Ein Login-Versuch aus einem fremden Land, eine plötzlich umgeleitete Startseite oder ein Update, das die Website lahmlegt: Solche Probleme treffen nicht nur große Online-Shops. Wer WordPress sicher betreiben möchte, braucht keine Spezialausbildung, aber einen festen Ablauf. Denn die meisten Sicherheitslücken entstehen nicht durch spektakuläre Hackerangriffe, sondern durch vergessene Updates, schwache Passwörter und Erweiterungen, die niemand mehr pflegt.
Für Selbstständige, Vereine und kleine Unternehmen ist eine WordPress-Website oft mehr als eine digitale Visitenkarte. Sie sammelt Kontaktanfragen, präsentiert Leistungen und ist vielleicht an Newsletter, Buchungssysteme oder Werbekampagnen angebunden. Fällt sie aus oder werden Kundendaten abgegriffen, kostet das Vertrauen, Zeit und im ungünstigen Fall Geld.
Warum WordPress-Websites ein beliebtes Ziel sind
WordPress ist weit verbreitet. Genau das macht das System attraktiv für automatisierte Angriffe. Bots testen rund um die Uhr bekannte Login-Adressen, probieren gestohlene Passwörter aus und suchen nach alten Plugin-Versionen mit öffentlich dokumentierten Schwachstellen. Das bedeutet nicht, dass WordPress unsicher wäre. Es bedeutet: Eine Standardinstallation ohne Pflege ist leicht zu erkennen und oft leicht anzugreifen.
Die gute Nachricht ist, dass viele Schutzmaßnahmen wenig kosten und sich gut in den Arbeitsalltag einbauen lassen. Entscheidend ist nicht, jede theoretische Gefahr auszuschließen. Ziel ist, typische Angriffe abzuwehren, Schäden schnell begrenzen zu können und eine Website nach einem Fehler zuverlässig wiederherzustellen.
1. Hosting und Technik sauber auswählen
Sicherheit beginnt vor dem ersten Plugin. Ein guter Hosting-Tarif sollte aktuelle PHP-Versionen unterstützen, kostenlose SSL-Zertifikate bereitstellen, regelmäßige Server-Backups anbieten und einen klar erreichbaren Support haben. Billiges Hosting kann funktionieren, wird aber zum Risiko, wenn Sicherheitsupdates für die Serverumgebung zu spät eingespielt werden oder Backups nur unklar geregelt sind.
Prüfen Sie auch, ob Ihre Website ausschließlich über HTTPS erreichbar ist. Das Schloss-Symbol im Browser ist keine Dekoration: Es verschlüsselt die Verbindung zwischen Besuchern und Website. Besonders bei Kontaktformularen, Logins oder Shops ist das Pflicht.
Wer mehrere Projekte betreibt, sollte sie nicht gedankenlos in eine einzige WordPress-Installation pressen. Eine kompromittierte Seite kann sonst weitere Projekte gefährden. Getrennte Installationen schaffen mehr Verwaltungsaufwand, begrenzen im Ernstfall aber den Schaden.
2. Admin-Zugänge konsequent absichern
Der häufigste Fehler sitzt vor dem Bildschirm: ein wiederverwendetes Passwort. Für das WordPress-Administratorkonto gehört ein einzigartiges, langes Passwort in einen Passwortmanager. Der Benutzername sollte nicht einfach „admin“ heißen und auch nicht dem sichtbaren Autorennamen entsprechen.
Aktivieren Sie zusätzlich eine Zwei-Faktor-Anmeldung. Nach dem Passwort wird dabei ein zweiter Nachweis abgefragt, meist ein zeitbasierter Code aus einer Authenticator-App. Wird ein Passwort durch ein Datenleck bei einem anderen Dienst bekannt, reicht es Angreifern dann nicht mehr für den Zugang.
