Wie sicher ist WordPress für Unternehmen?
WordPress ist das meistgenutzte System für Firmenwebsites. Genau deshalb suchen automatisierte Angriffe gezielt nach WordPress-Seiten mit veralteten Plugins, schwachen Passwörtern und offenen Logins. Das Problem ist selten WordPress selbst, sondern eine Website, die nach dem Livegang niemand mehr pflegt.
Kurz gesagt: WordPress Sicherheit entsteht nicht durch ein einzelnes Plugin, sondern durch mehrere Schutzebenen: ein abgesicherter Login mit Zwei-Faktor-Anmeldung, zeitnahe Updates, eine Firewall, die Überwachung der Dateien, externe Backups mit getesteter Wiederherstellung, HTTPS und ein Hosting in der EU. Wer diese Ebenen laufend pflegt, macht automatisierten Angriffen das Leben sehr schwer.
Für Ihr Unternehmen zählt dabei nicht die Technik, sondern was ein Ausfall bedeutet: Tage ohne Anfragen, verlorene Plätze bei Google, Aufwand für die Wiederherstellung und im Ernstfall eine Datenpanne, die gemeldet werden muss. Deshalb gehört WordPress Sicherheit bei jeder Website, die wir umsetzen, zur Website-Betreuung.
Dieser Beitrag zeigt die acht Schutzebenen einer sicheren WordPress-Website, die fünf häufigsten Fehler und was Sie tun, wenn Ihre Website gehackt wurde.
Welche Schutzebenen braucht eine sichere WordPress-Website?
Eine sichere WordPress-Website braucht acht Schutzebenen, die sich gegenseitig absichern. Fällt eine aus, fangen die anderen den Angriff ab.
| Schutzebene | Schützt vor | Rhythmus |
|---|---|---|
| Login mit Zwei-Faktor-Anmeldung und Sperre | Erratenen Passwörtern und Bot-Angriffen | einmal einrichten, Zugänge jährlich prüfen |
| Scanner für bekannte Lücken | Lücken in Plugins und Themes | täglich automatisch |
| Firewall | Angriffen auf Formulare, Datenbank und Login | laufend |
| Überwachung der Dateien | unbemerkt eingeschleustem Schadcode | laufend |
| Abgesicherte Datenbank | Zugriffen von außen und Datenmüll | einmal einrichten, monatlich bereinigen |
| Externe Backups | Datenverlust nach Hack oder Fehler | täglich sichern, Wiederherstellung regelmäßig testen |
| HTTPS mit HSTS | Mitlesen von Formulardaten | Zertifikat automatisch verlängern |
| Hosting in der EU mit Vertrag | unklaren Datenflüssen | beim Hosterwechsel prüfen |
Layer 1: Login-Härtung mit 2FA und Limit Login Attempts
Standard-Username “admin” durch individuellen ersetzen, starke Passwörter mit Passwort-Manager generieren, Two-Factor-Authentication für alle Admin-Accounts via Two-Factor-Plugin, Limit Login Attempts Reloaded mit Sperrung nach 5 Fehlversuchen.
Layer 2: Plugin-Vulnerability-Scanner
WPVulnerability oder Wordfence Premium scannen mehrmals täglich auf bekannte Vulnerabilities in installierten Plugins und Themes. Bei kritischen Findings: automatische Alerts, manuelle Reaktion innerhalb 24-72 Stunden.
Layer 3: Web Application Firewall
Wordfence Premium oder Sucuri Firewall blockieren Angriffe auf Anwendungs-Ebene: SQL-Injections, XSS, Brute-Force, Bot-Attacks. Cloud-basierte Firewalls wie Sucuri filtern Traffic vor Erreichen des Servers, Schutz vor DDoS und Ressourcen-Erschöpfung.
Layer 4: Datei-Integritäts-Monitoring
Wordfence Premium prüft alle WordPress-Core-, Plugin- und Theme-Dateien gegen Original-Hashes. Veränderte Dateien lösen Alerts aus. Erkennt unbefugte Datei-Änderungen durch Hacks innerhalb Minuten statt Tagen.
Layer 5: Datenbank-Härtung
Datenbank-Präfix von “wp_” auf individuell ändern, regelmäßige Datenbank-Bereinigung von Spam-Kommentaren und Revisionen, Datenbank-Zugriff auf localhost beschränken, sichere DB-Passwörter mit Sonderzeichen.
Layer 6: Backup mit getesteter Wiederherstellung
Tägliche automatische Backups, Datenbank und Filesystem, auf externen Server. UpdraftPlus Premium oder BackupBuddy. Monatliche Wiederherstellungs-Tests auf einer Testkopie, denn erst ein getestetes Backup ist ein Schutz.
Layer 7: SSL/HTTPS überall mit HSTS
SSL-Zertifikat von Lets Encrypt oder kommerziell, HTTPS-Erzwingung über htaccess, HSTS-Header für Browser-Cache, sichere Cookies mit Secure-Flag. Die DSGVO verlangt angemessene technische Schutzmaßnahmen (Artikel 32 DSGVO), dazu gehört eine verschlüsselte Übertragung.
Layer 8: DSGVO-konformes Hosting in der EU
Hosting in EU-Rechenzentren (Hetzner, all-inkl, Mittwald, raidboxes), Auftragsverarbeitungs-Vertrag mit Hoster, dokumentierte Sicherheits-Maßnahmen. Vermeidet DSGVO-Schäden bei Hack durch unklare Datenflüsse.
