- Das größte Einfallstor sind veraltete Software und wiederverwendete Zugangsdaten – nicht ausgeklügelte Hackerangriffe.
- Zwei Maßnahmen bringen sofort am meisten: Zwei-Faktor-Anmeldung für alle Admins und ein Passwort-Manager mit einzigartigen Passwörtern.
- Sicherheit ist kein Projekt, sondern Routine: Updates, ein Offsite-Backup und ein Blick ins Login-Protokoll gehören fest in den Monatsablauf.
Anfang des Jahres kam ein Kunde zu uns, dessen Handwerksbetrieb plötzlich in der Google-Suche mit japanischen Schriftzeichen auftauchte. Kein spektakulärer Einbruch – ein zwei Jahre nicht aktualisiertes Kontaktformular-Plugin hatte gereicht. Bis alles bereinigt, neu aufgesetzt und wieder sauber indexiert war, vergingen fünf Tage. Hätte er die folgenden Punkte umgesetzt, wäre der Angriff schon an der ersten Hürde gescheitert.
WordPress steckt hinter einem großen Teil aller Websites weltweit, und genau diese Verbreitung macht es zum Dauerziel automatisierter Angriffe. Bots klopfen rund um die Uhr an Login-Formulare und scannen nach bekannten Lücken. Die gute Nachricht: Wer die Standard-Schwächen schließt, fällt aus dem Raster der Massenangriffe heraus.
Ein wichtiger Punkt vorweg: Fast alle dieser Angriffe sind nicht persönlich gemeint. Niemand hat sich Ihre kleine Firmenseite gezielt ausgesucht. Programme arbeiten stur Listen von Millionen Domains ab und probieren überall dieselben paar Tricks. Genau deshalb funktioniert die Verteidigung so gut – Sie müssen nicht unknackbar sein, sondern nur unbequemer als die tausend anderen Seiten auf derselben Liste. Ein Login-Protokoll einer betreuten Seite zeigt bei uns nicht selten mehrere hundert fehlgeschlagene Anmeldeversuche pro Tag, ganz ohne dass der Betreiber je etwas davon merkt.
Wo Angreifer bei WordPress zuerst hinschauen
Bevor es an die Checkliste geht, lohnt der Blick auf die typischen Schwachstellen. Vier davon tauchen bei fast jeder kompromittierten Seite auf, die auf unserem Tisch landet:
Ein Plugin, ein Theme oder der WordPress-Kern selbst wird monatelang nicht aktualisiert – bekannte Lücken bleiben offen.
„Firma2024“ oder das Lieblingspasswort aus fünf anderen Diensten – für automatisierte Anmeldeversuche kein Hindernis.
Daten aus fremden Datenlecks landen in Listen, die Bots systematisch gegen jede WordPress-Anmeldung durchprobieren.
Ohne Zwei-Faktor-Anmeldung genügt ein einziges erratenes Passwort, um vollen Admin-Zugriff zu bekommen.
Jede der zwölf Maßnahmen weiter unten setzt genau an einer dieser Schwächen an. Sie müssen kein Entwickler sein: Die Hälfte erledigen Sie im Dashboard in wenigen Minuten, der Rest ist Sache Ihres Hosters oder eines Plugins.
Die 12-Punkte-Checkliste zum Absichern
Arbeiten Sie die Punkte am besten von oben nach unten ab. Sie sind grob nach Wirkung sortiert – die ersten drei bringen den größten Schutz für den geringsten Aufwand.
Jedes Konto braucht ein eigenes, langes Passwort – sonst öffnet ein einziges Datenleck gleich mehrere Türen. Ein Passwort-Manager wie Bitwarden oder 1Password erzeugt und speichert 20-stellige Zufallspasswörter, sodass Sie sich nur noch ein Master-Passwort merken. Genau das ist der schnellste Weg raus aus dem „überall dasselbe Passwort“-Risiko. Rechnen Sie ehrlich nach, an wie vielen Stellen Ihr aktuelles WordPress-Passwort schon einmal getippt wurde – wenn die Antwort mehr als eins ist, gehört es getauscht.
Selbst wenn ein Passwort geraten oder geleakt wird, scheitert der Angreifer am zweiten Faktor. Aktivieren Sie 2FA per App (etwa Google Authenticator oder Authy) für jedes Konto mit Redakteurs- oder Admin-Rechten, nicht nur für Ihr eigenes. Plugins wie Wordfence Login Security oder Two-Factor richten das in wenigen Minuten ein.
Die große Mehrheit der Hacks nutzt Lücken, für die längst ein Update bereitsteht. Aktivieren Sie automatische Updates für Sicherheits-Releases und prüfen Sie größere Versionssprünge einmal wöchentlich. Wie Sie das gefahrlos ohne weißen Bildschirm machen, zeigt unser Ratgeber zum WordPress aktualisieren.
Jedes installierte Plugin ist eine potenzielle Angriffsfläche – auch ein deaktiviertes, denn sein Code liegt weiter auf dem Server und kann über eine Lücke aufgerufen werden. Was Sie nicht brauchen, gehört nicht nur abgeschaltet, sondern gelöscht. Behalten Sie neben dem aktiven Theme höchstens ein aktuelles Standard-Theme für die Fehlersuche. Besonders im Blick behalten sollten Sie Plugins, die seit über einem Jahr kein Update mehr bekommen haben oder aus dem offiziellen Verzeichnis verschwunden sind – sie werden meist nicht mehr gepflegt und damit zum Risiko. Weniger Code bedeutet schlicht weniger, das schiefgehen kann.
Anwendungspasswörter geben Apps, Backup-Diensten oder Schnittstellen dauerhaften Zugriff – und werden gerne vergeben und vergessen. Legen Sie nur an, was wirklich gebraucht wird, benennen Sie jedes eindeutig und löschen Sie Einträge, sobald ein Dienst wegfällt. Rotieren, also neu erzeugen und alte löschen, sollten Sie sie mindestens einmal im Jahr.
Die alte XML-RPC-Schnittstelle wird von den wenigsten Seiten noch gebraucht, ist aber ein beliebtes Ziel für Brute-Force- und Überlastungsangriffe. Wenn Sie keine externe App oder Anbindung nutzen, die sie zwingend braucht, schalten Sie sie per Security-Plugin oder Server-Regel ab. Falls doch benötigt, lässt sie sich auf einzelne IP-Adressen begrenzen.
Über Autoren-Archive und die REST-API lassen sich Benutzernamen oft ungewollt auslesen – die halbe Arbeit für einen Angreifer. Verwenden Sie nie „admin“ als Anmeldename, trennen Sie Anzeige- und Login-Namen und beschränken Sie den unangemeldeten Zugriff auf die Benutzer-Endpunkte der REST-API. Gängige Security-Plugins bieten dafür einen Schalter.
Begrenzen Sie die Zahl der Fehlversuche, damit Bots nach wenigen falschen Passwörtern gesperrt werden. Wer zusätzlich die Standard-Adresse /wp-login.php auf einen eigenen Pfad legt, verschwindet aus dem Blickfeld der meisten automatisierten Scanner. Ein Passwortschutz auf Server-Ebene vor dem Login-Formular ist die strengste Variante.
Eine Web Application Firewall filtert bösartige Anfragen, bevor sie WordPress überhaupt erreichen. Bewährt haben sich Wordfence direkt in WordPress oder eine vorgelagerte Firewall wie Cloudflare. Beide erkennen bekannte Angriffsmuster, blockieren auffällige IP-Adressen und schlagen Alarm, wenn sich Kern-Dateien unerwartet verändern. Ein Tipp aus der Praxis: Stellen Sie die Firewall nicht sofort auf die schärfste Stufe, sondern lassen Sie sie ein paar Tage im Lern- oder Beobachtungsmodus laufen. So blocken Sie später keine echten Besucher oder Ihre eigene Redaktion aus.
Die Zeile define('DISALLOW_FILE_EDIT', true); in der wp-config.php nimmt Angreifern mit gekapertem Admin-Zugang das bequeme Bearbeiten von Theme- und Plugin-Code über das Dashboard. Vergeben Sie zudem nur so viele Rechte wie nötig: Wer nur Beiträge schreibt, braucht die Rolle Redakteur oder Autor, keinen Administrator.
Ein gutes Setup nützt wenig, wenn der Server-Zugang offen liegt. Nutzen Sie SFTP statt unverschlüsseltem FTP, wählen Sie einen Hoster, der PHP aktuell hält und täglich sichert, und geben Sie Datenbank-Zugangsdaten niemals per Klartext-Mail weiter. Worauf es beim Anbieter ankommt, lesen Sie im Ratgeber zum WordPress-Hosting.
Kein Schutz ist lückenlos – deshalb braucht jede Seite ein automatisches Backup, das räumlich getrennt vom Server liegt. Wie das mit UpdraftPlus und der 3-2-1-Regel funktioniert, zeigt unser Backup-Ratgeber. Ergänzend meldet ein Uptime- und Dateiänderungs-Monitor, wenn etwas aus dem Ruder läuft, bevor Google es tut.
Sie müssen nicht alle zwölf Punkte an einem Tag erledigen. Setzen Sie die ersten drei sofort um, planen Sie den Rest über die nächsten zwei Wochen ein. Diese Grundhärtung ist auch fester Bestandteil unserer laufenden WordPress-Wartung, damit sie nicht nach dem ersten Elan wieder einschläft.
