WordPress absichern: Firewall, Härtung und laufende Überwachung
Angriffe auf WordPress laufen automatisiert. Sie sind nicht persönlich gemeint – sie treffen jeden, der eine bekannte Lücke offen lässt. Absicherung heißt, diese Lücken zu schließen, bevor jemand sie findet.
Die häufigsten Einfallstore
Fast alle erfolgreichen Angriffe auf WordPress nutzen eine Handvoll immer gleicher Schwachstellen. Keine davon ist exotisch – und keine davon lässt sich nicht schließen.
Veraltete Plugins und Themes
Der mit Abstand häufigste Weg hinein. Sobald eine Lücke öffentlich dokumentiert ist, suchen Bots gezielt nach Websites, die noch die alte Version einsetzen.
Schwache Zugangsdaten
Der Benutzername „admin“ und ein Passwort, das in jeder Wörterliste steht. Automatisierte Anmeldeversuche laufen rund um die Uhr gegen jede erreichbare Website.
Fehlende Rechtehärtung
Dateirechte, die zu großzügig gesetzt sind, ein erreichbarer Dateieditor im Backend, aktives XML-RPC: Viele Standardeinstellungen sind bequem, aber nicht sicher.
Ungeschützte Formulare
Kontaktformulare ohne Spam-Schutz werden für Massenversand missbraucht. Das kostet Ihre Domain im schlimmsten Fall die E-Mail-Reputation.
Kein Überblick über Zugänge
Alte Administratorkonten von Agenturen, Praktikanten oder Freelancern, die längst nicht mehr im Projekt sind – und trotzdem noch vollen Zugriff haben.
Kein brauchbares Backup
Kein Einfallstor, aber der Grund, warum aus einem Vorfall ein Totalschaden wird. Ohne sauberen Wiederherstellungspunkt bleibt nur der Neuaufbau.
Was ich konkret absichere
-
Firewall und Login-Schutz. Automatisierte Anmeldeversuche werden gesperrt, verdächtige Anfragen blockiert. Ab Pro kommen erweiterte Regeln und Sperren nach IP oder Land dazu.
-
Härtung der Installation. Dateirechte, deaktivierter Dateieditor, abgeschaltetes XML-RPC, versteckte Versionsinformationen, sichere Cookie- und Header-Einstellungen.
-
Regelmäßige Malware-Scans. Je nach Paket monatlich, alle 14 Tage oder täglich. Auffälligkeiten prüfe ich manuell nach – Sie bekommen keine Fehlalarme.
-
Benutzer- und Rechteprüfung. Wer hat Zugriff, wer braucht ihn wirklich? Alte Konten werden entfernt, Rollen auf das notwendige Maß reduziert.
-
Audit-Log. Ab Pro wird protokolliert, wer wann was geändert hat. Im Zweifel lässt sich damit rekonstruieren, woher ein Problem kam.
-
SSL und sichere Übertragung. Gültiges Zertifikat, durchgängige HTTPS-Weiterleitung, keine gemischten Inhalte.
-
Spam-Abwehr für Formulare. Damit Ihr Kontaktformular nicht zum Werkzeug für andere wird.
Wenn es schon passiert ist
Wenn Ihre Website bereits Schadcode ausliefert, im Browser eine Warnung erscheint oder Google sie aus dem Index genommen hat, ist das kein Wartungsfall mehr, sondern ein Notfall. Dann gilt eine andere Reihenfolge:
Isolieren
Website in den Wartungsmodus, alle Passwörter ändern, aktive Sitzungen beenden. Erst den Schaden begrenzen, dann analysieren.
Sichern
Der kompromittierte Stand wird gesichert – nicht zum Wiederherstellen, sondern als Beweismittel für die Analyse.
Bereinigen
Schadcode entfernen, Kern und Plugins aus sauberen Quellen ersetzen, Datenbank auf eingeschleuste Inhalte und unbekannte Benutzer prüfen.
Schließen
Die Ursache finden und die Lücke schließen. Ohne diesen Schritt ist die Website in wenigen Tagen wieder betroffen.
Wiederherstellen
Absicherung härten, Monitoring einrichten und – falls nötig – bei Google eine erneute Prüfung beantragen.
Eine Bereinigung ist Projektarbeit und läuft über den Stundensatz von 99 €. Schreiben Sie mir in so einem Fall am besten direkt an info@timkatzer.it und schreiben Sie „Notfall“ in den Betreff.
Absicherung ist in jedem Paket enthalten
Basic
Für kleine Unternehmensseiten, die zuverlässig aktuell und gesichert bleiben sollen.
-
Wöchentliche Updates für WordPress, Plugins und Themes
-
Wöchentliches Backup, 3 Tage Aufbewahrung
-
Basis-Firewall inklusive Login-Schutz
-
1 Sicherheits-Scan pro Monat
-
Premium-Hosting inklusive SSL-Zertifikat
-
Uptime-Monitoring rund um die Uhr
-
Monatlicher Wartungsbericht
-
Keine Staging-Umgebung
-
Kein Audit-Log
-
Keine inklusive Pflegezeit
Pro
Der Standard für Websites, die aktiv gepflegt werden und Anfragen bringen sollen.
