Warum WordPress häufig angegriffen wird
WordPress betreibt einen großen Teil des Webs. Diese Verbreitung macht das System attraktiv für automatisierte Angriffe. Dabei wird selten eine bestimmte Website persönlich ausgewählt. Scanner suchen nach bekannten Schwachstellen, veralteten Erweiterungen und leicht zu erratenden Zugangsdaten.
WordPress ist deshalb nicht automatisch unsicher. Das Risiko entsteht aus dem Zusammenspiel von Kernsystem, Themes, Plugins, Hosting, Benutzerkonten und Wartung. Eine Website mit wenigen gepflegten Komponenten kann deutlich robuster sein als ein System, das für jede kleine Funktion eine weitere Erweiterung sammelt.
1. Updates zeitnah und kontrolliert einspielen
WordPress, Plugins, Themes, PHP und die zugrunde liegende Serverumgebung müssen unterstützt und aktuell bleiben. Sicherheitsupdates sollten zeitnah installiert werden. Bei größeren Versionswechseln ist vorher zu prüfen, ob Erweiterungen und eigene Anpassungen weiterhin funktionieren.
Automatische Updates können bei geeigneten Komponenten helfen. Sie ersetzen keine Kontrolle. Nach einer Aktualisierung sollte mindestens geprüft werden, ob Anmeldung, Formulare, zentrale Seiten und Schnittstellen funktionieren. Ein Update ist erst abgeschlossen, wenn der Betrieb überprüft wurde.
2. Erweiterungen begrenzen und 3. ungenutzte Komponenten entfernen
Jedes Plugin und jedes Theme erweitert den Codebestand und damit potenziell die Angriffsfläche. Installiert werden sollten nur Komponenten mit nachvollziehbarer Pflege, aktueller Kompatibilität und einem echten Zweck. Eine hohe Downloadzahl allein ist keine Sicherheitsprüfung.
Deaktivierte Erweiterungen bleiben Dateien auf dem System und können weiterhin Schwachstellen enthalten. Was nicht benötigt wird, sollte vollständig entfernt werden. Das gilt auch für Testinstallationen, alte Themes und vergessene Administratorwerkzeuge. Digitale Abstellkammern werden nicht sicherer, nur weil niemand mehr hineinschaut.
4. Konten absichern und 5. Rechte begrenzen
Administratorkonten brauchen eindeutige Benutzer, starke individuelle Passwörter und möglichst eine Mehrfaktor-Authentisierung. Gemeinsam genutzte Zugänge erschweren die Nachvollziehbarkeit und sollten vermieden werden. Standardnamen allein verursachen keinen Angriff, erleichtern aber unnötig das Raten.
Nicht jeder Benutzer benötigt Administratorrechte. Redaktion, Autoren, Technik und externe Dienstleister sollten nur die Berechtigungen erhalten, die sie tatsächlich brauchen. Nicht mehr benötigte Konten werden gesperrt oder entfernt. Gerade bei wechselnden Agenturen und früheren Mitarbeitern lohnt sich ein regelmäßiger Blick auf die Benutzerliste.
6. Anmeldungen schützen und 7. Veränderungen beobachten
Wiederholte Anmeldeversuche sollten begrenzt und auffällige Zugriffe protokolliert werden. Ein vorgeschalteter Schutzdienst oder eine Web Application Firewall kann automatisierte Angriffe reduzieren. Er ist eine zusätzliche Schicht, kein Ersatz für Updates und vernünftige Konfiguration.
Protokolle, Dateiänderungen und ungewöhnliche neue Benutzer können Hinweise auf einen Vorfall geben. Die Überwachung muss zum Risiko der Website passen. Ein privater Blog benötigt kein Sicherheitsleitstand rund um die Uhr. Komplett ohne Meldungen bemerkt man einen Angriff allerdings häufig erst, wenn Suchmaschinen bereits freundlich vor der eigenen Website warnen.
