WordPress sicher machen: Die wichtigsten Maßnahmen für deine Website

WordPress ist nicht grundsätzlich unsicher. Das Problem ist vielmehr seine enorme Verbreitung: Millionen Websites verwenden WordPress, bekannte Plugins und ähnliche Konfigurationen. Damit ist das System ein attraktives Ziel für automatisierte Angriffe.

Dabei sitzt ein Angreifer normalerweise nicht vor dem Rechner und versucht persönlich, das Passwort deiner Website zu erraten. Bots durchsuchen permanent das Internet nach erreichbaren WordPress-Installationen, bekannten Sicherheitslücken, veralteten Plugins und schlecht geschützten Benutzerkonten.

Eine sichere WordPress-Website entsteht deshalb nicht durch eine einzelne Einstellung oder ein Security-Plugin. Entscheidend sind mehrere Schutzschichten.

Updates
   ↓
sichere Benutzerkonten
   ↓
minimale Angriffsfläche
   ↓
sicheres Hosting
   ↓
Backups
   ↓
Monitoring

Keine dieser Maßnahmen macht eine Website unangreifbar. Zusammen reduzieren sie das Risiko aber erheblich.

WordPress-Sicherheit besteht aus mehreren Schutzschichten. Fällt eine davon aus, sollen die anderen einen Angriff weiterhin erschweren.

Was bei einer gehackten WordPress-Website passieren kann

#

Ein erfolgreicher Angriff muss nicht dazu führen, dass plötzlich eine auffällige Nachricht auf der Startseite erscheint.

Für Angreifer ist es häufig viel interessanter, möglichst lange unbemerkt Zugriff auf eine Website zu behalten.

Eine kompromittierte WordPress-Installation kann beispielsweise verwendet werden, um:

• Spam und unerwünschte Werbung einzubauen
• Besucher auf fremde Websites umzuleiten
• Schadcode auszuliefern
• neue Administratoren anzulegen
• Daten aus der Datenbank auszulesen
• SEO-Spam in bestehende Seiten einzubauen
• den Server für weitere Angriffe zu missbrauchen

Besonders problematisch ist, dass eine scheinbar reparierte Website weiterhin kompromittiert sein kann. Wird lediglich eine sichtbare Manipulation entfernt, während eine Hintertür bestehen bleibt, hat der Angreifer weiterhin Zugriff.

Deshalb ist Vorbeugung wesentlich einfacher als die Bereinigung einer bereits kompromittierten Installation.

WordPress aktuell halten

#

Eine der wichtigsten Sicherheitsmaßnahmen ist gleichzeitig eine der unspektakulärsten:

WordPress, Plugins und Themes müssen aktuell gehalten werden.

Sicherheitslücken in Software werden regelmäßig entdeckt und anschließend geschlossen. Sobald eine Schwachstelle öffentlich bekannt ist, können Angreifer automatisiert nach Websites suchen, auf denen noch eine verwundbare Version läuft.

Das betrifft nicht nur WordPress selbst.

Eine typische Installation besteht aus mehreren Komponenten:

WordPress Core
      +
   Plugins
      +
    Theme
      +
     PHP
      +
Server / Hosting

Jede dieser Komponenten kann Sicherheitslücken enthalten.

Nicht verwendete Plugins löschen

#

Ein deaktiviertes Plugin wird nicht automatisch bedeutungslos.

Seine Dateien befinden sich weiterhin auf dem Server. Enthält das Plugin eine Schwachstelle, kann diese unter Umständen auch dann relevant sein, wenn das Plugin im WordPress-Backend deaktiviert wurde.

Die bessere Regel lautet deshalb:

Was nicht benötigt wird, wird gelöscht.

Das Gleiche gilt für Themes. Ein aktuelles Ersatz-Theme kann sinnvoll sein. Eine Sammlung von zehn alten Themes dagegen nicht.

Weniger Software bedeutet weniger Angriffsfläche.