Ebenso wichtig sind Rollen und Rechte. Nicht jeder, der einen Beitrag schreibt, braucht Administratorrechte. Redakteure, Autoren und Shop-Mitarbeiter sollten nur die Funktionen erhalten, die sie tatsächlich benötigen. Verlässt jemand das Team, entfernen Sie den Zugang zeitnah statt ihn nur ungenutzt bestehen zu lassen.
3. WordPress, Plugins und Themes aktuell halten
Updates sind kein lästiger Zusatz, sondern die wirksamste Routine im Sicherheitskonzept. Aktualisieren Sie den WordPress-Kern, Plugins und Themes regelmäßig. Sicherheitslücken werden häufig erst dann gefährlich, wenn ihre Details öffentlich bekannt sind und viele Websites trotzdem auf alten Versionen laufen.
Automatische Updates eignen sich besonders für kleinere Sicherheits- und Wartungsupdates. Bei großen Versionssprüngen oder komplexen Websites mit Shop, Page Builder und individuellen Anpassungen ist etwas mehr Vorsicht sinnvoll. Erstellen Sie vorher ein Backup und testen Sie Änderungen, wenn möglich, in einer Staging-Umgebung. Das ist eine Kopie der Website, auf der Sie Updates prüfen, ohne die Live-Seite zu gefährden.
Ein Plugin-Update kann im Einzelfall ein Layout oder eine wichtige Funktion beeinträchtigen. Deshalb lautet die praktische Regel nicht „nie automatisch aktualisieren“, sondern: Automatisieren, was gut kontrollierbar ist, und bei geschäftskritischen Funktionen einen Testprozess einplanen.
4. Weniger Erweiterungen bedeuten weniger Risiko
Plugins machen WordPress flexibel, erweitern aber auch die Angriffsfläche. Installieren Sie nur Erweiterungen, die Sie wirklich verwenden. Ein deaktiviertes, aber veraltetes Plugin ist ebenfalls unnötiger Ballast und sollte gelöscht werden, wenn keine Verwendung mehr vorgesehen ist.
Achten Sie bei der Auswahl auf regelmäßige Aktualisierungen, eine nachvollziehbare Entwicklung und Kompatibilität mit Ihrer WordPress-Version. Viele aktive Installationen sind ein gutes Signal, aber keine Sicherheitsgarantie. Kritischer ist, ob ein Plugin über längere Zeit gepflegt wird und ob sein Zweck klar ist.
Auch Themes verdienen Aufmerksamkeit. Behalten Sie ein aktuelles Standard-Theme als technische Reserve, entfernen Sie aber alte oder ungenutzte Designs. Kostenlose Downloads aus unbekannten Quellen sind keine clevere Sparmaßnahme. Manipulierte Premium-Themes und Plugins enthalten oft Schadcode, der erst Wochen später auffällt.
5. Backups erstellen – und die Wiederherstellung testen
Ein Backup ist Ihre Rückversicherung gegen Fehlupdates, Schadsoftware, Bedienfehler und defekte Server. Verlassen Sie sich nicht ausschließlich auf die Sicherung des Hosters. Idealerweise gibt es mindestens eine zusätzliche Kopie, die getrennt vom Webspace gespeichert wird.
Sichern Sie immer Datenbank und Dateien. In der Datenbank stecken Beiträge, Einstellungen, Nutzerkonten und viele Formulardaten. Dateien enthalten Medien, Themes, Plugins und Konfigurationen. Fehlt einer dieser Teile, ist eine vollständige Wiederherstellung oft nicht möglich.
Wie häufig ein Backup nötig ist, hängt vom Projekt ab. Eine statische Unternehmensseite kommt meist mit wöchentlichen Sicherungen aus. Bei einem Shop, einer Mitgliederseite oder einem Blog mit täglichen Beiträgen sollten die Abstände deutlich kürzer sein. Entscheidend ist die Frage: Wie viele Daten dürften im schlimmsten Fall verloren gehen?
