Halten Sie Core, Theme und Plugins aktuell, verwenden Sie individuelle Konten mit minimalen Rechten und Multi-Faktor-Authentifizierung, schützen Sie das Hosting, erstellen Sie getrennte Backups und überwachen Sie Änderungen. Testen Sie Updates zuerst und erstellen Sie ein schriftliches Verfahren für die Wiederherstellung sowie für die Reaktion auf Sicherheitsvorfälle.
WordPress-Sicherheit ist weder ein einzelnes Plugin noch eine versteckte Login-Adresse. Sie ist ein Zusammenspiel von Schichten, die die Wahrscheinlichkeit eines Vorfalls verringern, seine Folgen begrenzen und die Wiederherstellung ermöglichen. Ein Angreifer kann eine verwundbare Erweiterung, ein schwaches Passwort, eine gestohlene Sitzung, falsche Dateirechte oder einen kompromittierten Rechner des Administrators ausnutzen. Deshalb muss die gesamte Kette geschützt werden – vom Hosting und den Konten bis zum Update-Prozess und den Backups.
Passen Sie die Sicherheitsmaßnahmen an den Wert der Daten und die Funktion der Website an. Eine Präsentationswebsite, ein Onlineshop und ein Mitgliederportal haben nicht dieselben Risiken, aber alle benötigen eine grundlegende Sicherheitshygiene. Ziel ist es nicht, einen absoluten Schutz zu versprechen, den es nicht gibt, sondern angemessene Kontrollen und Verantwortlichkeiten einzuführen. Die folgende Anleitung ist ein praktischer Rahmen, der je nach Hosting, eingesetzten Integrationen und Pflichten der jeweiligen Organisation ergänzt werden muss.
Schützen Sie Identitäten und Zugänge
Jeder Administrator sollte ein eigenes Konto und einen Passwort-Manager verwenden, um ein langes, einzigartiges Passwort zu erstellen. Ein gemeinsames Konto mit dem Namen admin macht es unmöglich, Änderungen einer bestimmten Person zuzuordnen, und erschwert das Entziehen des Zugangs. Aktivieren Sie die Multi-Faktor-Authentifizierung mindestens für Administratoren und Konten mit sensiblen Berechtigungen. Halten Sie die Zahl der Administratoren klein; ein Redakteur muss keine Plugins installieren, und ein externer Dienstleister benötigt nach Abschluss der Arbeit keinen dauerhaften Zugang.
Schützen Sie auch E-Mail, Hosting, Domain-Registrar, CDN und Backup-Speicher, da sich über sie die Sicherheit von WordPress selbst umgehen lässt. Überprüfen Sie regelmäßig aktive Benutzer, Anwendungspasswörter, API-Schlüssel und Sitzungen. Legen Sie Geheimnisse weder in einem öffentlichen Repository noch im Seiteninhalt ab. Nutzen Sie bei Teamänderungen eine Checkliste für den Entzug von Zugängen und die Rotation gemeinsam genutzter Schlüssel. Protokollieren Sie wichtige administrative Aktionen in einem angemessenen Audit-Log.
- Ein eigenes Konto für jede Person
- Minimal erforderliche Rollen und temporäre Zugänge
- Mehrfaktor-Authentifizierung für sensible Konten
- Regelmäßige Inventur von Benutzern und Schlüsseln
Aktualisieren Sie kontrolliert und entfernen Sie unnötige Teile
Updates beheben Fehler und Schwachstellen, daher erhöht ein langes Aufschieben das Risiko. Alles automatisch ohne Backup einzuspielen, kann jedoch eine kritische Funktion unterbrechen. Etablieren Sie einen Prozess: Verfolgen Sie Ankündigungen, erstellen Sie ein Backup, prüfen Sie das Update im Staging und kontrollieren Sie anschließend Formulare, Anmeldung, Kaufvorgang und andere zentrale Szenarien. Kritische Sicherheitsupdates brauchen einen schnelleren Weg als reguläre Funktionsversionen.
Entfernen Sie nicht genutzte Themes und Plugins nach einer Prüfung; es genügt nicht, sie zu deaktivieren. Prüfen Sie jede Erweiterung vor der Installation hinsichtlich Herkunft, Pflege, Dokumentation und erforderlicher Berechtigungen. Kombinieren Sie nicht mehrere Sicherheits- oder Caching-Plugins, ohne deren Zusammenspiel zu kennen. Auch die Versionen von PHP, Datenbank und Serverkomponenten gehören in den Update-Plan. Wird eine Erweiterung nicht mehr unterstützt, bereiten Sie einen kontrollierten Ersatz vor, bevor sie zu einem kritischen Hindernis wird.
Härten Sie Hosting und Anwendung
Verwenden Sie HTTPS auf der gesamten Website, sichere Serverprotokolle und ein isoliertes Hosting, das dem Betrieb angemessen ist. Legen Sie Datei- und Datenbankberechtigungen nach dem Prinzip der minimalen Rechte fest. Deaktivieren Sie die Codebearbeitung über die Administration, wenn das Team sie nicht benötigt, und schützen Sie Konfigurationsdateien vor öffentlichem Zugriff. Führen Sie Sicherheits-Header erst nach einem Test ein, da eine zu strenge Regel eine gültige Integration blockieren kann. Die Produktivumgebung sollte Besuchern weder technische Fehler noch sensible Pfade anzeigen.
