WordPress ist mit Abstand das meistangegriffene CMS weltweit – einfach, weil es das meistgenutzte ist. Über 40 Prozent aller Websites laufen darauf, entsprechend interessant ist es für Angreifer. Die gute Nachricht: Mit der richtigen Sicherheits-Strategie ist WordPress sehr sicher. Die schlechte: Ohne aktive Maßnahmen ist eine WordPress-Site fast garantiert ein Sicherheitsrisiko.
Die häufigsten WordPress-Sicherheitsrisiken
Veraltete WordPress-Versionen
WordPress-Core-Sicherheitslücken werden regelmäßig gefunden und gefixt. Wer Updates aufschiebt, betreibt eine Site mit bekannten, öffentlich dokumentierten Schwachstellen.
Schlechte oder veraltete Plugins
Plugins sind die häufigste Schwachstellen-Quelle in WordPress-Setups. Manche Plugins werden nicht mehr gepflegt, andere haben Sicherheitsprobleme im Code. Wir auditieren die Plugin-Liste kritisch und reduzieren auf das wirklich Notwendige.
Schwache Admin-Credentials
„admin” als Benutzername plus schwaches Passwort plus keine 2-Faktor-Authentifizierung – immer noch die Standardausstattung vieler WordPress-Sites. Brute-Force-Angriffe sind dann Routine, nicht Ausnahme.
Unsicheres Hosting
Shared Hosting mit hunderten anderen Sites auf demselben Server. Veraltete PHP-Versionen. Keine Web Application Firewall. Schon ist eine kompromittierte Nachbarseite das Einfallstor für Ihre.
Fehlende Backups
Ohne verlässliche, getestete Backups ist jede Sicherheits-Härtung Glücksspiel. Im Worst Case (Ransomware, Defacement, Datenverlust) ist das Backup das einzige Rettungsboot.
Unsere WordPress-Härtungs-Maßnahmen
- Aktuelle WordPress-Version – automatisierte Updates mit Staging-Tests
- Plugin-Audit und -Reduktion – Qualität vor Quantität
- Sicherheits-Plugin wie Wordfence, Sucuri oder iThemes Security
- Web Application Firewall (WAF) auf Server- oder CDN-Ebene
- 2-Faktor-Authentifizierung für alle Admin-Accounts
- Login-Hardening – Custom Login-URL, Brute-Force-Schutz, Login-Throttling
- Datei-Permissions korrekt gesetzt (444/644/755)
- wp-config.php gehärtet – Datenbank-Präfix geändert, Security-Keys rotiert
- Disable File Editing – kein Plugin-/Theme-Editor im Admin
- SSL/TLS über alle Seiten (HSTS, modern Cipher Suites)
- Verschlüsselte Backups mit Off-Site-Speicherung
- Monitoring auf Datei-Änderungen, ungewöhnliche Login-Versuche, Malware
- Regelmäßige Sicherheits-Scans mit WPScan oder kommerziellen Tools
Was passiert bei einem Sicherheitsvorfall?
Sofortmaßnahmen
Bei einem laufenden Angriff: Site in den Wartungsmodus, Datenbank-Snapshot für Forensik, Analyse der Logs, Identifikation der Eingangspforte.
Forensik und Eindämmung
Identifikation der kompromittierten Dateien, Suche nach Backdoors, Bereinigung der Datenbank, Reset aller Credentials. Häufig schneller über vollständigen Rollback auf saubere Backups.
Recovery und Härtung
Sicherheits-Audit, neue Passwörter, neue Security-Keys, gepatchtes WordPress, Plugin-Bereinigung. Optional: Strafanzeige bei größeren Vorfällen.
Lessons Learned
Blameless Postmortem, dokumentierte Sicherheits-Verbesserungen, kontinuierliche Härtung der Plattform.
Mini-Case aus unserer Praxis
Sicherheits-Refactoring einer kompromittierten WordPress-Site
Übernahme einer WordPress-Site nach erfolgreicher Hack-Attacke. Befund: WordPress 9 Monate alt, drei aktive Plugins mit bekannten CVEs, kein 2FA, kein WAF, Backups nicht verifiziert. Angreifer hatte Webshell installiert und Spam-Seiten injiziert. Maßnahmen: vollständige Bereinigung über Backup-Restore plus selektive Datenwiederherstellung, Komplett-Update aller Komponenten, neue Sicherheits-Architektur mit Wordfence Premium, Cloudflare WAF, 2FA für alle Admins, Login-Hardening. Resultat: saubere Site nach 4 Tagen, in den folgenden 12 Monaten keine weiteren Vorfälle.
Häufige Fragen zur WordPress-Sicherheit
Reicht Wordfence?
Wordfence ist gut, aber kein Allheilmittel. Ein Sicherheits-Plugin alleine ist nie ausreichend. Es gehört zu einem Bündel an Maßnahmen – nicht statt ihnen.
Wie häufig sollten Updates eingespielt werden?
Sicherheits-Updates sofort (innerhalb von 48 Stunden bei kritischen CVEs). Normale Updates monatlich nach Staging-Tests.
Lohnt sich eine Cloudflare-WAF?
Bei mittelgroßen und größeren Sites: ja, definitiv. DDoS-Schutz, automatisches Blocken bekannter Angreifer, schnellere Auslieferung über CDN.
Was kostet Sicherheits-Härtung?
Einmaliges Sicherheits-Audit und Härtung: 1.500-5.000 €. Laufende Sicherheits-Überwachung als Teil unserer WordPress-Wartung: ab 150 €/Monat im Basic-SLA.
Verwandte Leistungen
Sicherheit + Wartung ergeben Sinn als Bundle – siehe WordPress-Wartung. Für tiefer reichende Sicherheits-Strategien: DevSecOps. Für sichere Schnittstellen-Entwicklung: Schnittstellen für WordPress. Übersicht: WordPress-Agentur.
