Aktualisiert am 12. Oktober 2026 von Nicolas Finet, CEO von Sortlist. Neu sind die Sicherheitskorrekturen aus WordPress 7.1.3, aktuelle Bedrohungszahlen, ein Vergleich wichtiger Sicherheitslösungen und ein prüfbarer 100-Punkte-Sicherheitscheck.
Das Wichtigste in Kürze
- WordPress 7.1.3 umgehend installieren: Die am 6. Oktober 2026 veröffentlichte Version behebt sieben Sicherheitslücken und vier weitere Fehler.
- Plugins bleiben das größte überprüfbare Risiko: Laut Wordfence entfielen 2024 rund 96 % der veröffentlichten WordPress-Schwachstellen auf Plugins.
- Schäden begrenzen: Separate SFTP-Zugänge und Datenbankbenutzer, Zwei-Faktor-Authentifizierung sowie extern gespeicherte und getestete Backups verhindern, dass ein einzelner Vorfall alle Projekte erfasst.
Was sich seit der letzten Aktualisierung geändert hat
WordPress 7.1.3 ist seit dem 6. Oktober 2026 verfügbar. Das Sicherheitsrelease schließt unter anderem eine gespeicherte XSS-Lücke in der Kommentarverwaltung, eine SQL-Injection im WXR-Export und eine nicht authentifizierte Offenlegung von Kommentaren privater oder unveröffentlichter Beiträge. WordPress empfiehlt deshalb ein sofortiges Update; aktiv unterstützt wird jeweils nur die neueste Version.
Bereits WordPress 6.8 hatte die Passwortspeicherung im April 2025 von phpass auf das rechenintensivere bcrypt umgestellt. Bestehende Passwörter werden nach dem nächsten erfolgreichen Login automatisch neu gehasht, sodass dafür laut offizieller Versionsankündigung kein Passwort-Reset erforderlich ist.
Auch der Werkzeugmarkt hat sich bewegt: Patchstack konzentriert sich auf das frühzeitige Erkennen verwundbarer Komponenten, während das frühere iThemes beziehungsweise Solid Security 2026 in Kadence Security umbenannt wurde. Ein Sicherheitsplugin ergänzt Updates, Zugriffstrennung und Backups, ersetzt diese Grundlagen aber nicht.
Prioritäten für Ihre WordPress-Sicherheit
| Maßnahme | Schützt vor oder begrenzt | Prüfrhythmus | Wichtige Grenze |
|---|---|---|---|
| Core, Plugins und Themes aktualisieren | Bekannte, bereits veröffentlichte Schwachstellen | Sicherheitsupdates sofort; übrige Updates nach Test | Vorher Backup und bei geschäftskritischen Websites Staging-Test einplanen |
| 2FA und individuelle Konten | Missbrauch gestohlener oder erratener Passwörter | Bei jedem neuen Konto und quartalsweise im Benutzer-Audit | Geteilte Administratorkonten verhindern eine eindeutige Zuordnung |
| Getrennte SFTP- und Datenbankzugänge | Seitliche Ausbreitung auf weitere Websites | Bei Projektstart und nach Personal- oder Dienstleisterwechsel | Klassisches FTP überträgt Zugangsdaten unverschlüsselt |
| Externes Backup mit Wiederherstellungstest | Folgen von Malware, Fehlkonfiguration und defekten Updates | Backup nach Änderungsrate; Restore mindestens quartalsweise testen | Ein Backup auf demselben Webspace kann zusammen mit der Website ausfallen |
| WAF, Malware-Scan und Protokollierung | Verdächtige Requests, manipulierte Dateien und auffällige Anmeldungen | Laufend; kritische Meldungen am selben Arbeitstag prüfen | Alarme ohne Zuständigkeit und Reaktionsweg schaffen keine belastbare Absicherung |
Wenn Sie denselben FTP-Zugang für mehrere WordPress-Projekte verwenden, kann ein kompromittiertes Konto sämtliche damit erreichbaren Websites gefährden. Legen Sie daher pro Projekt eigene SFTP-Zugangsdaten an, vergeben Sie nur die erforderlichen Rechte und sperren Sie nicht mehr benötigte Konten sofort. Das offizielle Handbuch zum WordPress-Hardening empfiehlt ausdrücklich SFTP statt unverschlüsseltem FTP sowie getrennte Datenbanken und Datenbankbenutzer für mehrere Installationen.
Ändern Sie .htaccess oder wp-config.php nicht ungeprüft auf dem Produktivsystem. Ein Praxisfall aus März 2026 zeigt, dass eine Firewall-Regel einen HTTP-403-Fehler auslösen konnte und die verwendete 7G-Konfiguration gegen 6G ausgetauscht werden musste; solche Regeln sollten deshalb immer zur Serverumgebung passen und zunächst auf einer Testinstanz geprüft werden (Praxisbericht der SEO Agentur Hamburg). Eine weitere technische Checkliste mit Login-, XML-RPC- und Konfigurationsmaßnahmen bietet webfluence.
Die REST-API sollten Sie nicht pauschal abschalten, weil Block-Editor, Integrationen und Plugins davon abhängen können. XML-RPC können Sie sperren, wenn weder Jetpack noch mobile Apps oder andere angebundene Dienste die Schnittstelle benötigen. Dokumentieren und testen Sie jede Einschränkung, damit Sicherheitsregeln nicht unbemerkt redaktionelle oder geschäftliche Prozesse blockieren.