8. Backups getrennt speichern und Wiederherstellung testen
Eine Sicherung muss Datenbank, hochgeladene Dateien, Konfiguration und notwendige Anpassungen enthalten. Sie sollte automatisiert, versioniert und getrennt vom Webserver gespeichert werden. Liegt das einzige Backup im selben erreichbaren System, kann ein Angriff oder technischer Defekt beides gleichzeitig treffen.
Entscheidend ist die Wiederherstellung. Ein erfolgreich gemeldeter Sicherungslauf beweist nur, dass Dateien geschrieben wurden. Erst ein Restore-Test zeigt, ob die Website daraus tatsächlich wieder in Betrieb genommen werden kann und ob die Zugangsdaten und Abläufe verfügbar sind.
9. Einen einfachen Notfallplan vorbereiten
Für einen Vorfall sollten Ansprechpartner, Zugänge und erste Schritte bekannt sein. Wer darf die Website abschalten? Wie wird das Hosting erreicht? Wo liegen Sicherungen? Wer prüft eine mögliche Datenschutzverletzung? Diese Fragen lassen sich unter Zeitdruck nur selten besser beantworten.
Im Ernstfall gilt: zuerst den Sachverhalt klären, Zugriffe sichern und weitere Schäden begrenzen. Die Schuldfrage hilft in den ersten Minuten nicht. Beweise und Protokolle sollten erhalten bleiben, bevor Systeme vorschnell neu installiert werden.
Hosting und Anwendung gemeinsam betrachten
Die offizielle WordPress-Dokumentation trennt zu Recht zwischen der Verantwortung des Hosters und der Verantwortung des Website-Betreibers. Der Hoster schützt Server, Netzwerk und angebotene Plattformdienste. Betreiber bleiben für die installierte Anwendung, Konten und Erweiterungen verantwortlich. Bei Managed WordPress sollte deshalb schriftlich klar sein, wer Kernsystem, PHP, Datenbank, Backups und Sicherheitsvorfälle betreut. „Managed“ ist eine Leistungsbeschreibung, kein Naturgesetz.
Auch Transport und Dateirechte gehören zur Grundlage. Administrationszugriffe benötigen HTTPS; Dateiübertragungen sollten verschlüsselt erfolgen. Dateien und Verzeichnisse dürfen nur so weit beschreibbar sein, wie es der Betrieb erfordert. Der eingebaute Editor für Plugin- und Theme-Dateien kann deaktiviert werden, damit ein übernommenes Administratorkonto nicht ganz so bequem eigenen PHP-Code hinterlegt. Das ersetzt keine starke Anmeldung, begrenzt aber mögliche Schäden.
Ein sinnvoller Wartungsrhythmus
- laufend: Sicherheitsmeldungen und fehlgeschlagene Anmeldungen beobachten
- wöchentlich: verfügbare Updates prüfen, einspielen und zentrale Funktionen testen
- monatlich: Konten, Erweiterungen, Themes und externe Integrationen auf Notwendigkeit prüfen
- regelmäßig: eine Wiederherstellung in einer getrennten Umgebung testen
- nach wesentlichen Änderungen: Berechtigungen, Datenschutz, Formulare und Protokollierung erneut prüfen
Der genaue Takt hängt von Bedeutung und Änderungsrate der Website ab. Wichtig ist die feste Verantwortung. Wenn alle gelegentlich nach Updates schauen, schaut erfahrungsgemäß niemand zuverlässig. Eine kleine dokumentierte Routine ist wirksamer als ein großer Sicherheitsplan, der nur für den Audit-Termin geöffnet wird.
Kurz gesagt
Ein sicheres WordPress braucht keine Sammlung exotischer Maßnahmen. Updates, sparsame Erweiterungen, begrenzte Rechte, Mehrfaktor-Authentisierung, Beobachtung, getrennte Backups und ein getesteter Notfallablauf schaffen eine solide Grundlage. Vollständige Sicherheit gibt es nicht. Eine vernünftig gepflegte Website macht automatisierten Angreifern die Arbeit jedoch deutlich schwerer – und dem Betreiber die Wiederherstellung erheblich leichter.
Quellen und weiterführende Informationen
Zuletzt fachlich geprüft: