WordPress-Sicherheit: 10 Punkte, die jede Website erfüllen sollte
Kurz gesagt: Die meisten WordPress-Websites werden nicht durch raffinierte Angriffe gehackt, sondern über bekannte, längst behobene Lücken in veralteter Software – oder über Dinge, die niemand mehr auf dem Schirm hatte. Diese zehn Punkte decken die häufigsten Ursachen ab.
1. WordPress, Plugins und Theme aktuell halten
Veraltete Plugins sind das häufigste Einfallstor. Angreifer suchen automatisiert nach Websites mit bekannten Schwachstellen – die Größe der Website spielt dabei keine Rolle. Updates gehören mindestens monatlich eingespielt, kritische Sicherheitsupdates sofort.
2. Unbenutzte Plugins und Themes löschen
Auch deaktivierte Plugins und Themes liegen auf dem Server und können angreifbar sein. Bei einem Audit fanden wir vier alte Kopien eines Themes, deren Dateien direkt aus dem Internet aufrufbar waren – inklusive einer bekannten Sicherheitslücke. Was nicht gebraucht wird, sollte weg.
3. Vergessene Installationen aufspüren
Alte Testseiten, frühere Projektseiten oder Zweitinstallationen in Unterordnern werden oft jahrelang nicht aktualisiert – sind aber weiterhin erreichbar. Wir haben schon WordPress-Installationen gefunden, die vier Jahre lang kein Update bekommen hatten und auf demselben Server wie die Hauptseite liefen.
4. Backups getrennt vom Server aufbewahren
Ein Backup auf demselben Server ist bei einem Angriff oder Ausfall oft mit betroffen. Sichern Sie täglich, verschlüsselt und an einem getrennten Ort – und testen Sie regelmäßig, ob sich ein Backup auch wirklich wiederherstellen lässt.
5. Starke Passwörter und Zwei-Faktor-Anmeldung
Jedes Konto mit Administratorrechten sollte ein einzigartiges, langes Passwort und eine Zwei-Faktor-Anmeldung haben. Begrenzen Sie außerdem die Zahl der Anmeldeversuche.
6. So wenige Administratoren wie möglich
Prüfen Sie regelmäßig, wer Administratorrechte hat. Redakteur_innen brauchen keine Admin-Rechte – und ehemalige Mitarbeitende oder Dienstleister keine aktiven Konten mehr. Achten Sie auch auf versteckte Zugänge in Themes oder Plugins, über die sich Konten anlegen lassen.
7. Fehlerprotokolle nicht öffentlich ablegen
Ist in WordPress das Debug-Protokoll aktiv, landet es standardmäßig unter /wp-content/debug.log – und ist oft für jeden abrufbar. Es verrät Serverpfade und Details, die Angreifern helfen. Auf einer Live-Website sollte das Protokoll aus- oder zumindest gesperrt sein.
8. HTTPS und Sicherheits-Header
Ein gültiges SSL-Zertifikat ist Pflicht. Zusätzlich schützen Sicherheits-Header wie Strict-Transport-Security, Content-Security-Policy und X-Frame-Options vor eingeschleustem Code und Clickjacking. Sie lassen sich meist mit wenigen Zeilen in der Serverkonfiguration ergänzen.
9. Eine aktuelle PHP-Version verwenden
Auch der Server braucht Updates. PHP 8.1 und älter bekommen keine Sicherheitsupdates mehr – mehr dazu in unserem Artikel zu PHP-Versionen und WordPress.
10. Überwachen statt hoffen
Eine Firewall, ein Sicherheits-Plugin mit Dateiprüfung und eine Erreichbarkeitsüberwachung sorgen dafür, dass Sie von Problemen erfahren, bevor es Ihre Besucher_innen tun.
Wie steht es um Ihre Website?
Einige dieser Punkte lassen sich von außen prüfen – mit unserem kostenlosen Website-Check in wenigen Sekunden. Für alles, was nur von innen sichtbar ist, gibt es den ausführlichen Sicherheitscheck.