WordPress-Sicherheit: 12 Dinge die du tun musst

Haeufigste Hack-Ursache ist ein veraltetes Plugin oder Theme
Starkes Passwort plus 2FA blockiert die meisten Login-Versuche
Backup ausserhalb des Servers ist der Unterschied zwischen Ausfall und Totalverlust
Die DSGVO verlangt angemessene technische Massnahmen
Der Kunde bekommt die Rolle Redakteur, nicht Administrator
[/dwb_keytakeaways]

Woher WordPress-Hacks wirklich kommen

Beginnen wir mit dem Mythos, der den meisten Schaden anrichtet. Die meisten WordPress-Hacks sind kein geniales Hacker-Genie, das nachts den Server knackt. Es ist ein Bot, der ein veraltetes Plugin mit bekannter Luecke gefunden hat, ein schwaches Passwort von einer geleakten Liste durchprobiert oder ueber ein Konto mit zu vielen Rechten reinkam. Langweilig, automatisiert, in Masse.

Das ist eine gute Nachricht, denn Langeweile laesst sich mit einfachen Gewohnheiten abdichten. Du brauchst kein teures Audit und kein Team von Spezialisten, um den groessten Teil der Angriffe abzuwehren. Du brauchst zwoelf konkrete Dinge, die du einmal einrichtest und im Blick behaeltst. Dieser Artikel ist genau diese Liste. Ohne Panikmache, ohne Theorie, nur Massnahmen, die das Risiko real senken.

In Deutschland kommt ein zweiter Grund dazu: die DSGVO. Artikel 32 verlangt angemessene technische Massnahmen zum Schutz personenbezogener Daten, und das BSI empfiehlt fuer Content-Management-Systeme dieselbe Grundhygiene. Sicherheit ist hier also nicht nur kluge Vorsorge, sondern rechtliche Pflicht.

1. Kern, Plugins und Themes aktualisieren

Das ist die absolute Nummer eins und gleichzeitig der am haeufigsten vernachlaessigte Schritt. Ein veraltetes Plugin mit bekannter Luecke ist eine offene Tuer mit dem Schild "komm rein". Sobald der Autor ein Sicherheitsupdate veroeffentlicht, erfaehrt die Welt im selben Moment, was verwundbar war. Bots scannen ungepatchte Seiten innerhalb von Stunden.

• WordPress-Kern: kleine Sicherheitsreleases auf automatisch stellen, sie installieren sich selbst und zerstoeren selten etwas.
• Plugins und Themes: regelmaessig aktualisieren, am besten woechentlich, im Shop oefter. Vorher ein Backup, um nach einem fehlgeschlagenen Update zurueckzukehren.
• Verlassene Plugins: wurde ein Plugin ueber ein Jahr nicht aktualisiert, finde Ersatz. Toter Code bekommt keinen Patch.

2. Starkes Passwort und Passwort-Manager

Ein Passwort wie Firma2024 oder der Name des Hundes ist eine Einladung. Bots haben fertige Listen der beliebtesten Passwoerter und gehen sie in Sekunden durch. Das Administrator-Konto muss ein langes, zufaelliges Passwort haben, das nur an dieser einen Stelle genutzt wird.

Denk dir Passwoerter nicht selbst aus und speichere sie nicht in einer Datei auf dem Desktop. Nutze einen Passwort-Manager wie Bitwarden oder 1Password, der eine Folge aus rund zwanzig zufaelligen Zeichen erzeugt und merkt. Das gilt fuer jedes Konto mit Zugriff auf Backend und Datenbank. Ein geknacktes Passwort darf nicht den ganzen Rest oeffnen.

3. 2FA fuer das Admin-Konto aktivieren

Die Zwei-Faktor-Authentifizierung hat das beste Verhaeltnis von Aufwand zu Wirkung in dieser ganzen Liste. Selbst wenn jemand dein Passwort hat, kommt er ohne den zweiten Faktor aus der App auf dem Handy nicht rein. Das verwandelt einen Hack von "gestohlenes Passwort eingeben" in "du musst physisch mein Handy haben".

