Leitfaden

WordPress absichern: der praktische Leitfaden für Unternehmen

Von Lucas Weber, CyberSec42 · Stand 22.10.2026

WordPress absichern heißt vor allem: Updates zuverlässig einspielen, nur nötige und vertrauenswürdige Plugins betreiben, Konten und Anmeldung schützen, unnötige Schnittstellen schließen, auf aktueller Server-Software laufen und ein Backup haben, dessen Wiederherstellung geprobt ist. Kein einzelnes Sicherheits-Plugin ersetzt diese Grundlagen. Dieser Leitfaden geht die acht Bereiche der Reihe nach durch, mit konkreten Schritten, und endet mit einer Checkliste zum Abhaken.

Warum WordPress-Seiten angegriffen werden

WordPress betreibt einen großen Teil aller Websites. Für Angreifer lohnt es sich deshalb, Werkzeuge zu bauen, die das Internet automatisch nach Seiten mit einer bestimmten Lücke absuchen. Ob Ihre Seite einem Konzern gehört oder einer Arztpraxis, spielt dabei keine Rolle. Entscheidend ist nur, ob die Lücke offen ist.

Eine übernommene Seite ist für Angreifer auf mehrere Arten wertvoll: als Schleuder für Spam-Links, die Ihre Suchmaschinen-Rankings beschädigen, als Weiterleitung zu Betrugsseiten, als Ablage für Schadsoftware, als Quelle für Daten aus Kontaktformularen und Kundenkonten und als Sprungbrett zu anderen Systemen auf demselben Server. Für Sie folgen daraus Ausfallzeiten, Reputationsschäden, Warnhinweise in Browsern und Suchmaschinen und unter Umständen Meldepflichten nach der DSGVO.

Die Schichten einer WordPress-Seite

Jede Schicht ist eine eigene Angriffsfläche. Eine Lücke in einer unteren Schicht, wie PHP2Shell im Oktober 2026, trifft alle Schichten darüber.

1. Updates und Lebenszyklus

Die meisten erfolgreichen Angriffe nutzen Lücken aus, für die es längst ein Update gibt. Der wirksamste Schritt ist deshalb ein verlässlicher Update-Prozess, nicht ein zusätzliches Werkzeug.

• Kern, Plugins und Themes aktuell halten. WordPress kann seit Version 5.5 Plugins und Themes automatisch aktualisieren. Für einfache Seiten ist das sinnvoll. Für Shops und Seiten mit vielen Abhängigkeiten ist ein fester Rhythmus mit kurzer Prüfung nach dem Update besser.
• Eine Testumgebung nutzen. Größere Updates zuerst auf einer Kopie der Seite einspielen. Viele Hoster bieten dafür eine Staging-Funktion.
• Aufgegebene Plugins erkennen. Ein Plugin, das seit Jahren kein Update bekommen hat oder aus dem Plugin-Verzeichnis entfernt wurde, bekommt auch keine Sicherheitskorrekturen mehr. Ersetzen, bevor eine Lücke bekannt wird.
• Löschen statt deaktivieren. Deaktivierte Plugins und ungenutzte Themes liegen weiter auf dem Server und können angreifbar sein. Was nicht gebraucht wird, gehört gelöscht.

2. Plugins und ihre Lieferkette

Mit jedem Plugin holen Sie fremden Code auf Ihren Server, der dieselben Rechte hat wie WordPress selbst. Wie wichtig die Herkunft ist, hat im Oktober 2026 der Fall Rank Math PRO gezeigt: Über den offiziellen Update-Weg des Herstellers wurden für einige Stunden manipulierte Kopien mit einer Hintertür ausgeliefert. Wer in dem Zeitfenster aktualisiert hat, war betroffen, obwohl er alles richtig gemacht hatte.

• Nur aus vertrauenswürdigen Quellen installieren. Aus dem offiziellen Plugin-Verzeichnis oder direkt vom Hersteller. „Kostenlose“ Kopien von Premium-Plugins aus anderen Quellen enthalten regelmäßig Schadcode.
• Bestand klein halten. Vor jeder Installation fragen, ob die Funktion wirklich ein Plugin braucht. Jedes eingesparte Plugin ist eine Angriffsfläche weniger.
• Dateien gegen das Original prüfen. Mit WP-CLI vergleicht wp core verify-checksums die Kerndateien und wp plugin verify-checksums --all die Plugins aus dem offiziellen Verzeichnis mit den veröffentlichten Prüfsummen. Für Premium-Plugins gibt es diese Prüfsummen meist nicht.
• Sicherheitsmeldungen verfolgen. Für die eingesetzten Plugins die Sicherheitshinweise des Herstellers im Blick behalten. Ein Update nach einem Vorfall behebt die Lücke, entfernt aber keine bereits eingeschleusten Dateien oder Konten.

