WordPress-Sicherheit: 10 Maßnahmen, die wirklich zählen

Niemand hat es auf Ihre Website abgesehen. Das klingt beruhigend, ist es aber nicht. Angriffe auf WordPress-Seiten laufen automatisiert, rund um die Uhr, und sie fragen nicht nach Branche oder Umsatz. Ein Skript klopft bei Tausenden Seiten an, prüft auf eine bekannte Lücke in einem veralteten Plugin, findet eine, und der Schadcode ist drauf. Ihre Seite wurde nicht ausgewählt. Sie stand nur gerade offen.

Die angenehme Konsequenz: Wer die üblichen Lücken schließt, ist für diese Skripte uninteressant. 100 % sicher gibt es nicht, bei WordPress so wenig wie bei jeder anderen Software. Aber der Abstand zwischen „ungepflegt“ und „ordentlich gepflegt“ ist riesig, und er entsteht fast komplett durch die ersten vier Punkte. Der Rest ist Feinarbeit.

1. Updates einspielen. Zeitnah. Mit Backup davor.

Der Klassiker bei gehackten WordPress-Seiten ist keine raffinierte Attacke, sondern ein Plugin, dessen Lücke seit Monaten bekannt und längst gepatcht war. Das Update lag bereit. Es hat nur niemand geklickt.

Der Grund ist meist derselbe: Updates machen gelegentlich etwas kaputt. Stimmt, und genau deshalb gehört vor jedes Update ein Backup, mit dem man in fünf Minuten wieder zurück ist. Wer Updates monatelang aufschiebt, weil er Angst davor hat, hat kein Update-Problem. Er hat ein Backup-Problem.

2. Backups: täglich, woanders, ausprobiert

Das Backup ist das Netz unter allem anderen. Hack, kaputtes Update, versehentlich gelöschte Seite: Mit einem sauberen Backup ist der Schaden ein Ärgernis. Ohne ist er ein Projekt.

Es muss täglich laufen, denn ein Stand von vor sechs Wochen hilft wenig. Es muss woanders liegen als auf dem Webserver, sonst ist es beim Hack gleich mit weg. Und es muss einmal zur Probe eingespielt worden sein. Ein Backup, das noch nie zurückgespielt wurde, ist eine Vermutung.

3. Passwörter und zweiter Faktor

Das zweite große Einfallstor ist der Login. Nicht, weil jemand Ihr Passwort errät, sondern weil es irgendwo schon einmal geleakt wurde und Sie es woanders weiterbenutzen. Automatisierte Angriffe probieren genau solche Listen durch.

Ein langes, einmaliges Passwort pro Zugang aus dem Passwortmanager, dazu ein zweiter Faktor über eine Authenticator-App. Damit ist ein geleaktes Passwort allein wertlos. Zehn Minuten Einrichtung, und ein ganzer Angriffstyp läuft ins Leere.

4. Plugins ausmisten

Jedes Plugin ist Code von jemandem, den Sie nicht kennen, und der auf Ihrem Server läuft. Manchmal nötig. Oft ein Überbleibsel: das Slider-Plugin vom alten Design, der Formular-Ersatz, den man mal getestet hat, drei Standard-Themes, die nie aktiv waren.

Deaktivieren reicht nicht, der Code liegt weiter auf dem Server, mit allen Lücken. Löschen Sie, was Sie nicht brauchen. Und bei dem, was bleibt, schauen Sie einmal im Jahr auf das Datum des letzten Updates. Ein Plugin, das seit zwei Jahren nichts mehr vom Entwickler gehört hat, gehört auf die Ablöseliste.

Damit sind die 80 % geschafft. Die folgenden Punkte sind sinnvoll, aber keiner davon rettet eine Seite, bei der die ersten vier fehlen.

5. Aktuelle PHP-Version

Alte PHP-Versionen bekommen keine Sicherheitsupdates mehr. Ein Blick ins Hosting-Panel genügt, und wenn dort eine Version steht, die seit Jahren nicht mehr gepflegt wird: umstellen. Kostet nichts und macht die Seite nebenbei schneller.