Updates nicht blind installieren

#

Updates sind für die Sicherheit notwendig. Trotzdem sollte eine produktive Website nicht völlig unkontrolliert aktualisiert werden.

Vor größeren Änderungen sollte ein aktuelles Backup vorhanden sein.

Wie eine vollständige Sicherung aus Dateien und Datenbank aufgebaut wird und warum ein Restore-Test entscheidend ist, erklären wir ausführlich im Artikel WordPress-Backup erstellen.

Bei wichtigen Websites ist zusätzlich eine Staging-Umgebung sinnvoll. Dort lassen sich Updates zunächst testen, bevor sie auf der produktiven Website installiert werden.

Das Thema behandeln wir in einem eigenen Artikel.

Sichere Passwörter verwenden

#

Das Administrator-Passwort sollte lang, zufällig und ausschließlich für diese Website verwendet werden.

Ein Passwort wie:

Sommer2026!

sieht auf den ersten Blick gar nicht so schlecht aus. Tatsächlich besteht es aber aus vorhersehbaren Bestandteilen.

Ein vom Passwortmanager erzeugtes Passwort wie:

rJ7!vQ2#pL9@xT4$kN8

ist wesentlich schwieriger zu erraten.

Noch wichtiger ist, dass Passwörter nicht mehrfach verwendet werden.

Wird dasselbe Passwort für WordPress, E-Mail und andere Dienste verwendet, kann ein Datenleck bei einem völlig anderen Anbieter plötzlich auch die WordPress-Website gefährden.

Ein Passwortmanager löst dieses Problem wesentlich besser als der Versuch, sich zahlreiche Passwörter zu merken.

Zwei-Faktor-Authentifizierung verwenden

#

Ein starkes Passwort schützt nicht davor, dass dieses Passwort gestohlen wird.

Deshalb ist Zwei-Faktor-Authentifizierung, kurz 2FA, besonders für Administratoren sinnvoll.

Beim Login werden dann zwei unterschiedliche Faktoren benötigt:

Passwort
   +
zweiter Faktor
   ↓
Anmeldung

Als zweiter Faktor eignet sich beispielsweise ein zeitbasierter Einmalcode aus einer Authenticator-App.

Selbst wenn ein Angreifer das Passwort kennt, reicht dieses allein dann nicht für die Anmeldung.

Für Administratoren, Redakteure und andere Benutzer mit weitreichenden Rechten gehört 2FA deshalb zu den sinnvollsten zusätzlichen Sicherheitsmaßnahmen.

Benutzerrechte sparsam vergeben

#

Nicht jeder Benutzer benötigt Administratorrechte.

WordPress besitzt unterschiedliche Rollen wie:

• Administrator
• Redakteur
• Autor
• Mitarbeiter
• Abonnent

Das Prinzip dahinter ist einfach:

Ein Benutzer erhält nur die Rechte, die er tatsächlich benötigt.

Wer lediglich Artikel schreibt, benötigt normalerweise keinen Zugriff auf Plugins, Themes oder zentrale Einstellungen.

Dadurch sinkt auch der mögliche Schaden, wenn das Benutzerkonto kompromittiert wird.

Alte Benutzerkonten entfernen

#

Nicht mehr benötigte Konten sollten ebenfalls gelöscht oder zumindest überprüft werden.

Besonders kritisch sind alte Administratorenkonten von Mitarbeitern, Agenturen oder Dienstleistern, die längst keinen Zugriff mehr benötigen.

Ein vergessenes Konto ist weiterhin ein möglicher Zugang zur Website.

HTTPS verwenden

#

Eine WordPress-Website sollte vollständig über HTTPS erreichbar sein.

Dabei wird die Verbindung zwischen Browser und Webserver verschlüsselt.

Ohne HTTPS könnten Daten auf dem Transportweg grundsätzlich mitgelesen oder manipuliert werden. Das betrifft insbesondere Login-Daten.

Heute stellen viele Hosting-Anbieter TLS-Zertifikate ohne zusätzliche Kosten bereit. Bei der Auswahl eines Hosters sollte HTTPS deshalb zur Grundausstattung gehören.

