WordPress ist das am häufigsten genutzte CMS weltweit und eines der besten Systeme, um eine Website oder einen Blog zu erstellen.
Leider besitzt es jedoch einige Schwachstellen.
Welche das sind und wie du die WordPress-Sicherheit durch meist einfache Maßnahmen erheblich verbessern und den Schutz vor Hackerangriffen deutlich erhöhen kannst, erfährst du in diesem Beitrag.
Ein wichtiger Hinweis vorab:
Vielleicht bist du der Meinung, dass eine kleine WordPress-Website keinen Hacker interessiert. Diese Einstellung ist jedoch falsch!
Hacker-Angriffe laufen heutzutage in der Regel automatisiert ab. Dafür verwendete Bots und Crawler machen oft keinen Unterschied zwischen kleinen und großen Websites.
1. Anzahl an Plugins reduzieren
Sicherheitslücken in Plugins sind der Hauptgrund dafür, dass WordPress-Websites gehackt werden.
Deshalb gilt:
Je weniger Plugins du installiert hast, desto geringer ist das Risiko.
Du solltest dir also unbedingt überlegen, welche Plugins du zwingend benötigst und auf welche du verzichten kannst.
Manche Plugins lassen sich auch durch Code-Schnipsel in der functions.php oder native Funktionen in WordPress ersetzen (z. B. Lazy Loading). Für Erstes ist es nötig und sinnvoll, ein Child-Theme zu erstellen.
2. Inaktive Plugins und Themes löschen (nicht nur deaktivieren)
Leider sind viele WordPress-Nutzer der Meinung, dass es ausreichend ist, nicht genutzte Themes oder Plugins zu deaktivieren und nicht zu löschen.
Getreu dem Motto: „Vielleicht benötige ich das Plugin oder Theme in der Zukunft noch einmal.“
Das Problem daran ist:
Auch Sicherheitslücken in inaktiven Plugins oder Themes können ausgenutzt werden.
Nimm dir deshalb einige Minuten Zeit und lösche alle inaktiven Plugins und Themes.
3. Keine Plugins oder Themes installieren, die länger nicht mehr aktualisiert wurden
WordPress bietet über 50.000 Plugins in seiner Bibliothek, die du kostenlos zu deiner Seite hinzufügen kannst.
Bei vielen dieser Erweiterungen handelt es sich um Hobby-Projekte, die vielleicht gut programmiert sind, jedoch unter Umständen nicht weiterentwickelt werden bzw. deren Weiterentwicklung zu einem Zeitpunkt eingestellt wurde.
Solche veralteten Plugins oder Themes wurden nicht an neue Sicherheitsstandards angepasst und bekannte Sicherheitslücken wurden nicht geschlossen. Beides führt dazu, dass sie Ziel von Hackern werden könnten.
Achte also bei der Installation eines Plugins oder Themes unbedingt darauf, dass die letzte Aktualisierung nicht zu weit in der Vergangenheit liegt, sie mit der aktuellen WordPress-Version getestet wurden und einen lebendigen Changelog besitzen.
4. Regelmäßig Updates einspielen
WordPress stellt regelmäßig Aktualisierungen zur Verfügung, um Sicherheitslücken zu schließen und das System an aktuelle Bedrohungen anzupassen.
Mit jedem Update reduzierst du also das Risiko für einen Hackerangriff.
Das Gleiche gilt selbstverständlich für Plugins und Themes! Regelmäßige Updates sind ein Muss.
Ein Tipp: Viele Plugins bieten automatische Updates an. Diese solltest du jedoch nur in Verbindung mit einer lückenlosen Backup-Software nutzen, da Updates immer wieder zu Kompatibilitätsproblemen führen können und unter Umständen deine Seite lahmlegen.
5. Plugins und Themes auf Sicherheitslücken untersuchen
Auch dem besten Programmierer wird es nicht gelingen, alle Lücken in einem Plugin oder Theme zu schließen.
