WordPress absichern

Eine WordPress-Seite absichern heißt vor allem: Software aktuell halten, den Login gut schützen, nur wenige vertrauenswürdige Plugins nutzen und Backups haben, die sich auch zurückspielen lassen. Dazu kommen ein paar Einstellungen, die die offizielle Härtungsanleitung von WordPress empfiehlt, etwa den Datei-Editor abschalten und die Konfigurationsdatei schützen. Das klingt nach viel, ist aber an einem Nachmittag erledigt. Danach reicht ein kurzer monatlicher Blick.

Die Checkliste in zehn Schritten

1. WordPress automatisch aktualisieren lassen. Automatische Hintergrund-Updates gibt es seit Version 3.7. Kleinere Sicherheitsupdates spielt WordPress damit von selbst ein. Prüfe unter „Dashboard“ und „Aktualisierungen“, welcher Stand eingestellt ist.
2. Automatische Updates für Plugins und Themes einschalten. Seit Version 5.5 kannst du das für jedes Plugin und jedes Theme einzeln aktivieren. WordPress führt diese Updates standardmäßig zweimal täglich aus und schickt dir eine E-Mail, wenn ein Update geklappt hat oder fehlgeschlagen ist.
3. Plugins und Themes aufräumen. Lösche alles, was du nicht nutzt. Deaktivierte Plugins liegen sonst weiter auf dem Server.
4. Nur aus vertrauenswürdigen Quellen installieren. Die Härtungsanleitung rät, Plugins und Themes nicht aus unbekannten Quellen zu holen, sondern aus dem Verzeichnis auf WordPress.org oder von bekannten Firmen.
5. Keinen erratbaren Benutzernamen verwenden. Namen wie „admin“ oder „webmaster“ nennt WordPress ausdrücklich als ungeeignet.
6. Starkes, einmaliges Passwort setzen. Gemischt aus Buchstaben und Ziffern, ohne Namen oder Wörter aus dem Wörterbuch. Am einfachsten geht das mit einem Passwortmanager.
7. Zweiten Faktor aktivieren. WordPress empfiehlt eine zweistufige Anmeldung. Mehr dazu weiter unten.
8. Datei-Editor abschalten. Trag in die wp-config.php die Zeile define( 'DISALLOW_FILE_EDIT', true ); ein.
9. Dateirechte einschränken. Nur der Ordner /wp-content/ sollte vom Webserver beschreibbar sein, und auch das nur, wo nötig. Die wp-config.php sollten laut Anleitung nur du und der Webserver lesen können, typischerweise mit den Rechten 400 oder 440.
10. Backups einrichten und testen. Sichere Dateien und Datenbank regelmäßig, behalte mehrere datierte Stände an einem vertrauenswürdigen Ort und spiel probeweise einen zurück.

Updates: der wichtigste Punkt

Die Härtungsanleitung stellt Updates an den Anfang: WordPress solle immer auf dem neuesten Stand sein und nur von WordPress.org bezogen werden. Updates schließen Sicherheitslücken, die inzwischen bekannt sind.

Damit automatische Updates zuverlässig laufen, braucht WordPress funktionierende geplante Aufgaben (WP-Cron). Laufen Updates nicht, findest du unter „Werkzeuge“ und „Website-Zustand“ Hinweise auf Fehler. Fehlen die Schalter für automatische Updates ganz, obwohl du mindestens Version 5.5 nutzt, hat laut WordPress-Dokumentation vermutlich dein Hoster oder ein Plugin die Funktion abgeschaltet.

Vor größeren Updates rät WordPress, die Website zu sichern. Wenn du automatische Updates für Plugins aktivierst, solltest du sicher sein, dass du im Notfall zu einem früheren Stand zurückkehren kannst.

Den Login absichern

Ein häufiger Angriff auf WordPress ist das automatisierte Durchprobieren von Passwörtern. Dagegen helfen drei Dinge zusammen:

• Ein langes, einmaliges Passwort, das nirgendwo sonst verwendet wird. Der Passwortmanager kann es erzeugen und speichern.
• Ein zweiter Faktor. WordPress bringt keine Zwei-Faktor-Anmeldung von Haus aus mit. Das Plugin „Two-Factor“ aus dem offiziellen Verzeichnis wird von einer Community entwickelt und unterstützt Authenticator-Apps (TOTP), Codes per E-Mail und Backup-Codes. Die alte FIDO/U2F-Methode wurde dort entfernt, für Passkeys verweist das Plugin auf eine separate WebAuthn-Erweiterung. Hintergründe zu den Verfahren stehen unter Zwei-Faktor-Authentifizierung.
• Eine verschlüsselte Verbindung. Die Anleitung rät, die Administration nur über HTTPS zu erlauben, damit Zugangsdaten und Sitzungen unterwegs geschützt sind.

