Am Morgen soll eine kleine Änderung an der Firmenwebsite vorgenommen werden. Beim Login fällt plötzlich auf, dass ein unbekannter Administrator angelegt wurde. Solche Vorfälle beginnen nicht mit einer sichtbaren Warnmeldung. Automatisierte Angriffe suchen laufend nach bekannten Schwachstellen in WordPress-Installationen. Ein veraltetes Plugin oder ein schlecht geschützter Zugang kann dafür bereits ausreichen. Wie lässt sich also eine WordPress Website absichern, damit typische Angriffswege frühzeitig geschlossen werden?
Das Wichtigste in Kürze: Wie lässt sich eine WordPress Website absichern?
Eine WordPress Website lässt sich wirksam absichern, wenn Zugänge geschützt, Updates zuverlässig durchgeführt und technische Schwachstellen laufend kontrolliert werden. Dazu gehören auch eine sichere Serverumgebung und eine funktionierende Wiederherstellung. Absolute Sicherheit gibt es nicht, doch mehrere aufeinander abgestimmte Schutzmassnahmen reduzieren das Risiko deutlich.
Web-SOS unterstützt Unternehmen bei technischen Problemen mit WordPress und übernimmt auch die laufende Wartung. Eine professionelle Prüfung kann sinnvoll sein, wenn Sicherheitslücken schwer einzuschätzen sind oder die technische Wartung intern kaum abgedeckt werden kann.
Warum sollten Unternehmen ihre WordPress Website absichern?
Eine Unternehmenswebsite muss kein bekanntes Angriffsziel sein, um attackiert zu werden. Viele Angriffe laufen automatisiert. Bots durchsuchen Websites nach bekannten Schwachstellen und versuchen anschliessend, diese auszunutzen. Betroffen sind deshalb auch kleinere Firmenwebsites, die auf den ersten Blick wenig interessant wirken.
Sicherheit ist demnach eine laufende Aufgabe. Eine einzelne Einstellung reicht dabei nicht aus. Sinnvoll ist es, den Zugang zum Backend zu schützen und die eingesetzte Software aktuell zu halten. Auch Backups sollten so eingerichtet sein, dass die Website im Ernstfall wiederhergestellt werden kann.
«Viele Sicherheitsprobleme entstehen nicht durch einen grossen Fehler, sondern weil kleine Wartungsaufgaben über längere Zeit liegen bleiben. Regelmässige Kontrollen machen hier einen grossen Unterschied.»
Philip Relkovic
WordPress Professional & Support bei Web-SOS | Webgorilla GmbH
Für Unternehmen kommt hinzu, dass über die Website häufig sensible Informationen verarbeitet werden. Formulare enthalten zum Beispiel Kontaktdaten. In Onlineshops kommen Bestellinformationen hinzu. Wird eine Website gehackt, kann das den Betrieb stören und das Vertrauen der Besucher beeinträchtigen. Deshalb sollten die wichtigsten Bereiche regelmässig geprüft werden.
Wie lässt sich eine WordPress Website absichern?
Schon mit einigen grundlegenden Massnahmen lässt sich eine WordPress Website absichern und der Schutz vor automatisierten Angriffen deutlich verbessern. Wichtig ist, mögliche Schwachstellen an verschiedenen Stellen der Website zu reduzieren. Die folgenden Punkte bilden eine solide Grundlage für eine geschäftlich genutzte WordPress Website.
Regelmässige Updates durchführen
Regelmässige Updates gehören zu den wichtigsten Grundlagen. Sowohl WordPress selbst als auch Plugins und Themes werden kontinuierlich weiterentwickelt. WordPress selbst empfiehlt, WordPress und verwendete Plugins aktuell zu halten. Ältere Versionen können bekannte Sicherheitslücken enthalten, nach denen automatisierte Angriffe gezielt suchen.
Verwenden Sie grundsätzlich nur Erweiterungen von seriösen Anbietern. Themes oder Plugins, die dauerhaft nicht mehr gebraucht werden, sollten entfernt werden. Vor grösseren Updates empfiehlt sich ein aktuelles Backup. So lässt sich die vorherige Version wiederherstellen, falls nach der Aktualisierung Probleme auftreten.
Login mit starken Zugangsdaten schützen
Ein einfaches Passwort erleichtert automatisierte Loginversuche. Für jedes Benutzerkonto sollte deshalb ein eigenes, langes Passwort verwendet werden. Empfohlen wird eine Kombination aus Gross- und Kleinbuchstaben, Zahlen und Sonderzeichen. Ein Passwortmanager hilft dabei, sichere Zugangsdaten zu erstellen und zu verwalten.
