WordPress sicher betreiben: Updates, Zugänge, Plugins und Backups

Die meisten gehackten WordPress-Seiten hatten veraltete Software oder schwache Passwörter. Mit einer kurzen Routine schließt du die häufigsten Lücken.

Hier findest du eine Checkliste für Updates, Zugänge, Plugins, Backups und den Ernstfall.

Warum WordPress-Seiten angegriffen werden

WordPress ist das am weitesten verbreitete System für Websites. Gerade deshalb suchen Angreifer automatisiert nach Seiten mit veralteter Software, schwachen Passwörtern und unsicheren Plugins. Die meisten Hacks entstehen nicht durch raffinierte Einzelangriffe, sondern durch Lücken, die längst bekannt und mit einem Update behoben sind. Das ist die gute Nachricht: Mit wenigen, regelmäßigen Handgriffen machst du deine Seite deutlich sicherer. Die Grundlage sind aktuelle Software, starke Zugänge, wenige gepflegte Plugins und verlässliche Sicherungen, die du auch wirklich testest.

• Dieser Beitrag zeigt dir eine praxisnahe Sicherheits-Routine für WordPress: Updates, Zugänge, Plugins, Dateirechte, Backups und die Erkennung eines Angriffs. Er richtet sich an Betreiber kleiner Seiten ohne eigenes Entwicklerteam.

Wenn Updates anstehen, dann sichere zuerst. Wenn alles läuft, dann spiele sie zeitnah ein.

Updates konsequent einspielen

Halte WordPress selbst, Themes und Plugins aktuell. Aktiviere automatische Updates, wenigstens für kleine Sicherheitsversionen und für Plugins, die du zuverlässig pflegst. Größere Versionssprünge solltest du vorher in einer Testumgebung ausprobieren, falls dein Hoster eine anbietet. Sichere die Seite vor jedem Update. Prüfe auch die PHP-Version in deinem Hosting: Veraltete Versionen erhalten keine Sicherheitsupdates mehr. Lösche nicht genutzte Themes und Plugins vollständig, deaktivieren genügt nicht, denn auch inaktiver Code kann angreifbar sein.

• Automatische Updates aktivieren
• Vor Updates sichern
• PHP-Version prüfen
• Ungenutztes löschen

Wenn ein Plugin nicht mehr gepflegt wird, dann ersetze es. Wenn es ungenutzt ist, dann lösche es.

Zugänge absichern

Verwende für jedes Konto ein langes, einzigartiges Passwort aus einem Passwort-Manager, siehe Passwort-Manager, Passkeys und 2FA. Aktiviere für alle Administratoren die Zwei-Faktor-Anmeldung. Vermeide den Benutzernamen "admin" und lege für Autoren nur die Rechte an, die sie wirklich brauchen. Begrenze fehlgeschlagene Anmeldeversuche, damit automatische Passwortraten ins Leere laufen, und schütze die Anmeldeseite zusätzlich, wenn dein Hoster das anbietet.

• Passwort-Manager nutzen
• 2FA für Admins
• Kein Benutzername admin
• Anmeldeversuche begrenzen

Wenn du ein neues Plugin installierst, dann prüfe die Quelle. Wenn sie unklar ist, dann lass es.

Plugins und Themes mit Bedacht wählen

Jedes Plugin erweitert die Angriffsfläche. Installiere nur, was du wirklich brauchst, und nur aus vertrauenswürdigen Quellen. Prüfe Bewertungen, Zahl der aktiven Installationen, letzte Aktualisierung und ob der Entwickler Sicherheitsmeldungen ernst nimmt. Meide gecrackte Premium-Plugins, sie enthalten sehr oft Schadcode. Auch für Downloads gilt, was in Programme sicher herunterladen beschrieben ist: Nimm nur die offizielle Quelle. Ersetze Plugins, die nicht mehr gepflegt werden.

• Nur Nötiges installieren
• Aktualität prüfen
• Keine gecrackten Plugins
• Nicht gepflegte ersetzen

Wenn ein Backup fehlt, dann richte es ein. Wenn es eins gibt, dann teste die Wiederherstellung.

