WordPress Sicherheit: die Maßnahmen, die wirklich schützen
Die meisten WordPress-Seiten werden nicht gezielt angegriffen. Sie werden von automatischen Programmen geknackt, die das ganze Netz nach bekannten Lücken absuchen. Sie finden veraltete Plugins, schwache Passwörter und vergessene Installationen. Für die WordPress Sicherheit heißt das: Wer diese drei Türen schließt, ist für solche Programme kein lohnendes Ziel mehr.
Die wirksamsten Maßnahmen kosten kein Geld: Updates zeitnah einspielen, ungenutzte Erweiterungen löschen und die Anmeldung mit einem zweiten Faktor sichern. Vieles andere, was in langen Tipplisten steht, können Sie sich sparen.
Was für die WordPress Sicherheit wirklich zählt
Im Netz kursieren lange Listen mit Dutzenden Tipps. Viele davon sind gut gemeint, aber nicht gleich wichtig.
Der Unterschied zwischen beiden Spalten ist einfach: Die linke schließt die Lücken, über die Angreifer tatsächlich hereinkommen. Die rechte erschwert nur das Finden. Ein Programm, das eine Lücke in einem bestimmten Plugin ausnutzt, interessiert sich nicht dafür, wie Ihre Tabellen heißen.
Updates und Erweiterungen
Die meisten bekannten Sicherheitslücken in WordPress-Seiten stecken nicht im Kern von WordPress, sondern in Plugins und Themes. Die Entwickler schließen sie meist schnell. Gefährlich wird es in der Zeit zwischen dem Update und dem Moment, in dem Sie es einspielen.
- Kern-Updates: Kleine Sicherheitsupdates spielt WordPress von allein ein. Lassen Sie das eingeschaltet.
- Plugins und Themes: Prüfen Sie mindestens einmal pro Woche, ob Updates bereitstehen. Für einfache Seiten können Sie automatische Updates einzeln einschalten.
- Ungenutztes löschen: Ein deaktiviertes Plugin liegt weiter auf dem Server und kann angegriffen werden. Was Sie nicht nutzen, gehört gelöscht, auch alte Themes und vergessene Kopien in Unterordnern wie /alt oder /test.
- Verlassene Plugins meiden: Im Verzeichnis steht, wann ein Plugin zuletzt aktualisiert wurde. Ist das Jahre her, suchen Sie eine gepflegte Alternative.
- Keine geknackten Kauf-Themes: Kostenpflichtige Themes und Plugins aus dubiosen Quellen enthalten häufig Schadcode. Kaufen Sie beim Hersteller oder nehmen Sie eine freie Alternative.
Jedes Plugin, das Sie nicht installieren, ist eine mögliche Lücke weniger. Fragen Sie sich bei jeder neuen Erweiterung, ob die Funktion den zusätzlichen Pflegeaufwand wert ist. In einem Shop haben Updates für Shop- und Zahlungs-Plugins Vorrang, weil sie mit Kundendaten arbeiten.
Die Anmeldung absichern
Beim Absichern denken die meisten zuerst an den Login. Zu Recht: Die Anmeldung unter wp-admin wird rund um die Uhr von Programmen angegriffen, die Passwörter durchprobieren. WordPress selbst begrenzt die Zahl der Versuche nicht.
Passwort und Benutzername
Ein langes, zufälliges Passwort aus einem Passwortmanager hält solchen Angriffen stand. Der Benutzername sollte nicht „admin“ und nicht der Name der Firma sein. Achten Sie darauf, dass der angezeigte Name bei Beiträgen nicht dem Anmeldenamen entspricht.
Zweiter Faktor
Mit einer Zwei-Faktor-Anmeldung reicht das Passwort allein nicht mehr. Zusätzlich wird ein Code aus einer App auf dem Handy abgefragt. WordPress bringt das nicht mit, aber es gibt dafür gut gepflegte Plugins. Für alle Konten mit Administratorrechten ist das die wirksamste einzelne Maßnahme.
Login-Versuche begrenzen
Ein Plugin oder eine Einstellung beim Hoster sperrt eine Adresse nach einigen Fehlversuchen für eine Weile. Viele Sicherheits-Plugins enthalten diese Funktion bereits. Manche Hoster bieten sie auch auf Serverebene an.
Ein oft übersehener zweiter Zugang ist die Datei xmlrpc.php, eine Schnittstelle, über die Apps mit WordPress sprechen. Über sie lassen sich ebenfalls Passwörter durchprobieren, sogar viele in einer einzigen Anfrage. Brauchen Sie sie nicht, etwa für die WordPress-App oder Jetpack, sperren Sie sie per Plugin oder in der .htaccess.
Seit Version 5.6 kennt WordPress außerdem Anwendungspasswörter für Apps und externe Dienste. Sie stehen im Profil jedes Benutzers und zählen für die WordPress Sicherheit wie ein zweites Passwort. Löschen Sie dort alle, die Sie keinem Dienst mehr zuordnen können.
Benutzerkonten und Rollen
Auf vielen Seiten sammeln sich über die Jahre Konten an: der frühere Webdesigner, eine Praktikantin, ein Testkonto. Jedes davon ist ein Zugang, den jemand missbrauchen kann.
