WordPress absichern: Firewall, Härtung und laufende Überwachung
Angriffe auf WordPress laufen automatisiert. Sie sind nicht persönlich gemeint – sie treffen jeden, der eine bekannte Lücke offen lässt. Absicherung heißt, diese Lücken zu schließen, bevor jemand sie findet.
Warum das Thema gerade jetzt drängt
WordPress läuft auf einem großen Teil aller Websites weltweit. Genau deshalb lohnt es sich für Angreifer, automatisiert nach bekannten Lücken zu suchen. Vier Zahlen beschreiben die Lage:
11.334
neue WordPress-Schwachstellen wurden 2025 dokumentiert – 42 % mehr als im Jahr davor
91 %
davon stecken in Plugins, nicht im WordPress-Kern selbst
5 Stunden
vergehen im Mittel zwischen Veröffentlichung einer Lücke und den ersten automatisierten Angriffen
14.000 $
kostet ein Hack einen kleinen Betrieb im Schnitt, Ausfallzeit eingerechnet
Zahlen aus dem Patchstack-Jahresbericht 2025; die Schadenshöhe ist ein Durchschnittswert aus Branchenerhebungen zu kleinen und mittleren Unternehmen.
Die häufigsten Einfallstore
Fast alle erfolgreichen Angriffe nutzen eine Handvoll immer gleicher Schwachstellen. Keine davon ist exotisch – und keine lässt sich nicht schließen.
Veraltete Plugins und Themes
91 Prozent der dokumentierten Lücken stecken in Erweiterungen, nicht im WordPress-Kern. Sobald eine Lücke öffentlich ist, suchen Bots gezielt nach Websites mit der alten Version.
Schwache Zugangsdaten
Der Benutzername „admin“ und ein Passwort aus jeder Wörterliste. Automatisierte Anmeldeversuche laufen rund um die Uhr gegen jede erreichbare Website.
Fehlende Härtung
Zu großzügige Dateirechte, ein erreichbarer Dateieditor im Backend, aktives XML-RPC: Viele Standardeinstellungen sind bequem, aber nicht sicher.
Ungeschützte Formulare
Kontaktformulare ohne Spam-Schutz werden für Massenversand missbraucht. Das kostet Ihre Domain im schlimmsten Fall die E-Mail-Reputation.
Vergessene Zugänge
Administratorkonten von Agenturen, Praktikanten oder Freelancern, die längst nicht mehr im Projekt sind – und trotzdem noch vollen Zugriff haben.
Kein brauchbares Backup
Kein Einfallstor, aber der Grund, warum aus einem Vorfall ein Totalschaden wird. Ohne sauberen Wiederherstellungspunkt bleibt nur der Neuaufbau.
Was ich konkret absichere
-
Firewall mit virtuellem Patching. Bekannte Lücken werden auf Firewall-Ebene geschlossen, oft bevor das Plugin-Update überhaupt erschienen ist. Das schließt genau das Zeitfenster von fünf Stunden, in dem sonst angegriffen wird.
-
Login-Härtung und Zwei-Faktor. Automatisierte Anmeldeversuche werden gesperrt, alle Administratoren bekommen eine zweite Stufe.
-
Härtung der Installation. Dateirechte, deaktivierter Dateieditor, abgeschaltetes XML-RPC, versteckte Versionsangaben, sichere Cookie- und Header-Einstellungen.
-
Regelmäßige Malware-Scans. Auffälligkeiten prüfe ich manuell nach – Sie bekommen keine Fehlalarme, sondern eine Einschätzung.
-
Sicherheitsaudit mit Risiko-Score. Ab Betrieb quartalsweise, in der Garantie-Stufe monatlich. Sie sehen schwarz auf weiß, wo Ihre Website steht und ob es besser wird.
-
Benutzer- und Rechteprüfung. Wer hat Zugriff, wer braucht ihn wirklich? Alte Konten werden entfernt, Rollen auf das notwendige Maß reduziert.
-
SSL und sichere Übertragung. Gültiges Zertifikat, durchgängige Weiterleitung, keine gemischten Inhalte.