Sicherheitsplugins im Vergleich
| Lösung | Zentrale Funktionen | Passend für | Bewertung auf WordPress.org am 12.10.2026 |
|---|---|---|---|
| Wordfence Security | Endpoint-WAF, Malware- und Integritätsscans, Brute-Force-Schutz, 2FA | Websites, die Schutz und Dateiüberwachung direkt in WordPress bündeln möchten | 4,7/5; mehr als 5 Millionen aktive Installationen |
| Patchstack | Schwachstellenwarnungen, automatische Updates verwundbarer Komponenten, Remote-Verwaltung | Teams mit vielen Plugins oder mehreren zu überwachenden Websites | 4,9/5; mehr als 60.000 aktive Installationen |
| Kadence Security | 2FA, Passwort- und Login-Schutz, Brute-Force-Abwehr, Sicherheitsregeln | Betreiber, die den Zugang und typische WordPress-Konfigurationen härten möchten | 4,6/5; mehr als 700.000 aktive Installationen |
| Sucuri Security | Aktivitätsprotokoll, Integritätsprüfung, Remote-Malware-Scan und Hardening | Websites, bei denen Auditing und ein optionaler externer Cloud-WAF im Vordergrund stehen | 4,2/5; mehr als 600.000 aktive Installationen |
Die Bewertungen stammen aus dem offiziellen Plugin-Verzeichnis und können sich ändern. Prüfen Sie zusätzlich Aktualisierungsdatum, unterstützte WordPress- und PHP-Versionen, Datenschutzanforderungen sowie die Auswirkungen eines lokalen Scanners auf Ihren Server.
Stimme aus der WordPress-Praxis
„Der Sucuri-Scanner fand die Malware auf einer älteren Website, bevor sie sich weiter ausbreitete; auch der Support reagierte.“
Sinngemäß übersetzt aus einer verifizierbaren WordPress.org-Community-Bewertung vom 7. Juli 2026
Der Erfahrungsbericht beschreibt einen konkreten Nutzen von Scans, aber keine Garantie gegen künftige Angriffe. Entscheidend ist der anschließende Prozess: Website isolieren, Zugangsdaten und Sicherheitsschlüssel wechseln, Ursache ermitteln, sauberes Backup einspielen und alle erreichbaren Projekte kontrollieren.
Kennzahlen zur Einordnung
- 7 Sicherheitskorrekturen und 4 Fehlerbehebungen: Umfang von WordPress 7.1.3, veröffentlicht am 6. Oktober 2026 (WordPress.org).
- 2.213 veröffentlichte Schwachstellen: Wordfence zählte sie allein im vierten Quartal 2025; das waren 19,2 % mehr als im Vorquartal (Threat Intelligence Report Q4 2025).
- 96 %: Anteil der Plugins an den 2024 veröffentlichten WordPress-Schwachstellen im Wordfence-Jahresbericht 2024.
- 54 Milliarden schädliche Requests und 55 Milliarden Passwortangriffe: von Wordfence im Jahr 2024 blockierte und protokollierte Vorgänge innerhalb des eigenen Netzwerks; diese Telemetrie ist nicht mit der Gesamtzahl aller Angriffe auf WordPress gleichzusetzen.
WordPress-Schwachstellen Q4 2025
Plugin-Anteil an veröffentlichten Schwachstellen 2024
Mini-Tool: Ihr WordPress-Sicherheitscheck
Wählen Sie pro Kontrollbereich „erfüllt“ oder „offen“. Die Gewichtung priorisiert Maßnahmen, die bekannte Lücken schließen, Konten schützen oder eine belastbare Wiederherstellung ermöglichen; das Ergebnis ist eine redaktionelle Orientierung und kein Penetrationstest.
- 0–49 Punkte: hohes organisatorisches Risiko; beginnen Sie mit Updates, 2FA und einem wiederherstellbaren Backup.
- 50–79 Punkte: solide Basis, aber mindestens ein wichtiger Schutzbereich ist noch offen.
- 80–100 Punkte: gute Grundabsicherung; prüfen Sie zusätzlich Logs, Wiederanlaufzeit und Reaktionsplan.
Der nächste Wartungslauf in sechs Schritten
- Erstellen Sie ein vollständiges, extern gespeichertes Backup und testen Sie die Wiederherstellung auf einer separaten Umgebung.
- Aktualisieren Sie auf WordPress 7.1.3 sowie unterstützte Plugin-, Theme- und PHP-Versionen.
- Entfernen Sie ungenutzte Themes, Plugins und Konten vollständig; bloßes Deaktivieren reduziert den vorhandenen Code nicht.
- Aktivieren Sie 2FA und vergeben Sie Administratorrechte nur, wenn sie für die jeweilige Aufgabe erforderlich sind.
- Ersetzen Sie projektübergreifend verwendete FTP-Zugänge durch getrennte SFTP-Konten.
- Dokumentieren Sie Warnwege, Verantwortliche und die Reihenfolge für Isolation, Bereinigung und Wiederanlauf.
Ergänzende Grundlagen finden Sie im WordPress-Tutorial, in den Hinweisen zum WordPress-Webdesign, im Überblick zu den Kosten einer WordPress-Website und im Vergleich von Backup-Lösungen für Unternehmen.
Wenn Updates, Monitoring und Notfallwiederherstellung nicht intern abgedeckt werden können, können Sie über Sortlist ein WordPress-Sicherheitsprojekt beschreiben.
