WordPress absichern – ohne Panik.

Wie WordPress-Seiten wirklich angegriffen werden

Fast niemand sitzt vor Ihrer Seite und sucht gezielt eine Lücke. Angriffe laufen automatisch: Programme klappern Millionen Websites ab und probieren bekannte Schwachstellen und gängige Passwörter durch. Das heißt umgekehrt: Wer die bekannten Lücken schließt und keine schwachen Passwörter benutzt, fällt aus dem Raster.

Die häufigsten Einfallstore sind veraltete Plugins und Themes, erratbare oder anderswo geleakte Passwörter und Erweiterungen aus unseriösen Quellen.

Updates: die wichtigste Maßnahme

Wird in einem Plugin eine Lücke bekannt, erscheint meist innerhalb von Tagen ein Update – und genau ab dann suchen automatische Angriffe nach Seiten, die es noch nicht haben.

• Kleine Sicherheitsupdates des WordPress-Kerns spielt WordPress von sich aus ein. Für Plugins können Sie automatische Updates je Plugin einschalten.
• Große Updates (neue Hauptversion, Page-Builder, Shop) probieren Sie besser erst aus. Bei uns legen Sie dafür im Kundencenter eine Testkopie Ihrer Website an.
• Ein Plugin, das seit Jahren kein Update mehr bekommen hat, ersetzen Sie. Niemand schließt dort mehr Lücken.

Zugänge schützen

• Lange, einzigartige Passwörter für jedes Konto, am einfachsten mit einem Passwortmanager.
• Zwei-Faktor-Anmeldung für alle Administratoren – ein kostenloses Plugin reicht, danach genügt ein gestohlenes Passwort allein nicht mehr.
• Rollen sparsam vergeben. Wer nur Beiträge schreibt, braucht kein Administrator-Konto.
• Alte Konten löschen, etwa von der Agentur, die die Seite vor Jahren gebaut hat.

Erweiterungen mit Bedacht wählen

Installieren Sie Plugins und Themes aus dem offiziellen Verzeichnis auf wordpress.org oder direkt beim Hersteller. Finger weg von „kostenlosen“ Kopien bezahlter Erweiterungen (oft „nulled“ genannt): Sie sind der bequemste Weg, auf dem Schadcode in eine Website kommt.

Ein Blick vor der Installation lohnt sich: Wann kam das letzte Update, wie viele Installationen gibt es, antwortet der Entwickler auf Fragen? Und was Sie nicht mehr benutzen, löschen Sie – auch deaktiviert liegt es auf dem Server.

Sicherungen: der Plan B

Keine Maßnahme schützt vollständig. Was im Ernstfall zählt, ist ein sauberer Stand von vorgestern. Eine gute Sicherung liegt mindestens einmal außerhalb des Servers, reicht mehrere Tage zurück und ist getestet – eine Sicherung, die sich nicht zurückspielen lässt, ist keine.

Bei uns wird jeder Webspace täglich gesichert, auf dem Server und zusätzlich außer Haus. Wir bewahren 7 Tages- und 4 Wochenstände auf, und einen Stand daraus spielen wir kostenlos für Sie zurück. Vor einem größeren Update legen Sie im Hosting-Panel zusätzlich selbst eine Sicherung an.

Was der Server beitragen muss

Einiges liegt nicht in Ihrer Hand, sondern beim Anbieter: eine verschlüsselte Verbindung (HTTPS), eine aktuelle PHP-Version, zeitnah eingespielte Sicherheitsupdates des Betriebssystems und ein Schutz, der Adressen mit zu vielen Fehlversuchen bei der Anmeldung sperrt. Fragen Sie Ihren Anbieter danach – bei uns ist das alles Standard.

Ihre Seite wurde gehackt – was jetzt?

1. Ruhe bewahren und nichts löschen – Sie brauchen den Zustand, um die Ursache zu finden.
2. Alle Passwörter ändern: WordPress-Konten, Datenbank, FTP, Kundencenter.
3. Einen Stand von vor dem Befall zurückspielen. Deshalb reichen Sicherungen mehrere Tage zurück.
4. Die Lücke schließen, bevor die Seite wieder online geht – sonst ist sie in Stunden erneut befallen. Meist heißt das: alles aktualisieren, verdächtige Plugins entfernen.

Sie müssen das nicht allein machen. Melden Sie sich bei uns, wir helfen beim Aufräumen.