WordPress-Sicherheit: die Maßnahmen, die kleine Betriebe wirklich schützen

Kurz gesagt: WordPress ist nicht unsicher, aber viele WordPress-Seiten sind es. Fast alle Einbrüche laufen über veraltete Plugins und Themes, schwache oder mehrfach genutzte Passwörter und fehlende Backups. Wer Updates zeitnah einspielt, ungenutzte Erweiterungen löscht, Logins mit Zwei-Faktor-Anmeldung schützt und tägliche Backups außerhalb des Servers speichert, ist gegen die allermeisten Angriffe abgesichert. Ein Sicherheits-Plugin ergänzt das, ersetzt es aber nicht.

Warum gerade kleine WordPress-Seiten angegriffen werden

„Wer sollte schon meine Website hacken?“ Diese Frage höre ich oft, und sie geht am Problem vorbei. Kaum ein Angriff auf eine Praxis-, Vereins- oder Handwerkerseite ist persönlich gemeint. Automatische Programme durchsuchen rund um die Uhr Millionen Websites nach bekannten Schwachstellen: ein Formular-Plugin in einer alten Version, ein Login mit dem Benutzernamen „admin“, eine vergessene Testinstallation im Unterordner. Findet der Scan etwas, wird die Lücke genauso automatisch ausgenutzt.

Das Ziel ist selten deine Website selbst, sondern ihr Ruf und ihr Server. Gehackte Seiten verschicken Spam, leiten Besucher auf dubiose Shops um oder bekommen versteckte Linkseiten untergeschoben. Für dich heißt das: Google warnt in den Suchergebnissen vor deiner Seite, der Hoster sperrt das Paket, und deine Mails landen im Spam, weil der Server auf Sperrlisten steht. Der Schaden ist also vor allem Sichtbarkeit und Vertrauen, beides lange aufgebaut und schnell verloren.

Die gute Nachricht: Weil die Angriffe automatisiert nach den einfachsten Lücken suchen, schützen schon wenige konsequente Maßnahmen sehr wirksam. Du musst nicht unknackbar sein, nur kein leichtes Ziel.

Die sieben Maßnahmen, die wirklich schützen

1. Updates zeitnah einspielen: Der WordPress-Kern, alle Plugins und das Theme. Sicherheitslücken werden öffentlich, sobald das Update erscheint, und ab dann suchen die Scanner gezielt nach Seiten ohne Update. Kleinere Updates kannst du automatisch laufen lassen, größere Versionssprünge solltest du kurz testen.
2. Ungenutztes löschen, nicht nur deaktivieren: Ein deaktiviertes Plugin liegt weiter auf dem Server und kann weiter angegriffen werden. Lösche alles, was du nicht brauchst, auch alte Standard-Themes bis auf eines als Rückfall.
3. Nur Erweiterungen mit Pflege: Prüfe vor der Installation, wann das letzte Update war und wie viele Seiten das Plugin nutzen. Ein Plugin ohne Update seit zwei Jahren ist ein Risiko, auch wenn es funktioniert. Gekaufte Themes und Plugins nur aus der Originalquelle, nie als „kostenlose“ Kopie, denn die enthalten oft Schadcode.
4. Starke Logins mit Zwei-Faktor-Anmeldung: Jeder Zugang bekommt ein eigenes, langes Passwort aus einem Passwortmanager und einen zweiten Faktor per App. Kein Benutzer heißt „admin“, und jeder hat nur die Rolle, die er braucht: Wer Beiträge schreibt, braucht keine Administratorrechte.
5. Tägliche Backups außerhalb des Servers: Ein Backup, das auf demselben Server liegt, ist bei einem Einbruch oder Serverausfall mit weg. Sichere Dateien und Datenbank automatisch in einen externen Speicher und bewahre mehrere Stände auf, damit du auch zu einem Tag vor dem Einbruch zurückkannst.
6. Login absichern: Fehlversuche begrenzen, damit niemand tausende Passwörter durchprobieren kann. Wenn nur wenige Personen sich einloggen, kann der Zugang zusätzlich auf bestimmte Länder oder per Passwortschutz auf Serverebene eingeschränkt werden.
7. Sauberes Hosting: Aktuelle PHP-Version, HTTPS mit gültigem Zertifikat, getrennte Pakete für verschiedene Websites und ein Hoster, der Malware-Scans und Wiederherstellung anbietet. Eine Seite auf veraltetem PHP ist nicht nur langsamer, sondern bekommt keine Sicherheitsupdates mehr.