Häufige Fragen zu WordPress-Sicherheit
Ist WordPress 7.1.3 ein Pflichtupdate?
Für produktive Websites ist das Update dringend zu empfehlen. Die Version vom 6. Oktober 2026 schließt sieben Sicherheitslücken, und WordPress weist darauf hin, dass nur die jeweils neueste Version aktiv unterstützt wird. Testen Sie das Update bei geschäftskritischen Installationen zunächst auf einer Staging-Umgebung.
Reicht ein WordPress-Sicherheitsplugin aus?
Nein. Ein Plugin kann beispielsweise Requests blockieren, Dateien prüfen oder vor auffälligen Anmeldungen warnen. Es ersetzt weder zeitnahe Updates und 2FA noch getrennte Zugänge, sichere Serverkonfigurationen und getestete externe Backups.
Sollte XML-RPC deaktiviert werden?
Ja, wenn Ihre Website die Schnittstelle nachweislich nicht benötigt. Jetpack, mobile Apps oder externe Publishing-Dienste können jedoch davon abhängen. Prüfen Sie deshalb zuerst die Integrationen und testen Sie die Sperre, statt eine allgemeine Regel ungeprüft zu übernehmen.
Sollte die WordPress-REST-API vollständig gesperrt werden?
In der Regel nicht. Der Block-Editor und viele Plugins greifen auf die REST-API zu. Beschränken Sie stattdessen nur tatsächlich unnötige Endpunkte oder nicht authentifizierte Zugriffe und testen Sie die Auswirkungen auf Redaktion, Formulare und Integrationen.
Wie oft sollte ein WordPress-Backup erstellt werden?
Der Abstand sollte zum maximal akzeptablen Datenverlust passen: Bei einem Shop mit laufenden Bestellungen kann ein tägliches Backup bereits zu selten sein, während eine selten geänderte Unternehmensseite längere Intervalle verträgt. Speichern Sie mindestens eine Kopie außerhalb des Webservers und testen Sie die Wiederherstellung mindestens quartalsweise.
Warum braucht jedes WordPress-Projekt eigene SFTP-Zugangsdaten?
Getrennte Konten begrenzen die Reichweite eines gestohlenen Zugangs. Wird ein gemeinsam genutztes Konto kompromittiert, können ansonsten alle damit erreichbaren Websites betroffen sein. Eigene Konten lassen sich außerdem gezielt sperren und in Protokollen besser zuordnen.
Bei diesem Beitrag handelt es sich um einen Gastartikel von Andreas Mühlbauer, Gründer von Digitales Mojo.
WordPress ist sicher.
Dieser Satz klingt auf den ersten Blick erst einmal provokant und der ein oder andere Cybersicherheits-Experte schüttelt bei diesen Worten sicherlich mit dem Kopf.
Allerdings besteht das WordPress-Sicherheitsteam im Jahr 2022 aus etwa 50 Experten, darunter leitende Entwickler und Sicherheitsforscher – etwa die Hälfte sind Mitarbeiter von Automattic und eine Reihe von Personen arbeitet im Bereich Web-Sicherheit.
Warum also sollten Sie diesen knapp 3500 Wörter langen Artikel über WordPress-Sicherheit lesen, anstatt Ihre Zeit sinnvoller zu investieren?
Weil trotzdem täglich WordPress-Websites gehackt werden. Und das nicht, weil die Kollegen bei Automattic einen schlechten Job machen, sondern wegen fehlender oder falscher Konfigurationen oder weil am falschen Ende gespart wurde.
Der Schaden ist in solchen Fällen gerade für kleinere Betriebe immens und gefährdet oftmals deren Existenz.
Wie Sie diese Fehler vermeiden und dafür sorgen, dass WordPress sicher bleibt, lesen Sie in diesem Artikel.
Das WordPress-Backend absichern
Die größte und offensichtlichste Angriffsfläche von WordPress ist das Backend. Zum einen ist dieser Bereich leicht zugänglich, zum anderen offenbart er eine Vielzahl an Informationen zur WordPress-Version, deren Konfiguration und zu Themes und Plugins. Deshalb sehen wir uns als Erstes an, wie Sie das WordPress-Backend sicherer machen können.
Reduzieren Sie die Anzahl Ihrer Plugins
Die Auswahl an WordPress-Plugins ist riesig und die einfache Installation verleitet dazu, relativ wahllos Plugins zu installieren und auszuprobieren. Dies ist einer der Gründe, weshalb die meisten WordPress-Installationen über mehr Plugins verfügen, als unbedingt notwendig.
Genau das kann allerdings zum Sicherheitsproblem werden. Machen Sie sich bewusst, dass Sie den Quellcode Ihrer Website mit jedem zusätzlichen Plugin etwas erweitern. Damit steigt auch die Chance, dass sich Fehler und Sicherheitslücken einschleichen.
Mit diesen fünf Tipps halten Sie die Anzahl Ihrer WordPress-Plugins gering und stellen deren Qualität sicher:
- Installieren Sie nur Plugins, die Sie wirklich brauchen
- Schauen Sie sich die Anzahl der aktiven Installationen, Bewertungen und den Zeitpunkt des letzten Updates an, bevor Sie ein Plugin installieren
- Versuchen Sie Plugins möglichst durch serverseitige Funktionen zu ersetzen. Das funktioniert zum Beispiel gut für Backups.
- Suchen Sie bevorzugt nach Plugins, die gleich mehrere Funktionen bündeln, anstatt einzelne Plugins zu installieren.
