Sicherheitstipps für WordPress-Websites 2

Besonders wenn Sie Plesk oder cPanel nutzen, können Sie viele dieser Einstellungen auch im Panel verwalten; die Kontrolle auf Dateiebene ist aber immer zuverlässiger.

Hier technische Einstellungen, die Ihre Website noch einen Schritt sicherer machen:

1. wp-config.php-Datei „panzern“

Diese Datei ist das Herzstück Ihrer Website. Den Zugriff zu sperren reicht nicht; mit diesen Zeilen erhöhen Sie die Sicherheit zusätzlich:

• Datei-Editor deaktivieren: Verhindert, dass Theme- oder Plugin-Dateien im Panel geändert werden. Selbst wenn jemand in den Admin-Bereich eindringt, kann er Ihren Code nicht anfassen.

  PHP

   

  define( 'DISALLOW_FILE_EDIT', true );
  

• Fehleranzeige deaktivieren: Tritt auf der Website ein Fehler auf, sehen Angreifer weder den Serverpfad noch PHP-Fehler.

  PHP

   

  define( 'WP_DEBUG', false );
  @ini_set( 'display_errors', 0 );
  

2. Datenbanksicherheit

Wenn Ihre Website neu ist oder Sie sie umziehen, macht das Ändern des Standard-Tabellenpräfixes wp_ 90 % der SQL-Injection-Angriffe wirkungslos.

• Beispiel: wp_users – stattdessen eine Struktur wie wbev_42_users zu verwenden, macht es Angreifern unmöglich, den Tabellennamen zu erraten.

3. Benutzernamen-„Enumeration“ verhindern

Angreifer versuchen meist, den Administrator-Benutzernamen herauszufinden, indem sie ihreseite.de/?author=1 eingeben. Um das zu verhindern, können Sie zusätzlich zum .htaccess-Code aus unserem vorherigen Artikel mit einem Plugin wie Edit Author Slug den „Nice Name“ ändern.

4. Serverseitige Kontrolle (WAF/ModSecurity)

Die ModSecurity-Einstellungen auf den „fast“-Modus umzustellen, ist sinnvoll. In diesem Modus sollten Sie jedoch auf Folgendes achten:

• Fehlalarme (False Positives): Manche Sicherheitsregeln blockieren unter Umständen legitime WordPress-Vorgänge (z. B. das Speichern eines Beitrags). Veröffentlichen Sie nach der Änderung testweise einen Beitrag.

• IP-Whitelist: Wenn Sie Ihre eigene IP-Adresse auf Serverebene (über Plesk/cPanel) auf die Whitelist setzen, sperren Sie sich nicht versehentlich selbst aus.

Kleiner Tipp: Überflüssige Dateien entfernen

Es ist eine gute Gewohnheit, diese Dateien vom Server zu löschen; sie werden mit WordPress installiert, aber nie gebraucht:

1. readme.html (verrät die WordPress-Version)

2. license.txt

3. nach der Installation unnötig)