Um WordPress abzusichern, brauchst du keine Spezialkenntnisse, sondern eine feste Routine aus wenigen, aber wirksamen Maßnahmen: individuelle Zugangsdaten, aktuelle Software, ein Backup als Rückfallebene und eine Firewall, die Angriffe abfängt, bevor sie Schaden anrichten. Die folgende Checkliste geht jeden Punkt einzeln durch und erklärt, warum er zählt.
Admin-Benutzername ändern
Viele automatisierte Angriffe probieren zuerst den Benutzernamen admin mit einer Liste gängiger Passwörter durch. Das ist ein sogenannter Brute-Force-Angriff, und er funktioniert nur, wenn der Benutzername bekannt oder erraten ist. Ein individueller Benutzername entzieht diesen Skripten die halbe Angriffsgrundlage, ohne dass du dafür etwas installieren musst.
Wie du einen bestehenden Administrator-Account umbenennst, ohne Inhalte oder Rechte zu verlieren, zeigt die Anleitung zum WordPress-Admin-Benutzernamen ändern.
Starke, individuelle Passwörter und Zwei-Faktor-Authentifizierung
Ein wiederverwendetes oder kurzes Passwort ist die häufigste Einstiegstür, weil es entweder erraten oder aus einem Datenleck einer anderen Seite übernommen werden kann (Credential Stuffing). Ein langes, zufällig generiertes und für WordPress einmaliges Passwort schließt diese Tür.
- Nutze einen Passwort-Manager, um für jeden Account ein eigenes, langes Passwort zu erzeugen und zu speichern.
- Aktiviere Zwei-Faktor-Authentifizierung (2FA) für alle Benutzer mit Administrator- oder Redakteur-Rechten. Selbst wenn ein Passwort bekannt wird, fehlt dem Angreifer dann der zweite Faktor.
- Vergib Benutzerrollen sparsam: Nicht jeder, der Inhalte pflegt, braucht Administrator-Rechte.
WordPress-Kern, Plugins und Themes aktuell halten
Die meisten erfolgreichen Angriffe auf WordPress-Seiten nutzen keine unbekannten Lücken, sondern bereits veröffentlichte Sicherheitslücken in veralteter Software aus. Sobald ein Update erscheint, ist die Schwachstelle öffentlich – und damit ein bekanntes Ziel für automatisierte Scanner. Je länger eine Installation ungepatcht bleibt, desto größer das Zeitfenster für einen Angriff.
Aktiviere automatische Updates für WordPress-Kern, Plugins und Themes, wo immer es die Kompatibilität zulässt, und kontrolliere regelmäßig, ob Updates hängen bleiben. Ein WordPress-Hosting, das automatische Updates, eine Firewall und Malware-Scans bereits auf Server-Ebene mitbringt, nimmt dir einen großen Teil dieser laufenden Pflege ab.
Regelmäßige Backups einrichten
Kein Sicherheitskonzept verhindert jeden Angriff – deshalb braucht es einen Plan B. Ein aktuelles, außerhalb der Website gespeichertes Backup ist der Unterschied zwischen einem kurzen Ausfall und einem vollständigen Datenverlust. Ohne Backup bleibt im Ernstfall oft nur, die Seite von Grund auf neu aufzubauen.
Wichtig ist nicht nur, dass ein Backup existiert, sondern dass es automatisiert, regelmäßig und an einem separaten Ort erfolgt sowie im Zweifel auch wieder eingespielt werden kann. Details dazu, worauf es bei einer verlässlichen Backup-Strategie ankommt, findest du im Beitrag zu WordPress-Backups.
Web Application Firewall und Malware-Schutz
Updates schließen bekannte Lücken, aber sie schützen nicht vor jedem Angriffsversuch in Echtzeit – etwa Brute-Force-Wellen, bösartigen Upload-Versuchen oder bereits eingeschleuster Malware. Eine Web Application Firewall (WAF) prüft eingehende Anfragen, bevor sie WordPress überhaupt erreichen, und blockiert bekannte Angriffsmuster automatisch. Ein Malware-Scanner ergänzt das, indem er die Dateien der Installation regelmäßig auf Schadcode prüft. Ist eine Website bereits infiziert, zeigt unser Ratgeber zum Malware entfernen in WordPress, wie sich eine Infektion Schritt für Schritt beseitigen lässt.
Wie so ein Schutzmechanismus konkret arbeitet, erklärt der Beitrag Imunify360 WAF erklärt. Auf Hosting-Ebene bereitgestellt, greift dieser Schutz für alle gehosteten Seiten automatisch, ohne dass du ihn selbst konfigurieren musst.
XML-RPC absichern oder deaktivieren
Die XML-RPC-Schnittstelle von WordPress ermöglicht externen Anwendungen den Zugriff auf die Seite, etwa für mobile Apps oder Pingbacks. Sie wird jedoch auch für Brute-Force-Angriffe missbraucht, weil sich über sie in einer einzigen Anfrage sehr viele Login-Versuche bündeln lassen – deutlich effizienter als über das normale Login-Formular. Wer die Schnittstelle nicht aktiv nutzt, sollte sie deshalb einschränken oder komplett blockieren.
Wie du XML-RPC serverseitig absicherst oder deaktivierst, zeigt die Anleitung WordPress XML-RPC blockieren.
Sensible Dateien aus dem Web-Verzeichnis entfernen
Manche Dateien landen versehentlich im öffentlich erreichbaren Web-Verzeichnis einer WordPress-Installation – etwa Datenbank-Backups, Konfigurationsdateien oder Versionskontroll-Ordner. Solche Dateien lassen sich von jedem im Internet direkt per URL herunterladen, ohne dass davon irgendetwas im laufenden Betrieb auffällt.