Daher solltest du das Thema Sicherheit selbst in die Hand nehmen und alle installierten Erweiterungen regelmäßig eigenständig auf Sicherheitslücken überprüfen.
Die gute Nachricht: Das funktioniert auch dann, wenn du nichts vom Programmieren verstehst.
Mit dem Plugin WpScan untersuchst du deine gesamte Website und alle installierten Plugins auf Schwachstellen. Hier werden sogar Dinge wie schwache Benutzernamen aufgedeckt.
Ein regelmäßiger Crawler-Durchlauf kann also nicht schaden.
Ergänzend solltest du Augen und Ohren offenhalten, ob die WordPress-Community über Schwachstellen berichtet. Wir würden dir empfehlen, in Facebook-Gruppen und Foren aktiv mitzulesen, um keine News zu verpassen.
6. Uptime-Monitoring installieren
Es gibt zahlreiche kostenlose Tools, die deine Website automatisiert, 24 Stunden am Tag im Hinblick auf deren Verfügbarkeit überwachen.
Sobald deine Website nicht mehr erreichbar ist, sendet dir das Tool eine Nachricht. Dieses Uptime-Monitoring hat zwei Vorteile:
- Du erkennst, wie zuverlässig dein Hoster ist.
- Du kannst bei Hacker-Angriffen oder technischen Fehlern sofort reagieren und Gegenmaßnahmen ergreifen
Da diese Tools nicht im Backend installiert werden müssen, haben sie wenig bis gar keinen Einfluss auf die Performance deiner Website und können daher bedenkenlos genutzt werden.
Wir vertrauen seit vielen Jahren auf UptimeRobot und sind damit sehr zufrieden.
7. PHP-Version aktuell halten
PHP ist das Herzstück einer jeden WordPress-Website und einer der wichtigsten Bestandteile des CMS. Die Skriptsprache steuert alle wichtigen Prozess im Hintergrund.
In der Regel wird PHP im Abstand von zwei Jahren durch eine neue Version ersetzt. Updates und Patches werden auch nur während dieser Zeit ausgespielt. Das bedeutet im Umkehrschluss: Nutzt du eine nicht aktuelle PHP-Version, könnte der Code erheblich veraltet sein und eventuell Sicherheitslücken enthalten.
Diese Lücke solltest du sofort schließen!
Bei den meisten Hostern ist eine problemlose Änderung der PHP-Version im Mitgliederbereich möglich, sodass es wirklich keinen Grund dafür gibt, auf einen veralteten Code zurückzugreifen.
Achtung: Vor einer PHP-Umstellung bitte unbedingt ein Backup machen!
Um zu ermitteln, welche PHP-Version deine Website aktuell nutzt, genügt eine einfache Pingdom-Analyse. Unter der ersten Anfrage nach „x-powerd-by“ findest du in der Regel die genutzte Version.
8. Sichere Passwörter verwenden
Einer der besten Sicherheitstipps, um deine Website vor Hackerangriffen zu schützen, scheint auf den ersten Blick zu banal, um wirklich zielführend zu sein: Verwende ein starkes Passwort!
Leider unterschätzen diese Tatsache die meisten Seitenbetreiber.
Um dir ein Beispiel zu nennen, wie effektiv ein sicheres Passwort ist, folgende Statistik: Ein Bot benötigt im Rahmen einer Brute-Force-Attacke lediglich 4,5 Sekunden, um ein Passwort zu knacken, das aus 10 Ziffern besteht. Bei einem Passwort bestehend aus 10 Ziffern, Buchstaben und Zahlen beträgt die Dauer 2,13 Jahre!
Daher lautet unser eindringlicher Rat: Verwende ein Passwort, das aus mindestens 10 verschiedenen Zeichen besteht – je länger, desto besser.