- Halten Sie Ihre installierten Plugins aktuell.
Halten Sie Ihre WordPress-Plugins aktuell und deren Anzahl gering.
Schützen Sie den WordPress-Login
Das größte Einfallstor in WordPress ist und bleibt die Login-Seite. Zum einen ist der Zugang zum WordPress-Backend immer unter derselben URL auffindbar, zum anderen gibt es kein Limit für die falsche Eingabe des Passworts. Damit ist es ein Leichtes, beliebig viele Passwörter durchzuprobieren – oder hierfür einen Bot zu verwenden.
Genauso einfach lässt sich diesem Treiben allerdings auch ein Riegel vorschieben, indem Sie der Login-Seite eine zusätzliche Passwortabfrage vorschalten.
Erstellen Sie dafür eine Datei mit dem Namen .htpasswd. Da die Inhalte der Datei verschlüsselt sind, rufen Sie einen .htpasswd-Generator, wie zum Beispiel hier auf. Geben Sie einen beliebigen Benutzernamen und ein Passwort ein, klicken Sie auf .htpasswd generieren und kopieren das Ergebnis in die soeben erstellte Datei. Speichern Sie diese zum Schluss ab.
Erstellen Sie jetzt eine Datei mit dem Namen .htaccess. Fügen Sie den folgenden Code in die Datei ein, ersetzen Sie den Pfad zu Ihrer .htpasswd-Datei und speichern Sie diese ab:
<FilesMatch „wp-login.php“>
AuthName „Access Denied“
AuthType Basic
AuthUserFile /ihr/pfad/.htpasswd
require valid-user
</FilesMatch>
Laden Sie die .htpasswd und die .htaccess in Ihr WordPress-Installationsverzeichnis hoch.
Rufen Sie den Login-Bereich Ihrer WordPress-Seite nun erneut auf, erscheint ein zusätzliches Fenster, das Sie nach Benutzername und Passwort fragt.
Schützen Sie den WordPress-Login durch eine zusätzliche, serverseitige Passwort-Abfrage.
Aktualisieren Sie die WordPress-Sicherheitsschlüssel
Vielleicht kennen Sie die kleine, unscheinbare Checkbox mit der Beschriftung Angemeldet bleiben auf der Login-Seite von WordPress.
Sie gibt Ihnen die Möglichkeit, angemeldet zu bleiben, wenn Sie sich einmal eingeloggt haben. Sie müssen Ihren Benutzernamen und Ihr Passwort also nicht nach jedem Schließen des Browserfensters mühsam erneut eingeben. Hierfür speichert WordPress Ihre Anmeldeinformationen in Cookies in Ihrem Browser. Was für Sie als Nutzer sehr praktisch und bequem ist, kann allerdings zum Problem werden. Denn rein theoretisch können diese Cookies von allen Websites ausgelesen werden, die Sie aufrufen.
WordPress verwendet insgesamt acht Sicherheitsschlüssel, um die in den Cookies gespeicherten Informationen zu verschlüsseln und sie so vor Missbrauch zu schützen.
Wenn Sie sich die aktuelle Version von WordPress installieren, werden diese nach dem Zufallsprinzip für Sie generiert. Wenn Ihre Website jedoch älter ist, Sie einige Migrationen hinter sich oder eine Website von jemand anderem gekauft haben, ist es sinnvoll neue WordPress-Schlüssel zu erstellen.
Dazu navigieren Sie mit einem FTP-Programm zu Ihrem WordPress-Installationsverzeichnis. Öffnen Sie die Datei mit dem Namen wp-config.php mit einem Editor und suchen Sie nach den Zeilen, die ungefähr so aussehen:
define(‚AUTH_KEY‘, ‚xxxxxxxxxxxxxxxx‘);
define(‚SECURE_AUTH_KEY‘, ‚xxxxxxxxxxxxxxxx‘);
define(‚LOGGED_IN_KEY‘, ‚xxxxxxxxxxxxxxxx‘);
define(‚NONCE_KEY‘, ‚xxxxxxxxxxxxxxxx‘);
define(‚AUTH_SALT‘, ‚xxxxxxxxxxxxxxxx‘);
define(‚SECURE_AUTH_SALT‘, ‚xxxxxxxxxxxxxxxx‘);
define(‚LOGGED_IN_SALT‘, ‚xxxxxxxxxxxxxxxx‘);
define(‚NONCE_SALT‘, ‚xxxxxxxxxxxxxxxx‘);
Öffnen Sie das offizielle WordPress-Tool zur Generierung von Sicherheitsschlüsseln, kopieren Sie das Ergebnis und ersetzen Sie den kompletten Bereich in Ihrer Datei. Speichern Sie diese schließlich ab
Stellen Sie sicher, dass Ihre WordPress-Installation über Sicherheitsschlüssel verfügt und aktualisieren Sie Ihre Schlüssel nach Migrationen oder wenn Sie eine WordPress-Website von jemand anderem gekauft haben.
Deaktivieren Sie XML-RPC
XML-RPC ist eine Schnittstelle, welche die Kommunikation zwischen WordPress und anderen Systemen ermöglicht. Also zum Beispiel der WordPress-App oder anderen Blogging-Plattformen. Unglücklicherweise eröffnet diese Schnittstelle eine ganze Reihe an Sicherheitslücken und wurde in der Vergangenheit häufig für Angriffe auf Websites verwendet.
