Du glaubst, deine kleine WordPress-Seite interessiert keinen Angreifer? Das glauben viele. Die meisten Angriffe laufen aber automatisiert: Bots klappern das Netz nach bekannten Lücken und schwachen Passwörtern ab, egal wem die Seite gehört. Ein erfolgreicher Angriff kostet dich Daten, Vertrauen und im schlimmsten Fall rechtlichen Ärger.
In diesem Leitfaden zeige ich dir Schritt für Schritt, wie du deine WordPress-Installation absicherst. Ohne Fachchinesisch, mit Maßnahmen, die du selbst umsetzen kannst.
Warum WordPress-Sicherheit Pflicht ist
„Bei mir gibt es nichts zu holen“ hören wir oft. Angreifer wollen aber meist gar nicht deine Daten. Stattdessen missbrauchen sie gehackte Seiten für Phishing, Spam-Versand oder zum Verteilen von Schadsoftware. Deine Website wird dann Teil eines kriminellen Netzwerks, und du bist als Betreiber dafür verantwortlich.
Die Folgen eines Hacks:
- Datenverlust: Kundendaten, Bestellungen und persönliche Informationen können weg oder in fremden Händen sein.
- Vertrauensverlust: Besucher und Kunden zweifeln an deinem Unternehmen.
- Probleme bei Google: Google warnt in den Suchergebnissen und im Browser vor gehackten Seiten. Die Besucherzahlen brechen dann schnell ein.
- Kosten: Eine gehackte Seite zu bereinigen ist teuer und dauert.
Kurz gesagt: Wer die Sicherheit seiner WordPress-Seite ignoriert, geht ein Risiko ein, das sich leicht vermeiden lässt.
15 Schritte zu einer sicheren WordPress-Seite
Arbeite die folgenden Punkte der Reihe nach ab. Die meisten sind in wenigen Minuten erledigt.
1. Wähle ein sicheres Hosting
Sicherheit beginnt beim Hosting. Billiganbieter sparen oft genau dort. Achte auf aktuelle PHP-Versionen, eine Firewall am Server und regelmäßige Malware-Scans. Ein gutes Webhosting ist die erste Verteidigungslinie.
2. Verwende starke Passwörter
„admin“ und „123456“ sind keine Passwörter, sondern eine Einladung. Verwende für den Admin-Zugang, die Datenbank und das FTP-Konto lange Passwörter mit mindestens 16 Zeichen, gemischt aus Groß- und Kleinbuchstaben, Zahlen und Sonderzeichen. Ein Passwort-Manager merkt sie sich für dich.
Beispiel für ein starkes Passwort: G!8$z@d#p%J&h*T73. Ändere den Standard-Benutzernamen „admin“
Den Namen „admin“ probieren Bots bei Brute-Force-Angriffen als Erstes aus. Leg einen neuen Administrator mit einem eigenen Namen an und lösch danach den alten „admin“-Zugang. Das dauert zwei Minuten und bringt viel.
4. Richte die Zwei-Faktor-Authentifizierung (2FA) ein
Mit der Zwei-Faktor-Authentifizierung für WordPress reicht ein geknacktes Passwort nicht mehr. Wer sich anmelden will, braucht zusätzlich einen Code, etwa aus einer Authenticator-App auf dem Handy. Plugins wie Wordfence oder WP 2FA richten das in wenigen Minuten ein.
5. Halte Core, Plugins und Themes aktuell
Veraltete Software ist das häufigste Einfallstor. Updates schließen bekannte Sicherheitslücken. Schalte die automatischen Updates für den WordPress-Core ein und prüfe jede Woche, ob es neue Versionen deiner Plugins und Themes gibt. Spiel sie zeitnah ein.
Tipp: Teste Updates zuerst auf einem Staging-System, bevor du sie auf der Live-Seite installierst. So erlebst du keine bösen Überraschungen.
Keine Zeit für all das? Die Absicherung einer WordPress-Seite braucht Zeit und technisches Wissen. Wenn du dich lieber um dein Geschäft kümmerst, übernehmen wir das. Wir sichern deine WordPress-Seite komplett ab. Frag uns nach einem unverbindlichen Angebot.