Einen guten Anhalt bietet WordPress, denn im System erfolgt bereits eine Bewertung, wie sicher dein Passwort gewählt ist.
Achte bitte bei allen Mitgliedern darauf, dass ausschließlich starke Passwörter verwendet werden.
Achtung: Verwende bitte kein Passwort, das du auch auf einer anderen Plattform im Einsatz hast.
9. WordPress-Login absichern
Die Absicherung der Login-Seite gehört zu den häufigsten Sicherungsmaßnahmen, die auch viele Blogger gerne umsetzen.
Es ist völlig in Ordnung, diese Maßnahme zu ergreifen, du solltest dir jedoch im Klaren darüber sein, dass die meisten Hacker-Angriffe über andere Wege den Zugang zu einer Seite finden.
Immerhin kann über ein sicheres Passwort hier ein ausgezeichneter Schutz aufgebaut werden. Ein Passwort, das aus achten Zeichen inkl. Groß- und Kleinschreibung sowie Ziffern besteht, führt zu 2.183.40.105.584.896 verschiedenen Möglichkeiten. Um das zu knacken, benötigen Bots Jahre!
Das Problem, das solche Brute-Force-Attacken mit sich bringen, liegt also nicht im Bereich der Sicherheit. Vielmehr können viele solcher Angriffe in kurzer Zeit deine Website in die Knie zwingen und vom Netz nehmen.
Also: Die Absicherung des Logins, beispielsweise durch eine 2-Faktor-Authentifizierung ist bei einem starken Passwort nicht zwingend notwendig, kann aber zusätzlichen Schutz bringen.
Die Limitierung der Login-Versuche ist dennoch sinnvoll! Durch diese Beschränkung erreichst du einen optimalen Schutz gegen Brute-Force-Attacken und schonst deine Server-Ressourcen. Allerdings ist diese Maßnahme leider nicht mehr so effektiv wie noch vor einigen Jahren, da moderne Bots automatisch ihre IP wechseln können.
Auch die Änderung der URL der WordPress-Login-Seite kann hier etwas Abhilfe schaffen.
10. Login-Daten nirgendwo wiederverwenden
Bist du einer der Menschen, die ein Passwort auf allen Geräten und allen Portalen verwenden? Wenn ja, solltest du das dringend ändern!
Dieses Verhalten ist beinahe schon leichtsinnig, denn sobald eine der Plattformen gehackt wurde, sind auch Tür und Tor zum Backend deiner Website geöffnet.
Also:
Nutze deine WordPress-Login-Daten NIRGENDWO anders und benutzte unbedingt individuelle Passwörter.
Außerdem solltest du von der Verwendung klassischer Benutzernamen absehen. Studien haben belegt, dass Angriffe auf den Login in den meisten Fällen mit dem Benutzernamen „Admin“ erfolgen, den WordPress gerne in seiner Standard-Konfiguration nutzt. Diesen solltest du also unbedingt löschen und dich unter einem einmaligen Namen als Administrator anmelden.
11. Datenbank-Präfix ändern
Die Basis von WordPress bilden Datenbanken. Hier werden Inhalte oder Konfigurationen von Themes und Plugins gespeichert.
Auch Anmeldedaten (Benutzername und Passwort) werden in solchen Datenbanken abgelegt, was diese zu einem häufigen Ziel von Hackerangriffen macht.
Auch diese Angriffe laufen vollkommen automatisiert. Das Ziel ist in harmlosen Fällen die Veröffentlichung von SPAM-Kommentaren, in schlimmeren Fällen wird die Kontrolle über die gesamte Website übernommen.
Um das zu verhindern, gilt es, die Standardkonfiguration von WordPress zu verändern. Das System legt bei der Installation 12 Tabellen mit dem Präfix wp_ an, das unbedingt geändert werden sollte, um es Angreifern zu erschweren.
Im Idealfall passiert das direkt bei der Installation, denn hier ist es am einfachsten.