3. Benutzer, Rollen und Anmeldung

Gestohlene, erratene oder mehrfach verwendete Passwörter sind einer der häufigsten Wege in eine WordPress-Seite. Hier wirken wenige Maßnahmen sehr stark.

• Zwei-Faktor-Anmeldung einführen. Für alle Konten mit Administrator- oder Redaktionsrechten. Das stoppt die meisten Angriffe auf Passwörter, auch wenn ein Passwort bekannt geworden ist.
• Rechte nach Bedarf vergeben. WordPress kennt Rollen von Abonnent bis Administrator. Wer nur Beiträge schreibt, braucht keine Administratorrechte. Je weniger Administratoren, desto kleiner der Schaden eines gestohlenen Kontos.
• Keine geteilten Konten. Jede Person und jede Agentur bekommt ein eigenes Konto. Nur so lässt sich nachvollziehen, wer was geändert hat, und nur so lässt sich ein Zugang gezielt entziehen.
• Zugänge beim Ausscheiden entziehen. Ehemalige Mitarbeitende, Freelancer und frühere Dienstleister haben oft noch Konten. Einmal im Quartal die Benutzerliste durchgehen.
• Benutzernamen nicht preisgeben. In der Grundeinstellung verrät WordPress Anmeldenamen über Autorenseiten und die REST-Schnittstelle (/wp-json/wp/v2/users). Diese Ausgabe lässt sich für nicht angemeldete Besucher abschalten.
• Anmeldeversuche begrenzen. Nach wiederholten Fehlversuchen die Anmeldung kurz sperren, über ein Plugin oder auf Server-Ebene.
• Anwendungspasswörter im Blick behalten. Seit WordPress 5.6 können Konten Anwendungspasswörter für Schnittstellen anlegen. Nicht mehr genutzte sollten Sie widerrufen.

4. Schnittstellen und Konfiguration

WordPress bringt Funktionen mit, die viele Seiten nicht brauchen, die aber Angreifern helfen.

• XML-RPC abschalten, wenn es niemand nutzt. xmlrpc.php ist eine ältere Schnittstelle, über die sich viele Passwörter in einer einzigen Anfrage durchprobieren lassen. Wird sie nicht gebraucht, etwa für eine ältere App oder bestimmte Erweiterungen, gehört sie gesperrt.
• Den Datei-Editor im Backend abschalten. Mit define( 'DISALLOW_FILE_EDIT', true ); in der wp-config.php lassen sich Plugin- und Theme-Dateien nicht mehr über das Backend ändern. Ein gestohlenes Administratorkonto kann dann nicht mit drei Klicks Schadcode einbauen.
• Fehlerausgabe im Live-Betrieb aus. WP_DEBUG gehört auf der Live-Seite auf false. Fehlermeldungen verraten sonst Pfade und Versionen.
• Sicherheitsschlüssel setzen. Die Salts in der wp-config.php müssen individuell sein. Nach einem Vorfall werden sie erneuert, damit alle bestehenden Anmeldungen ungültig werden.

5. Server, PHP und Hosting

WordPress ist nur so sicher wie der Server, auf dem es läuft. Wie wichtig das ist, hat im Oktober 2026 PHP2Shell gezeigt: zwei kritische Lücken in PHP selbst, die jede WordPress-Seite betreffen, unabhängig von Plugins.

• Eine unterstützte PHP-Version fahren. Welche Zweige noch Sicherheitsupdates bekommen, steht auf php.net. Die tatsächlich laufende Version zeigt WordPress unter Werkzeuge, Website-Zustand, Bericht, Server. Das Hosting-Panel kann davon abweichen.
• Keine PHP-Ausführung im Upload-Ordner. In wp-content/uploads gehören Bilder und Dokumente, keine Programme. Eine Server-Regel, die dort PHP-Ausführung verbietet, macht viele hochgeladene Hintertüren wirkungslos.
• Verschlüsselte Zugänge. HTTPS für die ganze Seite, SFTP statt FTP für Dateizugriffe. Unverschlüsseltes FTP überträgt Passwörter im Klartext.
• Seiten voneinander trennen. Liegen mehrere Websites im selben Hosting-Konto, kann eine kompromittierte Seite die anderen mitreißen. Wichtige Seiten gehören in getrennte Konten oder Umgebungen.
• Dateirechte nicht zu weit öffnen. Schreibrechte nur dort, wo WordPress sie braucht. Die wp-config.php sollte für andere Nutzer des Servers nicht lesbar sein.