Backups, die wirklich helfen

Ein Backup besteht aus Dateien und Datenbank. Speichere es nicht nur auf dem eigenen Server, sondern an einem getrennten Ort, wie in Backup-Strategie für den PC erklärt. Lege Rhythmus und Aufbewahrung fest, etwa täglich mit mehreren Versionen. Teste die Wiederherstellung mindestens einmal, ein ungetestetes Backup ist eine Hoffnung. Notiere, wie du im Notfall vorgehst, und bewahre Zugangsdaten für Hosting und Datenbank sicher auf.

• Dateien und Datenbank sichern
• Externer Speicherort
• Wiederherstellung testen
• Notfallplan notieren

Wenn ein Hack vermutet wird, dann sperre die Seite. Wenn du Passwörter änderst, dann spiele ein sauberes Backup ein.

HTTPS und Header

Nutze durchgehend HTTPS und leite alle Aufrufe darauf um. Zusätzliche Sicherheits-Header lassen sich über Hosting oder Plugin setzen und verhindern manche Angriffsarten.

• Zertifikat prüfen
• Umleitung einrichten
• Header setzen
• Mischinhalte beheben

Dateirechte und Konfiguration

Dateien sollten nicht für alle beschreibbar sein. Schütze die Konfigurationsdatei, deaktiviere den Dateieditor im Backend und beschränke das Hochladen ausführbarer Dateien. Dein Hoster nennt empfohlene Werte.

• Rechte prüfen
• Editor abschalten
• Konfiguration schützen
• Uploads begrenzen

Sicherheits-Plugin und Firewall

Ein Sicherheits-Plugin prüft Dateien auf Veränderungen, schützt die Anmeldung und kann eine Firewall bereitstellen. Es ersetzt Updates und starke Passwörter nicht. Wähle eines, richte es sorgfältig ein und lies die Meldungen.

• Dateiprüfung
• Firewall-Regeln
• Meldungen lesen
• Kein Ersatz für Updates

Hosting und Umgebung

Ein gutes Hosting trennt Konten, bietet aktuelle PHP-Versionen, Backups und Malware-Scans. Billige Angebote ohne Pflege sind ein Risiko. Prüfe Support, Standort und Zusatzfunktionen.

• PHP aktuell
• Konto getrennt
• Scans nutzen
• Support prüfen

Anzeichen für einen Hack

Warnzeichen sind unbekannte Administratoren, fremde Weiterleitungen, Werbung auf deiner Seite, plötzlich langsame Seiten, Warnungen des Browsers und fremde Dateien im Verzeichnis. Prüfe im Zweifel Konten, Dateien und Protokolle.

• Fremde Konten
• Weiterleitungen
• Browser-Warnungen
• Unbekannte Dateien

Im Notfall richtig handeln

Nimm die Seite vom Netz, ändere alle Passwörter, stelle ein sauberes Backup wieder her und aktualisiere alles, bevor du sie wieder freischaltest. Prüfe, wie der Angreifer eingedrungen ist, sonst passiert es erneut.

• Seite sperren
• Passwörter ändern
• Backup einspielen
• Ursache klären

Datenschutz und Nutzerdaten

Seiten mit Formularen, Kommentaren oder Shop speichern Daten. Schütze sie, lösche Altes und informiere bei einem Vorfall. Grundlagen zu Texten und Pflichten stehen in Eigene Website erstellen und in der Datenschutzerklärung deiner Seite.

• Nutzerdaten schützen
• Altes löschen
• Vorfälle melden
• Datenschutz prüfen

Wartungsrhythmus

Lege einen festen Termin fest, etwa wöchentlich für Updates und monatlich für Backups und Benutzerprüfung. Notiere Änderungen in einem Wartungsprotokoll.

• Wöchentlich Updates
• Monatlich Backups testen
• Benutzer prüfen
• Protokoll führen

Testumgebung nutzen

Größere Änderungen testest du in einer Kopie der Seite, bevor du sie live nimmst. Viele Hoster bieten dafür eine Staging-Funktion.

