WordPress absichern:
12 Maßnahmen, die wirklich schützen.

Wo Angriffe auf WordPress ansetzen

Der Sicherheitsanbieter Patchstack wertet jedes Jahr die gemeldeten Lücken im WordPress-Umfeld aus. Für 2025 zählt er 11.334 neue Lücken. 91 % davon steckten in Plugins, 9 % in Themes. Im WordPress-Kern waren es nur 6, alle mit geringer Priorität.

Zwei Zahlen aus dem Bericht zeigen, warum Tempo zählt: Bei 46 % der Lücken gab es zum Zeitpunkt der Veröffentlichung noch kein Update vom Hersteller. Und etwa die Hälfte der schweren Lücken wurde innerhalb von 24 Stunden ausgenutzt. Auch Premium-Plugins sind kein sicherer Hafen: 29 % der gültigen Meldungen betrafen kostenpflichtige oder teilweise kostenpflichtige Komponenten.

Neben Plugins und Themes setzen Angriffe vor allem hier an:

• ✓Schwache Passwörter und ungeschützter Login: Automatisierte Programme probieren Passwörter über die Login-Seite und über die Schnittstelle xmlrpc.php durch. Die WordPress-Dokumentation nennt beide als häufige Ziele.
• ✓Veraltetes PHP: Läuft die PHP-Version auf dem Server aus dem Support, werden Lücken darin nicht mehr geschlossen – auch wenn WordPress selbst aktuell ist.
• ✓Zu großzügige Rechte: Zu viele Administratoren, alte Konten ehemaliger Mitarbeiter oder Dienstleister, Dateirechte, die mehr erlauben als nötig.
• ✓Unsichere Server-Einstellungen: fehlendes HTTPS, fehlende Sicherheits-Header, Server, die Software und Version offen anzeigen.

Die 12 Maßnahmen im Überblick

Keine dieser Maßnahmen ist neu oder kompliziert. Wirksam werden sie, wenn sie zusammen und dauerhaft umgesetzt sind. Die Grundlage sind die Empfehlungen der WordPress-Dokumentation („Hardening WordPress“ und „Brute Force Attacks“), des BSI und von OWASP.