Zusätzlich nennt die Härtungsanleitung einen zweiten Schutz vor dem Adminbereich, etwa einen Passwortschutz für /wp-admin/ auf Serverebene, sowie eine Web Application Firewall, die bösartige Anfragen filtert, bevor sie WordPress erreichen.

Wo was passiert

Die Menübezeichnungen können je nach WordPress-Version und Sprache leicht abweichen.

Backups, die im Ernstfall funktionieren

Die Härtungsanleitung fordert regelmäßige Backups und nennt dabei ausdrücklich auch die Datenbank. Dort liegen alle Beiträge, Seiten und Einstellungen. Bewahre mehrere datierte Stände an einem vertrauenswürdigen Ort auf, nicht nur auf demselben Server. Wie du Sicherungen nach der 3-2-1-Regel organisierst, erklärt der Ratgeber Datensicherung.

Ein Backup, das nie zurückgespielt wurde, ist ein Versprechen ohne Beleg. Spiel einmal pro Quartal eine Sicherung probeweise ein, etwa auf einer Testumgebung deines Hosters.

Beispiel: Ein Handwerksbetrieb betreibt seine WordPress-Seite mit einem Kontaktformular, einem Slider und einer Galerie. Beim Aufräumen fallen sieben installierte Plugins auf, davon drei deaktiviert und eines seit Jahren ohne Update. Der Betrieb löscht die vier, schaltet für den Rest automatische Updates ein, legt für den Inhaber einen neuen Benutzernamen statt „admin“ an und richtet Zwei-Faktor-Anmeldung per App ein. Der Hoster sichert täglich, einmal im Quartal testet der Betrieb die Wiederherstellung.

Benutzerkonten und Rechte

Je weniger Konten mit vollen Rechten es gibt, desto weniger Zugänge können missbraucht werden. Gib jeder Person, die an der Seite arbeitet, ein eigenes Konto statt eines gemeinsamen Logins. Wer nur Beiträge schreibt, braucht keine Administratorrolle, sondern eine der Rollen „Autor“ (Author) oder „Redakteur“ (Editor). Konten von ehemaligen Mitarbeitenden, Agenturen oder Praktikanten löschst du, sobald sie nicht mehr gebraucht werden, und weist ihre Beiträge vorher einem anderen Konto zu.

Wenn doch etwas passiert ist

Merkwürdige Weiterleitungen, unbekannte Administratorkonten oder eine Warnung deines Hosters sind Anzeichen, dass jemand eingedrungen ist. Dann hilft eine feste Reihenfolge:

1. Hoster informieren. Er kann prüfen, was auf dem Server passiert ist, und die Seite bei Bedarf vorübergehend abschalten.
2. Alle Passwörter ändern. WordPress-Konten, Hosting-Zugang, FTP/SFTP und Datenbank.
3. Sauberes Backup zurückspielen. Nimm einen Stand von vor dem Vorfall.
4. Sofort aktualisieren. WordPress, Plugins und Themes auf den neuesten Stand bringen, unbekannte Plugins löschen.
5. Ursache suchen. Mögliche Ursachen sind etwa ein veraltetes Plugin oder ein wiederverwendetes Passwort. Erst wenn die Lücke geschlossen ist, bleibt die Seite sauber.

Was du regelmäßig prüfst

• Monatlich: Laufen die automatischen Updates? Hat WordPress Fehler gemeldet? Gibt es Benutzerkonten, die niemand mehr braucht?
• Vierteljährlich: Backup testweise zurückspielen, Plugin-Liste durchgehen.
• Beim Hoster: Passt die PHP-Version noch? WordPress empfiehlt aktuell PHP 8.3 oder neuer. Mehr zu Hosting und Voraussetzungen steht unter Blog starten.

Wenn du Besucherzahlen messen willst, ohne Datenschutzprobleme zu riskieren, hilft der Ratgeber Website-Statistik datenschutzfreundlich.

Die vollständige englischsprachige Anleitung findest du unter Hardening WordPress, die Details zu automatischen Updates unter Plugin and themes auto-updates und das Zwei-Faktor-Plugin unter Two-Factor. Weitere Ratgeber zur eigenen Seite stehen im Bereich Website.