Da XML-RPC als Schnittstelle von der REST API abgelöst wurde, können Sie diese ohne schlechtes Gewissen deaktivieren. Natürlich können Sie hierfür eines der zahlreichen verfügbaren Plugins installieren. Ich würde allerdings empfehlen, dieses Problem stattdessen über einige Zeilen Code zu lösen und damit ein weiteres Plugin einzusparen.
Fügen Sie hierfür einfach den folgenden Code in Ihre .htaccess-Datei ein:
<Files xmlrpc.php>
Order Allow,Deny
Deny from all
</Files>
Deaktivieren Sie XML-RPC, indem Sie die Ausführung der Datei xmlrpc.php in Ihrer .htaccess-Datei blockieren.
Deaktivieren Sie die REST-API
Die REST-API wurde mit WordPress Version 4.7 eingeführt und hat die XML-RPC-Schnittstelle abgelöst. Sie bietet zahlreiche Endpunkte, mit denen interne und externe Anwendungen auf Posts, Nutzer, Tags und Einstellungen zugreifen können.
Ersetzen Sie doch mal diese Domain gegen Ihre eigene:
https://www.ihre-domain.de/wp-json/wp/v2/users
Sehen Sie eine Liste Ihrer WordPress-Nutzer?
Dann verfügt Ihre WordPress-Site über eine aktive REST-API. Das Problem dabei ist, dass insbesondere die Information über Nutzer in der Vergangenheit für Angriffe auf WordPress-Sites verwendet wurden.
Im Gegensatz zu XML-RPC sollten Sie die REST-API nicht einfach abschalten. Viele WordPress-Funktionen, darunter zum Beispiel der Gutenberg-Editor und zahlreiche Plugins benötigen diese Schnittstelle. Daher ist es definitiv keine gute Idee, diese komplett abzuschalten. Stattdessen können Sie die REST-API allerdings für den externen Zugang einschränken.
Navigieren Sie hierfür mit einem FTP-Programm zu Ihrem WordPress-Installationsverzeichnis und suchen im Theme-Ordner nach der Datei mit dem Namen functions.php. Öffnen Sie die Datei mit einem Editor und fügen den folgenden Code ein:
add_filter( ‚rest_authentication_errors‘, function( $result ) {
if ( ! empty( $result ) ) {
return $result;
}
if ( ! is_user_logged_in() ) {
return new WP_Error( ‚restx_access_denied‘, ‚Zugriff verweigert‘, array( ’status‘ => 401 ) );
}
return $result;
});
Diese Codezeilen deaktivieren die REST-API für nicht-eingeloggte Nutzer, ermöglichen aber weiterhin die Verwendung durch WordPress-Funktionen oder -Plugins.
Deaktivieren Sie die REST-API für externe Nutzer, indem Sie den Zugriff über die Datei functions.php einschränken.
Verstecken Sie die WordPress-Version und Informationen zu installierten Themes und Plugins
Wieso sollte jemand wissen, welche WordPress-Version, welches Theme und welche Plugins Sie verwenden? Wieso sollte überhaupt jemand wissen, dass Sie WordPress verwenden?
Je weniger andere Personen über Ihre WordPress-Konfiguration wissen, desto besser.
Während sich das Ausblenden der WordPress-Version relativ schnell umsetzen lässt, gestaltet sich das Verbergen von Themes, Plugins oder der Tatsache, dass es sich überhaupt um eine WordPress-Site handelt, ziemlich mühsam. Das dafür nötige, händische Ändern von Pfad- und Dateinamen führt meiner Erfahrung nach immer zu Problemen. Spätestens beim nächsten Update von Themes, Plugins oder WordPress selbst.
Deshalb empfehle ich Ihnen, hierfür lieber das Plugin WP Hide & Security Enhancer zu verwenden.
Der WP Hide & Security Enhancer ist ein kostenloses Plugin, das es Ihnen erlaubt, Ihre WordPress-Dateien, die Login-Seite, den Theme-Ordner, den Plugin-Ordner und andere Informationen und Verzeichnisse zu verstecken. Dabei werden Pfad und Dateinamen nicht tatsächlich verändert, sondern das Plugin arbeitet auf einer rein virtuellen Ebene.
Verstecken Sie wichtige Informationen zu Ihrer WordPress-Konfiguration mit dem Plugin WP Hide & Security Enhancer.
Verwenden Sie verschlüsselte Verbindungen für den Zugriff aufs WordPress-Backend
Arbeiten Sie oder Ihre Mitarbeiter manchmal von Coworking-Spaces und Internetcafés aus?
Eingegebene Passwörter in Login-Formulare lassen sich über unverschlüsselte Verbindungen leicht im Klartext mitlesen. Dazu braucht es keine besonderen Fähigkeiten, sondern lediglich ein einfach zu bedienendes Tool.
Um das zu verhindern, können Sie den WordPress-Login und das Backend einfach per SSL verschlüsseln. Fügen Sie hierfür den folgenden Code in die wp-config.php ein:
define(‚FORCE_SSL_LOGIN‘, true);
define(‚FORCE_SSL_ADMIN‘, true);
Selbstverständlich benötigen Sie dazu ein gültiges SSL-Zertifikat.
Verwenden Sie ein SSL-Zertifikat, um die Verbindung zu Ihrem WordPress-Backend zu verschlüsseln.
Deaktivieren Sie die Dateibearbeitung im WordPress-Backend
Vielleicht sind Sie schon einmal über den Theme-Editor im WordPress-Backend gestolpert, der es Ihnen erlaubt, die Theme-Dateien direkt im WordPress-Backend zu bearbeiten?
