WordPress betreibt einen großen Teil aller Websites weltweit. Diese Verbreitung macht es so praktisch – und so attraktiv für Angreifer. Die meisten Hacks passieren nicht durch ausgeklügelte Attacken auf den Core, sondern durch veraltete Plugins, schwache Passwörter und Setups, an denen nach dem Launch nie wieder jemand geschaut hat.
Die gute Nachricht: Mit überschaubarem Aufwand schließt du die häufigsten Einfallstore. Hier sind die zwölf Maßnahmen, die ich auf jeder Seite umsetze, die ich betreue.
1. Updates konsequent einspielen
Der wichtigste Punkt, und der am häufigsten vernachlässigte. Veraltete Plugins und Themes sind die Hauptursache für gehackte WordPress-Seiten. Sicherheitslücken werden öffentlich dokumentiert – wer nicht aktualisiert, lädt Angreifer mit bekannter Anleitung ein.
Core, Plugins, Themes und PHP gehören aktuell gehalten. Wichtig ist, Updates nicht blind einzuspielen, sondern auf einer Staging-Umgebung oder mit einem frischen Backup im Rücken – damit ein fehlerhaftes Update nicht die ganze Seite lahmlegt.
2. Starke, einzigartige Passwörter
„admin123“ ist kein Passwort, das ist eine Einladung. Jedes Konto braucht ein langes, einzigartiges Passwort, idealerweise aus einem Passwort-Manager. Das gilt für WordPress, für den Hosting-Zugang und für die Datenbank.
3. Zwei-Faktor-Authentifizierung aktivieren
Selbst das beste Passwort kann geleakt werden. Mit Zwei-Faktor-Authentifizierung (2FA) braucht ein Angreifer zusätzlich einen zweiten Faktor – meist einen Code aus einer App. Für WordPress gibt es dafür einfache Plugins. Gerade für Admin-Konten ist 2FA Pflicht, nicht Kür.
4. Login-Versuche begrenzen
Bei einem Brute-Force-Angriff probiert ein Bot tausende Passwörter durch. Wenn du die Anzahl der Login-Versuche begrenzt und die IP nach mehreren Fehlversuchen sperrst, läuft dieser Angriff ins Leere. Viele Security-Plugins bringen diese Funktion mit.
5. Die Login-Seite schützen
Standardmäßig ist die Anmeldung unter /wp-login.php erreichbar – das weiß jeder Bot. Du kannst die Login-URL ändern oder den Zugang serverseitig zusätzlich absichern, etwa per HTTP-Authentifizierung. Das hält automatisierte Angriffe schon vor der eigentlichen Anmeldung ab.
6. Benutzer mit minimalen Rechten
Nicht jeder, der Inhalte pflegt, braucht Administrator-Rechte. Vergib Rollen nach dem Prinzip der minimalen Berechtigung: Redakteure bekommen Redakteurs-Rechte, nicht den Generalschlüssel. So begrenzt du den Schaden, falls ein Konto kompromittiert wird. Und: Lösche den Standard-Benutzernamen „admin“.
7. Unbenutzte Plugins und Themes entfernen
Jedes installierte Plugin ist eine potenzielle Angriffsfläche – auch ein deaktiviertes. Was du nicht brauchst, gehört gelöscht, nicht nur abgeschaltet. Das reduziert die Angriffsfläche und macht die Seite nebenbei schneller.
8. Nur vertrauenswürdige Plugins installieren
Ein Plugin aus einer dubiosen Quelle kann Schadcode enthalten. Setze auf Erweiterungen, die aktiv gepflegt werden, viele aktive Installationen haben und mit aktuellen WordPress-Versionen kompatibel sind. Ein Plugin, das seit zwei Jahren kein Update bekommen hat, ist ein Warnsignal.
9. Ein Security-Plugin einsetzen
Lösungen wie Wordfence oder Solid Security bündeln viele Schutzfunktionen: Firewall, Malware-Scan, Login-Schutz, Benachrichtigungen. Sie ersetzen kein durchdachtes Setup, aber sie sind eine sinnvolle zusätzliche Verteidigungslinie und melden dir verdächtige Aktivität.
10. Regelmäßige, ausgelagerte Backups
Backups sind deine Lebensversicherung. Wenn doch etwas passiert, bringt dich ein sauberes Backup in Minuten zurück. Entscheidend: Die Sicherungen müssen automatisiert laufen und an einem getrennten Ort liegen – nicht nur auf demselben Server wie die Website. Und du musst die Wiederherstellung mindestens einmal getestet haben. Ein Backup, das sich nicht zurückspielen lässt, ist wertlos.
11. HTTPS und sichere Verbindungen
Ein SSL-Zertifikat verschlüsselt die Verbindung zwischen Besucher und Server. Das ist heute Standard, kostenlos verfügbar und wirkt sich auch auf Vertrauen und SEO aus. Stelle sicher, dass die ganze Seite konsequent über HTTPS läuft, ohne unsichere Inhalte.
12. Den Datei-Editor im Dashboard deaktivieren
WordPress erlaubt es standardmäßig, Plugin- und Theme-Dateien direkt im Backend zu bearbeiten. Wenn ein Angreifer ein Admin-Konto übernimmt, kann er darüber direkt Schadcode einschleusen. Diese Funktion lässt sich mit einer Zeile in der Konfiguration abschalten – ein kleiner Handgriff mit großer Wirkung.
Sicherheit ist kein Zustand, sondern ein Prozess
Der häufigste Denkfehler: „Die Seite ist sicher eingerichtet, also bin ich fertig.“ Sicherheit ist nichts, was man einmal macht. Neue Lücken werden laufend bekannt, Plugins brauchen Updates, Backups müssen kontrolliert werden. Genau deshalb ist laufende Wartung kein optionales Extra, sondern der eigentliche Schutz. Eine gut gewartete Seite wird selten gehackt – eine vergessene fast zwangsläufig irgendwann.
FAQ
Reicht ein Security-Plugin allein?
Nein. Ein Plugin ist eine Schicht von mehreren. Updates, starke Logins, Backups und ein sauberes Rechtemanagement sind genauso wichtig. Das Plugin ergänzt diese Grundlagen, ersetzt sie nicht.
Wie oft sollte ich Updates machen?
Sicherheitsupdates möglichst zeitnah, sonstige Updates in einem regelmäßigen Rhythmus mit Backup und kurzem Test. Viele KMU fahren gut mit einem festen monatlichen Wartungsfenster plus sofortigem Einspielen kritischer Sicherheitsupdates.
Meine Seite wurde gehackt – was nun?
Ruhe bewahren. Seite offline oder in den Wartungsmodus, sauberes Backup einspielen, alle Passwörter ändern, Ursache finden und schließen. Wer unsicher ist, sollte das nicht raten, sondern Hilfe holen – ein übersehener Schadcode kommt sonst zurück.
Ist WordPress unsicher?
Nein. Der Core ist solide und wird aktiv gepflegt. Die allermeisten Probleme entstehen durch Zusätze und Nachlässigkeit, nicht durch WordPress selbst.
Brauche ich teure Spezial-Software?
In den meisten Fällen nicht. Die zwölf Maßnahmen hier kosten vor allem Sorgfalt, nicht Geld. Wichtiger als teure Tools ist, dass es jemand regelmäßig macht.
Dein nächster Schritt
Wenn du nicht selbst jeden Monat an Updates, Backups und Sicherheit denken willst, übernehme ich das. Bei der WordPress-Wartung halte ich deine Seite aktuell, sicher und lauffähig – mit Backups, Monitoring und festen Ansprechpartnern.