Welche Dateien sind ein Risiko?
- Datenbank-Backups (.sql, .sql.gz, .zip): Enthalten sämtliche Daten der Installation, einschließlich der Passwort-Hashes aller Benutzer.
- Konfigurationsdateien (.env, config.php, wp-config.php-Kopien): Können Zugangsdaten für Datenbank oder externe Dienste enthalten.
- Git-Verzeichnisse (.git/): Geben den vollständigen Quellcode-Verlauf preis.
- Debug-Logs (debug.log, error_log): Zeigen interne Fehlermeldungen und Server-Pfade.
- Veraltete Installations-Dateien (install.php, setup.php): Können es ermöglichen, die Installation aus der Ferne zurückzusetzen.
Die zuverlässigste Lösung ist, solche Dateien über den Dateimanager deines Hostings zu löschen oder außerhalb des öffentlichen Web-Verzeichnisses zu verschieben. Muss eine Datei aus technischen Gründen dort bleiben, lässt sich der Zugriff per .htaccess sperren, zum Beispiel so:
<FilesMatch ".(sql|bak|log|env)$">
Order Allow,Deny
Deny from all
</FilesMatch>Am einfachsten vermeidest du das Problem von vornherein: Lege Backups grundsätzlich nicht im öffentlichen Web-Verzeichnis ab, sondern in einem übergeordneten Ordner oder lokal auf deinem Rechner.
SSL/HTTPS durchgängig aktiv halten
Ohne durchgängiges HTTPS werden Login-Daten, Formulareingaben und Cookies unverschlüsselt übertragen und lassen sich im selben Netzwerk mitlesen. Zusätzlich markieren Browser Seiten ohne HTTPS inzwischen aktiv als unsicher, was Vertrauen kostet und in Suchmaschinen ein Ranking-Nachteil ist.
Prüfe nicht nur, dass ein SSL-Zertifikat vorhanden ist, sondern auch, dass wirklich jede Adresse der Seite – inklusive aller Unterseiten, Bilder und eingebundener Skripte – tatsächlich über HTTPS ausgeliefert wird. Gemischte Inhalte (teils http, teils https) lösen in Browsern Warnungen aus und sollten korrigiert werden.
E-Mail-Authentifizierung mit SPF, DKIM und DMARC einrichten
Wird eine Domain für den Versand von E-Mails genutzt – etwa für Formularbenachrichtigungen oder Newsletter aus WordPress heraus – lässt sich diese Domain ohne zusätzlichen Schutz leicht fälschen. Angreifer können dann im Namen deiner Domain Phishing-Mails versenden, ohne dass du davon zunächst etwas merkst. SPF, DKIM und DMARC legen fest, welche Server im Namen deiner Domain E-Mails versenden dürfen, und wie empfangende Server mit nicht autorisierten Nachrichten umgehen sollen.
Eine Schritt-für-Schritt-Anleitung dazu findest du im Beitrag SPF, DKIM und DMARC einrichten.
Anzahl der Plugins und Themes gering halten
Jedes installierte Plugin und jedes Theme ist zusätzlicher Code, der gepflegt und aktuell gehalten werden muss – und damit eine zusätzliche potenzielle Angriffsfläche. Das gilt besonders für Plugins, die kaum noch Updates erhalten oder nur für eine einmalige Aufgabe installiert wurden und danach aktiv bleiben, ohne gebraucht zu werden.
- Deinstalliere Plugins und Themes, die nicht mehr aktiv genutzt werden, statt sie nur zu deaktivieren.
- Bevorzuge Plugins mit regelmäßigen Updates und aktiver Weiterentwicklung.
- Prüfe in regelmäßigen Abständen, ob installierte Erweiterungen noch benötigt werden.
Weniger installierte Software bedeutet weniger Stellen, an denen überhaupt eine Lücke entstehen kann.
Häufige Fragen
Wie kann ich WordPress am schnellsten absichern?
Die wirksamsten ersten Schritte sind ein individueller Admin-Benutzername, ein starkes und einmaliges Passwort mit Zwei-Faktor-Authentifizierung, sowie das umgehende Einspielen aller ausstehenden Updates für WordPress-Kern, Plugins und Themes. Diese drei Maßnahmen schließen die häufigsten Einstiegspunkte für automatisierte Angriffe.
Reicht ein Sicherheits-Plugin aus, um WordPress abzusichern?
Ein Sicherheits-Plugin kann einzelne Bausteine wie Login-Schutz oder einen Malware-Scan übernehmen, ersetzt aber nicht die gesamte Checkliste. Aktuelle Software, saubere Zugangsdaten, funktionierende Backups und eine serverseitige Firewall bleiben notwendig, unabhängig davon, welches Plugin zusätzlich läuft.
Wie oft sollte ich WordPress-Updates einspielen?
Sicherheitsrelevante Updates für WordPress-Kern, Plugins und Themes sollten so zeitnah wie möglich eingespielt werden, idealerweise automatisiert. Sobald eine Lücke öffentlich bekannt ist, beginnen automatisierte Scans nach ungepatchten Installationen, oft innerhalb weniger Tage nach Veröffentlichung des Updates.
Was tun, wenn meine WordPress-Seite bereits gehackt wurde?
Trenne im ersten Schritt den öffentlichen Zugriff, etwa durch Wartungsmodus, und ändere alle Passwörter inklusive Datenbank- und FTP-Zugangsdaten. Spiele anschließend ein sauberes Backup von vor dem Angriff ein oder lass die Installation von einem Malware-Scanner bereinigen, und schließe danach die ausgenutzte Lücke, meist ein veraltetes Plugin oder Theme.
