Bot-Angriffe auf WordPress-Websites verfolgen meist drei Hauptziele: Zugangsdaten erbeuten (Brute Force), Inhalte abgreifen (Scraping) oder Spam-Kommentare/-Formulare versenden.
Besonders wenn Sie serverseitig Werkzeuge wie ModSecurity im „fast“-Modus nutzen, ist es am sinnvollsten, Bot-Traffic zu blockieren, bevor er Ihre Website erreicht (oder WordPress belastet). Hier die wirksamste Verteidigungslinie gegen Bots:
1. Cloudflare (erste Verteidigungslinie)
Am besten stoppen Sie Bots, bevor sie Ihren Server überhaupt erreichen, mit einem CDN wie Cloudflare.
-
WAF (Web Application Firewall): Sie können Länder mit viel Bot-Verkehr sperren (z. B. alle anderen Länder, wenn Sie nur ein Land bedienen).
-
Bot Fight Mode: Diese kostenlose Cloudflare-Funktion blockiert bekannte schädliche Bots automatisch.
-
Challenge (JS Challenge): Zeigt verdächtigen Besuchern kurz eine „Prüfseite“, an der Bots scheitern.
2. Anmeldeseite und Schutz vor Brute Force
90 % der Bots zielen auf die Datei wp-login.php.
-
URL ändern: Ändern Sie, wie in unserem vorherigen Artikel beschrieben, den Anmeldepfad (
/anmeldeno. Ä.). -
XML-RPC deaktivieren: Über diese Datei können Bots Tausende Passwörter in einer einzigen Anfrage durchprobieren.
.htaccess– deaktivieren Sie sie unbedingt damit:Apache<Files xmlrpc.php> Order Deny,Allow Deny from all </Files>
3. Bots anhand des „User Agent“ blockieren
Wenn Sie merken, dass bestimmte Bots (z. B. Ahrefs, Semrush oder aggressive Crawler) Ihre Website belasten, können Sie sie mit .htaccess auf Serverebene blockieren:
RewriteEngine On
RewriteCond %{HTTP_USER_AGENT} ^.*(Baiduspider|YandexBot|Sogou|AlphaBot).* [NC]
RewriteRule .* - [F,L]
4. Die Honeypot-Technik
Bots sind darauf programmiert, alle Formularfelder auszufüllen. Bei der-Technik wird Formularen ein für Nutzer unsichtbares (per CSS verstecktes) Feld hinzugefügt. Kommt dieses Feld ausgefüllt an, ist der Absender mit Sicherheit ein Bot.
-
Plugin-Empfehlung: „Stop Spammers“ oder „WPBruiser“. Diese Plugins filtern Bots still heraus, ohne ein Captcha abzufragen.
5. Dynamische Anfragebegrenzung (Rate Limiting)
Kommen von derselben IP-Adresse Dutzende Anfragen pro Sekunde, handelt es sich um einen Bot.
-
Wenn Sie Wordfence nutzen, können Sie Clients mit zu vielen Anfragen automatisch sperren, indem Sie in den „Rate Limiting“-Einstellungen die Option „If a crawler's rate exceeds...“ aktivieren.
Wichtiger Tipp auf Serverebene
Wenn Sie Plesk oder cPanel nutzen, achten Sie darauf, dass Fail2Ban aktiviert ist. Fail2Ban überwacht die WordPress-Anmeldeprotokolle und sperrt die IP-Adresse eines Bots mit wiederholten Fehlanmeldungen direkt in der Server-Firewall (iptables). So erreichen die Anfragen des Bots nicht einmal PHP, und die Serverlast sinkt.
