WordPress Sicherheit: 12 Maßnahmen gegen Hacker

WordPress Sicherheit hat einen schlechten Ruf, den das System selbst nur bedingt verdient. Der Core wird von einem eigenen Security-Team gepflegt und bekommt Sicherheitsupdates oft innerhalb weniger Tage. Die meisten erfolgreichen Angriffe laufen über veraltete Plugins, schwache Passwörter, Admin-Konten, die niemand mehr braucht, oder Hosting, das seit Jahren nicht angefasst wurde. Genau dort setzt du an.

Dieser Artikel richtet sich an zwei Gruppen: an Freelancer, die WordPress-Seiten für Kunden bauen und betreuen, und an Website-Betreiber, die wissen wollen, was ihr Dienstleister eigentlich tun sollte. Die zwölf Maßnahmen sind nach Wirkung sortiert. Wer nur die ersten sechs konsequent umsetzt, ist bereits besser geschützt als ein Großteil der WordPress-Installationen da draußen.

Wie werden WordPress-Seiten eigentlich gehackt?

Bevor du Maßnahmen umsetzt, lohnt ein Blick auf die typischen Einfallstore. Fast nie sitzt da jemand, der gezielt deine Seite knacken will. Angriffe laufen automatisiert: Bots scannen Millionen von Websites nach bekannten Schwachstellen in bestimmten Plugin-Versionen oder probieren Login-Daten aus geleakten Listen durch.

Die häufigsten Wege sind:

Verwundbare Plugins und Themes: Eine bekannte Lücke in Version X wird ausgenutzt, weil niemand auf Version Y aktualisiert hat.
Schwache oder wiederverwendete Passwörter: Brute-Force und Credential Stuffing funktionieren erstaunlich gut.
Unsichere Zugänge rund um WordPress: FTP ohne Verschlüsselung, geteilte Hosting-Logins, alte Datenbank-Tools im Webroot.
Nulled Plugins: „Gecrackte“ Premium-Plugins aus dubiosen Quellen enthalten regelmäßig Hintertüren.

Daraus folgt: Die meisten Maßnahmen sind unspektakulär. Sie müssen nur zuverlässig passieren.

Die 12 wichtigsten Maßnahmen für WordPress Sicherheit

1. Core, Plugins und Themes aktuell halten

Updates sind die mit Abstand wirksamste Einzelmaßnahme. Seit WordPress 5.5 lassen sich automatische Updates auch für einzelne Plugins und Themes aktivieren. Für kleinere Minor-Releases des Core sind sie standardmäßig an.

Pragmatisch heißt das: Sicherheits- und Minor-Updates automatisch, größere Versionssprünge kontrolliert, idealerweise erst auf einer Testumgebung. Für Kundenprojekte gehört ein fester Update-Rhythmus in die Betreuungsvereinbarung, sonst passiert er nicht.

2. Ungenutzte Plugins und Themes löschen

Deaktiviert ist nicht gelöscht. Auch ein deaktiviertes Plugin liegt mit seinem Code auf dem Server und kann unter Umständen direkt aufgerufen werden. Lösche alles, was nicht aktiv gebraucht wird, inklusive der mitgelieferten Standard-Themes bis auf eines als Fallback.

Faustregel: Jedes Plugin muss eine klare Aufgabe haben, aktiv gepflegt werden und aus einer seriösen Quelle stammen. Schau dir vor der Installation an, wann das letzte Update kam und wie der Entwickler auf Support-Anfragen reagiert.

3. Starke Passwörter und Zwei-Faktor-Authentifizierung

Jedes Konto mit Redakteurs- oder Admin-Rechten braucht ein langes, einzigartiges Passwort aus einem Passwortmanager. Dazu kommt Zwei-Faktor-Authentifizierung (2FA) per Authenticator-App oder Hardware-Key. WordPress bringt 2FA nicht im Core mit, es gibt aber etablierte Plugins dafür, und viele Security-Plugins enthalten die Funktion.

Für Kunden, die sich mit 2FA schwertun: Nimm dir zehn Minuten bei der Übergabe und richte es gemeinsam ein. Das ist die günstigste Sicherheitsinvestition des ganzen Projekts.

4. Benutzerrollen nach dem Minimalprinzip vergeben

Nicht jeder braucht Administrator-Rechte. Wer nur Blogartikel schreibt, bekommt die Rolle „Autor“ oder „Redakteur“. Wer Bestellungen bearbeitet, bekommt eine Shop-Rolle. Und der Admin-Account der ehemaligen Praktikantin wird gelöscht, sobald sie weg ist.