Wie sicher ist Ihre Website? Acht Fragen, eine Minute
Beantworten Sie die Fragen ehrlich – auch „weiß nicht“ ist eine Antwort und zählt als Risiko, weil im Ernstfall genau dieses Nichtwissen das Problem ist. Die Auswertung läuft in Ihrem Browser; es werden keine Daten übertragen.
Wenn es schon passiert ist
Wenn Ihre Website Schadcode ausliefert, im Browser eine Warnung erscheint oder Google sie aus dem Index genommen hat, ist das kein Wartungsfall mehr, sondern ein Notfall. Dann gilt eine andere Reihenfolge:
Isolieren
Website in den Wartungsmodus, alle Passwörter ändern, aktive Sitzungen beenden. Erst den Schaden begrenzen, dann analysieren.
Sichern
Der kompromittierte Stand wird gesichert – nicht zum Wiederherstellen, sondern als Beweismittel für die Ursachenanalyse.
Bereinigen
Schadcode entfernen, Kern und Plugins aus sauberen Quellen ersetzen, Datenbank auf eingeschleuste Inhalte und unbekannte Benutzer prüfen.
Ursache schließen
Ohne diesen Schritt ist die Website in wenigen Tagen wieder betroffen. Zeitstempel der Dateien gegen die Zugriffsprotokolle des Hosters.
Wiederherstellen
Absicherung härten, Monitoring einrichten und – falls nötig – bei Google eine erneute Prüfung beantragen.
Eine Bereinigung kostet 490 € zum Festpreis und wird auf das Audit angerechnet, wenn danach ein Paket folgt. In der Garantie-Stufe ist sie bereits enthalten.
Absicherung ist in jeder Stufe enthalten
Schutz
Onepager und kleine Firmenwebsites ohne Shop, bis etwa zehn Seiten.
-
Wöchentliche Updates für Core, Plugins und Theme – mit Sichtprüfung
-
Tägliches Backup außerhalb des Servers, 30 Tage Aufbewahrung
-
Uptime-Monitoring rund um die Uhr
-
Firewall und Malware-Scan
-
Login-Härtung, Zwei-Faktor-Authentifizierung, Spam-Schutz
-
Monatsreport per E-Mail
-
Reaktion an Werktagen innerhalb von 24 Stunden
-
Keine Staging-Umgebung
-
Keine inklusive Änderungszeit
Betrieb
Hotels, Praxen, Handwerk – Websites, über die Anfragen und Buchungen laufen.
-
Alles aus Schutz
-
Updates werden zuerst auf einer Staging-Umgebung getestet
-
Formular- und Buchungs-Check nach jedem Update
-
Performance-Monitoring inklusive Core Web Vitals
-
Automatische Bildoptimierung
-
Quartals-Sicherheitsaudit mit Risiko-Score
-
30 Minuten kleine Änderungen pro Monat inklusive
-
Monatsreport in Klartext statt Tool-Export
-
Reaktion innerhalb von 8 Stunden
Garantie
WooCommerce, mehrsprachige Websites, Buchungssysteme – überall dort, wo ein Ausfall direkt Umsatz kostet.
-
Alles aus Betrieb
-
Testkauf beziehungsweise Testbuchung nach jedem Update
-
Stündliche Backups, 90 Tage Aufbewahrung
-
Hack-Bereinigung inklusive, zwei Vorfälle im Jahr – das ist die Garantie
-
Monatliches Audit, Log-Analyse, Prüfung der Benutzerrechte
-
60 Minuten Änderungen pro Monat inklusive
-
Priorisierter Telefonkontakt
-
Reaktion innerhalb von 4 Stunden, im Notfall auch samstags
Dieses Angebot richtet sich ausschließlich an Unternehmen, Selbständige, Behörden und Vereine. Alle Preise netto zuzüglich gesetzlicher Umsatzsteuer. Vor Vertragsbeginn einmalig 249 € für Sicherheits-Audit und Onboarding – bei Jahresvertrag entfällt die Gebühr. Laufzeit: monatlich kündbar nach den ersten drei Monaten. In der Garantie-Stufe ist die Hack-Bereinigung für bis zu zwei Vorfälle je Vertragsjahr enthalten, darüber hinaus nach Aufwand. Reaktionszeiten sind Richtwerte für die erste Rückmeldung an Werktagen innerhalb der Servicezeiten, keine zugesicherte Eigenschaft. Es gelten meine AGB.
