WordPress Sicherheit erhöhen: 7 einfache Schritte

Die Sicherheit deiner WordPress Website erhöhst du am wirksamsten mit sieben einfachen Maßnahmen: ein starkes Passwort, begrenzte Anmeldeversuche, Zwei-Faktor-Authentifizierung, regelmäßige Updates, aktuelle Backups, ein individueller Benutzername statt admin und HTTP Security-Header. Keine dieser Maßnahmen erfordert Programmierkenntnisse, und bis auf ein paar Minuten Zeit kosten sie dich nichts.

Die meisten WordPress Websites werden nicht gezielt angegriffen, sondern von automatisierten Bots, die massenhaft bekannte Schwachstellen und schwache Passwörter durchprobieren. Genau deshalb wirken schon einfache Schutzmaßnahmen erstaunlich gut. In diesem Beitrag zeige ich dir Schritt für Schritt, wie du jede der sieben Maßnahmen umsetzt.

7 einfache Schritte, mit denen du die WordPress Sicherheit erhöhst

Diese sieben Maßnahmen bilden zusammen ein solides Sicherheitsfundament für deine Website. Jede einzelne erschwert Hackern den unerlaubten Zugriff auf deine Inhalte:

Sicheres Passwort erstellen
Login-Versuche begrenzen
Zwei-Faktor-Authentifizierung aktivieren
WordPress, Theme und Plugins aktualisieren
Regelmäßige Backups einrichten
Benutzername admin vermeiden
HTTP Security-Header einrichten

Schritt 1: Sicheres Passwort erstellen

Erstelle ein Passwort, das keine Wörter aus dem Wörterbuch enthält und aus einer langen Kombination von Buchstaben, Zahlen und Sonderzeichen besteht. WordPress schlägt dir beim Anlegen eines Benutzers automatisch ein starkes Passwort vor. Nutze diesen Vorschlag oder setze auf eine lange Passphrase aus mehreren zufälligen Wörtern.

Merken musst du dir solche Passwörter nicht. Ein Passwort-Manager wie Bitwarden oder KeePass speichert deine Zugangsdaten verschlüsselt und füllt sie beim Login automatisch aus. Bei Kundenprojekten sehe ich immer wieder Passwörter nach dem Muster firmenname123. Solche Kombinationen probieren Angreifer als Erstes aus.

Schritt 2: Login-Versuche begrenzen mit Limit Login Attempts Reloaded

WordPress erlaubt von Haus aus beliebig viele Anmeldeversuche. Genau das nutzen Bots bei Brute-Force-Angriffen aus. Das kostenlose Plugin Limit Login Attempts Reloaded begrenzt die Zahl der fehlgeschlagenen Anmeldeversuche und sperrt hartnäckige Angreifer für eine bestimmte Zeit. Das Plugin ist auf über 2 Millionen Websites im Einsatz und wird laufend gepflegt.

In den Einstellungen legst du fest, wie viele Versuche erlaubt sind und wie lange die Sperre dauert. Zusätzlich kannst du IP-Adressen dauerhaft sperren oder auf eine Whitelist setzen. Wichtig für den Datenschutz: Aktiviere in den Einstellungen die DSGVO-Option, damit das Plugin die IP-Adressen der Besucher nur verschleiert speichert.

Achtung: Ist das Plugin aktiv, kannst du dich auch selbst aussperren, wenn du dein Passwort mehrfach falsch eingibst. Die Sperre läuft nach der eingestellten Zeit automatisch ab.

https://de.wordpress.org/plugins/limit-login-attempts-reloaded/

Brute-Force-Angriff

Ein Brute-Force-Angriff ist der Versuch, Passwörter durch systematisches Ausprobieren zu erraten. Dazu gehören Wörterbuchangriffe, bei denen gängige Wörter durchprobiert werden, und Musterangriffe mit typischen Tastaturfolgen wie qwertz oder 123456. Spezialisierte Programme testen dabei tausende Kombinationen pro Sekunde. Mit begrenzten Anmeldeversuchen läuft diese Methode ins Leere.

