WordPress-Sicherheit: so schützen Sie Ihre Website

Wie sicher ist WordPress?

WordPress selbst ist gut gepflegt: Der WordPress-Kern, also WordPress ohne Erweiterungen, bekommt laufend Sicherheitsupdates, und die bekannten Lücken liegen nach den Zahlen eines Sicherheitsanbieters ganz überwiegend in Plugins und Themes. Plugins sind Erweiterungen, die WordPress um Funktionen ergänzen. Themes sind die Designvorlagen, die das Aussehen der Website bestimmen.

Der Jahresbericht des Sicherheitsanbieters Patchstack zählt für 2025 im WordPress-Umfeld 11.334 neue Sicherheitslücken: 91 % davon in Plugins, 9 % in Themes, im WordPress-Kern selbst waren es 6. Für 46 % der Lücken gab es bis zur Veröffentlichung noch keine Korrektur vom Entwickler. Und Angreifer sind schnell: Etwa die Hälfte der schwerwiegenden Lücken wurde laut demselben Bericht innerhalb von 24 Stunden nach Bekanntwerden ausgenutzt.

Vollkommene Sicherheit gibt es nicht: Das WordPress-Handbuch zur Absicherung („Hardening WordPress“), dem diese Seite folgt, spricht ausdrücklich vom Verringern von Risiken, nicht von perfekt sicheren Systemen.

Wie halten Sie WordPress, Plugins und Themes aktuell?

Lassen Sie WordPress sich selbst aktualisieren, spielen Sie Updates für Plugins und Themes zeitnah ein und löschen Sie, was Sie nicht nutzen. Das Handbuch rät, immer die neueste WordPress-Version zu verwenden, weil ältere nicht mit Sicherheitsupdates gepflegt werden.

• WordPress selbst aktualisiert sich standardmäßig automatisch, bei Installationen ab WordPress 5.6 auch auf neue Hauptversionen. Was bei Ihnen eingestellt ist, sehen Sie unter Dashboard → Aktualisierungen. Ob die automatischen Updates auf Ihrem Server funktionieren, zeigt Werkzeuge → Website-Zustand, die eingebaute Selbstprüfung von WordPress. Klappt alles, steht dort „Hintergrundaktualisierungen funktionieren“.
• Plugins und Themes können sich seit WordPress 5.5 ebenfalls automatisch aktualisieren, das schalten Sie aber für jedes einzeln ein: unter Plugins in der Spalte „Automatische Aktualisierungen“ über den Link „Automatische Aktualisierungen aktivieren“, für Themes unter Design → Themes in der Ansicht des jeweiligen Themes. WordPress schickt danach eine E-Mail, wenn ein Update durchgelaufen oder fehlgeschlagen ist. Zentrale Plugins wie Formular oder Page-Builder aktualisieren Sie lieber selbst und sehen danach kurz nach, ob alles läuft.
• Vorher sichern, danach prüfen: Vor Updates, die Sie selbst einspielen, legen Sie eine frische Sicherung an, danach rufen Sie die wichtigsten Seiten auf und schicken das Kontaktformular einmal ab.
• Aufräumen: Löschen Sie Plugins und Themes, die Sie nicht nutzen; auch deaktiviert können sie eine Lücke sein. Der Website-Zustand weist darauf hin, etwa mit „Inaktive Plugins sollten entfernt werden“. Bekommt ein Plugin seit langer Zeit keine Updates mehr, suchen Sie Ersatz.

Ein fester Termin im Monat, wie ihn Kapitel 10 beschreibt, sorgt dafür, dass nichts liegen bleibt. Auf diesen Termin warten Updates aber nicht, denn Angreifer nutzen bekannte Lücken schnell aus: Spielen Sie Updates für Plugins und Themes ein, sobald WordPress sie anzeigt, oder lassen Sie sie automatisch laufen.

Wie schützen Sie die Zugänge zu WordPress?

