WordPress Sicherheit: Die Checkliste für deine Website

WordPress betreibt einen großen Teil aller Websites weltweit. Genau das macht es für Angreifer so interessant: Automatisierte Bots durchsuchen rund um die Uhr das Netz nach veralteten Plugins, schwachen Passwörtern und falsch konfigurierten Installationen. Die gute Nachricht: WordPress-Sicherheit ist kein Hexenwerk. Mit einer Handvoll konsequent umgesetzter Maßnahmen schließt du die Lücken, über die die allermeisten Angriffe laufen. In diesem Beitrag zeigen wir dir, worauf es ankommt, und geben dir eine Checkliste an die Hand, mit der du deine Website Schritt für Schritt absicherst.

➡ Das Wichtigste in Kürze: Die meisten erfolgreichen Angriffe auf WordPress nutzen bekannte Lücken in veralteten Plugins und Themes oder schwache Zugangsdaten. Die wirksamsten Maßnahmen sind daher: Updates zeitnah einspielen, ungenutzte Plugins löschen, den Login mit Zwei-Faktor-Authentifizierung schützen, eine Web Application Firewall nutzen und regelmäßige, getestete Backups anlegen. Sicherheit ist dabei kein einmaliges Projekt, sondern Routine.

Warum WordPress-Sicherheit so wichtig ist

Die wenigsten Angriffe richten sich gezielt gegen eine bestimmte Website. In der Regel laufen sie automatisiert: Bots testen tausende Seiten auf eine frisch bekannt gewordene Schwachstelle oder probieren gängige Passwortkombinationen am Login aus. Ob deine Website ein kleiner Blog oder ein Online-Shop ist, spielt dabei allerdings kaum eine Rolle. Interessant ist für Angreifer nämlich alles, was sich missbrauchen lässt: Serverressourcen für Spam-Versand, Platz für Phishing-Seiten, versteckte Links für fragwürdiges SEO oder Kundendaten.

Der WordPress-Kern selbst gilt als gut gepflegt, Sicherheitsupdates erscheinen schnell und werden standardmäßig automatisch eingespielt. Der weitaus größte Teil der bekannt gewordenen Sicherheitslücken steckt in Plugins und Themes. Außerdem kommen gestohlene oder erratene Zugangsdaten hinzu. Genau dort setzen die folgenden Maßnahmen an, und zwar auf mehreren Ebenen: Fällt eine Schutzschicht aus, fängt die nächste den Angriff ab.

1. Updates: Die Basis der WordPress-Sicherheit

WordPress, Plugins und Theme aktuell halten

Sobald eine Sicherheitslücke öffentlich wird, beginnen automatisierte Angriffe oft schon innerhalb weniger Tage. Wer Updates wochenlang liegen lässt, bietet folglich genau das Ziel, nach dem die Bots suchen. Spiele Sicherheitsupdates deshalb zeitnah ein, denn regelmäßige Aktualisierungen sind die wichtigste Grundlage der WordPress-Sicherheit. Kleinere WordPress-Updates installiert WordPress standardmäßig selbst, für Plugins und Themes kannst du automatische Updates einzeln aktivieren. Welche Vor- und Nachteile das hat, erklären wir ausführlich im Beitrag Automatische WordPress-Updates: Solltest du sie aktivieren?

Für größere Updates, etwa eine neue WordPress-Hauptversion oder ein großes Shop-Plugin, gilt: vorher Backup, idealerweise erst auf einer Staging-Umgebung testen, danach Frontend, Formulare und gegebenenfalls den Bestellprozess prüfen.

Ungenutzte und verwaiste Plugins entfernen

Jedes installierte Plugin ist zusätzlicher Code, der Lücken enthalten kann, und zwar auch dann, wenn es deaktiviert ist: Die Dateien liegen weiter auf dem Server. Lösche deshalb alles, was du nicht brauchst, inklusive nicht genutzter Themes (ein Standard-Theme als Reserve darf bleiben). Achte außerdem auf verwaiste Plugins, die seit Langem keine Updates mehr bekommen. Auf wordpress.org erscheint ein Hinweis, wenn ein Plugin länger nicht mit aktuellen WordPress-Versionen getestet wurde. Für solche Plugins solltest du dir eine gepflegte Alternative suchen. Und: Installiere Plugins und Themes nur aus vertrauenswürdigen Quellen, niemals „gecrackte“ Premium-Versionen. Diese enthalten häufig Schadcode.

Aktuelle PHP-Version verwenden

Auch die PHP-Version deiner Website gehört zur Sicherheit. Jede PHP-Version erhält nur für einen begrenzten Zeitraum Sicherheitsupdates, danach werden Lücken nicht mehr geschlossen. PHP 8.2 etwa bekommt nur noch bis Ende 2026 Sicherheitsupdates. Die aktuellen Supportzeiträume findest du zum Beispiel auf php.net. Welche Version wir aktuell empfehlen, liest du in Welche PHP-Version sollte man für WordPress nutzen?

