- WordPress-Sicherheit
WordPress-Website absichern: Die Grundschutz-Checkliste
- Sicherheit beginnt
Warum regelmäßige Pflege Ihre WordPress-Website schützt
Kostenlosen SEO-Check starten
Rückmeldung innerhalb von 24 Stunden
- Updates im Griff
WordPress, Plugins und Themes aktuell halten
Der wichtigste Baustein für eine sichere WordPress-Website sind aktuelle Versionen. Laut der offiziellen WordPress-Anleitung zur Absicherung sollten Sie WordPress immer auf dem neuesten Stand halten, denn ältere Versionen werden nicht mehr mit Sicherheitsupdates versorgt. Dasselbe gilt für Plugins: Auch sie sollten stets aktualisiert sein.
Seit WordPress 5.5 können Sie automatische Updates für jedes Plugin und jedes Theme einzeln aktivieren. Die Einstellung finden Sie in der Plugin-Übersicht in einer eigenen Spalte für automatische Aktualisierungen, bei Themes im Bereich „Design“. Laut der WordPress-Dokumentation zu Auto-Updates läuft die automatische Aktualisierung standardmäßig zweimal täglich, und Sie erhalten eine E-Mail, wenn Updates erfolgreich waren oder fehlgeschlagen sind.
Wichtig: Bevor Sie automatische Updates aktivieren, empfiehlt die Dokumentation regelmäßige automatische Backups. So können Sie zu einer funktionierenden Version zurückkehren, falls ein Update Probleme verursacht.
- Zugänge schützen
Passwörter, Zwei-Faktor-Authentifizierung und Admin-Bereich
Neben Updates entscheiden sichere Zugänge über den Schutz Ihrer Website. Die WordPress-Härtungsanleitung rät zu generierten Passwörtern und warnt vor Namen, Wörterbuchbegriffen, kurzen Passwörtern sowie Passwörtern nur aus Zahlen oder nur aus Buchstaben. Zusätzlich empfiehlt sie, eine Zwei-Faktor-Authentifizierung als weitere Schutzebene einzurichten.
- Verwenden Sie keinen leicht zu erratenden Benutzernamen wie „admin“ für das Administratorkonto.
- Schützen Sie den Ordner /wp-admin/ zusätzlich serverseitig, etwa mit einem Passwortschutz, und testen Sie danach die Funktion von admin-ajax.php.
- Nutzen Sie für die Verwaltung ausschließlich eine verschlüsselte Verbindung (HTTPS).
- Übertragen Sie Dateien per SFTP oder SSH statt per unverschlüsseltem FTP.
Den letzten Punkt empfiehlt auch Google in seinen Tipps zum Schutz vor Malware. Dort wird außerdem betont, dass der eigene Arbeitsrechner aktuelle Software haben und frei von Schadsoftware sein sollte.
- Angriffsfläche verkleinern
Plugins aufräumen und WordPress härten
Jede installierte Erweiterung muss gepflegt und aktualisiert werden. Die WordPress-Dokumentation ist hier eindeutig: Ein Plugin, das Sie nicht verwenden, sollten Sie vom System löschen. Löschen ist dabei mehr als nur Deaktivieren.
Weitere bewährte Maßnahmen aus der Anleitung:
- Deaktivieren Sie den Datei-Editor im Dashboard mit der Zeile define( ‘DISALLOW_FILE_EDIT’, true ); in der wp-config.php.
- Setzen Sie Dateiberechtigungen so restriktiv wie möglich, typischerweise 755 für Ordner und 644 für Dateien.
- Prüfen Sie den Einsatz einer Firewall, etwa als Plugin oder als vorgeschalteter Dienst.
Beachten Sie dabei: Der gesperrte Datei-Editor verhindert laut Dokumentation nicht, dass Angreifer Schadcode hochladen, kann aber einige Angriffe stoppen. Google rät zudem in seinen Sicherheits-Checklisten, nur Erweiterungen, Apps und Werbung aus vertrauenswürdigen Quellen einzubinden und Verzeichnisse nicht mit offenen Berechtigungen zu betreiben.
Wir sind SEO Agentur basiert in Wien
Lassen Sie uns sprechen, um in den Google-Ergebnissen aufzusteigen.
- Nächste Schritte
Backups, Überwachung und Ihr Fahrplan
Auch bei guter Vorsorge sollten Sie auf den Ernstfall vorbereitet sein. Sichern Sie Ihre Daten laut WordPress-Anleitung regelmäßig, inklusive der Datenbank, und bewahren Sie auch ältere Sicherungen auf. So können Sie eine Website wiederherstellen, selbst wenn ein Angriff erst spät bemerkt wird.
Für die Überwachung empfiehlt Google in seinen Hinweisen zur Malware-Prävention die Search Console: Der Bericht „Sicherheitsprobleme“ zeigt gehackte Seiten, die Google erkannt hat, samt Hinweisen zur Behebung. Erkennt Google Malware, erhalten Sie eine Nachricht, die Sie sich auch per E-Mail weiterleiten lassen können. Werfen Sie außerdem regelmäßig einen Blick in Ihre Server-Logdateien.
Ihre nächsten Schritte: Prüfen Sie Updates, Zugänge und installierte Plugins anhand dieser Checkliste. Für eine erste Einschätzung Ihrer Website ist ein kostenloser SEO-Check ein guter Einstieg. Für Fragen zur Absicherung Ihrer WordPress-Seite können Sie uns gerne direkt kontaktieren.
Häufige Fragen zur WordPress-Sicherheit
Alles Wichtige zu Ablauf, Kosten und Nutzen eines SEO Audits – klar und ehrlich beantwortet.