• Aktiviere 2FA fuer alle Konten mit der Rolle Administrator und Redakteur.
• Nutze eine App wie Google Authenticator oder Authy, ein Code per SMS ist schwaecher.
• Speichere die Backup-Codes im Passwort-Manager, falls das Handy verloren geht.

4. Login-Seite wp-login verstecken

Standardmaessig weiss jeder, dass das WordPress-Backend unter /wp-admin und /wp-login.php sitzt. Bots klopfen dort massenhaft an und probieren Passwoerter. Verlegst du den Login auf eine eigene, ungewoehnliche Adresse, laufen diese Automaten ins Leere und hoeren auf, die Logs zuzumuellen und den Server zu belasten.

Das ist kein vollstaendiger Schutz, sondern eine Reduktion des Laerms, aber zusammen mit Login-Limit und 2FA wirkt es hervorragend. Die Adressaenderung erledigt ein Plugin wie WPS Hide Login in einer Minute. Merke dir die neue Adresse oder speichere sie im Manager, sonst sperrst du dich selbst aus.

5. Anzahl der Login-Versuche begrenzen

Standardmaessig erlaubt WordPress unbegrenzt viele Passwortversuche. Das ist eine Einladung zum Woerterbuchangriff, bei dem ein Bot tausende Kombinationen abfeuert. Ein Login-Limit sperrt die IP-Adresse nach wenigen Fehlversuchen fuer eine bestimmte Zeit.

Plugins wie Limit Login Attempts Reloaded oder das Modul in Wordfence richten das in wenigen Klicks ein. Ein sinnvoller Wert sind fuenf Versuche, dann eine Sperre von einigen Minuten, bei wiederholten Angriffen laenger. Kombiniere das mit dem versteckten wp-login, und Brute-Force-Angriffe lohnen sich schlicht nicht mehr.

6. Datei-Editor im Backend deaktivieren

WordPress hat einen eingebauten Editor, mit dem sich Theme- und Plugin-Code direkt im Backend aendern laesst. Klingt praktisch, ist aber ein gefaehrliches Werkzeug. Uebernimmt jemand das Administrator-Konto, schleust er ueber diesen Editor in Sekunden Schadcode ein, ganz ohne FTP-Zugriff auf den Server.

Deshalb sollte der Editor deaktiviert werden. Fuege eine Zeile in die Datei wp-config.php ein:

• define('DISALLOW_FILE_EDIT', true); in der wp-config.php entfernt den Editor aus dem Backend.
• Theme-Code aenderst du ohnehin sicherer per FTP oder lokal, du verlierst also nichts.
• Es ist eine kostenlose, einzeilige Barriere, die einen beliebten Vektor nach einem Hack schliesst.

7. Regelmaessiges Backup ausserhalb des Servers

Ein Backup schuetzt nicht vor einem Hack, es ist deine Versicherung, wenn trotzdem etwas schiefgeht. Der Unterschied zwischen "aergerlicher Ausfall fuer eine Stunde" und "Verlust des ganzen Shops" ist genau die Existenz einer frischen Kopie. Ohne Backup kann ein erfolgreicher Hack oder ein Plugin-Fehler Jahre an Arbeit loeschen.

8. SSL auf der ganzen Seite erzwingen

SSL, also die Adresse mit https und dem Schloss, verschluesselt die Verbindung zwischen Nutzer und Seite. Ohne das laufen Admin-Passwort und Kundendaten im Klartext durchs Netz und sind abhoerbar. Heute ist das Standard, und Google markiert eine Seite ohne SSL als nicht sicher. Fuer die DSGVO ist die verschluesselte Uebertragung personenbezogener Daten ohnehin Pflicht.

Das Zertifikat bekommst du heute kostenlos ueber Let's Encrypt, die meisten Hoster aktivieren es mit einem Klick. Wichtig ist, dass die ganze Seite ueber https laeuft und alte http-Adressen auf die sichere Version weiterleiten. Im Shop ist SSL eine absolute Notwendigkeit, denn ohne es lassen dich die Zahlungsanbieter ohnehin nicht rein.