Was zunächst nach einer komfortablen Lösung aussieht, ist in der Realität leider ein Problem. Hat sich ein Eindringling Zugang zu Ihrem WordPress-Backend verschafft, kann dieser über den Theme-Editor eigenen Code auf Ihrer Seite ausführen und sich somit weitere Zugriffsrechte verschaffen oder größeren Schaden anrichten.
Fügen Sie daher den folgenden Code in die wp-config.php ein, um den Theme-Editor für alle Benutzer zu deaktivieren:
define(‚DISALLOW_FILE_EDIT‘, true);
Deaktivieren Sie den Theme-Editor im WordPress-Backend und bearbeiten Sie Ihre Theme-Dateien stattdessen, indem Sie diese mit einem FTP-Programm herunterladen.
Halten Sie Themes, Plugins und den WordPress-Core auf dem neuesten Stand
WordPress-Updates sorgen nicht nur für neue Features, sondern beheben häufig auch Sicherheitslücken.
Schau Sie sich beispielsweise mal die folgenden Fälle an:
- WordPress: Sicherheitslücken in millionenfach installiertem Plugin Autoptimize
- Sicherheitsupdates: Admin-Lücke bedroht WordPress-Websites mit Jupiter Theme
- Sicherheitslücken bei WordPress – Jetzt updaten
Was all diese Beispiele gemeinsam haben?
Sie wurden ausnahmslos bereits kurze Zeit nach Bekanntwerden durch entsprechende Updates geschlossen.
Regelmäßige Updates verringern deshalb das Risiko von erfolgreichen Angriffen und tragen damit erheblich dazu bei, WordPress sicher zu machen. Dazu zählen WordPress Core, Plugins und Themes (sowohl aus dem WordPress-Repository als auch Premium-Themes). Einen Überblick über sämtliche verfügbaren Updates finden Sie im Dashboard unter Aktualisierungen.
Halten Sie WordPress sowie Plugins und Themes immer auf dem neuesten Stand.
Webserver und Datenbank absichern
Mit diesen Maßnahmen ist das WordPress-Backend schon ziemlich sicher. Allerdings sind alle Maßnahmen für die WordPress-Sicherheit nutzlos, wenn Ihr Webserver oder Ihre Datenbank gehackt werden. Wie Sie diese absichern, sehen wir uns jetzt an.
Wählen Sie den richtigen Webhoster
Die Sicherheit Ihrer WordPress-Website beginnt mit der Wahl des richtigen Webhosters. Die Verlockung bei der Auswahl des Webhosters einfach den günstigsten Anbieter zu wählen ist groß.
Dass die Sicherheit Ihrer Website bei der Wahl des richtigen Webhosters beginnt, zeigen allerdings die folgenden Fälle:
- Hoster GoDaddy verliert Passwörter und SSL-Keys von 1,2 Mio. Kunden
- Datenleck bei Domainfactory: Hacker knackt Systeme, lässt Kundendaten mitgehen
- Webhoster 1blu gehackt und erpresst
Anbieter, die qualitativ hochwertiges Webhosting anbieten, aktualisieren regelmäßig Betriebssysteme und (Sicherheits-)Software und testen ihre Systeme gründlich auf Schwachstellen und Malware.
Außerdem bauen sie mehrere Schichten aus Sicherheitsmaßnahmen auf Hard- und Softwareebene auf, um die IT-Infrastruktur, in der Ihre WordPress-Sites gehostet werden, vor möglichen Bedrohungen zu schützen.
Das alles kostet natürlich Zeit und Geld und schlägt sich auch im Preis für die Hostingpakete nieder.
Sparen Sie nicht am Webhosting, sondern investieren hier lieber ein paar Euro mehr.
Verwenden Sie einen sicheren FTP-Zugang
Verwenden Sie denselben FTP-Zugang für mehrere WordPress-Projekte?
Natürlich ist das komfortabel. Schließlich müssen Sie nur mit einem Satz Zugangsdaten hantieren.
Allerdings hat das auch Schattenseiten: Wird eine Ihrer Websites gehackt und verschafft sich ein Eindringling hierdurch Zugang auf Ihren Webserver, sind all Ihre Websites und Projekte in Gefahr und das Ausmaß des Schadens ist um ein Vielfaches größer.
Zusätzlich sollten Sie für die Verbindung zu Ihrem FTP-Server nicht den Standard-FTP-Zugang verwenden. Hierbei werden alle Daten – somit auch Passwörter – unverschlüsselt übertragen und können mit Leichtigkeit mitgelesen werden.
Mehr Sicherheit bieten Protokolle wie SFTP oder SSH, die eine verschlüsselte Datenübertragung ermöglichen.
Verwenden Sie jeweils einen FTP-Zugang mit eigenen Zugangsdaten für ein Projekt und nutzen Sie für die Übertragung von Dateien auf Ihren FTP-Server verschlüsselte Protokolle wie SFTP oder SSH.
Ändern Sie den Namen und das Tabellenpräfix Ihrer WordPress-Datenbank
Die Namen Ihrer WordPress-Datenbank und Ihrer Datenbank-Tabellen lassen sich mit den Standardeinstellungen relativ leicht erraten.
Wenn Ihre Website WordPress-Tipps heißt, heißt Ihre Datenbank wahrscheinlich wordpresstipps und Ihre Tabellen wp_posts, wp_users usw.