Welche Fehler machen WordPress-Websites angreifbar?
Fast immer sind es dieselben fünf Lücken: ein schwacher Standard-Login, veraltete Plugins, eine fehlende Login-Sperre, ungetestete Backups und eine veraltete PHP-Version.
Fehler eins: Standard-Login admin mit schwachem Passwort. Automatisierte Angriffe probieren zuerst naheliegende Benutzernamen und bekannte Passwörter. Ein individueller Benutzername plus Zwei-Faktor-Anmeldung nimmt diesen Angriffen die Grundlage.
Fehler zwei: Veraltete Plugins ohne Updates. Sicherheitslücken stecken meist in Plugins und Themes, nicht im WordPress-Kern. Für viele bekannte Lücken gibt es längst ein Update, es wurde nur nicht eingespielt. Updates gehören deshalb in einen festen Rhythmus, kritische Sicherheitsupdates sofort.
Fehler drei: Kein Login-Limiter. Bots probieren den WordPress-Login rund um die Uhr mit Passwortlisten durch. Eine Sperre nach wenigen Fehlversuchen beendet das, bevor ein Passwort erraten ist.
Fehler vier: Backups ohne Wiederherstellungs-Test. Ein nie getestetes Backup ist Hoffnung, nicht Schutz. Prüfen Sie die Wiederherstellung regelmäßig auf einer Testkopie.
Fehler fünf: Veraltete PHP-Version. PHP 7.x ist seit 2022 End-of-Life. Sites auf alten PHP-Versionen haben ungepatchte Server-Sicherheitslücken.
Wovon hängt der Aufwand für WordPress Sicherheit ab?
Der Aufwand hängt weniger von WordPress ab als von Ihrer Website: wie viele Plugins laufen, ob Kundendaten verarbeitet werden und wie schnell im Ernstfall jemand reagieren muss.
- Zahl und Qualität der Plugins: Jedes Plugin ist eine mögliche Lücke und braucht Updates.
- Daten auf der Website: Formulare, Bewerbungen oder Kundenkonten erhöhen den Schutzbedarf.
- Reaktionszeit: Wer Anfragen über die Website gewinnt, braucht Überwachung und schnelle Reaktion, nicht nur monatliche Updates.
- Zustand der Technik: Alte PHP-Versionen, verwaiste Plugins oder ein Theme ohne Updates machen vorab eine Bereinigung nötig.
Aus unseren Projekten: Wenn wir eine bestehende WordPress-Website vor einem Relaunch prüfen, finden wir häufig dieselben Muster: Plugins, die seit Jahren kein Update bekommen haben, alte Administrator-Zugänge ehemaliger Dienstleister und Backups, die auf demselben Server liegen wie die Website. Im Alltag fällt keines davon auf, bis die Seite ausfällt.
Vertiefend: WordPress Wartung, die besten WordPress Plugins und die Checkliste für eine DSGVO-konforme Website.
Häufige Fragen zur WordPress Sicherheit
Was kostet WordPress Sicherheit?
Das hängt von der Zahl der Plugins, den Daten auf der Website und der nötigen Reaktionszeit ab. Lizenzen für Sicherheits- und Backup-Plugins sind der kleinere Posten, der größere ist die laufende Pflege: Updates prüfen, Warnungen auswerten, Backups testen. Bei den Websites, die wir umsetzen, ist das Teil der Website-Betreuung.
Welche Sicherheits-Plugins sind die besten?
Wordfence Premium für umfassendes Sicherheits-Monitoring, Sucuri Firewall für Cloud-basierten DDoS-Schutz, Limit Login Attempts Reloaded für Brute-Force-Schutz, Two-Factor für 2FA, UpdraftPlus Premium für Backups.
Wie schnell muss ich Sicherheits-Updates installieren?
Innerhalb 24-72 Stunden nach Veröffentlichung. Bei kritischen Vulnerabilities sofort. Bot-Angriffe nutzen bekannte Lücken oft binnen Stunden.
Was tun, wenn die WordPress-Website gehackt wurde?
Sofort offline nehmen, alle Passwörter ändern, Backup vor Hack-Zeitpunkt einspielen, Datei-Integrität prüfen, Sicherheits-Spezialist einschalten. Bei DSGVO-relevantem Datenleck: Meldung innerhalb 72 Stunden an Datenschutzbehörde.
Ist WordPress sicher genug für Unternehmen?
Ja, mit professioneller Sicherheits-Architektur. Sicherheitslücken entstehen vor allem durch veraltete Plugins, schwache Zugänge und fehlende Updates, nicht durch WordPress selbst. Sicherheit ist Konfigurations- und Wartungsfrage, nicht Plattform-Frage.
Woran erkenne ich, dass meine WordPress-Website gehackt wurde?
Typische Zeichen sind fremde Weiterleitungen, besonders auf dem Smartphone, unbekannte Administratoren, Seiten oder Dateien, die Sie nicht angelegt haben, Spam-Treffer Ihrer Domain bei Google und Warnungen in der Google Search Console. Auch ein plötzlich langsamer Server oder Hinweise Ihres Hosters auf verdächtige Aktivität gehören dazu. Prüfen Sie in diesem Fall zuerst den Bericht „Sicherheitsprobleme“ in der Search Console.