Sofern das nicht erfolgt es, kannst du eine Anpassung auch nachträglich vornehmen. Hier gibt es zwei verschiedene Möglichkeiten:
- Händische Änderung: Das Präfix lassen sich händisch im PHPMyAdmin-Bereich ändern, was wir jedoch nur mit einer sehr genauen Anleitung empfehlen würden, denn neben der Änderung des Präfixes müssen außerdem die usermeta-Tabelle und die options-Tabelle angepasst werden.
- Anpassung durch Plugin: WordPress wäre nicht WordPress, wenn es kein Plugin für diese Arbeit geben würden. Wir würden Acunetix WP Security empfehlen, dass die Präfixe automatisch abändert.
12. WordPress Keys & Salts festlegen
Über den Begriff WordPress Keys & Salts wirst du in der Vergangenheit mit hoher Wahrscheinlichkeit nicht gestolpert sein.
Hierbei handelt es sich einfach ausgedrückt um eine Art kryptografisches Werkzeug, das WordPress nutzt, um deine Passwörter und Benutzerdaten, die in System-Cookies abgelegt sind, vor Angreifern zu schützen. Ein solches Cookie wird zum Beispiel verwendet, um die Funktion „Angemeldet bleiben“ zu ermöglichen.
WordPress wird in seiner Standard-Konfiguration bereits mit Salts ausgeliefert, die in der wp-config.php gespeichert sind.
Eine Änderung dieser Salts kann jedoch die Sicherheit deiner Seite deutlich erhöhen. Außerdem bietet eine solche Änderung den Vorteil, dass alle angemeldeten Benutzer automatisch abgemeldet werden.
Erfolgen kann diese Änderung auf zwei verschiedene Wege:
- Du änderst diese händisch in der wp-config.php ab. Generieren kannst du neue Salts mithilfe des offiziellen WordPress.org Salt-Generators.
- Du nutzt das Plugin Salt Shaker. Hier kannst du eine automatische Änderung der Salts nach einem von dir festgelegten Turnus einrichten. Security-Plugins wie iThemes besitzen diese Funktion ebenfalls.
Tipp: Nutze diesen Keys and Salts Generator.
13. SFTP oder SSH statt unverschlüsseltem FTP verwenden
Wenn du direkt auf deinen Webspace zugreifen möchtest (etwa mithilfe von FileZilla) stehen dir verschiedene Übertragungsarten zur Verfügung.
Leider wird nach wie vor regelmäßig das Dateiübertragungsprotokoll FTP genutzt, das unverschlüsselt ist und daher nicht mehr modernen Sicherheitsstandards entspricht.
Kein Wunder, denn FTP wurde bereits im Jahr 1985 entwickelt!
Da via FTP Benutzernamen und Passwörter unverschlüsselt übertragen werden, solltest du sofort auf sichere Alternativen zurückgreifen.
Dir stehen zwei moderne Protokolle zur Verfügung:
- SFTP: SSH File Trasfer Protocol
- FTPS: FTP over TLSBeide Varianten verwenden eine TLS-Verschlüsselung bei der Datenübertragung. Somit sind alle sensiblen Daten vor dem Zugriff Dritter geschützt.
14. Sichere Dateirechte nutzen
Dieser Sicherheitstipp richtet sich zwar überwiegend an erfahrene WordPress-Nutzer, sollte dennoch im Idealfall umgesetzt werden, da hierdurch ein sehr effektiver Schutz erreicht werden kann.
Um das Procedere zu verstehen, musst du zunächst begreifen, wie ein Seitenaufruf einer WordPress-Website generiert wird:
Ein Besucher ruft deine Seite, also deinen Webserver auf. Hierdurch wird PHP aktiviert und die index.php gelesen. Hier ist alles enthalten, was für einen Seitenaufruf verarbeitet werden muss. Auch ein Schreiben in die Datenbank ist möglich, beispielsweise, wenn du einen Kommentar zu einem Beitrag hinterlässt.