Weitere technische Kriterien für einen geeigneten WordPress-Hoster findest du unter WordPress-Hosting auswählen.

Wichtig ist außerdem, dass die Website nicht parallel dauerhaft über HTTP und HTTPS betrieben wird. HTTP-Aufrufe sollten auf HTTPS weitergeleitet werden.

wp-config.php schützen

#

Die Datei wp-config.php gehört zu den wichtigsten Dateien einer WordPress-Installation.

Sie enthält unter anderem die Zugangsdaten zur Datenbank:

define('DB_NAME', 'wordpress');
define('DB_USER', 'wordpress_user');
define('DB_PASSWORD', '...');
define('DB_HOST', 'localhost');

Diese Datei darf niemals öffentlich als Textdatei ausgeliefert werden.

Bei einer korrekt eingerichteten Serverkonfiguration geschieht das normalerweise nicht. Trotzdem sollte man sich bewusst sein, welche Bedeutung diese Datei besitzt.

Auch bei Backups ist deshalb Vorsicht erforderlich. Eine ungeschützt im Webverzeichnis abgelegte Sicherung von wp-config.php kann wesentlich gefährlicher sein als die eigentliche Konfigurationsdatei.

Dateiberechtigungen nicht unnötig öffnen

#

Auf Linux-Systemen bestimmen Dateirechte, welcher Benutzer Dateien lesen, verändern oder ausführen darf.

Ein häufiger Fehler bei Serverproblemen besteht darin, Berechtigungen einfach maximal zu öffnen.

Beispielsweise:

chmod -R 777 .

Das ist keine sinnvolle Problemlösung.

777 bedeutet vereinfacht, dass jeder Benutzer des Systems schreiben darf. Damit wird ein Berechtigungsproblem zwar möglicherweise unsichtbar, gleichzeitig wird aber ein Sicherheitsproblem geschaffen.

Die korrekten Rechte hängen von Server, Webserver und Hosting-Konfiguration ab. Deshalb sollte man nicht blind irgendwelche Zahlen aus Tutorials übernehmen.

Das Ziel lautet:

Der Webserver bekommt genau die Rechte, die er für seinen Betrieb benötigt, und nicht mehr.

Den WordPress-Dateieditor deaktivieren

#

WordPress kann Administratoren erlauben, Dateien von Plugins und Themes direkt über das Backend zu bearbeiten.

Für die meisten produktiven Websites ist diese Funktion unnötig.

Sie lässt sich in wp-config.php deaktivieren:

define('DISALLOW_FILE_EDIT', true);

Das verhindert keinen vollständigen Angriff. Hat ein Angreifer weitreichenden Zugriff auf den Server, hilft diese Einstellung wenig.

Sie entfernt aber eine einfache Möglichkeit, nach der Übernahme eines Administratorenkontos direkt PHP-Code über das WordPress-Backend zu verändern.

Das ist ein gutes Beispiel für das Prinzip der reduzierten Angriffsfläche.

Plugins nur aus vertrauenswürdigen Quellen installieren

#

Plugins führen PHP-Code auf deiner Website aus.

Damit erhalten sie potenziell weitreichenden Zugriff auf:

• WordPress
• die Datenbank
• Dateien
• Benutzer
• externe Dienste

Ein Plugin ist deshalb nicht einfach eine kleine Erweiterung der Benutzeroberfläche. Es ist Software, die innerhalb deiner Anwendung ausgeführt wird.

Vor der Installation sollte man zumindest prüfen:

• Wird das Plugin noch gepflegt?
• Wann erschien das letzte Update?
• Ist es mit aktuellen WordPress-Versionen kompatibel?
• Gibt es eine nachvollziehbare Entwickler- oder Anbieterhistorie?
• Wird das Plugin überhaupt benötigt?

Plugins aus dubiosen Download-Portalen sind besonders problematisch.