Schritt 3: Zwei-Faktor-Authentifizierung aktivieren

Bei der Zwei-Faktor-Authentifizierung (2FA) brauchst du für die Anmeldung neben dem Passwort einen zweiten Nachweis. Meist ist das ein sechsstelliger Code aus einer Authenticator-App auf deinem Smartphone, der sich alle 30 Sekunden ändert.

Selbst wenn ein Angreifer dein Passwort kennt, kommt er ohne dein Smartphone nicht in dein WordPress Dashboard. Deshalb gehört die Zwei-Faktor-Authentifizierung zu den wirksamsten Sicherheitsmaßnahmen überhaupt.

Für WordPress gibt es dafür mehrere kostenlose Plugins. Das schlanke Plugin Two-Factor stammt von Entwicklern aus dem WordPress-Core-Team und unterstützt Authenticator-Apps sowie Backup-Codes. Etwas mehr Funktionen bietet miniOrange 2FA, das in der kostenlosen Version allerdings auf 5 Benutzer begrenzt ist.

Schritt 4: WordPress, Theme und Plugins regelmäßig aktualisieren

Halte WordPress, dein Theme und alle Plugins aktuell. Die meisten gehackten WordPress Websites werden nicht über raffinierte Tricks geknackt, sondern über bekannte Sicherheitslücken in veralteter Software. Bei gehackten Websites, die in meiner WordPress Soforthilfe landen, ist ein veraltetes Plugin das häufigste Einfallstor. Mit jedem Update schließt du solche Lücken und stellst sicher, dass alles mit aktuellen PHP-Versionen funktioniert.

WordPress kann Updates auch automatisch installieren. Sicherheitsupdates für den Core spielt WordPress standardmäßig selbst ein. Für Plugins und Themes aktivierst du automatische Updates mit einem Klick in der jeweiligen Übersicht im Dashboard.

In seltenen Fällen kann eine Aktualisierung zu Problemen führen. Erstelle deshalb vor größeren Updates ein Backup. Welche Reihenfolge sich beim Aktualisieren bewährt hat, erkläre ich dir im Beitrag zur WordPress Update-Reihenfolge.

Schritt 5: Regelmäßige Backups einrichten

Ein Backup schützt dich zwar nicht direkt vor einem Angriff, es ist aber deine Versicherung für den Ernstfall. Mit einer aktuellen Datensicherung stellst du deine Website nach einem Hack oder einem fehlgeschlagenen Update in kurzer Zeit wieder her.

Viele Hoster erstellen automatische Backups, bewahren diese aber oft nur wenige Tage auf. Ergänze deshalb ein Backup-Plugin wie UpdraftPlus, das deine Website automatisch sichert und die Sicherung extern speichert, zum Beispiel in einem Cloud-Speicher. Eine ausführliche Anleitung findest du hier:

WordPress Datensicherung (Backup)

Schritt 6: Benutzername admin vermeiden

Für einen Brute-Force-Angriff braucht ein Bot zwei Dinge: den Benutzernamen und das Passwort. Den Benutzernamen admin probiert jeder Bot als Erstes aus. Heißt dein Administrator-Konto so, hat der Angreifer die halbe Arbeit bereits erledigt.

Die Lösung: Lege unter Benutzer einen neuen Administrator mit einem individuellen Benutzernamen an, melde dich mit diesem Konto an und lösche das alte admin-Konto. Beim Löschen kannst du alle Inhalte dem neuen Benutzer zuordnen. Achte außerdem darauf, dass dein öffentlich angezeigter Name nicht deinem Benutzernamen entspricht.

Schritt 7: HTTP Security-Header einrichten

Sogenannte HTTP Security-Header legen die Regeln für die Kommunikation zwischen Browser und Server fest, wenn deine Website aufgerufen wird. Richtig konfiguriert schützen sie unter anderem vor Clickjacking und Cross-Site-Scripting. Da beim Aufruf einer Website viele verschiedene Informationen ausgetauscht werden, gibt es auch verschiedene Arten von HTTP Security-Headern.