Das mag für dich abstrakt klingen, wenn du ein WordPress-Einsteiger bist. Daher wollen wir es nicht zu kompliziert machen und das Thema an dieser Stelle etwas abkürzen: Egal, ob Besucher oder WordPress-Admin, in PHP werden lediglich Schreibrechte benötigt, wenn du Updates von Themes, Plugins oder dem WordPress-Core durchführen möchtest.
Daher ist es eine sehr effektive Sicherheitsmaßnahme, wenn du keine Schreibrechte auf PHP gewährst. So verhinderst du Angriffe in diesem Bereich und erreichst einen deutlich höheren Sicherheitsstandard.
Und das Beste ist: Du benötigst hierfür nicht einmal ein Plugin!
Eine Schritt-für-Schritt-Anleitung, wie du Schreibrechte für PHP deaktivieren kannst, findest du hier.
15. WordPress auf HTTPS umstellen
Kaum zu glauben, aber wahr: Es existieren nach wie vor unzählige Webseiten, die kein SSL-Zertifikat nutzen. Dabei ist es eine der einfachsten und unkompliziertesten Maßnahmen, die WordPress-Sicherheit extrem zu erhöhen, von HTTP zu HTTPS umzustellen.
Gerade E-Commerce-Seiten oder Mitgliederbereiche werden sensible Daten übertragen, die unbedingt geschützt werden sollten. Das ist bei HTTP nicht der Fall, denn hier wird regelmäßig der Klartext an den Server übertragen.
Nebenbei gibt es viele andere Gründe, die für die Einrichtung eines SSL-Zertifikats sprechen. Darunter etwa SEO, die Vertrauenswürdigkeit deiner Seite gegenüber Besuchern oder die Performance.
Die Einrichtung eines SSL-Zertifikats ist simpel und auch für Einsteiger problemlos möglich. Bei den meisten professionellen Hostern sind diese Zertifikate kostenlos im Vertrag inkludiert und müssen lediglich im Mitgliederbereich für die entsprechende Domain aktiviert werden.
In einem weiteren Schritt solltest du überprüfen, ob im WordPress-Backend eine Umstellung auf HTTPS erfolgt ist.
16. Hinweise auf WordPress-Version entfernen
Generell gilt: Je weniger Informationen ein potenzieller Angreifer über deine Website besitzt, desto besser. Das gilt auch für die verwendete WordPress-Version, die insbesondere dann als Einladung zu verstehen ist, wenn es sich um eine ältere Version handelt.
Um die WordPress-Version auszublenden, gibt es mehrere Möglichkeiten.
Zum einen lässt sich dies durch eine Anpassung des Quellcodes erreichen. Füge zur functions.php folgenden Code hinzu:
function wp_version_remove_version() {
return '';
}
add_filter('the_generator', 'wp_version_remove_version');Bis zur WordPress-Version 5.0 wurde außerdem eine readme.html im Stammverzeichnis der Installation angelegt, die du ebenfalls löschen solltest, da auch hier ein Hinweis auf die Version zu finden ist.
Alternativ kannst du für die Ausblendung auch ein Plugin verwenden. Wir empfehlen Perfmatters, das neben dieser Funktion zahlreiche weitere tolle Features bietet, um die Performance und Sicherheit deiner Seite zu erhöhen.
17. Aktivitäten in WordPress loggen
Du solltest jederzeit darüber Bescheid wissen, was auf deiner Seite, insbesondere im Backend, passiert. Das gilt auch dann, wenn du nur alleine an der Seite arbeitest. Ein Aktivitätsprotokoll kann dir nämlich sofort aufzeigen, wenn Änderungen ohne dein Zutun durchgeführt wurden – ein sicheres Indiz für einen unerwünschten Fremdzugriff.