6. Kein „admin“, und keine Admins, die keine sein müssen

„admin“ ist der erste Name, den jedes Skript probiert. Legen Sie einen eigenen an. Wichtiger noch: Wer nur Beiträge schreibt, braucht keine Administratorrechte. Jedes Admin-Konto ist ein Schlüssel zu allem.

7. Login-Schutz gegen Durchprobieren

Fehlversuche begrenzen, auffällige IP-Adressen vorübergehend sperren. Wenn Punkt 3 erledigt ist, ist das vor allem Lärmschutz: Die Angriffe laufen sowieso ins Leere, so belasten sie wenigstens nicht den Server.

8. HTTPS

Zertifikate gibt es beim Hoster kostenlos. Wer 2026 noch ohne unterwegs ist, hat ein größeres Problem als Sicherheit, nämlich einen Browser, der Besucher mit einer Warnung begrüßt. Erledigen, abhaken.

9. Firewall und virtuelles Patching

Eine Web Application Firewall filtert schädliche Anfragen, bevor sie WordPress erreichen. Interessant wird sie durch virtuelles Patching: Wird eine Lücke in einem Plugin bekannt, schirmt die Firewall sie ab, bevor der Hersteller das Update liefert.

Trotzdem: Die Firewall ist die Versicherung oben drauf, kein Ersatz für Updates. Wer eine Security-Suite installiert, drei grüne Haken sieht und dann die Updates schleifen lässt, hat Geld gegen ein gutes Gefühl getauscht. Genau da wird aus Sicherheitssoftware Schlangenöl.

10. Monitoring

Wer nicht hinschaut, erfährt vom Hack durch andere. Zum Beispiel durch einen Kunden, der fragt, warum auf Ihrer Startseite plötzlich Werbung für Potenzmittel steht. Ein Uptime-Monitor und ein regelmäßiger Malware-Scan sind billig und machen aus Wochen Stunden.

Was überschätzt wird

Den Login-Pfad verstecken, die WordPress-Version im Quelltext verbergen, Datenbanktabellen umbenennen. Steht in jeder Checkliste, bringt fast nichts. Die Skripte suchen nach Lücken in Plugins, nicht nach dem Wort „WordPress“ im Quelltext. Wer die ersten vier Punkte erledigt hat, darf sich damit beschäftigen. Vorher ist es Beschäftigungstherapie.

Selbst machen oder abgeben

Passwörter, zweiter Faktor, Benutzerrollen, Plugins ausmisten: Das erledigen Sie an einem Nachmittag selbst. Updates auch, wenn Sie eine Backup-Routine haben und sie wirklich jede Woche machen. Das Problem ist selten das Wissen, sondern dass immer etwas Wichtigeres dazwischenkommt.

Genau dafür gibt es meine WordPress-Pflege. WebCare Basis kostet 89 € netto im Monat: Updates mit Backup und Rollback, tägliche externe Backups, Malware-Scans und Monitoring, also die Punkte 1, 2 und 10 plus ein Auge auf den Rest. WebCare Plus für 159 € netto im Monat testet Updates zuerst auf einer Staging-Kopie und bringt die Firewall mit virtuellem Patching mit. Beides monatlich kündbar. Für die Region gibt es die Seite WordPress-Pflege in Aschaffenburg, was Pflege generell kostet, steht im Beitrag WordPress-Pflege Kosten 2026.

Falls es schon zu spät ist: Website gehackt, was jetzt?

Oder das Problem gar nicht erst haben

Es gibt noch einen anderen Weg, und ich sage ehrlich, wenn WordPress für ein Vorhaben nicht die richtige Wahl ist. Eine statische Website hat keine Datenbank, keine Plugins, keinen Login. Da gibt es schlicht wenig anzugreifen. Für Unternehmensseiten, deren Inhalte sich ein paar Mal im Jahr ändern, oft die bessere Lösung. Für einen Shop oder eine Redaktion mit täglichen Änderungen bleibt WordPress das richtige Werkzeug.

Wenn Sie wissen wollen, wo Ihre Seite steht, melden Sie sich. Ich schaue drauf und sage Ihnen, was fehlt und was Sie sich sparen können.