Diese Standardnamen sind selbst kein akutes Sicherheitsproblem. Allerdings lassen sich andere Sicherheitslücken möglicherweise leichter ausnutzen, wenn ein Angreifer diese Namen bereits kennt. Sie können Hackern erhebliche Steine in den Weg legen, indem Sie nicht diese Standardeinstellungen verwenden.
Zunächst ändern wir hierfür den Namen Ihrer WordPress-Datenbank. Dazu öffnest Sie zuerst PhpMyAdmin. Wählen Sie hier Ihre Datenbank aus dem Menü auf der linken Seite aus.
Geben Sie unter Datenbank umbenennen in den gewünschten Namen für Ihre Datenbank in das Textfeld ein und klicken in der rechten unteren Ecke des Feldes auf OK. Nun müssen Sie die Änderung noch in einem Pop-up akzeptieren.
Anschließend öffnen Sie die wp-config.php in Ihrem WordPress-Installationsverzeichnis und suchen nach der folgenden Zeile:
define(‚DB_NAME‘, ‚xxxxxxxxxxxxxx‚);
Ersetzen Sie hier den alten Namen Ihrer Datenbank gegen den neuen.
Jetzt ändern wir noch das Tabellenpräfix Ihrer Datenbank-Tabellen. Da das etwas komplizierter ist und weil hier erfahrungsgemäß Fehler auftreten können, empfehle ich für die Änderung des Tabellenpräfixes das kostenlose Plugin Brozzme DB Prefix.
Nachdem Sie das Plugin installiert und aktiviert haben, können Sie im WordPress-Backend unter Werkzeuge > DB Prefix das neue Tabellenpräfix eintragen. Beachten Sie, dass die wp-config.php hierfür Schreibrechte und der für Ihre WordPress-Installation verwendete Datenbank-Benutzer Berechtigungen zur Änderung von Tabellennamen benötigen.
Nach der Änderung des Tabellenpräfixes können Sie das Plugin einfach wieder deinstallieren.
Ändern Sie das Tabellenpräfix und den Namen Ihrer WordPress-Datenbank.
Passen Sie Datei- und Ordnerrechte an
Datei und Ordnerrechte definieren, wer auf was auf Ihrem Webserver zugreifen und Dateien und Ordner lesen, schreiben und bearbeiten kann. Auf der einen Seite funktioniert Ihre WordPress-Seite nicht mehr richtig, wenn die Berechtigungen zu streng sind. Auf der anderen Seite sind zu lockere Berechtigungen ein Sicherheitsrisiko.
Am besten halten Sie sich hierbei an die offiziellen Empfehlungen von WordPress:
- Verzeichnisse bekommen grundsätzlich die Rechte 755 oder 750.
- Alle Dateien bekommen die Rechte 644 oder 640.
- Die Dateien wp-config.php und .htaccess bekommen die Rechte 440 oder 444.
- Kein Verzeichnis bekommt die Rechte 777, auch nicht der Uploads-Ordner
Mit diesen Berechtigungen sollte WordPress in den meisten Fällen keine Probleme machen. In Einzelfällen sind bei bestimmten Webhostern andere Berechtigungen notwendig, damit WordPress ordnungsgemäß funktioniert.
Setzen Sie Datei- und Ordnerrechte so, dass Sie Sicherheitsrisiken minimieren, aber die Funktion von WordPress nicht eingeschränkt ist.
Verhindern Sie die Ausführung von PHP-Dateien im Uploads-Ordner
Im letzten Schritt haben wir allen Ordnern die Rechte 755 oder 750 gegeben – auch dem Ordner uploads.
Rein theoretisch können somit zum Beispiel PHP-Dateien in diesen Ordner hochgeladen und dort ausgeführt werden. Deshalb ist dieses Verzeichnis besonders anfällig für Sicherheitsprobleme.
Das Einschränken der Schreibrechte für diesen Ordner ist allerdings keine Option, da dann Aktionen wie das Hochladen von Bildern in die WordPress-Mediathek nicht mehr funktionieren.
Sie können allerdings zumindest die Ausführung bestimmter Dateitypen verhindern.
Erstellen Sie dazu eine Datei mit dem Namen .htaccess und fügen den folgenden Code ein:
<Files *.php>
Deny from All
</Files>
Navigieren Sie jetzt mit Ihrem FTP-Programm zum Ordner wp-content > uploads und laden Sie die Datei hoch.
Damit ist zwar weiterhin das Hochladen kritischer Dateien möglich, aber deren Ausführung wird blockiert.
Verhindern Sie die Ausführung von PHP-Dateien im Uploads-Ordner, indem Sie diese über die .htaccess-Datei blockieren.
Verwenden Sie die neueste PHP-Version
Verwendet Ihre Website die aktuellste PHP-Version?
Jede Version von PHP erhält nach ihrer Veröffentlichung in der Regel zwei Jahre lang Updates für Fehler und Sicherheitsprobleme. Verwenden Sie eine veraltete Version, bleiben diese Sicherheitslücken bestehen. Aber nicht nur aus Sicherheitsgründen ist es ratsam, Ihre PHP-Version auf dem neuesten Stand zu halten. Daneben führt eine veraltete PHP-Version nämlich auch häufig zu Kompatibilitätsproblemen mit WordPress-Themes und -Plugins.