2. Login und Benutzerkonten absichern

Neben aktueller Software entscheidet vor allem der Login über die WordPress-Sicherheit: Wer die Zugangsdaten kennt, braucht schließlich keine Sicherheitslücke mehr.

Starke Passwörter und ein Passwortmanager

Brute-Force-Angriffe auf wp-login.php gehören zum Grundrauschen jeder WordPress-Website. Ein langes, zufälliges und nur einmal verwendetes Passwort macht sie jedoch praktisch aussichtslos. Dank eines Passwortmanagers musst du dir ein solches Passwort zudem nicht merken. Das gilt nicht nur für den WordPress-Login, sondern ebenso für FTP/SFTP, die Datenbank, das Hosting-Kundenkonto und dein E-Mail-Postfach, über das sich Passwörter zurücksetzen lassen.

Zwei-Faktor-Authentifizierung aktivieren

Mit Zwei-Faktor-Authentifizierung (2FA) reicht ein gestohlenes Passwort allein nicht mehr aus: Für die Anmeldung ist zusätzlich ein Einmalcode aus einer Authenticator-App oder ein Passkey nötig. WordPress bringt 2FA nicht von Haus aus mit, Plugins wie Two Factor, Wordfence Login Security oder Solid Security rüsten die Funktion nach. Deshalb sollten mindestens alle Administratoren und Redakteure 2FA nutzen.

Login-Versuche begrenzen

Begrenze die Zahl der fehlgeschlagenen Anmeldeversuche pro IP-Adresse. Nach mehreren Fehlversuchen wird die Adresse für eine Weile gesperrt, automatisierte Angriffe laufen damit ins Leere. Zudem bringen viele Security-Plugins diese Funktion mit. Die Login-Adresse umzubenennen, etwa mit WPS Hide Login, reduziert zusätzlich die Zahl der Bot-Anfragen. Ein echter Schutz ist das allein aber nicht, sondern nur eine Ergänzung.

Benutzerrollen nach dem Minimalprinzip vergeben

• Nur so viele Administratoren wie nötig: Wer nur Beiträge schreibt, braucht die Rolle Autor oder Redakteur, nicht Administrator.
• Alte Konten löschen: Zugänge von ehemaligen Mitarbeitern, Agenturen oder Freelancern entfernen, sobald die Zusammenarbeit endet.
• Kein Benutzername „admin“: Er ist der erste, den Bots ausprobieren. Lege lieber einen neuen Administrator mit eigenem Namen an und lösche das alte Konto.
• Anzeigename statt Login-Name: Stelle im Profil einen öffentlichen Namen ein, damit dein Benutzername nicht unter jedem Beitrag steht.

3. WordPress-Sicherheit durch die richtige Konfiguration

Einige Einstellungen in der wp-config.php und auf dem Server verbessern die WordPress-Sicherheit spürbar, ohne dass du ein zusätzliches Plugin brauchst. Weitere Empfehlungen findest du außerdem im offiziellen Hardening-Leitfaden von WordPress.

Datei-Editor im Backend abschalten

Über Design → Theme-Datei-Editor und Plugins → Plugin-Datei-Editor lässt sich PHP-Code direkt im Browser ändern. Gelangt ein Angreifer an ein Administratorkonto, kann er darüber sofort Schadcode einschleusen. Mit einer Zeile in der wp-config.php schaltest du die Editoren ab:

define( 'DISALLOW_FILE_EDIT', true );

Die strengere Variante DISALLOW_FILE_MODS verhindert zusätzlich das Installieren und Aktualisieren von Plugins über das Backend. Sie ist jedoch nur sinnvoll, wenn du Updates auf anderem Weg einspielst.

Dateirechte prüfen

Als Richtwert gilt: Ordner 755, Dateien 644, die wp-config.php noch restriktiver, zum Beispiel 640 oder 600, je nach Serverkonfiguration. Rechte wie 777 haben dagegen auf einem Webserver nichts verloren. Bei einem Managed WordPress Hosting kümmert sich in der Regel der Anbieter um die passenden Grundeinstellungen.

Angriffsfläche verkleinern

• XML-RPC: Die alte Schnittstelle xmlrpc.php wird häufig für Brute-Force-Angriffe missbraucht. Brauchst du sie nicht (etwa für Jetpack oder ältere Apps), sperre sie per Plugin oder auf Serverebene.
• Anwendungspasswörter: Prüfe im Benutzerprofil, welche Anwendungspasswörter existieren, und widerrufe alte Einträge, die kein Dienst mehr nutzt.
• Verzeichnislisten verhindern: Ordner ohne Indexdatei sollten nicht ihren Inhalt anzeigen. Wie du das und weitere Regeln umsetzt, zeigen wir im Beitrag Die Rolle von .htaccess für WordPress-Webseiten.

