WordPress-Sicherheit — geprüft und gehärtet, nicht nur installiert.
Wir schauen WordPress von innen an: veraltete Kern-, Plugin- und Theme-Versionen, bekannte Schwachstellen, offene Angriffsflächen. Mit eigenem Werkzeug und manueller Prüfung — nicht mit einem Security-Plugin, das nur ein gutes Gefühl verkauft.
WordPress betreibt einen großen Teil aller Websites weltweit — und wird deshalb auch am häufigsten angegriffen. Die meisten erfolgreichen Angriffe treffen nicht die Kernsoftware selbst, sondern veraltete Plugins, vergessene Themes und Standard-Logins. Unser Check für WordPress-Sicherheit prüft genau diese Stellen: Core-Version, Plugin- und Theme-Stand, bekannte CVEs, offengelegte Backups und wp-config-Dateien, Datei- und Verzeichnisrechte sowie fehlende Sicherheits-Header.
Wir bieten zwei Wege, WordPress abzusichern: einen einmaligen WordPress-Security-Check mit priorisiertem Report, oder eine laufende Absicherung, bei der wir Updates, Härtung und Monitoring dauerhaft übernehmen. Wer WordPress-Sicherheit testen lassen will, ohne selbst tief ins CMS einzusteigen, findet in uns eine Agentur für WordPress-Sicherheit, die ehrlich sagt, was wirklich Risiko ist — und was nicht.
Was wir bei WordPress prüfen
Ein WordPress-Check ist so gut wie sein Umfang. Diese Bereiche decken wir ab — je nach Auftrag einzeln oder komplett:
Core, Plugins & Themes
Versionsstand von WordPress selbst und allen installierten Plugins/Themes, abgeglichen mit bekannten CVEs — auch bei deaktivierten, aber installierten Komponenten.
Logins & Brute-Force
Standard-Benutzernamen, schwache Passwort-Policies, fehlende Login-Begrenzung und 2FA-Lücken — die häufigste Einstiegstür.
XML-RPC & REST-API
Offene xmlrpc.php für Brute-Force-Verstärkung und Pingback-Missbrauch, unnötig exponierte REST-Endpunkte mit Nutzer- oder Content-Daten.
Dateien & Backups
Rechte auf wp-content und Uploads, öffentlich erreichbare wp-config.php-Kopien, vergessene .sql- oder .zip-Backups im Web-Root.
Header & CSP
Fehlende Security-Header (CSP, HSTS, X-Frame-Options) sowie TLS-Konfiguration und security.txt als stille Grundhärtung.
Admin-Härtung
Rechteverwaltung, Datei-Editor im Backend, Zwei-Faktor-Login und ein sauberer, geprüfter Update-Prozess statt Blindflug.
So läuft die WordPress-Sicherheit bei uns ab
- 01
Zugang & Scope
Sie geben uns lesenden Zugriff, oder wir prüfen von außen — wir legen gemeinsam fest, was geprüft wird.
- 02
Automatisierte Prüfung
wp-claude-kit, unser eigenes Werkzeug, rastert Core, Plugins, Themes, Dateien und Konfiguration.
- 03
Manuelle Verifikation
Jeder Fund wird von Hand geprüft: Ist er echt? Ausnutzbar? Wie kritisch? Kein Alarm-Rauschen aus einem Plugin-Dashboard.
- 04
Report in Klartext
Priorisierte Liste mit Auswirkung und Fix pro Punkt, verständlich für Technik und Geschäftsführung.
- 05
Härtung oder laufende Wartung
Auf Wunsch setzen wir die Fixes selbst um und übernehmen Updates & Monitoring dauerhaft.
Ein Security-Plugin ersetzt keine echte Härtung
Viele WordPress-Betreiber installieren ein Security-Plugin und fühlen sich sicher. Das Plugin scannt nach bekannten Mustern und blockt offensichtliche Bots — aber es kennt weder Ihre individuelle Konfiguration noch verkettete Schwachstellen. Eine harmlose Fehlkonfiguration, ein veraltetes Plugin und eine offene REST-Route ergeben zusammen oft ein echtes Einfallstor. Genau das findet nur eine Prüfung von außen mit Verständnis für den konkreten Aufbau der Seite.
Wir arbeiten deshalb zweigleisig: wp-claude-kit, unser eigenes Werkzeug, deckt die Fläche automatisiert ab — Versionsstände, bekannte CVEs, Konfigurationsfehler. Die manuelle Prüfung verifiziert, was davon wirklich zählt. Wer tiefer als WordPress gehen will, findet in unserem Penetrationstest die volle Prüfung der ganzen Infrastruktur; wer erst einmal selbst starten will, findet im Ratgeber die 12-Punkte-Checkliste zum Absichern.
Gut zu wissen.
Reicht ein Security-Plugin für WordPress-Sicherheit nicht aus?
Ein Plugin hilft gegen bekannte, breite Angriffsmuster — es ersetzt aber keine Prüfung Ihrer konkreten Konfiguration. Verkettete Lücken, etwa ein veraltetes Plugin plus offene Rechte plus fehlender Header, erkennt ein Dashboard-Scan in der Regel nicht.
Wie läuft ein WordPress-Sicherheit-Check konkret ab?
Automatisierte Prüfung mit unserem Werkzeug wp-claude-kit, danach manuelle Verifikation jedes relevanten Fundes, am Ende ein priorisierter Report mit konkretem Fix pro Punkt.
Kann ich WordPress-Sicherheit auch laufend testen lassen?
Ja. Neben dem einmaligen Check bieten wir eine laufende Absicherung: regelmäßige Prüfungen, Updates und Monitoring, statt einmal zu prüfen und dann zu hoffen.
Was kostet die Absicherung meiner WordPress-Seite?
Das hängt vom Umfang der Installation ab — eine Seite mit fünf Plugins ist etwas anderes als ein Shop mit vierzig. Wir nennen vorab einen festen Rahmen, keine offene Rechnung.
Übernehmen Sie auch die Härtung selbst, nicht nur den Report?
Ja, auf Wunsch. Wir schließen die gefundenen Lücken direkt und prüfen anschließend nach, dass sie wirklich zu sind — oder übernehmen die WordPress-Wartung dauerhaft.
Bereit, WordPress wirklich abzusichern?
Nennen Sie uns Ihre Seite — wir sagen ehrlich, wo die größten Lücken liegen, bevor Sie etwas beauftragen.
Jetzt anfragen