Ein Treuhandbüro meldet sich am Montagmorgen im Support. Die Website ist erreichbar, im Backend sieht alles normal aus. Nur zeigt Google unter dem Firmennamen seit dem Wochenende Textschnipsel über günstige Markenhandtaschen. Aufgefallen ist es einem Kunden, nicht der Firewall des Hosters und nicht dem Sicherheits-Plugin. Der Einstieg lag Wochen zurück, über ein Formular-Plugin, das jemand einmal installiert und danach vergessen hatte. Hätte eine Web Application Firewall diesen Fall verhindert?
Das Wichtigste in Kürze: Was ist eine Web Application Firewall?Eine Web Application Firewall prüft Anfragen, bevor sie WordPress erreichen, und ist für Shops und für Seiten mit Login oder Formularen sinnvoll. Sie ersetzt aber kein Update-Management: In Praxistests fangen klassische Schutzlösungen nur einen kleinen Teil der WordPress-spezifischen Angriffe ab. Entscheidend bleibt, wie schnell eine bekannte Lücke geschlossen wird.
Bei Web-SOS betreuen wir WordPress- und WooCommerce-Installationen von Schweizer KMU, mit individueller Beratung statt Standardantwort und mit kurzen Reaktionszeiten, wenn eine Lücke gerade jetzt geschlossen werden muss. Einen Überblick über die einzelnen Leistungen finden Sie unter WordPress Support.
Was prüft eine Web Application Firewall tatsächlich?
Eine Web Application Firewall sitzt zwischen dem Besucher und Ihrer Website und liest jede Anfrage mit, bevor WordPress sie verarbeitet. Sie vergleicht die Anfrage mit Regeln und blockiert, was einem bekannten Angriffsmuster entspricht: manipulierte Datenbankabfragen, eingeschmuggelten Code in Formularfeldern oder tausend Login-Versuche in zwei Minuten.
Der Unterschied zur Firewall Ihres Hosters
Die meisten Kunden denken bei Firewall an etwas anderes. Eine klassische Netzwerk-Firewall entscheidet, welche Verbindungen zu einem Server überhaupt zulässig sind. Was in einer erlaubten Anfrage an Ihr Kontaktformular steht, interessiert sie nicht. Genau diese Ebene übernimmt die Web Application Firewall: Sie schaut nicht auf die Leitung, sondern auf den Inhalt. Beide Schichten ersetzen sich nicht.
Welche Angriffe zuverlässig durchkommen
Daraus folgt direkt, was eine WAF leisten kann. Wer über ein Suchfeld Datenbankbefehle einschmuggelt, hinterlässt ein erkennbares Muster und wird blockiert. Eine Anfrage dagegen, die technisch einwandfrei aussieht und nur eine Funktion aufruft, die die Berechtigung des Aufrufers nicht prüft, gleicht einem gewöhnlichen Seitenaufruf. Eine WAF erkennt Muster, aber keine Absichten, und darin liegt ihre entscheidende Einschränkung.
Was sagen die aktuellen Zahlen über WordPress-Angriffe?
Die grösste Angriffsfläche liegt heute meist nicht im WordPress-Kern selbst, sondern in den Erweiterungen. Der State of WordPress Security in 2026 von Patchstack zeigt, wie stark sich das Risiko auf Plugins konzentriert. Für die Frage nach einer Web Application Firewall ist vor allem entscheidend, wie schnell bekannte Schwachstellen ausgenutzt werden.
Patchstack zählt für 2025 insgesamt 11’334 neue Schwachstellen im WordPress-Ökosystem. Das entspricht einem Anstieg von 42 Prozent gegenüber dem Vorjahr. 91 Prozent der gemeldeten Lücken betrafen Plugins, weitere 9 Prozent Themes. Im WordPress-Kern selbst wurden lediglich sechs Schwachstellen gemeldet. Während der WordPress-Kern zentral gepflegt und regelmässig mit Sicherheitsupdates versorgt wird, liegt die Verantwortung bei Plugins jeweils beim Anbieter. Sicherheitslücken entstehen deshalb deutlich häufiger in Erweiterungen als in WordPress selbst.