Gehen Sie unter Benutzer die Liste durch. Löschen Sie Konten, die niemand mehr braucht, und weisen Sie deren Beiträge einem anderen Konto zu. Wer nur schreibt, braucht keine Administratorrechte. Arbeitet eine Agentur an der Seite, bekommt sie ein eigenes Konto, das Sie nach dem Auftrag wieder löschen. Für Ihre eigene tägliche Arbeit an Texten können Sie sogar ein zweites Konto mit Redakteursrechten anlegen.
Was Ihr Hoster beitragen sollte
Ein Teil der WordPress Sicherheit liegt außerhalb Ihres Dashboards. Diese Punkte sollte ein Tarif für WordPress mitbringen:
- eine aktuelle PHP-Version, die noch Sicherheitsupdates bekommt, und die Möglichkeit, sie selbst zu wechseln,
- ein SSL-Zertifikat, damit Passwörter verschlüsselt übertragen werden, mehr dazu unter SSL-Zertifikat,
- Zugang per SFTP statt unverschlüsseltem FTP,
- tägliche Sicherungen, die Sie selbst zurückspielen können,
- getrennte Bereiche für jeden Kunden, damit eine gehackte Nachbarseite nicht auf Ihre übergreift.
Manche Anbieter scannen den Webspace zusätzlich auf Schadcode oder filtern Angriffe, bevor sie WordPress erreichen. Welche Anforderungen ein Tarif sonst erfüllen sollte, zeigt WordPress Hosting.
Zwei Einstellungen in der wp-config.php
Zwei kleine Änderungen machen es Angreifern schwerer, wenn sie doch einmal in ein Konto gelangen. Die Datei liegt im Hauptordner der Installation und lässt sich per SFTP oder im Dateimanager des Kundenmenüs bearbeiten.
Dateieditor abschalten. Im Dashboard lassen sich Theme- und Plugin-Dateien direkt bearbeiten. Ein Angreifer mit Administratorkonto kann so Schadcode einschleusen. Diese Zeile schaltet den Editor ab:
define( 'DISALLOW_FILE_EDIT', true );
Die Datei selbst schützen. Die wp-config.php enthält die Zugangsdaten zur Datenbank. Ihre Dateirechte sollten so eng sein, wie es der Hoster erlaubt, oft sind 640 oder 600 möglich. Bei 640 darf der Besitzer lesen und schreiben, die Gruppe nur lesen und alle anderen nichts. Welche Werte bei Ihrem Tarif funktionieren, verrät der Support.
Sicherheits-Plugins: eines genügt
Sicherheits-Plugins bündeln Funktionen wie Login-Schutz, Firewall und die Suche nach veränderten Dateien. Eines davon kann sinnvoll sein, vor allem wenn Sie die Seite allein betreuen. Zwei oder drei gleichzeitig behindern sich oft gegenseitig und machen die Seite langsamer.
Ein Plugin allein sorgt aber nicht für WordPress Sicherheit. Es ersetzt keine der Maßnahmen von oben. Es kann veraltete Erweiterungen nicht aktualisieren und schwache Passwörter nicht stärker machen. Und es läuft selbst als Plugin, also mit denselben Rechten wie der Schadcode, gegen den es schützen soll.
Der feste Rhythmus
WordPress Sicherheit ist keine einmalige Einrichtung, sondern eine kleine, regelmäßige Aufgabe. Ein fester Rhythmus verhindert, dass sie im Alltag untergeht.
Für den Ernstfall braucht es Sicherungen, die außerhalb des Webspace liegen. Eine Sicherung auf demselben Server kann ein Angreifer mit löschen oder verändern. Wie Sie das aufbauen, steht unter Website Backup.
WordPress Sicherheit: häufige Fragen
Die Antworten zeigen, warum regelmäßige Pflege mehr bringt als jedes zusätzliche Werkzeug.
Ist WordPress unsicherer als andere Systeme?
Nein. WordPress wird so oft angegriffen, weil es so verbreitet ist. Der Kern wird gut gepflegt. Die meisten Probleme entstehen bei Erweiterungen und bei der Pflege.
Sind automatische Updates riskant?
Ein Update kann eine Seite in seltenen Fällen stören. Ein bekannt gewordenes Sicherheitsloch, das wochenlang offen bleibt, ist für eine einfache Seite meist das größere Risiko. Bei Shops und komplexen Seiten testen Sie größere Updates besser vorher.
Brauche ich eine Firewall?
Eine Web Application Firewall prüft Anfragen, bevor sie WordPress erreichen, und filtert bekannte Angriffsmuster heraus. Viele Hoster haben so etwas bereits vor ihre Server geschaltet. Für eine kleine Seite reicht das zusammen mit sauberer Pflege meist aus.
Was tue ich, wenn es trotzdem passiert ist?
Dann zählt die Reihenfolge der nächsten Schritte. Der Ratgeber Website gehackt führt durch die ersten Stunden.
Der Blick in den Website-Zustand
WordPress hat eine eingebaute Prüfung, die viele nie öffnen. Sie finden sie unter Werkzeuge, Website-Zustand. Dort meldet WordPress unter anderem:
- ob die PHP-Version veraltet ist,
- ob inaktive Plugins und Themes herumliegen,
- ob die Seite über https erreichbar ist,
- ob automatische Hintergrund-Updates funktionieren.
Die Meldungen sind nach Wichtigkeit sortiert und auf Deutsch erklärt. Wer dort alles auf Grün hat und die Maßnahmen von oben umsetzt, hat seine Seite besser geschützt als die große Mehrheit. Den letzten Baustein, eine Sicherung außerhalb des Servers, können Sie jetzt mit einem Backup-Plan ergänzen.