WordPress absichern: Schutz vor Hackern und Datenverlust

Eine gehackte Webseite kostet Zeit, Umsatz und Vertrauen. Dabei sind die häufigsten Einfallstore bekannt und lassen sich mit überschaubarem Aufwand schließen. Sicherheit ist kein einzelner Schalter, sondern mehrere Schichten, die zusammen wirken.

Wie werden WordPress-Webseiten gehackt?

In den allermeisten Fällen über zwei Wege: veraltete Erweiterungen und schwache Zugangsdaten. Automatisierte Angriffe durchsuchen das Netz nach Seiten mit bekannten Plugin-Lücken und probieren an Logins gängige Passwörter durch. Beides läuft rund um die Uhr und trifft kleine Seiten genauso wie große.

Seltener, aber real ist der Weg über kompromittierte Erweiterungen selbst, wenn ein an sich seriöses Plugin manipuliert wird. Auch dagegen hilft, den Bestand klein und aktuell zu halten.

Alles aktuell halten

Die meisten erfolgreichen Angriffe nutzen Lücken, für die längst ein Update bereitsteht. Halte WordPress selbst, alle Plugins und dein Theme aktuell und aktiviere automatische Updates für Sicherheitsversionen.

Entferne dazu, was du nicht brauchst. Jedes installierte Plugin ist eine mögliche Angriffsfläche, auch ein deaktiviertes. Ein schlanker Bestand aus wenigen, gepflegten Erweiterungen ist sicherer als ein Dutzend selten genutzter.

Den Login absichern

Der Login ist das beliebteste Ziel automatischer Angriffe. Drei Maßnahmen machen ihn widerstandsfähig:

• Lange, einmalige Passwörter aus einem Passwort-Manager, für jedes Konto ein eigenes.
• Zwei-Faktor-Anmeldung für alle Konten mit Admin-Rechten, sodass das Passwort allein nicht genügt.
• Anmeldeversuche begrenzen, damit niemand Passwörter in Serie durchprobieren kann.

Vermeide außerdem den Standard-Benutzernamen admin. Wer den Anmeldenamen errät, hat schon die Hälfte geschafft.

Tägliche Backups als Sicherheitsnetz

Trotz aller Vorsicht kann etwas schiefgehen. Ein tägliches Backup mit ausreichender Vorhaltezeit ist deine Versicherung. Zwei Dinge sind dabei entscheidend: Die Sicherung muss getrennt vom Live-System liegen, und sie muss sich per Klick zurückspielen lassen.

Ein Backup, das ungetestet in einer Ecke liegt, ist nur ein halbes Backup. Prüfe einmal, ob eine Wiederherstellung wirklich funktioniert, bevor du sie im Ernstfall brauchst.

Firewall und Malware-Scan

Eine Firewall für Webanwendungen filtert verdächtige Anfragen, bevor sie WordPress erreichen, und blockt typische Angriffe wie SQL-Injection. Ein Malware-Scanner prüft die Dateien regelmäßig auf Schadcode und schlägt Alarm, sobald etwas eingeschleust wurde.

Am wirksamsten sind beide auf Serverebene, weil sie dort ansetzen, bevor PHP überhaupt läuft. Wie das aussieht, beschreibt die Seite zu Imunify360. Ein zusätzliches Sicherheits-Plugin in WordPress ist dann oft verzichtbar und spart Ladezeit.

Sicherheit beginnt auf dem Server

Ein Teil der Sicherheit liegt beim Hosting und nicht in WordPress. Sauber getrennte Konten sorgen dafür, dass ein Problem auf einer Seite nicht auf andere übergreift, wie es die Seite zu CloudLinux beschreibt. Dazu kommen aktuelle PHP-Versionen und eine durchgehende Verschlüsselung per SSL.

Bei FastPress laufen Firewall, DDoS-Schutz und Malware-Scans standardmäßig mit, sodass diese Schicht schon steht, bevor du die erste Seite anlegst.

Was tun, wenn es doch passiert?

Wird deine Seite trotz allem gehackt, hilft ein ruhiger Ablauf statt Aktionismus:

1. Seite kurz in den Wartungsmodus nehmen, damit Besucher keinen Schadcode ausgeliefert bekommen.
2. Alle Passwörter ändern, für WordPress, die Datenbank und den Hosting-Zugang.
3. Ein sauberes Backup von vor dem Vorfall zurückspielen.
4. Einen vollständigen Malware-Scan laufen lassen und Funde bereinigen.
5. Die Lücke schließen, über die der Angriff kam, meist ein veraltetes Plugin.

Checkliste für eine sichere WordPress-Webseite

• WordPress, Plugins und Theme aktuell halten, Ungenutztes entfernen
• Login mit starkem Passwort und Zwei-Faktor-Anmeldung absichern
• Anmeldeversuche begrenzen, Standardname admin vermeiden
• Tägliches Backup mit getrennter Ablage und getesteter Wiederherstellung
• Firewall und Malware-Scan auf Serverebene laufen lassen
• Auf Kontotrennung, aktuelle PHP-Version und SSL achten

Sicherheit ist keine einmalige Aufgabe, sondern eine Gewohnheit aus wenigen, verlässlichen Schritten. Die Server-Schicht bringen wir mit, den Rest hältst du mit dieser Checkliste im Griff.

Häufige Fragen

Wie werden WordPress-Webseiten am häufigsten gehackt?

Über veraltete Plugins und Themes mit bekannten Lücken sowie über schwache oder wiederverwendete Passwörter. Beides lässt sich mit wenig Aufwand schließen: aktuell halten und den Login absichern.

Reicht ein Sicherheits-Plugin aus?

Ein Plugin hilft, ersetzt aber keine Updates und keine Backups. Sicherheit entsteht aus mehreren Schichten, die zusammenwirken. Vieles davon greift zudem besser auf Serverebene, etwa Firewall und Malware-Scan, weil es dort vor WordPress ansetzt.

Wie oft sollte ich ein Backup machen?

Täglich, mit einer Vorhaltezeit von mindestens 14 Tagen. Wichtig ist, dass die Sicherung getrennt vom Live-System liegt und sich per Klick zurückspielen lässt. Ein Backup, das nur auf demselben Server liegt, hilft bei einem Serverproblem nicht.

Was ist Zwei-Faktor-Anmeldung und brauche ich sie?

Bei der Zwei-Faktor-Anmeldung genügt das Passwort allein nicht, es kommt ein zweiter Faktor dazu, meist ein Code aus einer App auf dem Smartphone. Selbst wenn jemand dein Passwort kennt, kommt er ohne diesen Code nicht hinein. Für jedes Konto mit Admin-Rechten ist sie dringend zu empfehlen.

Meine Seite wurde gehackt, was soll ich tun?

Nimm die Seite kurz offline, ändere alle Passwörter, spiele ein sauberes Backup von vor dem Vorfall zurück und lass anschließend einen vollständigen Malware-Scan laufen. Danach schließt du die Lücke, über die der Angriff kam, meist ein veraltetes Plugin.