WordPress absichern: Checkliste

Wie mache ich WordPress sicher?

WordPress absichern bedeutet, systematisch die typischen Einfallstore zu schließen: Core, Plugins und Theme aktuell halten, Logins mit starken Passwörtern und Zwei-Faktor-Authentifizierung schützen, unnötige Plugins entfernen, Datei- und Verzeichnisrechte korrekt setzen, Backups absichern und die Seite laufend beobachten. Keiner dieser Schritte reicht allein — erst zusammen ergeben sie WordPress-Sicherheit, die auch einem echten Test standhält.

Die Checkliste

12 Punkte, jeder einzeln umsetzbar. Keine bestimmte Reihenfolge nötig — aber die ersten vier sollten Sie zuerst erledigen, wenn Sie gerade erst anfangen.

1. Core, Plugins und Theme aktuell halten. Die meisten erfolgreichen Angriffe nutzen bekannte Lücken in veralteter Software — nicht raffinierte Zero-Days. Automatische Updates für Minor-Releases aktivieren, Major-Updates zeitnah nach kurzem Test einspielen.
2. Starke, individuelle Passwörter + Zwei-Faktor-Authentifizierung. Ein Passwort-Manager pro Nutzer, kein geteilter Admin-Zugang. 2FA (z. B. per App) macht ein gestohlenes Passwort allein nutzlos.
3. Login-Versuche begrenzen. Brute-Force-Bots probieren zehntausende Kombinationen durch. Eine Sperre nach wenigen Fehlversuchen (Lockout oder Verzögerung) stoppt das zuverlässig.
4. Login-Seite und Admin-Bereich zusätzlich schützen. Die Standard-Login-URL ist bekannt — eine zusätzliche Basic-Auth-Sperre oder IP-Beschränkung auf Server-Ebene nimmt automatisierten Angriffen das Ziel.
5. Weniger Plugins, nur aus vertrauenswürdiger Quelle. Jedes Plugin ist zusätzliche Angriffsfläche. Nur installieren, was wirklich gebraucht wird — aus dem offiziellen Verzeichnis oder von etabliertem Hersteller, nie von dubiosen Fremdquellen ohne Lizenz.
6. XML-RPC und REST-API absichern. XML-RPC wird kaum noch gebraucht und ist ein beliebter Angriffsvektor für Brute-Force und DDoS — wenn ungenutzt, deaktivieren. Die REST-API auf das nötige Minimum einschränken, statt Nutzerdaten offen abfragbar zu lassen.
7. Datei- und Verzeichnisrechte korrekt setzen. Dateien in der Regel 644, Verzeichnisse 755, keine world-writable Ordner. Die `wp-config.php` zusätzlich per `.htaccess`/Server-Regel vor direktem Zugriff sperren.
8. wp-config.php und sensible Dateien schützen. Sie enthält Datenbank-Zugangsdaten und Security-Keys — außerhalb des öffentlichen Verzeichnisses ablegen, wenn das Hosting es erlaubt, sonst per Serverregel blocken.
9. Sicherheits-Header und Content-Security-Policy setzen. HSTS, X-Content-Type-Options, X-Frame-Options und eine passend konfigurierte CSP erschweren Clickjacking und XSS-Angriffe deutlich.
10. Durchgängig HTTPS mit HSTS erzwingen. Kein gemischter Inhalt, keine Ausnahmen — jede Verbindung verschlüsselt, HSTS verhindert das Zurückfallen auf HTTP.
11. Regelmäßige, getrennt gelagerte Backups. Backups automatisiert, mehrfach vorgehalten und außerhalb des gehackten Systems gespeichert — sonst nützt das schönste Backup nichts, wenn es mit verschlüsselt wurde.
12. Security-Plugin als Ergänzung einsetzen — nicht als Ersatz. Ein gutes Security-Plugin (Firewall, Malware-Scan, Login-Schutz) bündelt vieles davon bequem, ersetzt aber keinen der Schritte oben. Es ist eine zusätzliche Schicht, kein Freifahrtschein.

Monitoring: der oft vergessene 13. Punkt

Eine einmal abgesicherte Seite bleibt nicht automatisch sicher — neue Lücken in Plugins oder Theme entstehen laufend. Wer WordPress-Sicherheit erhöhen will, sollte deshalb regelmäßig prüfen statt einmalig einrichten: Datei-Integrität überwachen, ungewöhnliche Logins auffallen lassen, und in größeren Abständen einen unabhängigen Blick von außen einholen. Das ist der Unterschied zwischen einmal abgehakt und tatsächlich dauerhaft WordPress-Sicherheit, die hält.