Mit einem langen, einmaligen Passwort für jedes Konto, einer Zwei-Faktor-Anmeldung und einem eigenen Konto für jede Person, das nur die Rechte hat, die sie braucht. Angreifer probieren automatisiert Kombinationen aus Benutzername und Passwort durch, das nennt man einen Brute-Force-Angriff. Diese Punkte machen es ihnen schwer:

• Starke Passwörter: lang, zufällig und nur für diese Website verwendet, keine Namen oder Wörter aus dem Wörterbuch. Unter Benutzer → Profil erzeugt die Schaltfläche „Neues Passwort erstellen“ eines (beim Anlegen eines neuen Kontos heißt sie „Passwort generieren“), ein Passwort-Manager, also ein Programm, das Passwörter verschlüsselt speichert, merkt es sich.
• Kein Benutzername „admin“: Davon rät das WordPress-Handbuch zu Brute-Force-Angriffen ausdrücklich ab. Wie Sie den ersten Benutzer sicher anlegen, steht im Kapitel WordPress installieren.
• Zwei-Faktor-Anmeldung: Zum Passwort kommt ein Code aus einer App auf dem Handy. WordPress bringt das nicht selbst mit, Sie rüsten es per Plugin nach, zum Beispiel Two Factor oder WP 2FA. Das Handbuch empfiehlt sie für alle Administratoren und Konten mit erweiterten Rechten und nennt SMS keinen sicheren Übertragungsweg für die Codes. Bewahren Sie die Ersatzcodes auf, die das Plugin anbietet, sonst sperren Sie sich bei Verlust des Handys aus. Die Zwei-Faktor-Anmeldung schützt nur die Anmeldung bei WordPress; schalten Sie sie auch im Kundenbereich Ihres Hosters ein, also der Firma, auf deren Server die Website liegt, wenn er das anbietet.
• Eigene Konten statt geteilter Zugänge: Jede Person bekommt ein eigenes Benutzerkonto, niemand teilt ein Administrator-Konto. So können Sie einen einzelnen Zugang sperren, ohne allen ein neues Passwort zu geben. Dienstleister bekommen einen eigenen Zugang, den Sie nach dem Auftrag löschen.
• Passende Rollen: Auf einer einzelnen Website kennt WordPress fünf Standardrollen: Administrator, Redakteur, Autor, Mitarbeiter und Abonnent. Nur Administratoren dürfen alles, ein Redakteur etwa veröffentlicht und verwaltet Beiträge, aber keine Plugins. Wer nur Texte pflegt, braucht kein Administrator-Konto; die Rolle ändern Sie unter Benutzer → Alle Benutzer. Brauchen Sie keine Registrierung von Besuchern, bleibt unter Einstellungen → Allgemein der Haken „Jeder kann sich registrieren“ aus.
• Anwendungspasswörter prüfen: Unter Benutzer → Profil stehen im Bereich „Anwendungspasswörter“ Zugänge für Programme, die von außen auf WordPress zugreifen. Löschen Sie Einträge, die Sie nicht kennen; sie gelten unabhängig von Ihrem Passwort weiter.
• Der eigene Rechner: Halten Sie auch den Rechner, an dem Sie sich anmelden, mit Updates und Virenschutz sauber. Ein Schadprogramm, das Tastatureingaben mitschneidet, macht laut Handbuch jeden Schutz auf dem Server wertlos.

Was Sie tun, wenn Sie selbst nicht mehr hineinkommen, steht im Ratgeber WordPress-Login.

Woher sollten Plugins und Themes kommen?

Plugins und Themes installieren Sie nur aus dem offiziellen Verzeichnis auf wordpress.org oder direkt beim Hersteller, nie als kostenlose Kopie eines Bezahl-Plugins von einer fremden Website. Solche Kopien, im Netz als „nulled“ bezeichnet, bekommen keine Updates, und als Einfallstor für Schadcode begegnen sie uns immer wieder. Für WordPress selbst gilt dasselbe: Das Handbuch rät, es nur von wordpress.org zu laden.

