WordPress-Sicherheit: Plugins und wichtige Maßnahmen

WordPress treibt einen großen Teil der Websites der Welt an, und diese Beliebtheit macht es zu einem attraktiven Ziel für Angreifer. Die gute Nachricht ist, dass die meisten erfolgreichen Angriffe nicht auf fortgeschrittenen technischen Schwachstellen beruhen, sondern auf veralteten Plugins, schwachen Passwörtern und Seiten ohne Backup. Anders gesagt: Eine Seite, die die grundlegenden Maßnahmen regelmäßig anwendet, ist bereits gegen die meisten Angriffe geschützt.

In diesem Artikel beschreiben wir zuerst die grundlegenden Maßnahmen, die gar kein Plugin benötigen, und erklären dann, was Sicherheits-Plugins tun und wie Sie eines auswählen. Da sich die Funktionen von Plugins von Version zu Version ändern, schauen Sie für Details in die aktuelle Dokumentation des jeweiligen Produkts.

Zuerst die grundlegenden Maßnahmen

Ein Sicherheits-Plugin ersetzt keine fehlende Grundlage. Erledigen Sie zuerst diese Schritte:

Verzögern Sie keine Updates. Sicherheitslücken im WordPress-Kern, in Designs und Plugins werden mit Updates geschlossen. Löschen Sie die Plugins und Designs, die Sie nicht nutzen.
Verwenden Sie starke und einzigartige Passwörter. Nutzen Sie einen Passwort-Manager; lassen Sie den Administratorbenutzernamen nicht „admin“.
Aktivieren Sie die Zwei-Faktor-Verifizierung. Mindestens für Administrator- und Redakteurskonten.
Erstellen Sie Backups und testen Sie deren Wiederherstellung. Ein Backup ist die letzte Rettung, die Sie nach einem Angriff retten wird.
Verwenden Sie HTTPS. Auf einer Seite ohne SSL-Zertifikat werden Anmeldedaten offen übertragen.
Begrenzen Sie Benutzerrechte. Geben Sie nicht jedem die Administratorrolle; folgen Sie dem Prinzip der minimalen Rechte.
Installieren Sie Plugins und Designs aus vertrauenswürdigen Quellen. Nicht lizenzierte Pakete oder Pakete mit unklarer Herkunft bergen ein hohes Backdoor-Risiko.

Was tun Sicherheits-Plugins?

Sicherheits-Plugins bieten in der Regel einige von vier Funktionen: eine Firewall (WAF), Malware-Scan, Anmeldeschutz und Änderungsüberwachung. Nicht jedes Plugin ist in all diesen Bereichen gleich stark; deshalb müssen Sie zuerst klären, was Sie brauchen.

Firewall: Blockiert schädliche Anfragen, bevor sie die Seite oder den WordPress-Code erreichen.
Scan: Durchsucht Dateien nach verdächtigem Code und veränderten Kerndateien.
Anmeldeschutz: Begrenzt Brute-Force-Angriffe und fügt eine Zwei-Faktor-Verifizierung hinzu.
Überwachung: Protokolliert, wer welche Einstellung wann geändert hat.

Vergleich beliebter Sicherheits-Plugins

Lösung	Ansatz	Stärke	Worauf zu achten ist
Wordfence	Firewall und Scanner, die auf der Seite selbst laufen	Umfangreiche kostenlose Version, Malware-Scan	Verbraucht Serverressourcen; kann auf schwachem Hosting langsamer machen
Sucuri	Cloudbasierte Firewall und Bereinigungsdienst	Filtert den Datenverkehr, bevor er die Seite erreicht; Unterstützung bei der Bereinigung nach Angriffen	Erweiterte Funktionen hängen von einem kostenpflichtigen Plan ab
Solid Security (früher iThemes Security)	Fokus auf Härtung und Anmeldeschutz	Zwei-Faktor-Verifizierung, Härtung der Einstellungen, Anmeldebegrenzungen	Der Scan ist möglicherweise nicht so umfassend wie bei anderen
CleanTalk	Cloudbasierter Spam-Schutz	Blockiert gefälschte Registrierungen in Formularen und Kommentaren, ohne Captcha	Fokus auf Spam, nicht auf allgemeine Sicherheit; ergänzt andere Ebenen

Statt in dieser Tabelle nach dem „einen richtigen Plugin“ zu suchen, denken Sie in Kombinationen: eines für Firewall und Scan, ein anderes für den Spam-Schutz. Betreiben Sie nicht mehr als ein Firewall-Plugin auf derselben Seite; das erzeugt Konflikte.

