstellen entstehen erfahrungsgemäß vor allem durch veraltete oder verwaiste Plugins und Themes und durch schwache Zugangsdaten.

Was ist die wichtigste Maßnahme für die WordPress-Sicherheit?

Updates von Kern, Plugins und Theme, zusammen mit einem Backup außerhalb des Servers. Updates schließen bekannte Lücken, das Backup gibt dir einen Weg zurück, wenn trotzdem etwas passiert.

Welches Sicherheits-Plugin für WordPress ist das beste?

Ein bestimmtes Plugin empfehle ich hier nicht, weil es vom Hosting und vom Bedarf abhängt. Wichtiger ist: nur eines, aus dem offiziellen Verzeichnis, regelmäßig aktualisiert. Begrenzt dein Hoster Login-Versuche schon auf dem Server, brauchst du dafür kein Plugin.

Reicht es, die Login-URL zu ändern?

Nein. Eine versteckte Login-Adresse verringert automatisierte Anfragen, schützt aber kein schwaches Passwort. Sie hat keine Priorität und ist kein Ersatz für starke Passwörter, Zwei-Faktor-Anmeldung und begrenzte Login-Versuche.

Was tun, wenn WordPress gehackt wurde?

Dokumentieren, den Hoster informieren, alle Zugänge zurücksetzen, den befallenen Stand sichern und dann aus einem sauberen Backup wiederherstellen oder bereinigen. Danach aktualisieren, Passwörter erneut ändern und die Ursache klären. Sind personenbezogene Daten betroffen, prüf mit deiner Datenschutzberatung die Meldepflicht.

Wie oft sollte ich WordPress aktualisieren?

Sicherheitsupdates so bald wie möglich, alles andere in einem festen Rhythmus, etwa wöchentlich. Kleine, regelmäßige Updates lassen sich leichter prüfen als viele auf einmal nach Monaten.