Sicherheitstipps für WordPress-Websites

Da WordPress das weltweit beliebteste Content-Management-System ist, ist es leider auch das Ziel Nummer eins für Cyberangreifer. Mit ein paar gezielten Maßnahmen machen Sie Ihre Website jedoch zur Festung.

Hier eine Schritt-für-Schritt-Anleitung zur Absicherung Ihrer Website:

1. Grundhygiene und Updates

Die erste Sicherheitsregel: Lassen Sie keine Türen offen.

• WordPress-Kern, Themes und Plugins: Sie müssen immer aktuell sein. Alte Versionen enthalten bekannte Sicherheitslücken.

• Nicht Genutztes löschen: Jedes inaktive Plugin und Theme ist ein potenzielles Einfallstor. „Deaktivieren“ reicht nicht, Sie sollten sie vollständig löschen.

• PHP-Version: Achten Sie darauf, im Hosting-Panel immer die neueste unterstützte PHP-Version zu verwenden.

2. Anmeldung absichern

Die meisten Angriffe erfolgen per „Brute Force“ über die Anmeldeseite.

• Anmelde-URL ändern: Sie können Angreifer verwirren, indem Sie die Standardadressen wp-admin oder wp-login.php mit einem Plugin wie WPS Hide Login ändern.

• Zwei-Faktor-Authentifizierung (2FA): Selbst wenn Ihr Passwort gestohlen wird, kommt ohne den Code auf Ihrem Handy niemand hinein.

• Anmeldeversuche begrenzen: Sperren Sie IP-Adressen nach einer bestimmten Zahl fehlgeschlagener Anmeldungen vorübergehend.

• Admin-Benutzernamen ändern: Ihr Benutzername sollte niemals „admin“ lauten. Das erleichtert Angreifern die Arbeit um 50 %.

3. Schutz von Dateien und Datenbank

Die Einstellungen hinter den Kulissen Ihrer Website zu verbergen, ist entscheidend.

• wp-config.php schützen: Diese Datei enthält die Datenbank-Passwörter. Den Zugriff darauf können Sie über .htaccess sperren.

• Dateibearbeitung deaktivieren: Sie können die Dateibearbeitung im WP-Panel (Theme-Editor) abschalten, indem Sie diesen Code in die Datei wp-config.php einfügen: define( 'DISALLOW_FILE_EDIT', true );

• Datenbank-Präfix: Sie können das Risiko von SQL-Injection senken, indem Sie das Standardpräfix wp_ bei oder nach der Installation durch etwas anderes ersetzen (z. B. site72_).

4. Hosting und SSL

Sicherheit beginnt beim Fundament.

• SSL-Zertifikat (HTTPS): Sorgt für eine verschlüsselte Datenübertragung. Auch für Google inzwischen ein Muss.

• Hochwertiges Hosting: Wählen Sie statt „billigem“ Hosting Anbieter mit serverseitiger Firewall (WAF) und isolierten Ressourcen.

Empfohlene Sicherheits-Plugins

Alles manuell zu erledigen ist mühsam. Es genügt, eines dieser Plugins zu installieren (nur eines!):

1. Wordfence Security: Die umfassendste Firewall und Malware-Scanner.

2. iThemes Security (Solid Security): Bietet benutzerfreundliche und starke Härtungsoptionen.

3. Sucuri Security: Ideal für cloudbasierten Schutz und Überwachung.

Wichtiger Hinweis: Keine Sicherheitsmaßnahme rettet Sie so zuverlässig wie Backups. Richten Sie ein System ein, das wöchentlich oder täglich automatisch Backups Ihrer Website in einen separaten Cloud-Speicher (Drive, Dropbox usw.) sichert (z. B. UpdraftPlus).