Bot-Angriffe auf WordPress

Bot-Angriffe auf WordPress-Websites haben drei Ziele: das Administrator-Passwort erraten (Brute Force), Inhalte kopieren und über Formulare oder Kommentare Spam senden. Am wirksamsten ist es, Bots Schicht für Schicht zu stoppen, bevor sie WordPress erreichen.

1. Cloudflare (erste Verteidigungslinie)

• Bot Fight Mode: Im kostenlosen Tarif enthalten; blockiert bekannte schädliche Bots automatisch.
• WAF-Regeln: Kommen Ihre Besucher nur aus bestimmten Ländern, können Sie wp-login.php-Anfragen aus anderen Ländern eine Prüfung vorschalten.
• Challenge: Verdächtigen Besuchern wird eine kurze Prüfseite gezeigt; die meisten Bots kommen nicht daran vorbei.

Für Cloudflare müssen Sie die Nameserver Ihrer Domain auf Cloudflare umstellen: Wie ändere ich meine Nameserver?

2. Schutz auf dem Server

Auf den webevi-Hosting-Servern laufen ModSecurity (Web Application Firewall) und Fail2Ban. Fail2Ban sperrt IP-Adressen mit wiederholten Fehlanmeldungen in der Server-Firewall, sodass Bot-Anfragen gar nicht erst bei PHP ankommen. Auf Ihrem eigenen VDS verwalten Sie diese Einstellungen in Plesk unter Tools & Einstellungen > Sperren von IP-Adressen (Fail2Ban).

3. Schutz in WordPress

• Login-Seite: Die meisten Bots zielen auf wp-login.php. Begrenzen Sie Login-Versuche, aktivieren Sie 2FA und ändern Sie bei Bedarf die Login-Adresse.
• XML-RPC: Bots probieren darüber viele Passwörter in einer einzigen Anfrage. Schalten Sie es ab, wenn Sie es nicht nutzen: .htaccess-Tipps für WordPress-Websites
• Honeypot: Formulare erhalten ein für Besucher unsichtbares Feld; wer es ausfüllt, ist ein Bot. Antispam Bee oder die Honeypot-Option Ihres Formular-Plugins filtert Bots ohne Captcha heraus.
• Ratenbegrenzung: Wenn Sie Wordfence nutzen, sperren dessen Einstellungen unter Rate Limiting Crawler mit zu vielen Anfragen automatisch.

Crawler-Bots sperren, die Ihre Website belasten

Verlangsamen aggressive Crawler wie die Bots von SEO-Tools Ihre Website, sperren Sie sie per .htaccess. Sperren Sie keine Suchmaschinen-Bots wie Google oder Bing; sonst verschwindet Ihre Website aus den Suchergebnissen.

# Crawler-Bots sperren, die die Website belasten (Beispiel)
RewriteEngine On
RewriteCond %{HTTP_USER_AGENT} (AhrefsBot|SemrushBot|MJ12bot|DotBot) [NC]
RewriteRule .* - [F,L]

Woran erkennen Sie einen Angriff?

Die Website ist plötzlich langsam oder zeigt Fehler 503

Das kann starker Bot-Verkehr sein. Prüfen Sie in Plesk unter Protokolle, ob sehr viele Anfragen an wp-login.php oder xmlrpc.php gehen.

Über Formulare kommt viel Spam

Fügen Sie Ihrem Formular einen Honeypot oder reCAPTCHA hinzu.

Sie kommen nicht mehr in Ihr Administratorkonto

Setzen Sie Ihr Passwort zurück und eröffnen Sie ein Support-Ticket; wir prüfen Ihre Website gemeinsam auf Schadsoftware.

Allgemeine Maßnahmen: Sicherheitstipps für WordPress-Websites