WordPress absichern in zwölf Schritten
WordPress ist das beliebteste Ziel automatischer Angriffe. Mit diesen zwölf Schritten schließt du die häufigsten Lücken, ohne Programmierkenntnisse.
WordPress betreibt einen großen Teil aller Websites weltweit. Genau deshalb ist es das bevorzugte Ziel automatisierter Angriffe: Programme durchsuchen rund um die Uhr das Internet nach WordPress-Seiten mit veralteten Plugins oder schwachen Passwörtern. Die meisten erfolgreichen Angriffe nutzen keine raffinierten Tricks, sondern längst bekannte Lücken.
Diese zwölf Schritte schließen die häufigsten Einfallstore. Du brauchst dafür keine Programmierkenntnisse.
Aktualisieren und aufräumen
1. Automatische Updates für WordPress selbst. Kleinere Sicherheitsupdates spielt WordPress automatisch ein, wenn das nicht abgeschaltet wurde. Prüf unter „Dashboard → Aktualisierungen“, ob das aktiv ist.
2. Plugins und Themes aktuell halten. Die meisten Lücken stecken in Plugins, nicht in WordPress selbst. Schalte für jedes Plugin die automatischen Aktualisierungen ein oder schau mindestens wöchentlich nach.
3. Ungenutzte Plugins und Themes löschen. Auch deaktivierte Plugins liegen auf dem Server und können angegriffen werden. Lösche alles, was du nicht brauchst. Behalte nur ein Standard-Theme als Reserve.
4. Nur Plugins aus vertrauenswürdigen Quellen. Plugins aus dem offiziellen Verzeichnis oder von bekannten Herstellern. Finger weg von „kostenlosen“ Versionen bezahlter Plugins aus dubiosen Quellen. Sie enthalten oft Schadcode.
5. Verlassene Plugins ersetzen. Wurde ein Plugin seit über einem Jahr nicht aktualisiert, ist es wahrscheinlich aufgegeben. Lücken werden dann nicht mehr geschlossen. Such eine gepflegte Alternative.
Zugänge schützen
6. Kein Benutzer namens „admin“. Angreifer probieren diesen Namen zuerst. Leg einen neuen Administrator mit anderem Namen an und lösche den alten. Die Beiträge kannst du dabei dem neuen Benutzer zuordnen.
7. Starke, einzigartige Passwörter. Für alle Benutzer mit Redakteurs- oder Administratorrechten. Erstelle sie mit dem Passwort-Generator und prüf bestehende mit dem Passwort-Check.
8. Zwei-Faktor-Anmeldung. Mit einem Sicherheits-Plugin oder einem eigenen 2FA-Plugin schützt du den Login zusätzlich. Mehr dazu in Zwei-Faktor-Authentifizierung.
9. Anmeldeversuche begrenzen. Ein Plugin, das nach einigen Fehlversuchen die IP-Adresse vorübergehend sperrt, stoppt automatisches Durchprobieren von Passwörtern. Viele Hoster bieten das auch serverseitig an.
10. Rollen sparsam vergeben. Nicht jeder braucht Administratorrechte. Wer nur Beiträge schreibt, bekommt die Rolle „Autor“ oder „Redakteur“. Lösche Konten ehemaliger Mitarbeiter und Agenturen.
Server und Konfiguration
11. Dateibearbeitung im Dashboard abschalten. WordPress erlaubt es, Theme- und Plugin-Dateien direkt im Browser zu bearbeiten. Kommt ein Angreifer ins Dashboard, kann er so Schadcode einfügen. Eine Zeile in der Datei wp-config.php schaltet das ab:
define('DISALLOW_FILE_EDIT', true);
12. Sicherheits-Header setzen. Wenige Zeilen in der .htaccess schützen Besucher vor Clickjacking und eingeschleustem Code. Prüf mit dem Sicherheits-Header-Check, welche fehlen, und folge der Anleitung in Security-Header einfach erklärt.
Für den Ernstfall
Backups. Ein automatisches tägliches Backup von Dateien und Datenbank, mit mindestens einer Kopie außerhalb des Servers. Teste einmal, ob du es wiederherstellen kannst. Mehr dazu in Backups richtig machen.
Überwachung. Wird die Seite gehackt, ändert sich oft ihr Inhalt oder sie fällt aus. Ein Monitoring-Dienst meldet das sofort, siehe Website überwachen lassen.
Was ein Sicherheits-Plugin bringt
Bekannte Sicherheits-Plugins bündeln viele dieser Punkte: Firewall, Login-Schutz, 2FA, Prüfung auf veränderte Dateien und Benachrichtigungen. Sie ersetzen aber keine Updates. Ein Sicherheits-Plugin auf einer Seite mit veralteten Plugins ist wie ein Alarmsystem bei offener Haustür.
Anzeichen, dass deine Seite gehackt wurde
- Neue Administratoren, die du nicht kennst
- Seiten oder Beiträge mit Werbung für Medikamente, Glücksspiel oder Kredite, oft nur für Google sichtbar
- Weiterleitungen auf fremde Seiten, manchmal nur am Handy oder bei Aufrufen über Google
- Warnungen von Google oder deinem Hoster
Dann gilt: alle Passwörter ändern, den Hoster informieren und die Seite aus einem sauberen Backup wiederherstellen. Das Löschen einzelner verdächtiger Dateien reicht selten, weil Angreifer meist mehrere Hintertüren hinterlassen.