Häufige Fragen
Reicht ein Sicherheits-Plugin nicht aus?
Ein Plugin ist ein Werkzeug, keine Strategie. Es hilft beim Blockieren und Scannen, ersetzt aber weder Updates noch geprüfte Backups noch eine sinnvolle Rechtevergabe. Die meisten gehackten Websites, die ich sehe, hatten ein Sicherheits-Plugin installiert – nur eben veraltet und unkonfiguriert.
Ein Plugin ist ein Werkzeug, keine Strategie. Es hilft beim Blockieren und Scannen, ersetzt aber weder Updates noch geprüfte Backups noch eine sinnvolle Rechtevergabe. Die meisten gehackten Websites, die ich sehe, hatten ein Sicherheits-Plugin installiert – nur eben veraltet und unkonfiguriert.
Woran merke ich, dass meine Website gehackt wurde?
Typische Anzeichen: Der Browser zeigt eine Warnung, in den Suchergebnissen erscheinen fremde Texte, es tauchen unbekannte Administratorkonten auf, Besucher werden weitergeleitet, oder die Website wird plötzlich sehr langsam. Manchmal merkt man es gar nicht – deshalb gehören Scans zur Wartung.
Typische Anzeichen: Der Browser zeigt eine Warnung, in den Suchergebnissen erscheinen fremde Texte, es tauchen unbekannte Administratorkonten auf, Besucher werden weitergeleitet, oder die Website wird plötzlich sehr langsam. Manchmal merkt man es gar nicht – deshalb gehören Scans zur Wartung.
Ist WordPress unsicher?
Nein. Der Kern ist gut gepflegt und wird schnell aktualisiert. 91 Prozent der dokumentierten Lücken stecken in Erweiterungen – und darin, dass niemand sie einspielt. Sicherheit ist bei WordPress weniger eine Frage der Software als eine Frage der Pflege.
Nein. Der Kern ist gut gepflegt und wird schnell aktualisiert. 91 Prozent der dokumentierten Lücken stecken in Erweiterungen – und darin, dass niemand sie einspielt. Sicherheit ist bei WordPress weniger eine Frage der Software als eine Frage der Pflege.
Was hat das mit der DSGVO zu tun?
Artikel 32 DSGVO verlangt angemessene technische Maßnahmen zum Schutz personenbezogener Daten. Verschlüsselte Übertragung, Zugriffskontrolle, Protokollierung und Backups gehören genau dazu. Eine ungewartete Website mit Kontaktformular ist damit auch ein datenschutzrechtliches Risiko.
Artikel 32 DSGVO verlangt angemessene technische Maßnahmen zum Schutz personenbezogener Daten. Verschlüsselte Übertragung, Zugriffskontrolle, Protokollierung und Backups gehören genau dazu. Eine ungewartete Website mit Kontaktformular ist damit auch ein datenschutzrechtliches Risiko.
Betrifft mich NIS2 oder der Cyber Resilience Act?
Direkt meistens nicht – die Regelwerke zielen auf größere Organisationen und auf Produkte mit digitalen Elementen. Indirekt schon: Größere Auftraggeber, Versicherer und Banken fragen zunehmend, wer sich um die Website-Sicherheit kümmert. Ein Wartungsvertrag ist darauf eine kurze Antwort.
Direkt meistens nicht – die Regelwerke zielen auf größere Organisationen und auf Produkte mit digitalen Elementen. Indirekt schon: Größere Auftraggeber, Versicherer und Banken fragen zunehmend, wer sich um die Website-Sicherheit kümmert. Ein Wartungsvertrag ist darauf eine kurze Antwort.
Sie wissen nicht, wie es um Ihre Website steht?
Der Sicherheits-Check ist kostenlos: Sie bekommen innerhalb von 24 Stunden ein kurzes, persönliches Video mit dem Befund. Kein automatischer Bericht, kein Verkaufsdruck.