Sicherheitstipps für WordPress-Websites

Da WordPress das meistgenutzte Content-Management-System ist, ist es auch das erste Ziel von Angreifern. Mit den folgenden Maßnahmen senken Sie das Risiko einer Übernahme Ihrer Website deutlich. Die meisten davon setzen Sie mit dem WP Toolkit in Plesk mit wenigen Klicks um.

1. Updates und Aufräumen

• Core, Themes und Plugins: Alte Versionen enthalten bekannte Sicherheitslücken. Im WP Toolkit können Sie automatische Updates aktivieren.
• Nicht Genutztes löschen: Deaktivierte Plugins und Themes bleiben auf dem Server und können weiterhin ausgenutzt werden. Löschen Sie, was Sie nicht nutzen, vollständig.
• PHP-Version: Nutzen Sie eine unterstützte, aktuelle PHP-Version: PHP-Version ändern
• Unnötige Dateien: readme.html und license.txt im Hauptordner verraten Ihre WordPress-Version; Sie können sie löschen.

2. Login-Sicherheit

• Benutzername: Ihr Administrator sollte nicht „admin“ heißen. Diesen Namen probieren Angreifer zuerst.
• Starkes Passwort und 2FA: Nutzen Sie ein einmaliges Passwort mit mindestens 12 Zeichen und installieren Sie ein Plugin für die Zwei-Faktor-Authentifizierung (2FA).
• Login-Versuche begrenzen: Nutzen Sie ein Sicherheits-Plugin, das IP-Adressen nach wiederholten Fehlversuchen vorübergehend sperrt.
• Login-Adresse ändern: Mit einem Plugin wie WPS Hide Login ändern Sie die Adresse wp-login.php und reduzieren automatisierte Angriffe.
• Benutzernamen-Scans sperren: Angreifer versuchen, Ihren Benutzernamen über ihredomain.de/?author=1 zu ermitteln. So sperren Sie das: .htaccess-Tipps für WordPress-Websites

3. Sicherheitsmaßnahmen mit dem WP Toolkit

1. Melden Sie sich unter https://ihredomain.de:8443 oder über die Serviceseite in Ihrem Kundenbereich bei Plesk an.
2. Suchen Sie Ihre Website unter WordPress und öffnen Sie den Tab Sicherheit.
3. Markieren Sie die noch nicht angewendeten Maßnahmen und klicken Sie auf Absichern. Maßnahmen wie das Sperren von wp-config.php, das Sperren der Verzeichnisauflistung und das Deaktivieren der Dateibearbeitung im Dashboard werden mit einem Klick umgesetzt.

Funktioniert nach einer Maßnahme ein Plugin nicht mehr, können Sie die Maßnahme im selben Fenster zurücksetzen.

4. Schutz von Dateien und Datenbank

• Dateibearbeitung im Dashboard abschalten: Selbst wenn Ihr Adminbereich kompromittiert wird, lässt sich der Code von Themes und Plugins nicht ändern. Fügen Sie in wp-config.php diese Zeilen ein:

define( 'DISALLOW_FILE_EDIT', true );
define( 'WP_DEBUG', false );
@ini_set( 'display_errors', 0 );

• Tabellenpräfix: Wählen Sie bei einer Neuinstallation statt des Standards wp_ ein anderes Präfix (z. B. wbev72_). Bei einer bestehenden Website müssten alle Tabellen umbenannt werden; erstellen Sie vorher ein Backup.
• Fertige Vorlage: wp-config-Sicherheitsvorlage

5. SSL, Backups und ein Sicherheits-Plugin

• SSL: Installieren Sie ein kostenloses Let's-Encrypt-Zertifikat und leiten Sie den gesamten Verkehr auf https:// um: Umleitung von HTTP auf HTTPS
• Backups: Keine Maßnahme rettet Sie so zuverlässig wie ein Backup. Erstellen Sie regelmäßig Backups in Plesk: Wie sichere ich meine Website?
• Sicherheits-Plugin: Installieren Sie nur eines von Wordfence, Solid Security oder Sucuri. Mehrere Sicherheits-Plugins behindern sich gegenseitig.

Schutz auf dem Server

Auf den webevi-Servern laufen die Web Application Firewall ModSecurity (WAF) und Fail2Ban. Diese Werkzeuge blockieren bekannte Angriffsmuster und IP-Adressen mit wiederholten Fehlanmeldungen, bevor sie WordPress erreichen. Wird eine legitime Aktion (etwa das Speichern eines Beitrags) blockiert, eröffnen Sie ein Support-Ticket; wir passen die Regel für Ihre Website an.

Verwandte Artikel: Bot-Angriffe auf WordPress, Tipps zu wp-cron.php