Auch die Schweizer Lage zeigt, wie präsent Cyberangriffe bleiben. Das Bundesamt für Cybersicherheit veröffentlicht dazu regelmässig Lageberichte. Für Unternehmen bedeutet das: Sicherheitslücken müssen möglichst früh erkannt und abgefangen werden, bevor automatisierte Angriffe sie ausnutzen.
Welche Arten von WAF gibt es?
«WAF» bezeichnet kein Produkt, sondern eine Position im Ablauf einer Anfrage. Wo die Prüfung stattfindet, entscheidet über Wirkung und Betreuung. Für Schweizer KMU sind drei Varianten relevant, oft kombiniert.
| Variante | Wo sie greift | Stärke | Grenze |
| Cloud- oder DNS-WAF | Vor dem Server, der Verkehr läuft über den Anbieter | Filtert Bots und Massenangriffe, bevor sie Ihr Hosting belasten | Kennt Ihre Plugin-Versionen nicht, erfordert geänderte DNS-Einträge |
| Server- oder Hosting-WAF | Auf dem Webserver, vom Hoster betrieben | Kein Zusatzaufwand für Sie, wirkt für alle Seiten des Servers | Allgemeine Regelwerke, je Hoster sehr unterschiedlich konfiguriert |
| Applikations-WAF als Plugin | Innerhalb von WordPress | Kennt die installierten Erweiterungen und schirmt konkrete Lücken ab | Läuft erst, wenn WordPress startet, und ist selbst zu pflegen |
Die zweite Variante ist bei vielen Hosting-Anbietern bereits integriert, allerdings nicht immer gleich umfassend. Fragen Sie deshalb zuerst beim Hoster nach, welche Funktionen tatsächlich aktiv sind. Die dritte Variante hilft bei Sicherheitslücken, für die noch kein Update des Herstellers verfügbar ist. Dabei blockiert eine gezielte Regel den bekannten Angriffsweg vorübergehend. Dieses sogenannte virtuelle Patchen ersetzt das spätere Update nicht, kann aber die Zeit bis zur neuen Version sicher überbrücken. Was bei Ihrem Hosting möglich ist, klären wir bei Web-SOS im Wartungsservice.
Wo stösst eine WAF an ihre Grenzen?
Die niedrigen Blockraten aus den Pentests sind kein Messfehler und kein Argument gegen einzelne Anbieter. Sie haben zwei strukturelle Ursachen, die jede musterbasierte Prüfung betreffen.
Angriffe, die wie angemeldete Besucher aussehen
Die am häufigsten ausgenutzte Schwachstellenkategorie ist die fehlerhafte Rechteprüfung, im Fachjargon Broken Access Control. Der Angriff nutzt keine auffällige Zeichenkette, sondern eine Funktion, die vergisst zu prüfen, ob der Aufrufer sie überhaupt aufrufen darf. Für eine musterbasierte Firewall ist das von normalem Verkehr kaum zu unterscheiden, weshalb sie WordPress-spezifische Angriffe seltener blockiert.
Was nach einem erfolgreichen Einbruch passiert
Eine WAF greift nur beim Eintritt. Ist der Einstieg passiert, sitzt der Schadcode innerhalb der Seite und die Firewall sieht ihn nicht mehr. Moderne Varianten liefern Suchmaschinen-Bots andere Inhalte als menschlichen Besuchern, weshalb auch das Malware-Scanning an Grenzen kommt. Oft wird eine solche Infektion erst bemerkt, wenn Besucher der Website auf ungewöhnliche Inhalte oder Weiterleitungen aufmerksam machen. Was Sie tun können, wenn die Webseite gehackt wurde, zeigen wir in einem vergangenen Blogbeitrag.
Für Shops spielt auch der Zeitpunkt eine Rolle: Im November und Dezember 2025 wurden fast dreimal so viele schädliche Dateien hochgeladen. Besonders betroffen waren Wochen, in denen verfügbare Updates nicht regelmässig kontrolliert wurden.Prüfen Sie die Schutzschichten im Oktober, gemeinsam mit den Punkten aus der Shopoptimierung zur Weihnachtszeit.