HTTPS und Security-Header

Ein gültiges SSL-Zertifikat ist heute Pflicht, und deine Website sollte ausschließlich über HTTPS erreichbar sein. Zusätzliche HTTP-Header härten die Auslieferung: Strict-Transport-Security (HSTS) erzwingt HTTPS im Browser, X-Content-Type-Options: nosniff verhindert falsch interpretierte Dateitypen, X-Frame-Options bzw. die Content-Security-Policy schützt vor dem Einbetten deiner Seite in fremde Frames, und eine Referrer-Policy begrenzt, welche Informationen an andere Websites weitergegeben werden.

4. Firewall und Malware-Scanner für mehr WordPress-Sicherheit

Eine Web Application Firewall (WAF) prüft eingehende Anfragen und blockiert typische Angriffsmuster wie SQL-Injection oder Cross-Site-Scripting, bevor sie WordPress erreichen. Das ist vor allem in der Zeit zwischen dem Bekanntwerden einer Sicherheitslücke und deinem Update wertvoll. Eine WAF kann auf dem Server laufen, als Cloud-Dienst wie Cloudflare vorgeschaltet sein oder als Plugin wie Wordfence eingebunden werden. Wie eine WAF funktioniert und wie du sie einrichtest, erklären wir im Leitfaden zur Web Application Firewall für WordPress.

Ergänzend sollte ein Malware-Scanner regelmäßig prüfen, ob Dateien verändert wurden oder bekannter Schadcode auf dem Server liegt. Bei akasolutions.de ist eine WAF in allen Tarifen enthalten, und deine WordPress-Website wird regelmäßig kostenlos auf Malware geprüft.

5. Backups: Dein Sicherheitsnetz

Kein Schutz ist perfekt. Entscheidend ist deshalb, wie schnell du nach einem Vorfall wieder online bist. Dafür brauchst du regelmäßige, vollständige Backups von Dateien und Datenbank. Bewährt hat sich die 3-2-1-Regel: drei Kopien deiner Daten, auf zwei unterschiedlichen Speichermedien, davon eine an einem anderen Standort. Liegt das einzige Backup im selben Webspace wie die Website, ist es im Ernstfall womöglich ebenfalls kompromittiert.

Genauso wichtig: Teste die Wiederherstellung. Denn ein Backup, das sich nicht zurückspielen lässt, hilft im Notfall nicht weiter. Bewahre außerdem mehrere Versionen auf, denn ein Befall wird oft erst nach Tagen oder Wochen bemerkt. Warum Backups unverzichtbar sind, erklären wir in Kein Backup? Kein Mitleid! Bei akasolutions.de laufen nächtliche Backups automatisch mit, vor größeren Änderungen empfehlen wir zusätzlich ein manuelles Backup.

6. WordPress-Sicherheit überwachen statt hoffen

Je früher du einen Angriff bemerkst, desto geringer ist der Schaden. Regelmäßiges Monitoring gehört deshalb fest zur WordPress-Sicherheit. Diese Werkzeuge helfen dir dabei:

• Aktivitätsprotokoll: Ein Plugin für Aktivitätsprotokolle zeichnet Logins, neue Benutzer und Änderungen an Plugins auf. So fallen unbekannte Administratorkonten schnell auf.
• Google Search Console: Im Bereich „Sicherheitsprobleme“ meldet Google, wenn es Malware, gehackte Inhalte oder Phishing auf deiner Website erkennt.
• Uptime-Monitoring: Ein externer Dienst prüft regelmäßig, ob deine Website erreichbar ist, und benachrichtigt dich bei Ausfällen.
• E-Mail-Benachrichtigungen: Viele Sicherheits-Plugins melden verdächtige Aktivitäten, etwa geänderte Core-Dateien oder gesperrte IP-Adressen, per E-Mail.

Ein Blick nach vorn: Mit WordPress 7.2 kommt eine neue Secrets-API, über die Plugins Zugangsdaten wie API-Schlüssel verschlüsselt ablegen können, statt sie im Klartext in der Datenbank zu speichern. Mehr dazu in unserem Überblick WordPress 7.2: Alle Neuerungen.

Was tun, wenn die Website gehackt wurde?

Wirkt deine Website plötzlich verändert, leitet sie auf fremde Seiten um oder meldet Google ein Sicherheitsproblem, gilt: Ruhe bewahren und strukturiert vorgehen. Ein klarer Notfallplan gehört daher ebenfalls zur WordPress-Sicherheit.