-
Updates zweimal im Monat, jeweils mit Sichtprüfung
-
Tägliches Backup, 7 Tage Aufbewahrung
-
Erweiterte Firewall-Regeln und IP-Sperren
-
Sicherheits-Scan alle 14 Tage
-
Audit-Log: wer hat wann was geändert
-
Hosting auf VPS mit RunCloud
-
Staging-Umgebung zum Testen
-
Uptime- und Pagespeed-Monitoring
-
Automatische Bildoptimierung
-
30 Minuten Pflegezeit pro Monat
-
1 Seite OnPage-SEO pro Monat
-
Spam-Abwehr für das Kontaktformular
Business
Für Shops und Websites, bei denen ein Ausfall direkt Geld kostet.
-
Wöchentliche Updates inklusive manueller Prüfung
-
Tägliches Backup, 30 Tage Aufbewahrung
-
Vollständige Firewall und täglicher Sicherheits-Scan
-
Vollständiges Audit-Log und Protokollierung
-
Hosting auf VPS mit RunCloud Pro
-
Vollwertige Staging-Umgebung inklusive Domain-Klon
-
Uptime-, Fehler- und Pagespeed-Monitoring
-
Automatische Bildoptimierung
-
60 Minuten Pflegezeit pro Monat
-
2 Seiten OnPage-SEO pro Monat
-
1 Blogartikel pro Monat
-
Wartungsbericht zusätzlich als PDF
-
WooCommerce-Support inklusive
Alle Preise verstehen sich netto zuzüglich gesetzlicher Umsatzsteuer. Laufzeit und Kündigungsfrist stehen in Ihrem persönlichen Angebot.
Häufige Fragen
Reicht ein Sicherheits-Plugin nicht aus?
Ein Plugin ist ein Werkzeug, keine Strategie. Es hilft beim Blockieren und Scannen, ersetzt aber weder Updates noch geprüfte Backups noch eine sinnvolle Rechtevergabe. Die meisten gehackten Websites, die ich sehe, hatten ein Sicherheits-Plugin installiert – nur eben veraltet.
Ein Plugin ist ein Werkzeug, keine Strategie. Es hilft beim Blockieren und Scannen, ersetzt aber weder Updates noch geprüfte Backups noch eine sinnvolle Rechtevergabe. Die meisten gehackten Websites, die ich sehe, hatten ein Sicherheits-Plugin installiert – nur eben veraltet.
Woran merke ich, dass meine Website gehackt wurde?
Typische Anzeichen: Der Browser zeigt eine Warnung, in den Suchergebnissen erscheinen fremde Texte, es tauchen unbekannte Administratorkonten auf, die Website leitet Besucher weiter oder wird plötzlich sehr langsam. Manchmal merkt man es aber gar nicht – deshalb gehören Scans zur Wartung.
Typische Anzeichen: Der Browser zeigt eine Warnung, in den Suchergebnissen erscheinen fremde Texte, es tauchen unbekannte Administratorkonten auf, die Website leitet Besucher weiter oder wird plötzlich sehr langsam. Manchmal merkt man es aber gar nicht – deshalb gehören Scans zur Wartung.
Ist WordPress unsicher?
Nein. Der WordPress-Kern selbst ist gut gepflegt und wird schnell aktualisiert. Die Lücken stecken fast immer in Erweiterungen – und in dem Umstand, dass niemand sie einspielt. Sicherheit ist bei WordPress weniger eine Frage der Software als eine Frage der Pflege.
Nein. Der WordPress-Kern selbst ist gut gepflegt und wird schnell aktualisiert. Die Lücken stecken fast immer in Erweiterungen – und in dem Umstand, dass niemand sie einspielt. Sicherheit ist bei WordPress weniger eine Frage der Software als eine Frage der Pflege.
Was ist mit der DSGVO?
Absicherung und DSGVO hängen zusammen: Artikel 32 verlangt angemessene technische Maßnahmen zum Schutz personenbezogener Daten. Verschlüsselte Übertragung, Zugriffskontrolle, Protokollierung und Backups gehören genau dazu. Eine ungewartete Website ist damit auch ein datenschutzrechtliches Risiko.
Absicherung und DSGVO hängen zusammen: Artikel 32 verlangt angemessene technische Maßnahmen zum Schutz personenbezogener Daten. Verschlüsselte Übertragung, Zugriffskontrolle, Protokollierung und Backups gehören genau dazu. Eine ungewartete Website ist damit auch ein datenschutzrechtliches Risiko.
Sie wissen nicht, wie es um Ihre Website steht?
Der Website-Check ist kostenlos und unverbindlich. Sie bekommen eine ehrliche Einschätzung zu Update-Stand, Sicherheit, Backups und Ladezeit – innerhalb von 24 Stunden an Werktagen.