WordPress-Sicherheit härten: Eine praktische Checkliste

WordPress treibt eine riesige Zahl von Websites an und ist deshalb ein ständiges Ziel automatisierter Angriffe. Die meisten dieser Angriffe sind nicht raffiniert. Sie suchen nach alten Plugin-Versionen, erraten schwache Passwörter oder verwenden geleakte Zugangsdaten erneut. Das ist eine gute Nachricht: Eine Handvoll konsequenter Gewohnheiten stoppt die meisten davon. Hier ist eine Checkliste, die Sie an einem Nachmittag abarbeiten können.

Updates, Logins und Zugriff

Veraltete Plugins und Themes sind der häufigste Einstiegsweg. Spielen Sie Updates für den WordPress-Core, Plugins und Themes zeitnah ein und entfernen Sie alles, was Sie nicht mehr nutzen. Erwägen Sie, automatische Updates für kleinere Core-Versionen und für Plugins Ihres Vertrauens zu aktivieren, während Sie größere Änderungen zuerst an einer Staging-Kopie testen. Unser Leitfaden zum sicheren Aktualisieren von WordPress erklärt die Routine.

Starke, eindeutige Logins und Zwei-Faktor-Authentifizierung nutzen

Verwenden Sie einen Passwortmanager und geben Sie jedem Konto ein langes, eindeutiges Passwort. Aktivieren Sie die Zwei-Faktor-Authentifizierung für Administratoren und Redakteure. Verwenden Sie nicht admin als Benutzernamen und stellen Sie sicher, dass der angezeigte Name bei öffentlichen Beiträgen nicht der Login-Name ist.

Benutzerzugriff begrenzen

Geben Sie Personen die niedrigste Rolle, mit der sie ihre Arbeit erledigen können. Ein Autor braucht die Rolle Autor oder Mitarbeiter, nicht Administrator. Entfernen Sie Konten von Personen, die gegangen sind. Weniger Administratoren bedeuten weniger Konten, die kompromittiert werden können.

Login-Seite, HTTPS und Konfiguration

Begrenzen Sie fehlgeschlagene Anmeldeversuche und erwägen Sie, eine Abfrage hinzuzufügen oder den Zugriff auf /wp-login.php wo praktikabel per IP-Adresse einzuschränken. Eine Web Application Firewall, etwa der über Cloudflare verfügbare Schutz, kann viele schädliche Anfragen blockieren, bevor sie WordPress erreichen. Auf unserer Sicherheitsseite sehen Sie, wie wir das auf Hosting-Ebene angehen.

HTTPS überall verwenden

Liefern Sie die gesamte Website über HTTPS aus, einschließlich des Admin-Bereichs. Kostenlose Let's Encrypt-Zertifikate sind in unserem Hosting enthalten; siehe die SSL-Seite. In wp-config.php können Sie sichere Admin-Sitzungen erzwingen:

define( 'FORCE_SSL_ADMIN', true );

Dateibearbeitung im Dashboard deaktivieren

WordPress erlaubt Administratoren, Plugin- und Theme-Dateien im Dashboard zu bearbeiten. Wenn ein Angreifer hineinkommt, ist das ein fertiges Werkzeug. Schalten Sie es ab:

define( 'DISALLOW_FILE_EDIT', true );

Korrekte Dateiberechtigungen setzen

Dateien sollten im Allgemeinen vom Webserver lesbar, aber nicht für alle beschreibbar sein. Setzen Sie Ordner nicht auf volle Berechtigungen, um ein Upload-Problem zu beheben; suchen Sie stattdessen das eigentliche Problem mit den Eigentumsrechten. Halten Sie wp-config.php so stark gesperrt, wie Ihr Setup es erlaubt, und lassen Sie niemals Backups oder Datenbank-Dumps im Web-Root liegen.

Backups, Quellen und Überwachung

Bei Sicherheit geht es ebenso um Wiederherstellung wie um Vorbeugung. Bewahren Sie automatische Backups getrennt vom Webserver auf und testen Sie deren Wiederherstellung. Wenn etwas schiefgeht, ist ein sauberes Backup Ihr schnellster Weg zurück.

