WordPress Sicherheit entscheidet darüber, ob die Website eines Installateurbetriebs in Villach eines Morgens plötzlich Werbung für Sportwetten zeigt, und niemand im Team weiß, wie das passieren konnte. Solche Vorfälle sind unangenehm, aber meist vermeidbar, denn Schutz besteht zum größten Teil aus wenigen, regelmäßig wiederholten Handgriffen.
Dieser Beitrag zeigt, woher die Gefahr in der Praxis kommt, welche sieben Maßnahmen den größten Unterschied machen und wie Sie das mit wenig Zeitaufwand in Ihren Alltag einbauen.
Inhaltsverzeichnis
Woher die Gefahr wirklich kommt
WordPress läuft auf sehr vielen Websites und ist deshalb ein beliebtes Ziel. Angreifer suchen dabei selten gezielt nach Ihrem Betrieb. Meist durchsuchen automatische Programme das Netz nach bekannten Schwachstellen, nach veralteten Plugins und nach schwachen Passwörtern.
Das ist eine gute Nachricht, denn gute WordPress Sicherheit beginnt bei den Grundlagen. Wer sie erledigt hat, gehört nicht mehr zu den leichten Zielen, und die Programme ziehen weiter. Die Kernsoftware von WordPress gilt als solide. Probleme entstehen vor allem an den Rändern: bei Plugins, Themes, Zugangsdaten und fehlenden Updates.
Sieben Maßnahmen für mehr WordPress Sicherheit
Die folgende Reihenfolge ist bewusst nach Wirkung sortiert. Die ersten drei Punkte beheben die häufigsten Ursachen für gehackte Seiten.
1. Updates regelmäßig einspielen
Sicherheitslücken werden von den Entwicklern meist mit einem Update geschlossen. Solange das Update fehlt, steht die Lücke öffentlich dokumentiert im Netz. Planen Sie deshalb einen festen Termin, etwa jeden Montagvormittag, für WordPress, Themes und Plugins. Wie das in der Praxis abläuft, beschreibt der Beitrag Wartung, Backups und Updates.
2. Starke Passwörter und Zwei-Faktor-Login
Ein langes, einzigartiges Passwort pro Person ist Pflicht. Ein Passwortmanager nimmt Ihnen die Arbeit ab. Zusätzlich schützt die Zwei-Faktor-Anmeldung auch dann, wenn ein Passwort einmal in falsche Hände gerät. Die Einrichtung zeigt der Beitrag WordPress Zwei-Faktor-Authentifizierung.
3. Weniger und bessere Plugins
Jedes Plugin ist zusätzlicher Code, der gepflegt werden muss. Löschen Sie, was Sie nicht nutzen, denn deaktivierte Plugins können trotzdem verwundbar sein. Prüfen Sie bei neuen Plugins, wann sie zuletzt aktualisiert wurden und wie viele Seiten sie nutzen. Eine Anleitung finden Sie im Beitrag Plugin auswählen und prüfen.
4. Benutzerrechte sparsam vergeben
Nicht jede Person im Team braucht Administratorrechte. Wer nur Beiträge schreibt, kommt mit der Rolle „Autor“ oder „Redakteur“ aus. Je weniger Konten mit vollen Rechten existieren, desto kleiner ist der Schaden, wenn eines davon kompromittiert wird. Mehr dazu unter WordPress-Benutzerrollen im Team. Löschen Sie außerdem Konten ehemaliger Mitarbeitender.
5. Backups, die auch zurückspielbar sind
Kein Schutz ist hundertprozentig. Ein aktuelles Backup macht aus einem Notfall eine Unannehmlichkeit. Wichtig ist, dass die Sicherung außerhalb des Webservers liegt und dass Sie die Wiederherstellung einmal getestet haben. Ein Backup, das nie zurückgespielt wurde, ist eine Hoffnung und keine Sicherung.