Prüfen Sie vor der Installation die Seite des Plugins im Verzeichnis: Wann wurde es zuletzt aktualisiert, mit welcher WordPress-Version ist es getestet, werden Fragen im Support-Forum beantwortet? Je weniger Plugins, desto weniger muss aktualisiert werden. Woran Sie ein gepflegtes Plugin erkennen und welche eine Firmenwebsite überhaupt braucht, steht im Kapitel 6 zu Plugins. Bei gekauften Plugins und Themes gibt es Updates nur, solange die Lizenz läuft.

Was muss beim Hosting stimmen?

Ihr Hoster sollte eine aktuelle PHP-Version, HTTPS und SFTP bieten und die Serversoftware selbst aktuell halten. Das WordPress-Handbuch beschreibt die Arbeitsteilung so: Der Hoster sichert den Server, für die Website selbst sind Sie zuständig. Diese Punkte prüfen Sie im Kundenbereich oder fragen beim Hoster nach:

• Aktuelle PHP-Version: PHP ist die Programmiersprache, in der WordPress läuft. wordpress.org empfiehlt PHP 8.3 oder höher. Laut php.net bekommt PHP 8.2 nur noch bis zum 31. Dezember 2026 Sicherheitskorrekturen, PHP 8.3 bis zum 31. Dezember 2027, ältere Versionen gar keine mehr (Stand 02.11.2026). Welche Version läuft, zeigt Werkzeuge → Website-Zustand im Reiter „Bericht“ unter „Server“. Umstellen können Sie sie im Kundenbereich Ihres Hosters; sichern Sie vorher und prüfen Sie danach die Website, denn ein veraltetes Plugin kann mit einer neuen PHP-Version Fehler auslösen.
• HTTPS: HTTPS verschlüsselt die Verbindung zwischen Browser und Website, dafür schalten Sie beim Hoster ein SSL-Zertifikat ein. Danach stellen Sie WordPress um, nachdem Sie die Website gesichert haben: Unter Werkzeuge → Website-Zustand bietet WordPress dann die Schaltfläche „Website für HTTPS aktualisieren“ an, oder Sie ändern unter Einstellungen → Allgemein die „WordPress-Adresse (URL)“ und die „Website-Adresse (URL)“ auf https://. Ist alles umgestellt, meldet der Website-Zustand „Deine Website verwendet eine aktive HTTPS-Verbindung“.
• SFTP statt FTP: Für die Dateiübertragung zum Server nutzen Sie SFTP, die verschlüsselte Variante von FTP. Laut Handbuch wird das Passwort dabei nie im Klartext übertragen und kann nicht abgefangen werden.
• Aufgeräumtes Paket: Liegen mehrere Websites in einem Paket, bekommt jede eine eigene Datenbank, also einen eigenen Speicher für Texte, Einstellungen und Benutzer, mit eigenem Zugang. Alte Testinstallationen, die niemand pflegt, löschen Sie nach einer Sicherung, denn auf einem gemeinsam genutzten Server kann eine befallene Website laut Handbuch auch ihre Nachbarn gefährden.

Worauf Sie bei der Wahl des Hosters sonst achten, steht im Kapitel 2 zu Hosting und Domain.

Brauchen Sie ein Sicherheits-Plugin?

Nicht zwingend: Ein Sicherheits-Plugin kann Updates, geschützte Zugänge und Sicherungen ergänzen, aber nichts davon ersetzen. Das WordPress-Handbuch nennt mehrere Beispiele, etwa Wordfence, Shield und All in One WP Security. Eine Rangliste ist das nicht.

Was Sicherheits-Plugins können, je nach Plugin: eine Firewall auf WordPress-Ebene, also ein Filter, der verdächtige Anfragen abblockt, Anmeldeversuche begrenzen, Dateien auf Änderungen und bekannte Schadsoftware prüfen, Anmeldungen und Änderungen protokollieren oder eine Zwei-Faktor-Anmeldung mitbringen.