• Kopie nutzen
• Änderungen testen
• Erst dann live
• Rollback planen

Wann ein Baukasten besser ist

Wer keine Zeit für Wartung hat, fährt mit einem Baukasten oder verwalteten Hosting besser. Er nimmt dir Updates und Sicherheit weitgehend ab, bietet aber weniger Freiheit.

• Zeit abwägen
• Verwaltetes Hosting
• Freiheit vs. Pflege
• Kosten vergleichen

Was diese Checkliste nicht leistet

• Kein System ist hundertprozentig sicher.
• Ein Plugin ersetzt keine Pflege.
• Dieser Beitrag ersetzt keine Sicherheitsprüfung durch Fachleute.
• Funktionen unterscheiden sich je nach Hosting.

Wenn es nicht klappt: typische Stolperfallen

Nach einem Update ist die Seite kaputt

Das siehst du: Die Seite zeigt einen weißen Bildschirm oder eine Fehlermeldung nach dem Update.

Mögliche Ursache: Ein Plugin oder Theme ist nicht mit der neuen Version kompatibel.

So löst du es: Stelle das Backup wieder her oder benenne den Ordner des betroffenen Plugins per FTP um, damit es deaktiviert wird, prüfe die Fehlermeldung und aktualisiere das Plugin oder suche einen Ersatz.

Ein unbekannter Administrator taucht auf

Das siehst du: In der Benutzerliste steht ein Konto, das du nicht angelegt hast.

Mögliche Ursache: Die Seite wurde gehackt oder ein Plugin hat eine Sicherheitslücke ausgenutzt.

So löst du es: Lösche das Konto, ändere alle Passwörter, prüfe Dateien und Plugins auf Veränderungen, spiele bei Verdacht ein sauberes Backup ein und aktiviere 2FA für alle verbleibenden Administratoren.

Die Seite leitet auf fremde Seiten um

Das siehst du: Besucher landen nach dem Aufruf deiner Seite plötzlich auf fremden Werbe- oder Betrugsseiten.

Mögliche Ursache: Schadcode wurde in Dateien oder die Datenbank eingeschleust.

So löst du es: Sperre die Seite, scanne Dateien mit einem Sicherheitswerkzeug, stelle ein sauberes Backup wieder her, ändere Zugangsdaten und aktualisiere alles. Beantrage bei Browser-Warnungen eine erneute Prüfung.

Das Backup lässt sich nicht einspielen

Das siehst du: Bei der Wiederherstellung kommt eine Fehlermeldung oder Daten fehlen.

Mögliche Ursache: Das Backup war unvollständig, beschädigt oder wurde vorher nie auf Wiederherstellbarkeit getestet.

So löst du es: Prüfe, ob Dateien und Datenbank vorhanden sind, probiere ältere Versionen, lass den Hoster helfen und richte künftig getestete automatische Backups mit externem Speicherort ein.

Die Anmeldeseite wird ständig angegriffen

Das siehst du: Das Protokoll zeigt tausende Anmeldeversuche und die Seite ist langsam.

Mögliche Ursache: Automatische Programme aus dem Netz probieren massenhaft Passwörter für bekannte Benutzernamen durch.

So löst du es: Aktiviere die Begrenzung der Anmeldeversuche, setze 2FA, ändere die Adresse der Anmeldeseite oder schütze sie zusätzlich auf Serverebene, und blockiere auffällige Adressen über die Firewall.

Häufige Fragen

Brauche ich ein Sicherheits-Plugin?

Es hilft, ersetzt aber keine Updates und starken Passwörter.

Wie oft soll ich updaten?

Mindestens wöchentlich prüfen, Sicherheitsupdates schnell einspielen.

Sind kostenlose Plugins unsicher?

Nicht grundsätzlich. Entscheidend sind Pflege, Quelle und Bewertungen.

Was tun bei einem Hack?

Seite sperren, Passwörter ändern, sauberes Backup einspielen und die Ursache klären.

Soll ich einen Baukasten nehmen?

Wenn dir die Pflege fehlt, ist er die einfachere Wahl.