Das gilt auch für sogenannte nulled Plugins oder Themes, also unerlaubt verbreitete Kopien kostenpflichtiger Produkte. Neben rechtlichen Problemen besteht hier ein offensichtliches technisches Risiko: Du führst fremden PHP-Code auf deinem Server aus und kannst dessen Herkunft kaum beurteilen.

Weniger Plugins sind nicht automatisch sicherer

#

Die oft gehörte Regel „je weniger Plugins, desto besser“ ist nur teilweise richtig.

Zwanzig gepflegte, kleine Plugins können sicherer sein als ein einziges schlecht gewartetes Plugin mit einer kritischen Sicherheitslücke.

Entscheidend sind vielmehr:

Qualität
+
Wartung
+
Notwendigkeit
+
Aktualität

Trotzdem sollte jedes unnötige Plugin entfernt werden. Nicht wegen einer magischen maximalen Plugin-Zahl, sondern weil jede zusätzliche Software die Komplexität und potenzielle Angriffsfläche erhöht.

Login-Versuche und automatisierte Angriffe

#

WordPress-Loginseiten werden häufig automatisiert angegriffen.

Dabei probieren Bots große Mengen möglicher Benutzername-Passwort-Kombinationen aus.

Solche Angriffe können durch verschiedene Maßnahmen erschwert werden:

• starke und einzigartige Passwörter
• Zwei-Faktor-Authentifizierung
• Begrenzung wiederholter Login-Versuche
• Schutzmechanismen des Hosters
• vorgeschaltete Web Application Firewalls

Dabei sollte man die Prioritäten nicht verwechseln.

Das Umbenennen der Login-URL kann beispielsweise automatisiertes Rauschen reduzieren. Es ersetzt aber weder ein sicheres Passwort noch 2FA.

Eine versteckte URL ist kein belastbarer Sicherheitsmechanismus.

XML-RPC nicht reflexartig deaktivieren

#

In vielen Sicherheitsanleitungen findet man den pauschalen Rat, xmlrpc.php zu deaktivieren.

So einfach ist die Entscheidung nicht.

XML-RPC stellt Schnittstellen für externe Zugriffe auf WordPress bereit und wurde beziehungsweise wird von bestimmten Anwendungen und Diensten verwendet.

Wenn eine Website XML-RPC definitiv nicht benötigt, kann eine Deaktivierung die erreichbare Angriffsfläche reduzieren.

Wer jedoch einen Dienst verwendet, der auf diese Schnittstelle angewiesen ist, kann dadurch Funktionen beschädigen.

Die richtige Vorgehensweise lautet deshalb nicht:

XML-RPC ist gefährlich → abschalten

sondern:

Wird XML-RPC benötigt?
        ↓
      nein
        ↓
Zugriff einschränken

Das gleiche Prinzip gilt für viele andere vermeintliche WordPress-Sicherheitstricks.

Sicherheits-Plugins: sinnvoll, aber kein Schutzschild

#

Security-Plugins können nützliche Funktionen bündeln.

Je nach Produkt gehören dazu beispielsweise:

• Login-Schutz
• Zwei-Faktor-Authentifizierung
• Erkennung veränderter Dateien
• Sicherheitsprotokolle
• Blockierung bestimmter Zugriffe
• Malware-Scans
• Firewall-Funktionen

Ein Security-Plugin macht eine schlecht gewartete Website aber nicht sicher.

Ein System mit veralteten Plugins, schwachen Passwörtern und fehlenden Backups bleibt problematisch, auch wenn daneben ein großes Security-Dashboard grün leuchtet.

Die Reihenfolge sollte deshalb sein:

Grundsystem absichern
        ↓
Updates und Benutzer sauber verwalten
        ↓
Backups sicherstellen
        ↓
zusätzliche Security-Funktionen

Nicht umgekehrt.

Hosting ist Teil der Sicherheitsarchitektur

#

WordPress-Sicherheit endet nicht bei WordPress.