1. 1Updates zeitnah einspielenKleine Sicherheitsupdates des Kerns installiert WordPress auf den meisten Websites automatisch. Für Plugins und Themes können Sie automatische Updates einzeln einschalten. Das lohnt sich für einfache Plugins. Bei Page-Buildern, Shop- und Formular-Plugins sollten Updates zuerst auf einer Testkopie laufen. Wichtig ist das Tempo: Schwere Lücken werden oft innerhalb eines Tages ausgenutzt.
2. 2Ungenutzte Plugins und Themes löschenEin deaktiviertes Plugin liegt weiter mit seinem Code auf dem Server. Löschen Sie, was Sie nicht brauchen. Behalten Sie ein Standard-Theme als Ersatz, wenn Ihr Theme einmal ausfällt.
3. 3Plugins nur aus vertrauenswürdigen QuellenLaden Sie Plugins aus dem offiziellen WordPress-Verzeichnis oder direkt vom Hersteller. Meiden Sie Kopien von Premium-Plugins aus Tauschbörsen – niemand kann prüfen, was darin verändert wurde. Prüfen Sie im Verzeichnis, wann ein Plugin zuletzt aktualisiert wurde – ein Plugin ohne Pflege bekommt auch keine Sicherheitsfixes.
4. 4Starke PasswörterLange, einmalige Passwörter oder Passphrasen aus einem Passwort-Manager, für jeden Zugang ein eigenes. Nutzen Sie nicht den Benutzernamen „admin“ – die WordPress-Dokumentation rät, ein eigenes Administrator-Konto anzulegen und alte Konten herabzustufen oder zu entfernen. Das gilt auch für Hosting, SFTP und Datenbank.
5. 5Zwei-Faktor-AnmeldungDer zweite Faktor – ein Code aus einer App oder ein Passkey – schützt auch dann, wenn ein Passwort bekannt geworden ist. Das BSI rät, die Zwei-Faktor-Authentisierung zu nutzen, sobald ein Dienst sie ermöglicht. WordPress bringt sie nicht von Haus aus mit; Sie richten sie über ein Plugin oder einen Anmeldedienst ein, mindestens für alle Administratoren.
6. 6Benutzerrollen so knapp wie möglichWordPress kennt unter anderem die Rollen Administrator, Redakteur, Autor, Mitarbeiter und Abonnent. Wer nur Beiträge schreibt, braucht keinen Administrator-Zugang. Konten ehemaliger Mitarbeiter und Dienstleister löschen Sie, sobald die Zusammenarbeit endet.
7. 7Login schützen – und XML-RPC nur, wenn nötigBegrenzen Sie die Zahl der Anmeldeversuche. Am besten geschieht das beim Hoster, im Webserver oder in einer vorgeschalteten Firewall, sonst per Plugin. Die Schnittstelle XML-RPC nutzen etwa Jetpack und Apps. Die WordPress-Dokumentation rät: Wer sie nicht nutzt, schaltet sie ab; wer sie nutzt, beschränkt sie und begrenzt die Anfragen.
8. 8PHP aktuell haltenWordPress empfiehlt PHP 8.3 oder neuer. Welche Version Ihre Website nutzt, zeigt das Backend unter „Werkzeuge → Website-Zustand → Bericht“. Die Termine stehen weiter unten.
9. 9HTTPS und Sicherheits-HeaderDie ganze Website läuft über HTTPS, das Zertifikat erneuert sich automatisch. Dazu kommen Sicherheits-Header, die OWASP empfiehlt: Strict-Transport-Security (Browser nutzen nur noch HTTPS), X-Content-Type-Options, Schutz vor Einbettung in fremde Seiten (frame-ancestors oder X-Frame-Options), Referrer-Policy und Permissions-Policy. Header wie X-Powered-By, die Software und Version verraten, sollten weg.
10. 10Datei-Editor im Backend abschaltenMit define( 'DISALLOW_FILE_EDIT', true ); in der wp-config.php verschwindet der Code-Editor für Plugins und Themes aus dem Backend. Wer ein Admin-Konto übernimmt, kann dann nicht mit zwei Klicks Schadcode einfügen. Die WordPress-Dokumentation sagt offen: Das verhindert nicht jeden Angriff, kann aber manche stoppen.
11. 11Backups mit Wiederherstellungs-TestSichern Sie Dateien und Datenbank regelmäßig und bewahren Sie mehrere Stände auf – so haben Sie auch eine Kopie von vor einem unbemerkten Angriff. Mindestens eine Kopie gehört außerhalb des Servers. Spielen Sie ein Backup einmal testweise zurück: Erst dann wissen Sie, dass es funktioniert.
12. 12MonitoringLassen Sie Erreichbarkeit, Ablauf von Zertifikat und Domain sowie neu gemeldete Lücken in Ihren Plugins automatisch überwachen. Die Warnung sollte bei Ihnen ankommen, nicht nur bei einem Dienstleister.

Hinweis zu HSTS: Setzen Sie Strict-Transport-Security erst, wenn HTTPS auf allen Subdomains sauber läuft. Ein falsch gesetzter Header kann Besucher aussperren – OWASP weist ausdrücklich darauf hin.

Was zuerst? Pflicht, empfohlen, je nach Website

Nicht jede Maßnahme ist gleich dringend. Unsere Einstufung: Was in der ersten Gruppe fehlt, sollten Sie diese Woche angehen. Die zweite Gruppe macht eine ordentlich gepflegte Website deutlich robuster. XML-RPC hängt davon ab, welche Dienste Ihre Website nutzt.

Updates und PHP: die Routine, die am meisten bringt

Updates schließen die Lücken, über die die meisten Angriffe laufen. Damit ein Update nichts kaputt macht, hat sich eine feste Reihenfolge bewährt:

1. 28.11.2022

   PHP 7.4

   Keine Sicherheitsupdates mehr.

   Abgelaufen

2. 31.12.2025

   PHP 8.1

   Keine Sicherheitsupdates mehr.

   Abgelaufen

3. 31.12.2026

   PHP 8.2

   Ende der Sicherheitsupdates.

   Endet am 31.12.2026

4. 31.12.2027

   PHP 8.3

   Ende der Sicherheitsupdates. WordPress empfiehlt PHP 8.3 oder neuer.

   Nur noch Sicherheitsupdates

5. 31.12.2028

   PHP 8.4

   Ende der Sicherheitsupdates.

