WordPress selbst ist sicher — die Einfallstore sind fast immer die Erweiterungen: Laut Patchstack steckten 96 % der 2024 gemeldeten Schwachstellen in Plugins, nicht im Kern. Die meisten Angriffe nutzen keine ausgeklügelten Tricks, sondern bekannte Lücken und schwache Passwörter — genau das lässt sich mit ein paar Grundlagen zuverlässig schliessen.
Sicherheit ist kein einmaliges Projekt, sondern eine Handvoll Gewohnheiten. Dieser Beitrag fasst die wichtigsten Grundlagen als Checkliste zusammen — verständlich für Betreiber, ohne Fachchinesisch, und mit dem Fokus auf das, was wirklich Wirkung zeigt.
Das Wichtigste in Kürze
- Aktuell halten: Kern, Plugins und Themes zeitnah und getestet aktualisieren — 96 % der Lücken sitzen in Erweiterungen.
- Zugänge härten: Starke, einzigartige Passwörter, Zwei-Faktor-Anmeldung und ein Limit für Login-Versuche.
- Weniger Angriffsfläche: Ungenutzte Plugins und Themes entfernen, Benutzerrechte sparsam vergeben.
- Backup als Notausgang: Regelmässige, extern gespeicherte Backups mit getestetem Restore — der Rettungsanker im Ernstfall.
Warum WordPress-Seiten angegriffen werden
Die meisten Angriffe sind nicht persönlich gemeint. Automatisierte Bots durchsuchen das Netz pausenlos nach Seiten mit bekannten Lücken oder schwachen Zugängen — jede WordPress-Installation ist ein potenzielles Ziel, unabhängig von ihrer Grösse. Der Kern von WordPress gilt als sicher und wird schnell gepatcht — wie zuletzt bei der kritischen wp2shell-Lücke; die Schwachstellen liegen meist in veralteten Plugins, unsicheren Passwörtern und fehlender Härtung. Genau deshalb sind die Grundlagen so wirksam: Sie schliessen die Türen, durch die Bots am häufigsten hereinkommen.
Die wichtigsten Sicherheits-Grundlagen
- Updates zeitnah einspielen. Kern, Plugins und Themes aktuell halten — getestet, idealerweise erst auf einer Staging-Kopie. Hier liegt der grösste Hebel.
- Starke, einzigartige Passwörter. Für jeden Zugang ein langes, eigenes Passwort — am besten aus einem Passwort-Manager. Nie dasselbe mehrfach verwenden.
- Zwei-Faktor-Anmeldung (2FA). Ein zweiter Faktor (App-Code) macht ein gestohlenes Passwort allein wertlos — besonders wichtig für Administrator-Konten.
- Login-Versuche begrenzen. Ein Limit stoppt automatisiertes Durchprobieren von Passwörtern (Brute-Force) früh.
- Benutzerrechte sparsam vergeben. Nicht jeder braucht Administrator-Rechte. Jede Person bekommt nur die Rolle, die sie wirklich benötigt.
- Unnötiges entfernen. Nicht genutzte Plugins und Themes deinstallieren — auch inaktive können Lücken enthalten.
- HTTPS erzwingen. Ein gültiges SSL-Zertifikat und eine durchgehende HTTPS-Verbindung schützen die Datenübertragung und sind heute Standard.
- Regelmässige Backups. Automatische, extern gespeicherte Backups mit getestetem Restore — damit Sie im Ernstfall zurück können.
Für Webseitenbetreiber: Was bedeutet das für Ihre Website?
Die gute Nachricht: Die Grundlagen sind kein Hexenwerk und schützen bereits vor dem Grossteil der automatisierten Angriffe. Der entscheidende Punkt ist die Regelmässigkeit — Updates und Backups nützen nur, wenn sie zuverlässig passieren, nicht «wenn Zeit ist». Genau das nimmt Ihnen eine laufende Wartung ab; wer eine tiefergehende Sicherheits-Härtung braucht, ist damit auf der sicheren Seite. Für die Details lesen Sie, wie Sie Updates sicher durchführen und Backups richtig einrichten.
Für Agenturen und Entwickler: die Härtung
Über die Grundlagen hinaus zählt die Härtung auf mehreren Ebenen: Dateiberechtigungen sauber setzen, das Bearbeiten von Theme-/Plugin-Code im Dashboard deaktivieren (DISALLOW_FILE_EDIT), Sicherheits-Header setzen (CSP, HSTS, X-Frame-Options), XML-RPC einschränken, wenn nicht gebraucht, und eine Web Application Firewall (WAF) vorschalten. Server- und PHP-Version aktuell halten, Fehlermeldungen nicht öffentlich ausgeben und Zugriffe auf sensible Pfade (wp-admin, wp-login.php) zusätzlich absichern. Monitoring auf Dateiänderungen erkennt eine Kompromittierung früh.
Fazit
WordPress-Sicherheit beginnt mit wenigen, konsequent gelebten Grundlagen: aktuell halten, Zugänge härten, Angriffsfläche verkleinern, Backups bereithalten. Das schliesst die Türen, durch die die allermeisten Angriffe kommen. Der Rest ist Verlässlichkeit — und die lässt sich delegieren, wenn die eigene Zeit knapp ist.
Häufig gestellte Fragen zur WordPress-Sicherheit
Ist WordPress unsicher?
Nein. Der WordPress-Kern gilt als sicher und wird schnell mit Sicherheitsupdates versorgt. Die weitaus meisten Schwachstellen liegen in Plugins und Themes — laut Patchstack 96 % der 2024 gemeldeten Lücken. Mit aktuellen Erweiterungen, starken Zugängen und den übrigen Grundlagen ist eine WordPress-Website gut geschützt.
Brauche ich ein Sicherheits-Plugin?
Ein gutes Sicherheits-Plugin hilft — etwa für Login-Schutz, eine Firewall und Monitoring. Es ersetzt aber nicht die Grundlagen: Updates, starke Passwörter und Backups bleiben die Basis. Ein Plugin ergänzt diese, es macht sie nicht überflüssig. Achten Sie darauf, nicht mehrere überlappende Sicherheits-Plugins parallel zu betreiben.
Was tun, wenn meine Seite gehackt wurde?
Ruhe bewahren und systematisch vorgehen: Seite offline oder in den Wartungsmodus nehmen, alle Passwörter ändern, ein sauberes Backup einspielen oder die Installation bereinigen, anschliessend alle Updates einspielen und die Ursache schliessen. Fehlt ein sauberes Backup oder ist der Befund unklar, sollten Sie die Bereinigung Fachleuten überlassen — eine unvollständig bereinigte Seite wird oft erneut befallen.
Wie oft sollte ich Backups machen?
Das hängt davon ab, wie oft sich Ihre Seite ändert. Für eine typische Unternehmensseite ist ein tägliches oder wöchentliches Backup sinnvoll, für einen aktiven Shop eher täglich oder häufiger. Wichtiger als die Frequenz ist zweierlei: Die Backups liegen extern (nicht nur auf demselben Server), und die Wiederherstellung wurde mindestens einmal getestet.
Quellen
- Patchstack — State of WordPress Security in 2025 (2025)
- WordPress.org — Hardening WordPress (Advanced Administration Handbook)