Testen Sie mindestens einmal, ob sich ein Backup wirklich einspielen lässt. Eine Sicherungsdatei, die im Notfall nicht funktioniert, ist nur scheinbare Sicherheit. Notieren Sie zudem, wo Backups liegen und wer darauf zugreifen kann.
6. WordPress sicher betreiben mit Schutz vor Angriffen
Eine Sicherheitslösung für WordPress kann Login-Versuche begrenzen, verdächtige Aktivitäten protokollieren und bekannte Angriffswege blockieren. Das ist sinnvoll, ersetzt aber keine Updates und keine guten Zugänge. Ein einzelnes Sicherheits-Plugin als Allheilmittel zu betrachten, führt schnell zu falscher Sicherheit.
Besonders hilfreich ist eine Begrenzung fehlgeschlagener Anmeldungen. So können Bots nicht unbegrenzt Passwörter ausprobieren. Wenn Sie keine Registrierung auf Ihrer Website benötigen, deaktivieren Sie sie. Prüfen Sie außerdem, ob unnötige Funktionen wie XML-RPC für Ihr Projekt wirklich gebraucht werden. Manche Anwendungen nutzen diese Schnittstelle, andere nicht – pauschales Abschalten kann daher Funktionen beeinträchtigen.
Für größere Websites oder Teams lohnt sich ein Blick in die Aktivitätsprotokolle. Sie zeigen etwa, wenn neue Administratoren angelegt, Plugins installiert oder wichtige Einstellungen verändert wurden. Das beschleunigt die Fehlersuche erheblich.
7. Formulare und Daten nicht vergessen
Kontaktformulare sind ein häufiger Einstiegspunkt für Spam und missbräuchliche Eingaben. Ergänzen Sie einen modernen Spam-Schutz und fragen Sie nur Daten ab, die Sie tatsächlich benötigen. Ein Kontaktformular muss in den meisten Fällen weder Geburtsdatum noch vollständige Adresse verlangen.
Achten Sie außerdem darauf, wohin Formularanfragen gesendet werden und wie lange Sie sie speichern. Sicherheitsmaßnahmen und Datenschutz gehören zusammen: Weniger gespeicherte Daten bedeuten auch weniger Informationen, die bei einem Vorfall betroffen sein können.
Bei Shops oder Mitgliederbereichen steigt der Anspruch. Zahlungsdaten sollten nicht auf dem eigenen WordPress-System verarbeitet werden, wenn ein spezialisierter Zahlungsdienst dies übernehmen kann. Hier ist die Auslagerung nicht nur bequemer, sondern meist auch sicherer.
8. Einen kleinen Notfallplan vorbereiten
Wenn eine Website auffällig wird, zählt ein ruhiges Vorgehen mehr als hektisches Herumprobieren. Halten Sie fest, wer Hosting-Zugang, Domain-Verwaltung und WordPress-Adminrechte besitzt. Speichern Sie die Kontaktdaten des Hosters und dokumentieren Sie, wo aktuelle Backups liegen.
Bei einem Verdacht auf Schadsoftware sollten Sie zunächst Zugänge absichern: Passwörter ändern, Administratoren prüfen und gegebenenfalls die Website vorübergehend in einen Wartungsmodus setzen. Danach gilt es, die Ursache zu finden. Einfach nur Dateien aus einem Backup zurückzuspielen kann helfen, wenn die Sicherheitslücke anschließend geschlossen wird. Andernfalls beginnt das Problem von vorn.
Planen Sie eine kurze monatliche Wartungsroutine ein: Updates prüfen, nicht benötigte Plugins löschen, Backups kontrollieren und Benutzerkonten durchsehen. Dieser feste Termin ist wirksamer als der Vorsatz, sich „bei Gelegenheit“ darum zu kümmern. Eine gepflegte WordPress-Website bleibt kein Selbstläufer, aber sie wird zu einem verlässlichen Werkzeug statt zu einer dauernden Sorge.