Spam- und Schutz vor gefälschten Registrierungen nicht vernachlässigen

Bot-Datenverkehr erzeugt nicht nur Spam; er bläht über Registrierungsformulare, Kommentarfelder und Kontaktformulare die Datenbank auf, belastet den Server und verteilt manchmal schädliche Links. Cloudbasierte Lösungen wie CleanTalk filtern diesen Datenverkehr, ohne Besucher zu stören. Diese Ebene ist besonders wertvoll bei WooCommerce- und Mitgliederseiten, da dort Versuche, gefälschte Konten anzulegen, häufig sind.

Backup: das letzte Glied der Sicherheit

Auch die bestgeschützte Seite kann eines Tages beschädigt werden. Ein fehlerhaftes Update, ein Serverausfall, ein fehlerhaftes Plugin oder ein Angriff: In all diesen Fällen besteht die Abhilfe darin, zu einem sauberen Backup zurückzukehren. Backups müssen nicht auf dem Server gespeichert werden, auf dem die Seite liegt, sondern an einem getrennten Ort (Cloud-Speicher, anderer Server). Plugins wie das WPvivid Backup Bundle bieten geplante Backups, Versand an externen Speicher und Wiederherstellung mit einem Klick. Ebenso wichtig wie das Erstellen des Backups ist es, einmal im Monat durch eine Wiederherstellung auf einer Testseite zu prüfen, dass es funktioniert.

Welches Plugin sollten Sie wählen? Ein kurzer Leitfaden

Wenn Sie einen einzelnen Blog betreiben und Ihr Budget begrenzt ist, sind ein kostenloses Sicherheits-Plugin auf der Seite, eine solide Backup-Lösung und Spam-Schutz meist ein ausreichendes Trio. Wenn Sie einen E-Commerce-Shop betreiben, der ständig im Visier steht, ist es sinnvoll, zusätzlich eine cloudbasierte Firewall zu ergänzen, denn schlechter Datenverkehr wird herausgefiltert, bevor er Ihren Server erreicht. Wenn Sie als Agentur Kundenseiten betreuen, werden für Sie zentrale Verwaltung und regelmäßige Sicherheitsberichte wichtiger als die Funktionen einzelner Plugins.

Beobachten Sie in jedem Fall nach der Installation die Protokolle eine Woche lang. Eine Regel zu lockern, die Fehlalarme auslöst, ist besser, als echte Bedrohungen zu übersehen; Sie müssen aber außerdem testen, ob ein System, das nie einen Alarm auslöst, tatsächlich funktioniert. Dafür können Sie einen kontrollierten Anmeldeversuch durchführen und prüfen, ob er protokolliert wird.

Mehrere Seiten verwalten

Wenn Sie als Agentur Kundenseiten betreuen oder mehrere Projekte haben, kostet das separate Anmelden bei jeder Seite zum Aktualisieren Zeit und erhöht das Fehlerrisiko. Zentrale Verwaltungswerkzeuge wie MainWP Pro ermöglichen es, Updates, Backups und den Status aller Seiten von einem einzigen Panel aus zu überwachen. Aus Sicherheitssicht verringert das Verzögerungen bei Updates.

Datenbank und unnötige Daten bereinigen

Tabellen, die von aufgegebenen Plugins zurückgelassen wurden, alte Entwürfe und Spam-Kommentare beeinträchtigen nicht nur die Leistung; sie vergrößern auch die Angriffsfläche. Werkzeuge wie Advanced Database Cleaner Pro helfen, diese Überreste sicher zu entfernen. Erstellen Sie vor jeder Bereinigung immer ein Backup.

Vergessen Sie Ihren eigenen Computer nicht

Wenn der Computer, mit dem Sie die Seite verwalten, mit Schadsoftware infiziert wird, können Ihre Anmeldedaten gestohlen werden. Betreiben Sie auf den Geräten, die Sie als Administrator nutzen, eine aktuelle Schutzsoftware; umfassende Lösungen wie Kaspersky Premium Total Security fügen eine Schutzschicht gegen Phishing und Malware hinzu. Melden Sie sich nicht in offenen WLAN-Netzen am Admin-Panel an.