Prüfe bei jeder Wartung die Benutzerliste. Unbekannte Admin-Konten sind übrigens eines der deutlichsten Zeichen dafür, dass bereits etwas passiert ist.

Die Login-Seite ist das bevorzugte Ziel automatisierter Angriffe. Sinnvoll sind:

Begrenzung fehlgeschlagener Login-Versuche mit temporärer Sperre
Kein Benutzername „admin“ und keine öffentlich sichtbaren Login-Namen als Autor-Slug
Optional ein zusätzlicher Schutz auf Serverebene, etwa ein Passwortschutz oder eine IP-Beschränkung für /wp-admin/, wenn nur wenige feste Nutzer arbeiten

Die Login-URL umzubenennen reduziert Bot-Rauschen in den Logs, ersetzt aber keine der anderen Maßnahmen.

6. Regelmäßige Backups außerhalb des Servers

Backups verhindern keinen Angriff, aber sie entscheiden darüber, ob ein Angriff ein Ärgernis oder eine Katastrophe wird. Wichtig sind drei Punkte: automatisiert, extern gespeichert (nicht nur auf demselben Webspace) und regelmäßig getestet. Ein Backup, das nie wiederhergestellt wurde, ist eine Hoffnung, kein Backup.

Wenn du ohnehin einen Server-Wechsel planst, zeigt dir unsere Anleitung zum WordPress-Umzug, wie Datenbank und Dateien sauber zusammenkommen. Das ist im Kern derselbe Ablauf wie bei einer Wiederherstellung.

7. HTTPS und Sicherheits-Header

HTTPS ist Standard. Zusätzlich lohnen sich HTTP-Sicherheits-Header, die der Server bei jeder Antwort mitschickt:

Header	Wirkung
`Strict-Transport-Security`	Browser nutzt nur noch HTTPS
`X-Content-Type-Options: nosniff`	Verhindert Fehlinterpretation von Dateitypen
`X-Frame-Options` bzw. `frame-ancestors`	Schützt vor Clickjacking
`Referrer-Policy`	Steuert, welche URL-Infos weitergegeben werden
`Content-Security-Policy`	Legt fest, aus welchen Quellen Skripte laden dürfen

Eine Content Security Policy ist bei WordPress mit vielen Plugins aufwendig. Fang mit den ersten vier an, sie sind in wenigen Minuten gesetzt.

8. Dateibearbeitung im Backend deaktivieren

WordPress erlaubt Admins, Theme- und Plugin-Dateien direkt im Backend zu bearbeiten. Wer einen Admin-Account kapert, kann darüber Schadcode einschleusen. Eine Zeile in der wp-config.php schaltet das ab:

define( 'DISALLOW_FILE_EDIT', true );

Als Freelancer arbeitest du ohnehin per Git, SFTP oder Deployment. Der Editor im Backend wird also nicht vermisst.

9. Dateirechte und wp-config.php schützen

Übliche Rechte sind 755 für Verzeichnisse und 644 für Dateien. Die wp-config.php enthält Datenbank-Zugangsdaten und Sicherheitsschlüssel, sie verträgt strengere Rechte wie 440 oder 400, sofern der Hoster das unterstützt. Verzeichnis-Listings sollten serverseitig deaktiviert sein, und im Uploads-Ordner hat ausführbares PHP nichts verloren.

Frag bei Shared Hosting im Zweifel den Support, welche Rechte dort empfohlen werden. Zu restriktive Einstellungen können Updates blockieren.

10. XML-RPC und REST-API bewusst konfigurieren

Die Schnittstelle xmlrpc.php stammt aus einer Zeit, in der Blogs per Desktop-Software befüllt wurden. Heute wird sie vor allem für Brute-Force-Angriffe missbraucht. Wenn weder Jetpack noch eine App sie braucht, kannst du sie sperren.

Die REST-API dagegen nutzt WordPress selbst, unter anderem für den Block-Editor. Sie komplett abzuschalten, macht mehr kaputt als es hilft. Sinnvoll ist, die Benutzerauflistung über die API für nicht angemeldete Besucher einzuschränken.