Diese Punkte sind keine einmalige Einrichtung, sondern Routine. Wie viel Zeit das im Monat kostet und was du abgeben kannst, beschreibt der Beitrag zur Website-Wartung.

Brauchst du ein Sicherheits-Plugin?

Ein Sicherheits-Plugin wie Wordfence, Solid Security oder vergleichbare Lösungen ist sinnvoll, wenn du es richtig einordnest. Es begrenzt Login-Versuche, richtet die Zwei-Faktor-Anmeldung ein, scannt Dateien auf bekannte Schadsoftware und meldet dir, wenn Plugins veraltet sind. Das ist hilfreich, vor allem die Benachrichtigungen.

Was ein Plugin nicht kann: veraltete Erweiterungen sicher machen, verlorene Daten zurückholen oder ein schwaches Passwort ausgleichen. Es läuft außerdem innerhalb von WordPress, also genau dort, wo ein erfolgreicher Angreifer auch Zugriff hat. Installiere deshalb nur ein Sicherheits-Plugin, nicht drei, denn mehrere bremsen die Seite und kommen sich gegenseitig in die Quere. Viele Hoster bieten Firewall und Malware-Scan bereits auf Serverebene an, dann reicht im Plugin oft der Login-Schutz.

Achte auch auf Datenschutz: Manche Sicherheits-Plugins senden IP-Adressen an Server außerhalb der EU. Das gehört in deine Datenschutzerklärung oder ist ein Grund, eine Alternative zu wählen.

Woran du merkst, dass deine Seite gehackt wurde, und was dann zu tun ist

Typische Anzeichen sind fremde Administratoren in der Benutzerliste, Umleitungen auf fremde Seiten (oft nur für Besucher vom Handy oder aus der Google-Suche), unbekannte Seiten in der Google-Suche mit site:deinedomain.de, eine Warnung in der Google Search Console oder eine Mail vom Hoster wegen auffälligen Mailversands. Gerade die Umleitungen siehst du als eingeloggter Admin oft nicht, weil der Schadcode dich gezielt verschont.

Im Ernstfall gilt diese Reihenfolge:

1. Zugänge ändern: Passwörter für WordPress, Hosting, FTP/SFTP und Datenbank, von einem sauberen Gerät aus.
2. Sauberen Stand wiederherstellen: Das letzte Backup vor dem Einbruch einspielen, danach sofort alle Updates. Ohne Backup muss die Seite manuell bereinigt werden, und das ist Fachleute-Arbeit.
3. Lücke finden: Sonst bist du in wenigen Tagen wieder betroffen. Meist ist es ein bestimmtes Plugin oder ein geknackter Zugang.
4. Google informieren: In der Search Console eine Überprüfung beantragen, damit die Warnung verschwindet.

Wurden dabei Formulardaten von Kunden oder Patienten abgegriffen, kann eine Meldepflicht bei der Datenschutzbehörde bestehen, in der Regel innerhalb von 72 Stunden. Das ist keine Rechtsberatung, aber ein Punkt, den du nicht übersehen solltest.

Ob deine Seite aktuell veraltete Plugins, eine alte PHP-Version oder offene Baustellen hat, zeigt das Website- und SEO-Audit. Wenn du Updates, Backups und Sicherheit lieber abgibst, übernehme ich das im Rahmen meiner Betreuung. Und wenn du ohnehin an den Einstellungen sitzt: Was für die Sichtbarkeit zählt, steht im Beitrag zu WordPress-SEO.

Häufige Fragen

Ist WordPress unsicherer als andere Systeme?

Nein. Der WordPress-Kern wird gut gepflegt und schnell aktualisiert. WordPress wird so oft angegriffen, weil es so verbreitet ist und weil viele Seiten mit veralteten Plugins laufen. Die Schwachstelle ist fast immer die Pflege, nicht das System.

Reichen automatische Updates aus?

Für den Großteil der Sicherheitsupdates ja, und sie sind besser als keine Updates. Sie ersetzen aber nicht den Blick auf die Seite: Ein Update kann ein Layout oder Formular zerschießen, und Plugins ohne Pflege bekommen gar keine Updates mehr. Ein kurzer Kontrolltermin im Monat gehört dazu.

Wie oft sollte ich ein Backup machen?

Für die meisten Betriebsseiten reicht ein tägliches automatisches Backup mit 14 bis 30 Tagen Aufbewahrung. Wichtig ist, dass es außerhalb des Servers liegt und dass du die Wiederherstellung mindestens einmal ausprobiert hast. Ein Backup, das sich nicht einspielen lässt, ist keins.