Härtung auf Server- und Dateiebene

Neben Plugins stärken einige Einstellungen Ihre Seite erheblich. Sie können diese über Ihr Hosting-Panel oder gemeinsam mit Ihrem Serveradministrator vornehmen:

Aktuelle PHP-Version: PHP-Versionen, deren Support ausgelaufen ist, erhalten keine Sicherheitspatches mehr. Wechseln Sie im Hosting-Panel zur neuesten unterstützten Version und prüfen Sie dabei die Kompatibilität mit Ihren Plugins.
Dateieditor abschalten: Wenn Sie den Datei-Editor für Designs und Plugins im Admin-Panel deaktivieren, wird es für ein kompromittiertes Administratorkonto schwerer, Code direkt zu schreiben.
Dateiberechtigungen: Vergeben Sie für Dateien und Ordner nicht mehr Schreibrechte als nötig; halten Sie die Konfigurationsdatei (wp-config) für den Zugriff verschlossen.
Upload-Ordner: Blockieren Sie die Ausführung von PHP-Dateien in dem Ordner, in dem Benutzer-Uploads liegen.
XML-RPC: Wenn Sie es nicht nutzen, schalten Sie es ab; es wird bei Brute-Force-Angriffen häufig ausgenutzt.
Datenbankpräfix und Benutzeraufzählung: Aktivieren Sie Einstellungen, die verhindern, dass Benutzernamen von außen aufgelistet werden.

Einige dieser Einstellungen lassen sich mit Sicherheits-Plugins mit einem Klick vornehmen; achten Sie dennoch darauf, dass die eigenen Sicherheitswerkzeuge Ihres Hosters nicht mit ihnen in Konflikt geraten.

Monatliche Sicherheitsroutine

Sicherheit ist keine einmalige Aufgabe, die Sie erledigen und dann vergessen; sie ist eine kleine, aber regelmäßige Gewohnheit. Nehmen Sie sich einmal im Monat eine Stunde, um diese Liste durchzugehen: Ist die Liste der Administrator- und Redakteurskonten aktuell? Wurden nicht genutzte Plugins gelöscht? Werden Backups tatsächlich erstellt? Gibt es einen ungewöhnlichen Anstieg in den Berichten über Anmeldeversuche? Nähert sich das Ablaufdatum des SSL-Zertifikats? Gibt es eine Sicherheitswarnung in der Search Console? Wenn diese Prüfungen an eine Routine mit einer kleinen Kalendererinnerung gebunden sind, werden Probleme bemerkt, bevor sie wachsen.

Woran erkennen Sie, dass Sie angegriffen wurden?

Seiten oder Überschriften, die Sie nicht kennen, erscheinen in den Suchergebnissen.
Unerwartete Weiterleitungen oder Pop-ups erscheinen auf Ihrer Seite.
Administratorkonten, die Sie nicht kennen, tauchen auf.
Ihr Hosting-Anbieter schickt eine Warnung wegen übermäßiger Ressourcennutzung oder Malware.
Die Seite lädt langsam, und der Browser zeigt eine Sicherheitswarnung.

Setzen Sie in einem solchen Fall zuerst die Seite in den Wartungsmodus, ändern Sie die Passwörter, kehren Sie zu einem sauberen Backup zurück und öffnen Sie die Seite nicht wieder, bevor die Schwachstelle geschlossen ist. Wenn Sie es nicht selbst lösen können, ziehen Sie einen Sicherheitsexperten hinzu.

Für Plugin- und Design-Bedarf können Sie die Kategorie WordPress-Plugins und -Designs ansehen; bei LisansX erfolgt die Lieferung digital, und lizenzierte Versionen erhalten Updates.

Häufig gestellte Fragen

Reicht ein kostenloses Sicherheits-Plugin aus?

Für einen kleinen Blog reicht es oft aus. Für Seiten, die E-Commerce, Mitgliederbereiche oder Kundendaten hosten, sollten Sie kostenpflichtige Pläne für Premium-Funktionen, Support und Firewall-Regeln in Betracht ziehen.

Verlangsamt ein Sicherheits-Plugin die Seite?

Plugins, die innerhalb der Seite laufen, verbrauchen Serverressourcen und können auf schwachem Hosting spürbar sein. Cloudbasierte Lösungen nehmen dem Server diese Last ab. Wiederholen Sie die Geschwindigkeitsmessung nach der Installation.

Ist es sinnvoll, die WordPress-Anmeldeadresse zu ändern?

Es verringert einfache Bots, ist aber für sich genommen keine Sicherheitsmaßnahme. Ein starkes Passwort, die Zwei-Faktor-Verifizierung und Anmeldebegrenzungen sind weitaus wirksamer.

Wie oft sollte ich Backups erstellen?

Für Seiten mit täglichen Inhaltseinträgen sind tägliche Backups und für selten geänderte Seiten wöchentliche Backups ein sinnvoller Ausgangspunkt. Shops, die Bestellungen annehmen, müssen die Datenbank häufiger sichern.