Gut aufbereitete Informationen zu den einzelnen Headern findest du zum Beispiel unter https://kulturbanause.de/blog/http-security-header/.

Die Integration erfolgt standardmäßig über die .htaccess Datei auf deinem Webspace. Was es mit dieser Datei auf sich hat, erkläre ich dir im Beitrag zur WordPress .htaccess Datei. Möchtest du die Datei nicht selbst bearbeiten, kannst du auf das Plugin HTTP Headers zurückgreifen und die wichtigsten Security-Header mit wenigen Klicks aktivieren.

Fazit

Mit diesen sieben einfachen Schritten erhöhst du die Sicherheit deiner WordPress Website deutlich. Du machst es automatisierten Angriffen so schwer, dass sich die Bots in der Regel leichtere Ziele suchen. Und mit aktuellen Backups bist du selbst für den Ernstfall gerüstet.

Wichtig ist, dass du die Maßnahmen nicht als einmalige Aktion verstehst. Updates, Backups und ein kurzer Blick auf die Benutzerkonten gehören zur regelmäßigen Pflege deiner Website. Wie du Schadsoftware von vornherein vermeidest, liest du im Beitrag 7 Tipps zur Vermeidung von Malware.

Du möchtest deine Website lieber vom Profi absichern lassen oder vermutest, dass sie bereits gehackt wurde? Dann helfe ich dir mit der WordPress Soforthilfe schnell und unkompliziert weiter.

FAQ: Häufige Fragen zur WordPress Sicherheit

WordPress selbst ist ein sicheres System, das von einem eigenen Security-Team gepflegt wird. Die meisten erfolgreichen Angriffe nutzen keine Lücken im WordPress-Core, sondern veraltete Plugins und Themes, schwache Passwörter oder ungeschützte Logins. Genau diese Schwachstellen beseitigst du mit den Schritten aus diesem Beitrag.

Typische Anzeichen sind ungewöhnliche Weiterleitungen, fremde Inhalte oder Werbung auf deiner Website, unbekannte Administrator-Konten, ein plötzlicher Einbruch der Google-Rankings oder Warnhinweise im Browser. Auch wenn dein Hoster oder Google dich wegen Schadsoftware kontaktiert, solltest du sofort handeln und die Website bereinigen lassen.

Für die meisten kleinen und mittleren Websites reichen die sieben Grundmaßnahmen aus diesem Beitrag aus. Ein umfassendes Security-Plugin wie Wordfence ergänzt sie um eine Firewall und einen Malware-Scanner. Das kann sinnvoll sein, bringt aber zusätzliche Komplexität mit sich und kann die Ladezeit spürbar beeinflussen.

Sicherheitsupdates solltest du so schnell wie möglich installieren, am besten automatisch. Für alles andere hat sich ein fester Rhythmus bewährt: Prüfe mindestens einmal im Monat, ob Updates für WordPress, dein Theme und deine Plugins anstehen, und erstelle vor der Installation ein Backup.

Nein. Ein SSL-Zertifikat verschlüsselt die Datenübertragung zwischen Browser und Server und ist heute Standard. Es schützt aber weder vor schwachen Passwörtern noch vor veralteten Plugins. Betrachte HTTPS als Grundvoraussetzung, nicht als komplettes Sicherheitskonzept. Wie die Umstellung funktioniert, zeigt dir der Beitrag WordPress auf HTTPS umstellen.

Das Ändern der Standard-Login-URL (wp-admin beziehungsweise wp-login.php) reduziert automatisierten Bot-Traffic spürbar. Es ist aber reine Verschleierung und ersetzt keine echten Schutzmaßnahmen. Kombiniere eine geänderte Login-URL deshalb immer mit begrenzten Anmeldeversuchen und Zwei-Faktor-Authentifizierung.