Software nur aus vertrauenswürdigen Quellen installieren

Nutzen Sie Plugins und Themes aus dem offiziellen Verzeichnis oder vom Entwickler. Raubkopierte Premium-Software ist eine häufige Quelle versteckter Hintertüren. Ist eine Lizenz zu teuer, suchen Sie stattdessen nach einer schlankeren Alternative.

Auf Änderungen achten

Sicherheits-Plugins oder Überwachungsdienste können Sie bei Dateiänderungen, neuen Administratorkonten und ungewöhnlicher Login-Aktivität alarmieren. Benachrichtigungen helfen nur, wenn jemand sie liest, leiten Sie sie also an eine E-Mail-Adresse, die Sie prüfen.

Angriffsfläche verringern

• Löschen Sie ungenutzte Themes und Plugins, statt sie nur zu deaktivieren.
• Deaktivieren Sie XML-RPC, wenn Sie es nicht nutzen, oder schränken Sie es ein.
• Verbergen Sie Versionsnummern, wo es einfach geht, aber verlassen Sie sich nicht auf Geheimhaltung.
• Verwenden Sie für verschiedene Websites getrennte Datenbankbenutzer mit starken Passwörtern.

Die Serverebene gesund halten

WordPress zu härten ist nur die halbe Arbeit. Der Server braucht eine unterstützte PHP-Version, aktuelle Betriebssystem-Updates und Isolation zwischen Konten. In Shared- und Managed-Tarifen übernimmt das der Anbieter; bei einem VPS sind Sie dafür verantwortlich.

Eine kurze Härtungstabelle

Bereich	Maßnahme	Aufwand
Updates	Core, Plugins, Themes aktuell	Gering
Konten	Starke Passwörter, 2FA, minimale Rechte	Gering
Konfiguration	Dateibearbeitung deaktivieren, SSL im Admin erzwingen	Gering
Backups	Außerhalb des Servers, getestete Wiederherstellung	Mittel
Firewall	WAF und Login-Limits	Mittel

Keine Website ist zu 100 % sicher

Seien Sie ehrlich über die Grenzen. Härtung verringert das Risiko, beseitigt es aber nicht. Legen Sie sich einen Plan zurecht, was Sie tun, wenn die Website kompromittiert wird, und halten Sie die Kontaktdaten derjenigen bereit, die helfen werden.

Machen Sie Sicherheit zur Gewohnheit, nicht zum Projekt

Die größte Schwäche der meisten WordPress-Sicherheitskonzepte ist nicht eine fehlende Funktion, sondern eine fehlende Routine. Legen Sie sich eine monatliche Erinnerung in den Kalender, um Benutzer zu prüfen, nach Plugins zu suchen, die keine Updates mehr erhalten, Ihre Sicherheitsmeldungen zu lesen und zu bestätigen, dass sich ein aktuelles Backup wiederherstellen lässt. Zwanzig Minuten im Monat sind wertvoller als eine einmalige Härtungssitzung, die nie wieder angesehen wird.

Schreiben Sie außerdem auf, wer auf was Zugriff hat: Hosting-Panel, Domain-Registrar, WordPress-Administratorkonten und alle Dienste von Drittanbietern. Wenn eine Agentur oder ein Freelancer ein Projekt abschließt, entfernen Sie den Zugang noch am selben Tag.

Wenn Sie heute nur für drei Dinge Zeit haben, wählen Sie diese: alles aktualisieren, die Zwei-Faktor-Authentifizierung für jeden Administrator einschalten und bestätigen, dass ein aktuelles Backup außerhalb des Servers existiert. Sie decken die häufigsten Wege ab, auf denen Websites kompromittiert werden, und den wichtigsten Weg zur Wiederherstellung.

Sicherheit auf Hosting-Ebene

Gutes Hosting unterstützt Ihre eigene Härtung. Unser WordPress-Hosting enthält kostenloses SSL, Plesk zur Zugriffsverwaltung und die Verfügbarkeit von Cloudflare CDN, und unser Support-Team beantwortet Fragen zur Absicherung Ihrer Website in 17 Sprachen.