1. Website vom Netz nehmen und Hoster informieren: Ein Wartungsmodus oder eine Sperre verhindert, dass Besucher Schadcode ausgeliefert bekommen. Dein Hoster kann oft Logs und Backups bereitstellen.
2. Alle Zugänge ändern: Passwörter für WordPress-Administratoren, FTP/SFTP, Datenbank und Hosting-Konto neu setzen, die Sicherheitsschlüssel in der wp-config.php erneuern und unbekannte Benutzer löschen.
3. Bereinigen: Am sichersten ist ein sauberes Backup von vor dem Befall. Gibt es keins, müssen WordPress-Kern, Plugins und Theme aus Originalquellen neu installiert und Uploads sowie Datenbank auf Schadcode geprüft werden.
4. Lücke schließen: Finde heraus, wie der Angreifer hereingekommen ist, zum Beispiel über ein veraltetes Plugin, und behebe die Ursache. Sonst ist die Website schnell wieder befallen.
5. Überwachen: Nach der Bereinigung engmaschig scannen, Logs prüfen und gegebenenfalls in der Google Search Console eine Überprüfung beantragen.

Werden bei dem Vorfall personenbezogene Daten abgegriffen, etwa Kundendaten aus einem Shop, kann außerdem eine Meldepflicht nach der DSGVO gegenüber der zuständigen Datenschutzbehörde bestehen. Lass dich in diesem Fall deshalb rechtlich beraten.

Die WordPress-Sicherheit-Checkliste auf einen Blick

Bereich	Maßnahme	Rhythmus
Updates	WordPress, Plugins und Theme zeitnah aktualisieren	laufend
Plugins	Ungenutzte und verwaiste Plugins und Themes löschen	monatlich
PHP	Unterstützte PHP-Version verwenden	jährlich prüfen
Passwörter	Lange, einzigartige Passwörter mit Passwortmanager	einmalig
2FA	Zwei-Faktor-Login für Administratoren und Redakteure	einmalig
Login	Fehlversuche begrenzen, kein Benutzer „admin“	einmalig
Benutzer	Rollen nach Minimalprinzip, alte Konten löschen	quartalsweise
Konfiguration	Datei-Editor abschalten, Dateirechte prüfen, XML-RPC sperren	einmalig
HTTPS	SSL-Zertifikat und Security-Header	einmalig
Firewall	WAF und Malware-Scanner aktiv	laufend
Backups	3-2-1-Regel, Wiederherstellung testen	täglich / quartalsweise testen
Monitoring	Aktivitätsprotokoll, Search Console, Uptime	laufend

Häufige Fragen zur WordPress-Sicherheit

Ist WordPress unsicher?

Nein. Der WordPress-Kern wird von einem eigenen Sicherheitsteam betreut und erhält schnelle Updates. Probleme entstehen meist durch veraltete oder schlecht programmierte Plugins, schwache Passwörter und fehlende Wartung. Gut gepflegt ist WordPress daher eine sichere Basis.

Brauche ich ein Sicherheits-Plugin?

Ein Sicherheits-Plugin wie Wordfence bündelt Firewall, Malware-Scan, Login-Schutz und 2FA und ist für viele Websites sinnvoll. Wenn dein Hoster bereits eine WAF und Malware-Scans auf Serverebene bereitstellt, reicht oft ein schlankeres Setup, etwa ein Plugin nur für 2FA und Login-Schutz. Wichtig ist, dass sich mehrere Sicherheits-Plugins nicht gegenseitig in die Quere kommen.

Bringt es etwas, das Tabellenpräfix zu ändern?

Kaum. Ein anderes Datenbankpräfix als wp_ erschwert höchstens sehr einfache automatisierte Angriffe. Gegen eine echte SQL-Injection schützt es hingegen nicht. Deine Zeit ist bei Aktualisierungen, 2FA und Datensicherungen deutlich besser investiert.

Wie oft sollte ich die WordPress-Sicherheit prüfen?

Updates und Monitoring laufen am besten kontinuierlich. Einmal im Monat lohnt ein kurzer Check von Plugins und Benutzerkonten, einmal im Quartal ein Test der Backup-Wiederherstellung.

Fazit: WordPress-Sicherheit ist Routine

WordPress-Sicherheit entsteht nicht durch ein einzelnes Plugin, sondern durch mehrere Schutzschichten und etwas Routine: Updates zeitnah einspielen, überflüssige Plugins löschen, den Login mit 2FA absichern, eine Firewall nutzen und getestete Backups bereithalten. Damit bist du gegen den Großteil der automatisierten Angriffe gut gewappnet und im Ernstfall schnell wieder online.

Wenn du dich nicht selbst um Server, Firewall und Backups kümmern möchtest, nimmt dir ein Managed WordPress Hosting einen großen Teil dieser Arbeit ab. Bei akasolutions.de sind WAF, regelmäßige Malware-Scans und nächtliche Backups bereits inklusive, und unser Team unterstützt dich, wenn doch einmal etwas passiert.