6. Backups und Wiederherstellung

Ein Backup ist die Versicherung für den Fall, dass alles andere versagt. Es hilft aber nur, wenn es drei Bedingungen erfüllt.

• Es liegt woanders. Ein Backup auf demselben Server geht mit dem Server verloren und kann vom Angreifer verändert werden. Mindestens eine Kopie gehört an einen getrennten Ort.
• Es reicht weit genug zurück. Viele Einbrüche werden erst nach Wochen bemerkt. Wer nur die letzten sieben Tage aufbewahrt, hat dann nur noch kompromittierte Stände.
• Die Wiederherstellung ist geprobt. Einmal im Jahr, besser nach jeder größeren Änderung, das Backup tatsächlich in eine Testumgebung zurückspielen. Erst dann wissen Sie, dass es vollständig ist und wie lange die Wiederherstellung dauert.

7. Überwachung

Kein Schutz ist vollständig. Wichtig ist, einen Einbruch schnell zu bemerken, nicht erst, wenn Kunden anrufen oder der Browser warnt.

• Dateiänderungen überwachen. Neue oder geänderte PHP-Dateien außerhalb eines Updates sind das deutlichste Warnzeichen.
• Neue Administratorkonten melden lassen. Ein Angreifer legt sich fast immer ein eigenes Konto an.
• Erreichbarkeit und Inhalt prüfen. Ein Monitor, der nicht nur „Seite antwortet“ prüft, sondern auch, ob der erwartete Inhalt ausgeliefert wird, bemerkt Weiterleitungen und eingeschleuste Spam-Seiten.
• Search Console einrichten. Google meldet dort Sicherheitsprobleme und gehackte Inhalte, die es auf Ihrer Seite findet.

8. Der Notfallplan

Wenn es passiert, entscheidet die Reihenfolge: erst Spuren sichern, dann aufräumen, dann alle Zugangsdaten wechseln und auf einen sauberen Stand zurückgehen. Die einzelnen Schritte, einschließlich der Frage nach Meldepflichten, haben wir im Abschnitt „Verdacht auf einen Einbruch“ beschrieben. Legen Sie vorher fest, wer im Ernstfall entscheidet, wer Zugang zu Hosting und Backups hat und wie Sie Ihren Hoster erreichen. Im Notfall ist dafür keine Zeit.

Die Checkliste

Selbst machen oder betreuen lassen?

Vieles auf dieser Liste ist einmalige Arbeit: Plugins aufräumen, Zwei-Faktor-Anmeldung einführen, Schnittstellen schließen, Server-Einstellungen prüfen. Anderes hört nie auf: Updates mit Prüfung, Überwachung, Wiederherstellungsproben und die schnelle Reaktion, wenn eine Warnung wie PHP2Shell kommt.

Für Unternehmen, die das nicht selbst im Blick behalten wollen, bieten wir beides an. Eine einmalige Absicherung, die Ihre Seite nach dieser Checkliste prüft und härtet, im schriftlich vereinbarten Umfang. Und eine laufende Betreuung, die Updates, Überwachung und Wiederherstellungsproben übernimmt und bei neuen Sicherheitswarnungen prüft, ob Ihre Seite betroffen ist. Den Umfang stimmen wir auf Ihre Seite ab, das Angebot erstellen wir individuell.

Häufige Fragen

Weiterlesen

• Content Security Policy und Security-Header
• Website gehackt – was tun? Die ersten Schritte für kleine Unternehmen
• Website-Sicherheit für kleine Unternehmen: selbst prüfen und absichern
• PHP2Shell: Was die kritischen PHP-Lücken für WordPress-Seiten bedeuten
• Schwachstellenanalyse: was sie ist und wann Sie eine brauchen
• Penetrationstest: Ablauf, Dauer und was ihn kostet
• Leistung: Penetrationstest mit verifizierten Befunden

Quellen

• WordPress Developer Resources: Hardening WordPress
• WordPress Developer Resources: Backups
• WP-CLI: wp plugin verify-checksums
• php.net: Supported Versions