6. Installiere ein Sicherheits-Plugin
Ein Sicherheits-Plugin ist die Alarmanlage deiner Website. Es überwacht Dateien, sperrt verdächtige IP-Adressen und sucht nach Schadcode. Wordfence Security ist eine gute Wahl und schützt schon in der kostenlosen Version ordentlich.
7. Begrenze die Login-Versuche
Bei Brute-Force-Angriffen probieren Bots tausende Passwörter durch. Begrenze deshalb die Zahl der Anmeldeversuche pro IP-Adresse. Nach drei bis fünf Fehlversuchen wird die IP für eine Weile gesperrt. Die meisten Sicherheits-Plugins haben diese Funktion eingebaut.
8. Verstecke deine WordPress-Version
WordPress schreibt seine Versionsnummer in den Quelltext. Angreifer sehen so auf einen Blick, welche bekannten Lücken sie ausprobieren können. Ein kleiner Code-Schnipsel in der functions.php deines Child-Themes entfernt die Angabe.
// WordPress-Version entfernen
function remove_version() {
return '';
}
add_filter('the_generator', 'remove_version');9. Schalte die Dateibearbeitung im Backend ab
Kommt ein Angreifer ins Backend, kann er über den eingebauten Editor Theme- und Plugin-Dateien ändern und Schadcode einschleusen. Schalte den Editor ab, indem du diese Zeile in die wp-config.php einfügst:
define('DISALLOW_FILE_EDIT', true);10. Schütze die wp-config.php
Die wp-config.php ist die heikelste Datei deiner Installation, denn sie enthält die Zugangsdaten zur Datenbank. Sperr den direkten Zugriff darauf in der .htaccess-Datei (Apache 2.4 und neuer):
<Files wp-config.php>
Require all denied
</Files>11. Nutze SSL/HTTPS
Eine verschlüsselte Verbindung zwischen Browser und Server ist heute Standard. Ein SSL-Zertifikat schützt die übertragenen Daten, und Google wertet HTTPS auch als Rankingsignal. Eine sichere Verbindung erkennst du am „https“ in der Adresse.
12. Mach regelmäßig Backups
Auch die beste Absicherung gibt keine hundertprozentige Garantie. Geht doch etwas schief, rettet dich nur ein aktuelles Backup. Sichere deine komplette Seite, also Dateien und Datenbank, täglich und automatisch und leg die Sicherungen extern ab, zum Beispiel in der Cloud. Wie das geht, zeigen wir dir in unserer Anleitung WordPress-Backup erstellen.
13. Lösch ungenutzte Plugins und Themes
Jedes installierte Plugin und Theme ist ein mögliches Einfallstor, auch wenn es deaktiviert ist. Räum regelmäßig auf und lösch alles, was du nicht brauchst. Weniger Code heißt weniger Angriffsfläche.
14. Ändere das Datenbank-Präfix
Die Tabellen der WordPress-Datenbank beginnen standardmäßig mit dem Präfix wp_. Das verhindert keine SQL-Injection, aber ein eigenes Präfix erschwert automatisierte Angriffe ein wenig, die mit den Standardnamen rechnen. Wähle eine zufällige Zeichenfolge, zum Beispiel mks_db_. Bei einer Neuinstallation stellst du das gleich im Setup ein, bei einer bestehenden Seite helfen Plugins wie „Change Table Prefix“. Mach vorher unbedingt ein Backup.
15. Behalte deine Seite im Blick
Richte die Google Search Console ein. Die Search Console meldet dir, wenn Google Sicherheitsprobleme auf deiner Seite findet. Schau außerdem regelmäßig in die Logdateien deines Servers. Wer seine Seite kennt, bemerkt Ungewöhnliches schneller.
Fazit: Sicherheit ist nie fertig
Wenn du diese 15 Punkte umgesetzt hast, ist deine WordPress-Seite deutlich sicherer als vorher. Erledigt ist das Thema damit aber nicht. Neue Lücken tauchen laufend auf, also halte dein System aktuell und schau regelmäßig nach dem Rechten.
Das ist Arbeit, keine Frage. Wenn du sie abgeben willst, sieh dir unsere WordPress-Wartungspakete an. Dann kümmern wir uns um Updates, Backups und Sicherheit.