Unterhalb der Anwendung befinden sich weitere Komponenten:

Eine WordPress-Installation ist nur eine Ebene des Systems. Sicherheitsprobleme können auch in PHP, Webserver, Betriebssystem oder Hosting-Infrastruktur entstehen.

Vereinfacht sieht der Stack so aus:

WordPress
Plugins und Themes
PHP
Webserver
Betriebssystem
Hosting-Infrastruktur

Auf einem normalen Managed- oder Shared-Hosting-System kümmert sich der Anbieter um einen großen Teil der unteren Ebenen.

Bei einem eigenen VPS liegt dagegen wesentlich mehr Verantwortung beim Betreiber.

Wer einen eigenen Server betreibt, muss sich beispielsweise zusätzlich um Betriebssystem-Updates, Firewall, SSH-Zugänge, Dienste, Logs und Serverkonfiguration kümmern.

Ein eigener Server ist deshalb nicht automatisch sicherer als Shared Hosting. Er gibt dir vor allem mehr Kontrolle und damit auch mehr Verantwortung.

Backups gehören zur Sicherheitsstrategie

#

Ein Backup verhindert keinen Angriff.

Trotzdem gehört es zwingend zur Sicherheitsstrategie.

Wenn eine Website kompromittiert oder durch ein fehlerhaftes Update beschädigt wird, kann eine saubere Sicherung den Wiederaufbau erheblich erleichtern.

Entscheidend ist allerdings, dass das Backup nicht gemeinsam mit der Website verloren geht.

Eine Sicherung ausschließlich auf demselben Webserver ist deshalb problematisch.

Noch wichtiger:

Ein Backup, dessen Wiederherstellung nie getestet wurde, ist nur eine Hoffnung auf ein Backup.

Wie Dateien, Datenbank, externe Speicherorte und Restore-Tests zusammenspielen, behandeln wir ausführlich unter WordPress-Backup erstellen.

Sicherheit und Datenschutz sind unterschiedliche Dinge

#

Eine technisch abgesicherte WordPress-Website ist nicht automatisch datenschutzfreundlich.

Umgekehrt macht eine sauber konfigurierte Cookie-Einwilligung eine technisch unsichere Website nicht sicher.

Beides sind unterschiedliche Aufgaben:

Security
Schutz von Systemen und Daten

Datenschutz
rechtmäßiger und transparenter Umgang mit personenbezogenen Daten

Besonders externe Dienste, Tracking-Systeme, eingebettete Inhalte und Drittanbieter können zusätzliche Datenschutzfragen verursachen.

Wie solche Verbindungen entstehen, zeigen wir im Artikel Externe Dienste in WordPress.

Was bringt das Ändern des Datenbank-Präfixes?

#

Ein klassischer WordPress-Sicherheitstipp lautet, das Standardpräfix wp_ der Datenbanktabellen zu ändern.

Das kann bestimmte schlecht programmierte Angriffe erschweren, ist aber keine zentrale Sicherheitsmaßnahme.

Ein Angreifer sollte grundsätzlich nicht deshalb scheitern müssen, weil er den Namen einer Tabelle nicht kennt.

Wesentlich wichtiger sind:

• aktuelle Software
• sichere Zugangsdaten
• korrekte Benutzerrechte
• vertrauenswürdige Plugins
• 2FA
• sichere Serverkonfiguration
• funktionierende Backups

Wer WordPress neu installiert, kann ein individuelles Präfix verwenden. Eine bestehende Website nur aus Sicherheitsgründen aufwendig umzubauen, sollte dagegen nicht weit oben auf der Prioritätenliste stehen.

Was bringt das Verstecken der WordPress-Version?

#

Auch das Entfernen sichtbarer Versionsinformationen wird häufig empfohlen.

Es schadet normalerweise nicht, solche Informationen nicht unnötig preiszugeben.

Man sollte sich davon aber nicht zu viel versprechen.

Ein Sicherheitssystem darf nicht davon abhängen, dass ein Angreifer die verwendete Softwareversion nicht herausfindet.

