WordPress-Sicherheit: Risiken reduzieren, bevor etwas schiefgeht
WordPress ist flexibel und leistungsfähig, doch jedes Plugin, jeder Administrator und jeder öffentliche Endpoint vergrößert auch die Angriffsfläche. Gute Sicherheit besteht deshalb aus mehreren Schutzschichten, die Risiken senken und Auffälligkeiten schneller sichtbar machen.
Worauf kommt es bei WordPress-Sicherheit an?
Die Basis sind aktuelle Software, starke Konten, Zwei-Faktor-Authentifizierung, begrenzte Loginversuche, sichere Servereinstellungen, zuverlässige Backups und Kontrollen auf unerwartete Dateiänderungen. Ein externer Security-Scan erkennt öffentliche Risiken; Schutz direkt in WordPress bleibt zusätzlich notwendig.
Warum WordPress-Webshops für Angreifer interessant sind
Ein Webshop verarbeitet Konten, Bestellungen und häufig personenbezogene Daten. Gleichzeitig kombiniert WordPress Core, Theme, Plugins und externe Dienste. Ein veralteter oder falsch konfigurierter Bestandteil kann deshalb erhebliche Auswirkungen haben.
Automatisierte Bots suchen laufend nach bekannten Loginseiten, verwundbaren Plugin-Versionen, offenen Endpoints und Fehlkonfigurationen. Das bedeutet nicht, dass jeder Shop gehackt wird, aber Grundschutz ist keine einmalige Aufgabe.
- WordPress, Themes und Plugins regelmäßig aktualisieren.
- Ungenutzte Plugins und Themes entfernen statt nur deaktivieren.
- Eindeutige Administratorkonten und starke Passwörter verwenden.
- 2FA für Admin- und Shopkonten aktivieren.
Login-Angriffsfläche verkleinern
Die Standard-WordPress-Anmeldung ist für Bots leicht zu finden. Nur die URL zu verstecken ist keine vollständige Schutzmaßnahme. Wichtiger sind Limits für wiederholte Fehlversuche, Sperren verdächtiger IPs und 2FA für Administratoren.
Prüfe außerdem, ob XML-RPC oder öffentliche Benutzerauflistung wirklich benötigt werden. Ungenutzte, aber öffentlich erreichbare Funktionen erhöhen unnötig die Angriffsfläche.
- Brute-Force-Versuche mit temporären Sperren begrenzen.
- 2FA/TOTP für Administratorkonten einsetzen.
- XML-RPC blockieren, wenn keine aktive Integration davon abhängt.
- Nur notwendige Berechtigungen vergeben.
Security Header, HTTPS und Serverinformationen
HTTPS schützt den Datenverkehr zwischen Besucher und Website, ist aber nur eine Ebene. Security Header geben Browsern zusätzliche Regeln für Framing, Contenttypen, Referrer und erlaubte Quellen. Unnötige Versions- und Serverdetails sollten ebenfalls nicht öffentlich geteilt werden.
Eine zu strenge Content Security Policy kann Checkout oder Zahlungsdienste blockieren. Änderungen daher immer mit Warenkorb, Checkout, Zahlungsanbieter und externen Skripten testen.
- HSTS, Content-Security-Policy, X-Content-Type-Options und Frame-Schutz prüfen.
- Änderungen auf Desktop und Mobilgeräten testen.
- Nach Headeränderungen WooCommerce und Zahlungsarten erneut testen.
Dateiänderungen und Malware
Ein externer Scanner kann nicht zuverlässig beweisen, dass sich keine Malware in WordPress befindet, weil er nicht alle Dateien und Datenbankeinträge sehen kann. Deshalb ist interne Überwachung wichtig. File-Integrity-Monitoring vergleicht Dateien mit einer früheren Baseline und zeigt unerwartete Änderungen.
Eine Warnung ist nicht automatisch ein Beweis für einen Hack. Updates ändern Dateien legitim und manche Plugins verwenden Muster, die auch in Schadcode vorkommen. Auffälligkeiten immer im Kontext bewerten und funktionierende Backups außerhalb des Webservers aufbewahren.
- Zuverlässige Backups erstellen und Wiederherstellung testen.
- Unerwartete Änderungen in Core, Plugins, Themes und Uploads prüfen.
- Malwarewarnungen als Untersuchungsgrund verstehen, nicht als automatisches Urteil.
Externer Scan und interner Schutz ergänzen sich
Der Merqivio Security Check prüft die öffentliche Angriffsfläche: HTTPS, Header, sichtbare WordPress-Signale und öffentlich erreichbare Endpoints. Ein Angreifer kann dieselben Informationen aus dem Internet untersuchen.
Merqivio Security für WordPress arbeitet innerhalb der Installation mit Login Shield, 2FA, Headern, File Integrity, Malware- und ZIP-Scanning, Audit Log und IP-Listen. So werden Außenansicht und interner Schutz kombiniert.
Sieh, welche Security-Risiken von außen sichtbar sind.
Starte mit dem kostenlosen Security Quick Check. Alle Befunde, Nachweise und Empfehlungen erhältst du anschließend im Security Deep Scan.