«Fast jede gehackte Seite, die bei uns auf dem Tisch landet, hatte irgendeine Firewall aktiv. Gefehlt hat jemand, der die Lücken am selben Tag schliesst.»
Gregor Meier
SEO-Experte & Programmierer bei Web-SOS | Webgorilla GmbH
Brauchen Sie eine WAF?
- Nimmt Ihre Seite Geld oder Personendaten an? Bei Shop, Kundenbereich oder Anfrageformular ist eine WAF sinnvoll, weil ein Einbruch Dritte betrifft.
- Wie viele Plugins sind aktiv, und wann kam das letzte Update? Jede unnötige Erweiterung erhöht das Risiko. Veraltete Plugins sollten deshalb besser entfernt als nur zusätzlich abgesichert werden.
- Wer spielt ein Sicherheitsupdate innerhalb von 24 Stunden ein? Lautet die Antwort «wenn wir Zeit haben», besteht hier klarer Handlungsbedarf.
- Was macht Ihr Hoster bereits? Fragen Sie nach, ob eine Server-WAF läuft. Zwei Schichten parallel blockieren gerne auch legitime Anfragen.
- Ist Ihr Backup nachweislich wiederherstellbar? Ein getestetes Backup verkürzt einen Vorfall von Tagen auf Stunden.
- Wer merkt einen Einbruch, und wie schnell? Ohne Überwachung entscheidet der Zufall, ob Sie es nach einem Tag oder erst nach drei Wochen merken.
Ohne klare Antwort auf Frage 3 und 6 bringt eine zusätzliche Firewall weniger als ein geregelter Wartungsprozess. Wir helfen Ihnen bei der Klärung der sechs Punkte: Kontaktieren Sie Web-SOS über das Support-Formular.
Fazit: Erst der Prozess, dann die Firewall
Eine Web Application Firewall kann sinnvoll sein, sollte aber nicht die erste Massnahme sein. Wird eine bekannte Sicherheitslücke schon nach wenigen Stunden ausgenutzt, zählt vor allem, wie schnell reagiert wird. Im Wartungsservice halten wir Erweiterungen aktuell und ergänzen danach den Schutz, der zur Website passt. Wartungsservice von Web-SOS ansehen oder Support anfragen.
Häufige Fragen zur Web Application Firewall
Brauche ich eine Firewall für meine WordPress-Seite?
Für Shops und für Seiten mit Login oder Formularen ja, für eine einfache Firmenpräsenz ist sie zweitrangig. Wichtiger ist ein Update-Prozess, der Lücken innerhalb eines Tages schliesst.
Was ist der Unterschied zwischen einer WAF und einem Sicherheits-Plugin?
Eine WAF filtert eingehende Anfragen nach Angriffsmustern, ein Sicherheits-Plugin bündelt zusätzlich Malware-Scan und Login-Schutz. Viele Plugins enthalten eine WAF-Komponente, greifen aber erst innerhalb von WordPress.
Reicht eine WAF aus, um meine WordPress-Website zu schützen?
Nein. In zwei Pentests von 2025 blockierten gängige Schutzlösungen nur 12 Prozent der WordPress-spezifischen und 26 Prozent aller getesteten Angriffe. Sie senkt das Risiko, sie beseitigt es aber nicht.
Verlangsamt eine WAF meine Website?
Eine Cloud-WAF beschleunigt viele Seiten sogar, weil sie Inhalte zwischenspeichert und Bot-Verkehr vor dem Server abfängt. Eine WAF als Plugin kostet dagegen bei jedem Aufruf Rechenzeit.
WAF beim Hoster oder als Plugin: Was ist besser?
Beides hat eine eigene Aufgabe. Die Hoster-WAF blockiert allgemeine Muster ohne Aufwand für Sie, die Plugin-Variante schirmt eine konkrete, noch ungepatchte Lücke ab. Sind beide nicht aufeinander abgestimmt, können sie jedoch auch gewünschte Anfragen über Formulare blockieren.