Eine Begrenzung von Anmeldeversuchen, eine Firewall oder ein Bot-Schutz können einen Teil des Missbrauchs herausfiltern, müssen aber mit Ausnahmen und Monitoring konfiguriert sein. Eine Änderung der Login-URL kann das Grundrauschen verringern, ersetzt aber keine starke Authentifizierung. Schränken Sie XML-RPC, REST-Schnittstellen und Datei-Uploads entsprechend der tatsächlichen Nutzung ein, nicht durch blindes Abschalten, das den Editor oder eine Anwendung lahmlegt. Validieren Sie Formulare auf dem Server und verwenden Sie bei eigenem Code Berechtigungsprüfungen, Nonces und sichere Datenbankabfragen.
- HTTPS und aktuelle Serversoftware
- Angemessene Datei- und Datenbankberechtigungen
- Versteckte technische Fehler in der Produktion
- Schutzregeln, an kritischen Szenarien überprüft
Sichern Sie Daten so, dass eine Wiederherstellung möglich ist
Ein Backup muss sowohl die Datenbank als auch die Dateien enthalten und darf nicht nur auf demselben Server wie die Website liegen. Legen Sie die Häufigkeit danach fest, wie viele neue Bestellungen, Registrierungen oder Änderungen Sie sich leisten können zu verlieren. Bewahren Sie mehrere Wiederherstellungspunkte auf, da ein Angriff nicht unbedingt sofort entdeckt wird. Verschlüsseln Sie sensible Backups, beschränken Sie den Zugriff darauf und legen Sie einen Lebenszyklus entsprechend den Anforderungen der Organisation fest.
Der wichtigste Test eines Backups ist eine erfolgreiche Wiederherstellung in einer isolierten Umgebung. Halten Sie fest, wer die Wiederherstellung auslöst, wo sich die Zugangsdaten befinden, wie die Integrität geprüft wird und wie die Website wieder in den Betrieb geschaltet wird. Bei einem Onlineshop oder einem dynamischen Portal müssen auch Daten berücksichtigt werden, die zwischen dem Vorfall und dem wiederhergestellten Zeitpunkt entstanden sind. Ein Backup ist weder ein Archiv für rechtliche Pflichten noch eine vollständige Kontinuitätsstrategie; es ist eines der Werkzeuge zur Reaktion.
Überwachen Sie und bereiten Sie die Reaktion auf Vorfälle vor
Überwachen Sie Verfügbarkeit, ungewöhnliche Dateiänderungen, neue Administratorkonten, fehlgeschlagene Anmeldungen und unerwartete Weiterleitungen. Eine Benachrichtigung muss an eine Person gehen, die handeln kann, und eine festgelegte Priorität haben. Zu viele minderwertige Benachrichtigungen führen dazu, dass sie ignoriert werden. Prüfen Sie die Website regelmäßig auch von außen, da ein Angreifer schädliche Inhalte möglicherweise nur Suchmaschinen oder ausgewählten Besuchern anzeigt.
Das Incident-Verfahren regelt den ersten Kontakt, die Isolierung, die Sicherung von Beweisen, den Austausch von Zugangsdaten, die Bereinigung oder Wiederherstellung und die anschließende Kontrolle. Bearbeiten Sie eine kompromittierte Website nicht blind ohne Sicherung der Beweise, denn Sie könnten Spuren beseitigen und eine Hintertür bestehen lassen. Ermitteln Sie nach der Wiederherstellung die Grundursache, aktualisieren Sie alle zugehörigen Systeme und ziehen Sie je nach Situation den Hosting-Anbieter oder einen Sicherheitsexperten hinzu. Klären Sie Meldepflichten mit einer zuständigen Person anhand der konkreten Daten und Umstände.
Häufige Fragen
Reicht ein Sicherheits-Plugin zum Schutz aus?
Nein. Ein Plugin kann Monitoring, eine Firewall oder einen Login-Schutz hinzufügen, löst aber kein schwaches Hosting, kein gestohlenes E-Mail-Konto, keine veraltete Erweiterung und keine fehlende Wiederherstellungsmöglichkeit. Sicherheit erfordert mehrere Ebenen und einen regelmäßigen Prozess.
Wie oft sollte WordPress aktualisiert werden?
Verfolgen Sie Updates fortlaufend und passen Sie das Intervall an die Schwere und das Risiko der Website an. Kritische Fixes behandeln Sie vorrangig, reguläre Versionen lassen sich in ein regelmäßiges Wartungsfenster einplanen. Halten Sie immer ein aktuelles Backup bereit und testen Sie die Hauptfunktionen.
Was tun, wenn WordPress kompromittiert wurde?
Begrenzen Sie den Schaden, kontaktieren Sie den Administrator oder das Hosting, sichern Sie Beweise und wenden Sie das vorbereitete Verfahren für Sicherheitsvorfälle an. Es genügt nicht, die sichtbare Datei zu löschen. Der Einfallsweg muss gefunden, Konten und Geräte müssen geprüft, ein sauberer Zustand wiederhergestellt, Komponenten aktualisiert und Zugänge rotiert werden.
Quellen und weiterführende Lektüre
Adam Antoni vyvíja weby, aplikácie a softvér na mieru. Prepája firemné systémy, automatizuje procesy a vytvára AI agentov. Pôsobí v Spišskej Novej Vsi a spolupracuje s firmami na celom Slovensku.