   Aktive Pflege

Ebenso wichtig ist PHP. Jede PHP-Version bekommt zwei Jahre aktive Pflege und danach zwei Jahre nur noch Sicherheitsupdates. PHP 8.2 bekommt sie nur noch bis zum 31. Dezember 2026. Ein Wechsel ist selten nur ein Klick beim Hoster, weil ältere Plugins auf neuem PHP Fehler zeigen können. Mehr dazu im Ratgeber WordPress-Wartung und Kosten.

Sicherheits-Plugins: was sie können – und was nicht

Ein Sicherheits-Plugin bündelt mehrere der zwölf Maßnahmen in einer Oberfläche. Das ist bequem, aber kein Ersatz für Updates. Ein Plugin, das eine Lücke meldet, schließt sie noch nicht.

Drei verbreitete Beispiele, ohne Rangfolge: Wordfence Security bringt Firewall, Malware-Scan und Login-Schutz mit Zwei-Faktor mit; in der kostenlosen Version kommen neue Firewall-Regeln laut Hersteller mit 30 Tagen Verzögerung. Kadence Security (früher Solid Security und iThemes Security) setzt auf Zwei-Faktor, Schutz vor Passwort-Ausprobieren, Erkennung von Dateiänderungen und einen Scan auf bekannte Lücken. Patchstack meldet bekannte Lücken in Kern, Plugins und Themes und kann sie in bezahlten Tarifen mit gezielten Firewall-Regeln abschirmen, bis ein Update erscheint. Patchstack ist zugleich Herausgeber des oben zitierten Berichts.

Wichtiger als das Plugin ist der Mensch dahinter: Jemand muss die Warnungen lesen und handeln. Ein Sicherheits-Plugin, dessen Meldungen niemand ansieht, schützt kaum.

WordPress-Sicherheitscheck: So prüfen Sie Ihren Stand

Einen ersten Sicherheitscheck können Sie in einer halben Stunde selbst machen. Einiges sehen Sie im Backend, anderes nur von außen:

• ✓Im Backend unter „Werkzeuge → Website-Zustand“: PHP-Version, HTTPS-Status und Hinweise wie inaktive Plugins und Themes.
• ✓Unter „Plugins“: Stehen Updates aus? Gibt es Plugins, die Sie nicht mehr nutzen?
• ✓Unter „Benutzer“: Wer hat die Rolle Administrator – und sollte das noch so sein?
• ✓Von außen mit unserem kostenlosen Werkzeug Website-Sicherheit prüfen: HTTPS, Zertifikat, Sicherheits-Header sowie sichtbare Versionen und PHP.
• ✓Welches System und welche Version Ihre Website nach außen zeigt, verrät auch der Versions-Check.

Ein Check von außen sieht nicht alles: Passwörter, Benutzerrollen und den Update-Stand jedes einzelnen Plugins prüfen Sie im Backend – oder lassen es prüfen.

Wenn es schon passiert ist

Fremde Administratoren, Weiterleitungen auf fremde Seiten, eine Warnung von Google in den Suchergebnissen: Dann geht es nicht mehr ums Absichern, sondern um Schadensbegrenzung. Löschen Sie nichts vorschnell und spielen Sie nicht sofort ein Backup zurück – es könnte schon infiziert sein, und die Lücke bliebe offen.

Was Sie in der ersten Stunde tun, welche Meldepflichten nach DSGVO gelten und wie Sie Beweise sichern, steht in unserem Notfallplan für gehackte Websites.

So sichern wir WordPress-Websites ab

Beyond AIgency ist eine Marke der Beyond Media GmbH, die seit 2004 Websites und Shops betreut. Unsere Website-Betreuung läuft zur festen Monatspauschale und ist monatlich kündbar. Updates, Sicherheit und Fehlerbehebung sind enthalten, unsere Agenten überwachen Ihre Website rund um die Uhr.

▶

Beim Abspielen lädt das Video von YouTube (Google).Datenschutz

Jede Änderung läuft zuerst auf einer Testumgebung. Der Prüf-Agent testet sie, ein Mensch gibt frei. So bekommen Updates das Tempo, das Sicherheitslücken verlangen, ohne dass danach das Formular oder der Page-Builder hakt. Mehr zur WordPress-Betreuung.

Testen Sie uns: Ihre erste Wunsch-Änderung ist kostenlos, meist innerhalb von 24 Stunden umgesetzt – ohne Betreuungsvertrag. Das Erstgespräch führt Martin, unser KI-Berater, unter Kontakt.