9. Ein Sicherheits-Plugin einsetzen

Ein Sicherheits-Plugin buendelt mehrere Schutzmechanismen an einer Stelle: eine Anwendungs-Firewall, einen Datei-Scan auf Schadcode, ein Login-Limit und Benachrichtigungen. Auf dem deutschen Markt sind Wordfence und Solid Security (frueher iThemes Security) Standard.

• Waehle eines: zwei Sicherheits-Plugins gleichzeitig beissen sich und bremsen die Seite.
• Richte Firewall und Scan ein: die Voreinstellungen sind als Start okay, feile mit der Zeit nach.
• Aktiviere Benachrichtigungen: du willst sofort von Hack-Versuchen und Dateiaenderungen erfahren.

Denk nur daran, dass es einer von zwoelf Bausteinen ist, kein Schild, der den Rest ersetzt. Das schlimmste Szenario ist, Wordfence zu installieren und das Aktualisieren einzustellen, weil "ich habe ja Schutz".

10. Korrekte Dateirechte setzen

Dateirechte entscheiden, wer Dateien auf dem Server lesen und aendern darf. Zu lockere Einstellungen erlauben einem Schadskript, wichtige Dateien zu ueberschreiben. Die gute Praxis ist einfach und hat Standardwerte.

Die Datei wp-config.php haelt die Datenbankzugaenge und Schluessel, sie verdient also die strengsten Rechte. Die meisten Hoster setzen sinnvolle Standardwerte, aber nach einer Migration oder dem manuellen Hochladen lohnt sich der Blick, ob nichts auf 777 steht, denn das ist eine offene Tuer.

11. xmlrpc deaktivieren wenn du es nicht nutzt

Die Datei xmlrpc.php ist eine alte Fernschnittstelle, die heute hauptsaechlich der WordPress-Mobil-App und einigen Integrationen wie Pingback dient. Das Problem ist, dass sie ein beliebtes Ziel zweier Angriffe ist: Brute Force, bei dem ein Bot hunderte Passwoerter in einer einzigen Anfrage probiert, und DDoS-Verstaerkung.

Wenn du weder die Mobil-App noch Integrationen nutzt, die sie brauchen, deaktiviere sie. Das erledigt das Sicherheits-Plugin oder eine Regel auf dem Server. Bevor du sie hart abschaltest, pruefe, ob keines deiner Plugins sie nutzt, denn manche aelteren Werkzeuge stehen noch darauf.

12. Monitoring und das Prinzip minimaler Rechte

Die letzten zwei Schritte runden das Thema ab und genau sie unterscheiden oft die amateurhafte von der professionellen Umsetzung.

Monitoring ist ein Aenderungs-Log mit Benachrichtigungen. Du willst wissen, wann sich jemand eingeloggt, eine Datei geaendert oder ein Plugin installiert hat. Plugins wie WP Activity Log oder das Modul in Wordfence zeigen, was auf der Seite passiert, und lassen einen Hack erkennen, bevor er Schaden anrichtet. Eine stille Infektion, die monatelang niemand bemerkt, ist schlimmer als ein lauter Ausfall, und unter der DSGVO startet mit dem Datenabfluss eine Meldefrist von 72 Stunden.

Das Prinzip minimaler Rechte ist banal: jeder bekommt nur so viel Zugriff, wie er wirklich braucht. Ein Kunde, der Blogbeitraege schreibt, bekommt die Rolle Redakteur oder Autor, nicht Administrator. Je weniger Konten mit Vollzugriff, desto kleiner die Angriffsflaeche. Ein uebernommenes Konto mit der Rolle Redakteur richtet weit weniger Schaden an als ein uebernommener Administrator.

Wenn das alles nach viel Arbeit klingt, dann weil Sicherheit ein Prozess ist und kein einmaliger Klick. Bei DawidWeb mache ich das taeglich: Hardening von WordPress und WooCommerce, Einrichtung von 2FA, Backups ausserhalb des Servers, Monitoring und Rechten, dazu eine laufende Betreuung, damit die Seite auch in einem halben Jahr noch abgesichert ist. Webseiten und Shops baue ich ab 600 Euro, ich bin Shoper-Partner mit ueber 120 Projekten, und ein Angebot fuer eine konkrete Umsetzung oder ein Sicherheits-Audit bekommst du innerhalb von 24 Stunden.