Das grundlegende Prinzip lautet:

Sicherheit sollte nicht davon abhängen, dass die Konfiguration geheim bleibt.

Die Installation muss auch dann vernünftig geschützt sein, wenn ein Angreifer weiß, dass dort WordPress läuft.

Automatische Updates: ja oder nein?

#

Automatische Updates sind eine Abwägung zwischen zwei Risiken:

nicht aktualisieren
       ↓
bekannte Sicherheitslücke

automatisch aktualisieren
       ↓
mögliche Inkompatibilität

Für kleinere Websites können automatische Updates sinnvoll sein, insbesondere wenn gleichzeitig zuverlässige Backups vorhanden sind.

Bei geschäftskritischen Websites ist ein kontrollierter Prozess häufig besser:

Backup
   ↓
Update
   ↓
Funktionstest
   ↓
Monitoring

Je wichtiger die Website ist, desto strukturierter sollte dieser Prozess sein.

Nach der Installation nicht einfach vergessen

#

WordPress-Sicherheit ist kein einmaliger Vorgang.

Eine heute sichere Installation kann in einigen Monaten veraltete Komponenten enthalten.

Deshalb gehört zur Wartung einer Website regelmäßig:

• verfügbare Updates prüfen
• Backups kontrollieren
• Administratorenkonten überprüfen
• nicht mehr benötigte Plugins entfernen
• ungewöhnliche Änderungen untersuchen
• PHP-Version und Hosting-Umgebung im Blick behalten

Wer gerade eine neue Website eingerichtet hat, findet die wichtigsten weiteren Grundeinstellungen unter WordPress nach der Installation.

Eine pragmatische Sicherheitsstrategie

#

Für einen normalen WordPress-Blog muss Sicherheit nicht kompliziert werden.

Eine solide Basis sieht beispielsweise so aus:

Die wichtigsten Maßnahmen lassen sich auf wenige Bereiche reduzieren: Updates, Zugangsschutz, minimale Angriffsfläche, Backups und regelmäßige Kontrolle.

1. Software aktuell halten

#

WordPress, Plugins, Themes und die zugrunde liegende PHP-Version sollten gepflegt sein.

2. Angriffsfläche klein halten

#

Nicht benötigte Plugins, Themes und Benutzerkonten entfernen.

3. Zugänge schützen

#

Einzigartige Passwörter verwenden, einen Passwortmanager einsetzen und Administratorenkonten mit 2FA absichern.

4. Rechte begrenzen

#

Benutzer erhalten nur die Berechtigungen, die sie für ihre Aufgabe tatsächlich benötigen.

5. HTTPS verwenden

#

Die gesamte Website einschließlich Login und Backend ausschließlich verschlüsselt betreiben.

6. Backups automatisieren

#

Dateien und Datenbank regelmäßig extern sichern und die Wiederherstellung tatsächlich testen.

7. Änderungen kontrolliert durchführen

#

Vor größeren Updates sichern und bei wichtigen Websites Änderungen zunächst in einer Testumgebung prüfen.

8. Website regelmäßig kontrollieren

#

Sicherheit ist Wartung. Eine WordPress-Installation sollte nicht jahrelang unbeobachtet laufen.

Fazit

#

WordPress-Sicherheit besteht nicht aus einem geheimen Trick und auch nicht aus einem Plugin, das alle Probleme löst.

Die wirksamsten Maßnahmen sind erstaunlich bodenständig:

aktuelle Software
+
starke Authentifizierung
+
wenige unnötige Komponenten
+
vernünftige Benutzerrechte
+
sicheres Hosting
+
funktionierende Backups
+
regelmäßige Wartung

Wer diese Grundlagen konsequent umsetzt, beseitigt bereits einen großen Teil der vermeidbaren Risiken.

Der nächste logische Schritt ist deshalb nicht die Suche nach immer weiteren Security-Tricks, sondern ein sauberer Wartungsprozess: Updates kontrolliert einspielen, vorher sichern und anschließend prüfen, ob die Website weiterhin korrekt funktioniert.