6. HTTPS und ein sauberer Hoster
Ein gültiges Zertifikat verschlüsselt die Verbindung zwischen Besucher und Website. Der Beitrag SSL-Zertifikat für die Website erklärt, was dazugehört. Achten Sie beim Hosting zudem auf aktuelle PHP-Versionen, automatische Server-Backups und Support, der auf Ihre Fragen antwortet.
7. Hinweise beachten und Auffälliges melden
Ein Sicherheits-Plugin kann bei Anmeldeversuchen, Dateiänderungen und bekannten Schwachstellen warnen. Entscheidend ist, dass die Warnungen an eine Adresse gehen, die jemand liest. Prüfen Sie außerdem alle paar Wochen, ob unbekannte Administratorkonten oder fremde Plugins aufgetaucht sind.
Beispiel: Wie der Installateur aus Villach reagiert
Beispiel (fiktiv): Nach dem Vorfall schaltet der Betrieb die Website zunächst in den Wartungsmodus. Der Hoster stellt ein Backup vom Vortag bereit, das das Team einspielt. Danach ändert es alle Passwörter, löscht ein vergessenes Plugin und aktiviert die Zwei-Faktor-Anmeldung für alle Konten mit Administratorrechten.
Ursache war ein Kalenderplugin, das seit über einem Jahr nicht mehr aktualisiert worden war. Das Team legt jetzt einen festen Wartungstermin am Monatsanfang fest und führt eine kurze Liste, welche Plugins wofür im Einsatz sind. Der Aufwand: etwa 30 Minuten im Monat.
Im Ernstfall: Ruhe bewahren und in dieser Reihenfolge handeln
- Nicht in Panik löschen: Erst Backup und Hoster-Support kontaktieren, damit Spuren erhalten bleiben.
- Zugänge sperren: Passwörter von WordPress, Hosting, FTP und E-Mail ändern.
- Sauberen Stand einspielen: Backup vor dem Vorfall wiederherstellen und sofort alle Updates einspielen.
- Ursache suchen: Fehlende Updates, unbekannte Konten oder fremde Dateien prüfen.
- Datenschutz prüfen: Waren personenbezogene Daten betroffen, kann eine Meldepflicht bestehen. Fragen Sie Ihre Datenschutzberatung.
Typische Fehler und wie Sie sie vermeiden
- Benutzername „admin“: Er ist das erste, was automatische Programme ausprobieren. Legen Sie einen individuellen Namen an.
- Plugins aus unklaren Quellen: Gratis-Kopien kostenpflichtiger Erweiterungen enthalten oft Schadcode.
- Ein Passwort für alles: Taucht es in einem Datenleck auf, stehen alle Türen offen.
- Updates „nach der Saison“: Gerade vor Stoßzeiten fühlt sich ein Update riskant an. Mit Backup und Staging-Test ist es das nicht.
Kurze Antworten auf häufige Fragen
Brauche ich unbedingt ein Sicherheits-Plugin? Nicht zwingend. Updates, Passwörter, Zwei-Faktor-Login und Backups bringen mehr. Ein Plugin ergänzt diese Maßnahmen, ersetzt sie aber nicht.
Wie oft sollte ich Updates einspielen? Idealerweise einmal pro Woche. Sicherheitsupdates mit Hinweis auf eine Schwachstelle sollten Sie möglichst zeitnah installieren.
Was kostet das? Die Grundmaßnahmen kosten vor allem Zeit. Je nach Anbieter kommen Kosten für Backup-Speicher oder Sicherheitsdienste dazu. Vergleichen Sie Angebote und fragen Sie nach, was genau enthalten ist.
Checkliste zum Abhaken
- WordPress, Themes und Plugins auf dem neuesten Stand
- Nicht genutzte Plugins und Themes gelöscht
- Starke, einzigartige Passwörter und Zwei-Faktor-Anmeldung aktiv
- Administratorkonten auf das Nötigste reduziert
- Backup außerhalb des Servers, Wiederherstellung einmal getestet
- HTTPS aktiv, Hoster mit aktueller PHP-Version
Wenn Sie die Pflege Ihrer Website lieber in erfahrene Hände geben möchten, unterstützt Sie unser Team bei der Website-Entwicklung und -Betreuung.