Auch Benutzerkonten sollten regelmässig geprüft werden. Ehemalige Mitarbeiter benötigen beispielsweise keinen dauerhaften Zugang zum Backend. Administratorrechte sollten nur Personen erhalten, die diese für ihre Arbeit tatsächlich brauchen. Dadurch bleiben sensible Bereiche der Website einem kleinen Personenkreis vorbehalten.
Zwei-Faktor-Authentifizierung einrichten
Zusätzlichen Schutz bietet eine Zwei-Faktor-Authentifizierung. Für die Anmeldung reicht das Passwort dann allein nicht mehr aus. Ein zusätzlicher Code über eine App oder ein Gerät schützt vor unbefugtem Zugriff.
Für Administratoren ist diese Absicherung besonders sinnvoll. Authenticator Apps wie Google Authenticator oder Duo Mobile können dafür genutzt werden. Eine Authenticator App ist gegenüber einer Bestätigung per SMS in der Regel die bessere Wahl, da SMS unter anderem durch SIM-Swapping angegriffen werden können.
Backend zusätzlich absichern
Neben sicheren Zugangsdaten kann auch der Admin-Bereich stärker geschützt werden. Je nach Hosting und Website-Aufbau lässt sich der Zugriff auf das Backend zusätzlich einschränken. Möglich sind serverseitige Schutzmechanismen oder Regeln, die verdächtige Zugriffe früh blockieren.
Eine IP-Whitelist kann sinnvoll sein, wenn nur wenige feste Standorte auf das Backend zugreifen. Für Teams mit wechselnden Arbeitsorten ist sie dagegen oft unpraktisch. Auch ein zusätzlicher Verzeichnisschutz kann den Zugriff auf sensible Bereiche erschweren.
Regelmässige Backups erstellen
Ein Backup verhindert keinen Hackerangriff. Es kann jedoch entscheidend sein, wenn eine Website nach einem Vorfall wiederhergestellt werden muss.
Die Backups sollten automatisch erstellt werden und sowohl Dateien als auch Datenbank umfassen. Wichtig ist zudem der Speicherort. Liegt das einzige Backup auf demselben Server wie die Website, kann es bei einem Angriff ebenfalls betroffen sein. Eine externe Speicherung schafft mehr Sicherheit.
Automatische Sicherungen nehmen viel Arbeit ab. Trotzdem sollte gelegentlich geprüft werden, ob sich die vorhandenen Backups tatsächlich wiederherstellen lassen. Erst dann ist klar, dass sie im Ernstfall funktionieren.
Firewall und Sicherheits-Plugins sinnvoll einsetzen
Ein Sicherheits-Plugin kann verdächtige Zugriffe erkennen und automatisierte Loginversuche begrenzen. Lösungen wie Wordfence bieten dafür unter anderem eine Firewall und Malware-Scans.
Auch eine Web Application Firewall kann sinnvoll sein. Sie filtert problematische Anfragen, bevor diese die Website erreichen. Welche Lösung passt, hängt vom Hosting und vom Aufbau der Website ab.
HTTPS und Hosting richtig einrichten
Beim Schutz einer WordPress Website sollte auch die technische Umgebung berücksichtigt werden. Ein SSL-Zertifikat sorgt dafür, dass Daten verschlüsselt zwischen Browser und Server übertragen werden. Die Website sollte vollständig über HTTPS erreichbar sein. Das betrifft insbesondere Logins und Formulare, über die Besucher Daten übermitteln.
Beim Hosting sollte darauf geachtet werden, dass die Server Software gepflegt wird und aktuelle Sicherheitsstandards unterstützt. Ein gutes Hosting schafft damit die technische Grundlage der Website. Ein spezialisiertes WordPress-Hosting kann sinnvoll sein, weil die Serverumgebung darauf abgestimmt ist und je nach Anbieter zusätzliche Sicherheitsfunktionen integriert sind.
Website im Blick behalten
Viele Sicherheitsprobleme werden erst spät bemerkt. Deshalb sollte eine geschäftlich genutzte WordPress Website regelmässig kontrolliert werden. Unbekannte Benutzerkonten oder auffällige Loginversuche können erste Hinweise auf ein Problem sein. Auch unerwartete Änderungen an Dateien sollten geprüft werden.
Monitoring hilft dabei, solche Auffälligkeiten früh zu erkennen. Besteht bereits der Verdacht auf einen Angriff, finden Sie in unserem Beitrag «Website gehackt: Was tun?» die wichtigsten nächsten Schritte. Für eine langfristig gepflegte Installation können Sie unseren WordPress Wartungsservice nutzen.