Dabei solltest du unter anderem folgende Bereiche im Auge behalten:
- Inhaltliche Veränderungen
- Neu angelegte Benutzer oder veränderte Nutzerrechte
- Anmeldeversuche
- Änderungen an Plugins oder Themes
- Änderungen am Quellcode oder WordPress-Core
Was auf den ersten Blick nach einem sehr komplexen Vorhaben klingt, wird durch ein kostenloses Plugin zum Kinderspiel: WP Security Audit Log.
Das Plugin ist sehr einsteigerfreundlich und führt dich Schritt für Schritt durch einen umfangreichen Installationsprozess. Im Anschluss erkennst du direkt im Backend, welche Änderungen an deiner Website vorgenommen wurden.
18. Regelmäßig Backups erstellen
Auch die vermeintlich sicherste Website kann Opfer eines erfolgreichen Angriffs werden. Eine hundertprozentige Sicherheit ist schlichtweg nicht zu erreichen.
Mit diesem Wissen solltest du nicht darauf verzichten, regelmäßige Backups deines Systems inkl. aller Plugins sowie deiner Tabellen durchzuführen.
Mithilfe dieser Backups kannst du dein System nach einem Hackerangriff zurücksetzen und schnell wiederherstellen, ohne dass Daten verloren gehen.
Viele Hoster bieten automatisierte Backups an. Sollte das nicht der Fall sein, kannst du alternativ ein WordPress-Plugin wie UpdraftPlus benutzen. Das Tool erstellt nicht nur nach einem festgelegten Zeitplan eine lückenlose Sicherung deiner gesamten Website, sondern legt diese auf einem unabhängigen Speicherort wie deinem Google Cloud Speicher ab.
19. Firewall nutzen
Eine effektive Firewall schützt deine WordPress-Website sehr zuverlässig vor Brute-Force- und DDoS-Angriffen (Distributed Denial of Service). Kurz erläutert, blockiert eine solche Firewall den Zugang zu einer Website, bevor ein Sicherheitsrisiko ins Backend eindringen kann.
Wir vertrauen seit vielen Jahren auf das Plugin NinjaFirewall, das viele Vorteile mitbringt.
Zum einen ist das Tool zu 100 % DSGVO-konform, zum anderen wird deine Datenbank nicht mit Einträgen überschwemmt, wie das bei vielen anderen Tools der Fall ist.
Das Plugin checkt automatisch im Hintergrund, ob eine Bedrohung gegeben ist und informiert dich im Notfall per Mail.
Welche Security Plugins sind empfehlenswert?
Es existieren zahlreiche WordPress-Security-Plugins, die hervorragend Dienste leisten und deine Website zuverlässig schützen.
Dabei solltest du bei diesen Plugins unbedingt auf folgende Features achten:
- Aktive Sicherheitsüberwachung
- Zuverlässiger Scan der Webseite (automatisiert)
- SPAM- und Mailware-Suche
- Blacklist-Überwachung
- Firewall
- Brute-Force-Schutz
- Umfangreiche Benachrichtigungsfunktion bei Gefahren
Neben sehr hochpreisigen Produkten findest du in der WordPress-Bibliothek zwei kostenlose Vertreter, die wir selbst seit vielen Jahren im Einsatz haben und wirklich empfehlen können.
Zunächst wäre iThemes Security zu nennen, das sich auf die Erkennung von Plugin-Schwachstellen, schwachen Passwörtern und Schadsoftware spezialisiert ist. Mit der Pro-Version, die es für einen Jahresbeitrag von 80 US-Dollar zu erwerben gibt, kannst du weitere Funktionen freischalten.
Zu unserem Lieblings-Plugin in diesem Bereich hat sich in letzten Monaten Wordfence Security entwickelt. Das Tool ist extrem übersichtlich, bietet Firewall, Scanner oder Brute-Force-Schutz und ist in seiner kostenlosen Version bereits hervorragend aufgestellt.