Zugangsdaten-Hygiene: der oft übersehene Punkt
Die technische Härtung ist die eine Hälfte. Die andere entscheidet sich daran, wie sorgfältig im Team mit Zugangsdaten umgegangen wird. Die großen Angriffswellen der letzten Zeit liefen kaum über neue Sicherheitslücken, sondern über Passwörter, die irgendwo geleakt waren und einfach noch funktionierten.
So bleiben Ihre Zugangsdaten sauber
Vier Gewohnheiten, die verhindern, dass ein altes Passwort zum offenen Scheunentor wird:
- Kein Klartext in Tools und Mails: Passwörter gehören in einen Passwort-Manager, nicht in eine Notiz-App, ein Google-Doc oder den E-Mail-Verlauf, wo sie bei einem gehackten Postfach frei liegen.
- Zugänge von Ex-Dienstleistern entfernen: Wenn eine alte Agentur, ein freier Entwickler oder ein Praktikant nicht mehr an Bord ist, gehört das Konto gelöscht – nicht nur das Passwort gemerkt.
- Konten persönlich statt geteilt: Jeder im Team bekommt ein eigenes Login. So lässt sich im Protokoll nachvollziehen, wer was geändert hat, und ein einzelner Abgang legt nicht den Sammel-Account still.
- Nach jedem Datenleck reagieren: Taucht eine Ihrer Adressen in einem bekannten Leck auf, ändern Sie das betroffene Passwort sofort – und alle Stellen, an denen es wiederverwendet wurde.
In der Praxis ist der Ex-Dienstleister-Zugang der Klassiker: Bei einer Bestandsaufnahme finden wir regelmäßig zwei bis drei Admin-Konten, die niemand mehr zuordnen kann. Jedes davon ist ein potenzieller Einstieg, den niemand mehr im Blick hat. Wer solche fremden Konten entdeckt, findet in unserem Ratgeber zum Entfernen fremder Admin-Benutzer das genaue Vorgehen.
Ein zweiter, gern übersehener Punkt betrifft die Datenbank-Zugangsdaten in der wp-config.php. Wurde eine Seite umgezogen, kopiert oder von mehreren Händen angefasst, kursieren diese Daten oft noch in alten Chat-Verläufen, Projekt-Ordnern oder Backup-Archiven. Nach jedem größeren Wechsel – neuer Hoster, neue Agentur, gekündigter Mitarbeiter – lohnt es sich, das Datenbank-Passwort und alle FTP-Zugänge einmal komplett neu zu setzen. Der Aufwand liegt bei zehn Minuten und schließt eine Tür, von der die meisten gar nicht wissen, dass sie offen steht.
Der Schnell-Check für zwischendurch
Wenn Sie die zwölf Maßnahmen einmal umgesetzt haben, genügt vierteljährlich ein kurzer Durchgang. Diese acht Fragen zeigen in fünf Minuten, ob noch alles sitzt:
Bleibt bei einer Frage ein ungutes Gefühl, ist das der richtige Moment, genauer hinzusehen – und nicht erst, wenn Google die Seite als kompromittiert markiert. Ob Ihre Seite bereits betroffen ist, klärt der WordPress-Sicherheits-Check Schritt für Schritt.
Womit Sie am besten anfangen
Absichern heißt nicht, an einem Wochenende alles umzukrempeln. Fangen Sie mit den Punkten eins bis drei an – Passwort-Manager, Zwei-Faktor-Anmeldung und Updates –, denn sie halten schon den Großteil der automatisierten Angriffe draußen. Danach räumen Sie ungenutzte Plugins und alte Zugänge auf und hängen ein Offsite-Backup dran.
Was am Ende zählt, ist nicht die eine perfekte Maßnahme, sondern dass die Grundlagen dauerhaft sitzen. Eine Seite, die vor einem Jahr sauber gesichert wurde und seitdem kein Update mehr gesehen hat, steht heute schlechter da als eine schlicht gepflegte. Setzen Sie sich deshalb einen festen Termin – einmal im Quartal reicht für die meisten Seiten –, an dem Sie den Schnell-Check von oben durchgehen. Wenn Sie das lieber in ruhige, verantwortliche Hände legen möchten, richten wir die Härtung ein und behalten sie dauerhaft im Blick, damit Sie sich darum nie wieder selbst kümmern müssen.
WordPress sicher machen lassen
Wir härten Ihre Seite nach genau dieser Checkliste ab, räumen alte Zugänge auf und halten Updates, Backups und Monitoring laufend im Griff – damit Sie sich um Ihr Geschäft kümmern können, nicht um Hacker.
Kostenloses Erstgespräch