Dieser Überblick zeigt die wichtigsten Schutzmassnahmen für eine WordPress Website:
| Sicherheitsbereich | Typisches Risiko | Sinnvolle Massnahme |
| WordPress Login | Gestohlene oder erratene Zugangsdaten | Starke Passwörter und Zwei-Faktor-Authentifizierung |
| Backend | Unbefugter Zugriff auf den Admin-Bereich | Zugriffe gezielt einschränken und zusätzliche Schutzmechanismen einsetzen |
| Plugins und Themes | Bekannte Sicherheitslücken | Updates durchführen und ungenutzte Erweiterungen entfernen |
| Server | Unsichere oder veraltete Konfiguration | Geeignetes WordPress Hosting verwenden |
| Daten | Verlust nach einem Angriff | Externe und getestete Backups einrichten |
| Datenübertragung | Unsichere Verbindung | SSL-Zertifikat nutzen und HTTPS korrekt konfigurieren |
| Überwachung | Angriffe oder Veränderungen bleiben unbemerkt | Monitoring und regelmässige Kontrollen einrichten |
Welche Bereiche sollten Sie bei der WordPress Sicherheit prüfen?
Die Web-SOS Security-Checkliste hilft dabei, den aktuellen Sicherheitsstand einer WordPress Website systematisch zu prüfen. Sie umfasst mehr als 30 Prüfpunkte und bündelt diese in sechs übersichtliche Bereiche. Dadurch lässt sich schnell erkennen, welche Schutzmassnahmen bereits eingerichtet sind und wo noch Handlungsbedarf besteht.
- Basis Konfiguration
Geprüft werden unter anderem Login, Benutzerkonten und der aktuelle Stand der WordPress-Installation. - Dateiberechtigungen und Verzeichnisschutz
Sensible Dateien und wichtige WordPress-Verzeichnisse sollten nur so weit zugänglich sein, wie es technisch nötig ist. - Firewall und Sicherheits Plugins
Hier geht es um den Schutz vor verdächtigen Zugriffen, automatisierten Angriffen und Schadsoftware. - Datenbanksicherheit
Die Checkliste prüft Zugänge zur Datenbank und deren Absicherung. - SSL/TLS und HTTPS
Eine verschlüsselte Verbindung schützt übertragene Daten und sollte konsequent eingerichtet sein. - Überwachung und Backups
Monitoring und funktionierende Sicherungen helfen dabei, Probleme früh zu erkennen und die Website bei Bedarf wiederherzustellen.
Die vollständigen Prüfpunkte finden Sie in der der kostenlosen Security Checkliste von Web-SOS.
Fazit: WordPress Website absichern ist ein laufender Prozess
Eine WordPress Website abzusichern ist eine laufende technische Aufgabe. Sichere Zugänge und aktuelle Software reduzieren bekannte Angriffswege. Eine kontrollierte Serverumgebung und funktionierende Backups sorgen dafür, dass die Website auch langfristig verlässlich betrieben werden kann. Die Security-Checkliste von Web-SOS hilft dabei, den aktuellen Stand systematisch zu überprüfen.
Sie möchten die Sicherheit Ihrer Website professionell prüfen lassen oder die laufende Pflege abgeben? Kontaktieren Sie uns gerne und wir unterstützen Sie dabei, Ihre WordPress Website sicher zu betreiben.
Häufige Fragen zu WordPress Website absichern
Wie kann ich meine WordPress Website absichern?
Mit sicheren Benutzerzugängen, aktuellen Updates und regelmässigen Backups lässt sich eine WordPress Website deutlich besser schützen. Auch Monitoring hilft, Auffälligkeiten früh zu erkennen.
Welche Sicherheitsmassnahmen braucht eine WordPress Website?
Wichtig sind ein geschützter Login, aktuelle Software und passende Zugriffsrechte. HTTPS und funktionierende Backups ergänzen den Schutz.
Wie sicher ist WordPress gegen Hacker?
WordPress kann sicher betrieben werden, wenn die Installation regelmässig gepflegt wird. Risiken entstehen vor allem durch veraltete Erweiterungen oder unsichere Zugangsdaten.
Braucht WordPress eine Zwei-Faktor-Authentifizierung?
Ja, besonders für Administratoren ist 2FA sinnvoll. Ein gestohlenes Passwort allein reicht dann nicht mehr für die Anmeldung.
Wie oft sollte die Sicherheit einer WordPress Website geprüft werden?
Die Website sollte laufend überwacht und nach grösseren Updates erneut kontrolliert werden. Benutzerkonten und Backups gehören ebenfalls regelmässig geprüft.