11. Solides Hosting mit aktueller PHP-Version

Das beste WordPress-Setup nützt wenig auf einem Server mit veralteter PHP-Version, fehlender Kontentrennung zwischen Kunden oder ohne Firewall. Achte auf:

Aktuell unterstützte PHP-Version (Versionen ohne Sicherheitssupport meiden)
Isolierte Konten, falls mehrere Kundenprojekte auf einem Server liegen
SFTP oder SSH statt unverschlüsseltem FTP
Web Application Firewall auf Server- oder Netzwerkebene
Serverseitige Backups als zusätzliche Absicherung

Gutes Hosting hilft übrigens nicht nur der Sicherheit, sondern auch der Geschwindigkeit. Mehr dazu in unserem Guide WordPress schneller machen.

12. Monitoring und Protokollierung

Du willst von einem Problem erfahren, bevor der Kunde anruft. Dazu gehören ein Uptime-Monitoring, ein regelmäßiger Malware-Scan, Benachrichtigungen bei Dateiänderungen im Core und ein Aktivitätsprotokoll, das festhält, wer wann Plugins installiert oder Benutzer angelegt hat.

Ein Aktivitätslog ist auch für die Kommunikation wertvoll: Wenn ein Kunde fragt, warum sich plötzlich etwas geändert hat, siehst du es schwarz auf weiß.

Welches Security-Plugin braucht WordPress?

Ein Security-Plugin kann viele der genannten Punkte bündeln: Login-Schutz, 2FA, Dateiänderungs-Überwachung, Malware-Scans, Firewall-Regeln. Das ist praktisch, vor allem auf Hosting ohne eigene Sicherheitsfunktionen.

Drei Hinweise dazu:

Ein Plugin, nicht drei. Mehrere Security-Plugins parallel führen zu Konflikten und Performance-Problemen.
Nicht blind auf Default-Einstellungen verlassen. Prüfe, was tatsächlich aktiv ist.
Datenschutz beachten. Manche Plugins senden IP-Adressen an externe Server oder setzen Dienste außerhalb der EU ein. Das gehört in die Datenschutzerklärung. Einen Überblick gibt unser Artikel zur DSGVO für Websites.

Wer auf gutem Managed Hosting sitzt, braucht oft nur einen schlanken Login- und 2FA-Schutz, weil Firewall und Malware-Scan bereits auf Serverebene laufen.

Checkliste: WordPress Sicherheit für Kundenprojekte

Diese Liste kannst du bei jedem Projekt-Launch und bei jeder Wartung abhaken:

Wer ist verantwortlich: Freelancer oder Betreiber?

Hier entstehen in der Praxis die meisten Missverständnisse. Viele Kunden gehen davon aus, dass „der Webdesigner“ sich um alles kümmert, auch Jahre nach dem Launch. Viele Freelancer gehen davon aus, dass mit der Abnahme alles erledigt ist.

Kläre das schriftlich. Rechtlich ist in der Regel der Betreiber für seine Website verantwortlich, aber wer eine Wartung übernimmt, übernimmt auch konkrete Pflichten. In deinen Freelancer-Vertrag für Webdesign gehört deshalb, ob und in welchem Umfang du nach dem Launch Updates, Backups und Monitoring übernimmst. Ohne Wartungsvereinbarung solltest du bei der Übergabe dokumentieren, dass der Kunde ab jetzt selbst zuständig ist, und ihm die Checkliste oben mitgeben.

Für Website-Betreiber heißt das: Frag bei der Auswahl deines Dienstleisters aktiv nach dem Sicherheitskonzept. Ein guter WordPress-Freelancer kann dir in zwei Minuten erklären, wie er Updates, Backups und Zugänge organisiert.

Fazit: WordPress Sicherheit ist Routine, kein Projekt

Die meisten gehackten WordPress-Seiten sind nicht Opfer raffinierter Angriffe, sondern von Vernachlässigung. Updates, starke Logins, wenige gepflegte Plugins und funktionierende Backups decken den Großteil der Risiken ab. Der Rest ist Feinschliff, der je nach Projekt mehr oder weniger wichtig ist.

Entscheidend ist, dass jemand dafür zuständig ist und die Aufgaben regelmäßig erledigt. Genau das macht den Unterschied zwischen einer Website, die jahrelang läuft, und einer, die eines Morgens Spam-Links ausliefert.

Du suchst jemanden, der deine WordPress-Seite sicher aufsetzt und betreut? Im Freelancer-Verzeichnis findest du erfahrene WordPress-Profis. Und wenn du selbst WordPress-Projekte umsetzt, kannst du dich dort kostenlos eintragen.