Ihre verwendete PHP-Version finden Sie im Normalfall im Backend Ihres Webhosters. Alternativ können Sie auch eine PHP-Datei in Ihrem WordPress-Installationsverzeichnis erstellen und den folgenden Code einfügen:
<?php
phpinfo();
?>
Beim Aufruf dieses Scripts werden Ihnen die PHP-Version sowie einige andere Informationen angezeigt.
Vergessen Sie nicht, diese Datei im Anschluss wieder zu löschen.
Einen stets aktuellen Überblick über unterstützte PHP-Versionen finden Sie auf php.net.
Halten Sie Ihre PHP-Version auf dem neuesten Stand.
Allgemeine Sicherheitstipps
All diese Maßnahmen sind nutzlos, wenn es an grundlegenden Dingen mangelt. Deshalb sind hier noch einige grundsätzliche Sicherheitstipps.
Verwenden Sie sichere Passwörter
Sichere Passwörter sind im Jahr 2022 eine Selbstverständlichkeit, sollte man meinen.
Warum habe ich diesen Punkt also trotzdem in meine Liste aufgenommen?
Und das Ergebnis ist: Das am häufigsten verwendete Passwort ist auch in diesem Jahr 123456.
- Passwörter mit 20 bis 25 Zeichen + zwei Zeichenarten: Passwörter sind dann lang und weniger komplex – 123456 verwendet weder zwei Zeichenarten, noch ist es 20 Zeichen lang.
- Passwörter mit 8 bis 12 Zeichen + vier Zeichenarten: Passwörter sind dann kürzer und komplex – 123456 verwendet keine vier Zeichenarten und ist auch keine acht bis zwölf Zeichen lang.
- Passwörter mit 8 Zeichen + drei Zeichenarten + Mehr-Faktor-Authentifizierung (z. B. Fingerabdruck, Bestätigung per App oder PIN) – Selbst wenn Sie zusätzliche Sicherheitsmaßnahmen wie die Zwei-Faktor-Authentifizierung verwenden, reicht 123456 nicht aus. Es enthält weder 8 Zeichen, noch 3 Zeichenarten.
Sich diese langen und komplexen Kombinationen aus Buchstaben, Zahlen und Sonderzeichen zu merken, ist in der Realität für die meisten Menschen natürlich ein Problem.
Hierfür gibt es zwei unterschiedliche Lösungsansätze:
Verwenden Sie lange und weniger komplexe Passwörter oder kurze, komplexe Passwörter und verwalte Sie diese in einem Passwort-Manager wie KeePass oder online agentur, um sich Passwörter zu merken.
Legen Sie regelmäßig und automatisch Backups an
Früher oder später passiert es jedem: WordPress wird gehackt oder ein Update geht schief und plötzlich findet man statt der eigenen Website nur noch eine weiße Seite vor.
Es gibt natürlich wie immer mehrere Möglichkeiten, um Backups Ihrer WordPress-Site anzulegen.
Die erste sind Backup-Plugins für WordPress. Diese ermöglichen es Ihnen, Backups zu erstellen und auf Ihrem FTP-Server oder in Ihrer Cloud (z. B. Google Drive oder Dropbox) abzulegen.
Hier sind einige Beispiele für Backup-Plugins:
In der Zwischenzeit bieten allerdings auch die meisten guten Webhoster Backups an. Wenn Ihr Webhoster von sich aus Backups unterstützt, empfehle ich, diesen Service in Anspruch zu nehmen, anstatt eines der oben genannten Plugins zu installieren.
Zum einen sparen Sie sich damit ein zusätzliches Plugin zum anderen benötigt das Anlegen von Backups viele Ressourcen und wirkt sich damit negativ auf die Performance Ihrer WordPress-Site aus.
Bei beiden vorgestellten Methoden ist es wichtig, dass Sie Backups automatisch anlegen. Erfahrungsgemäß treten Datenverluste nämlich immer genau dann auf, wenn Sie einmal vergessen haben, ein Backup anzulegen.
Verwenden Sie serverseitige Backup-Lösungen Ihres Webhosters oder alternativ Backup-Plugins für WordPress, um in regelmäßigen Abständen automatische Backups Ihrer Website anzulegen.
Fazit
Zusammengefasst sichern wir zuerst das WordPress-Backend gegen mögliche Bedrohungen ab. Dann erhöhen wir die Sicherheit von Datenbank und Webserver mit ein paar einfachen Maßnahmen. Dabei halten wir uns an allgemeine Sicherheitsstandards, wie sichere Passwörter und regelmäßige Backups.
Aber was ist mit Sicherheits-Plugins für WordPress, von denen es ja einige gibt? Zum Beispiel:
Grundsätzlich können diese Plugins die Sicherheit Ihrer Website etwas erhöhen. Sie sollten allerdings maximal als eine Ergänzung zu all den vorgestellten Maßnahmen und weniger als All-in-one-Lösung verstanden werden.
Konnten Sie einen Haken hinter all diese Tipps machen? Dann sind Sie auf einem sehr guten Weg. Zum Schluss sei allerdings gesagt, dass das Thema Sicherheit keines ist, dass man einfach von seiner ToDo-Liste streicht und für immer vergisst. Stattdessen sollten Sie bei der Installation von jedem neuen Plugin, jedem WordPress-Update und jeder größeren Änderung an Ihrer Website hinterfragen, welche Auswirkungen diese auf die Sicherheit von WordPress haben.
Ressourcen für weiteres Lernen
Wenn Sie sich weiter über E-commerce SEO informieren möchten, empfehlen wir Ihnen, einen Blick auf die folgenden Artikel zu werfen.