Was sie nicht können: Sie ersetzen kein Update und keine Sicherung, und ein Scan, der nichts findet, beweist nicht, dass die Website sauber ist. Sie laufen selbst in WordPress und belasten bei großen Angriffen laut Handbuch den Server mit, während ein Filter beim Hoster oder ein vorgeschalteter Dienst schädliche Zugriffe abhält, bevor sie den Server erreichen. Und jedes Sicherheits-Plugin muss selbst gepflegt werden.

Fragen Sie deshalb zuerst Ihren Hoster, ob er eine Firewall und eine Prüfung auf Schadsoftware mitbringt. Dann brauchen Sie nach unserer Erfahrung kein großes Sicherheitspaket zusätzlich, ein schlankes Plugin für die Zwei-Faktor-Anmeldung genügt. Zwei Sicherheits-Plugins nebeneinander können sich nach unserer Erfahrung in die Quere kommen und bringen keinen doppelten Schutz.

Müssen Selbstständige und Unternehmen ihre WordPress-Website absichern?

Einen Wartungsvertrag schreibt kein Gesetz vor, aber geschäftliche Websites müssen, soweit technisch möglich und zumutbar, unter Berücksichtigung des Stands der Technik abgesichert sein (§ 19 Abs. 4 TDDDG, Art. 32 DSGVO). Das ist ein Überblick, keine Rechtsberatung.

§ 19 Abs. 4 des Telekommunikation-Digitale-Dienste-Datenschutz-Gesetzes (TDDDG) verlangt von Anbietern geschäftsmäßig angebotener digitaler Dienste, soweit technisch möglich und wirtschaftlich zumutbar, unerlaubte Zugriffe zu verhindern und ihre Technik gegen Störungen und Angriffe von außen zu sichern. Als Beispiel nennt das Gesetz ein als sicher anerkanntes Verschlüsselungsverfahren. Verarbeitet die Website personenbezogene Daten, etwa Anfragen aus dem Kontaktformular, verlangt Art. 32 der Datenschutz-Grundverordnung (DSGVO) dem Risiko angemessene Sicherheitsmaßnahmen, darunter die Fähigkeit, Daten nach einem Zwischenfall rasch wiederherzustellen. Was das im Einzelfall heißt, klären Sie im Zweifel mit einer Anwältin oder einem Anwalt, Ihrer Kammer oder Ihrem Verband.

Was tun, wenn trotzdem etwas passiert?

Dann helfen Ihnen eine Sicherung aus der Zeit vor dem Vorfall und eine feste Reihenfolge der Schritte: erst Besucher schützen und Angreifer aussperren, dann bereinigen.

Sicherungen umfassen Dateien und Datenbank und liegen mit einer Kopie außerhalb des Servers. Das Handbuch zur Absicherung rät zu datierten Ständen, damit Sie auch dann einen sauberen Stand zurückspielen können, wenn ein Befall erst spät auffällt. Wie oft, wo und wie Sie sichern und wie Sie das Zurückspielen testen, steht im Ratgeber WordPress-Backup.

Im Ernstfall, etwa bei Weiterleitungen auf fremde Seiten oder unbekannten Administratoren, löschen Sie nichts überstürzt. Informieren Sie den Hoster und lassen Sie die Website vorübergehend vom Netz nehmen oder eine Wartungsseite davorschalten. Dann sichern Sie den befallenen Stand und kennzeichnen ihn als „befallen“. Anschließend sperren Sie die Angreifer aus: alle Passwörter ändern, fremde Konten und unbekannte Anwendungspasswörter entfernen und die Salts erneuern, also die Sicherheitsschlüssel in der Einstellungsdatei wp-config.php. Erst danach wird bereinigt. Die Schritte im Einzelnen stehen unter WordPress gehackt.

Wer Updates, Sicherungen und Prüfungen nicht selbst im Blick behalten möchte, kann sie an eine WordPress-Wartung abgeben. Was das kostet und was in einem Angebot stehen sollte, steht im Ratgeber Was kostet eine WordPress-Wartung?