WordPress-Sicherheitscheck: 25 Prüfungen für eine belastbare Website

WordPress-Sicherheit ist kein Plugin und kein grünes Häkchen. Sie entsteht aus mehreren Schutzschichten: aktuelle Software, begrenzte Zugänge, belastbare Backups, ein passender Hosting-Rahmen und Alarmwege, die im Ernstfall wirklich funktionieren.

Der folgende WordPress-Sicherheitscheck priorisiert 25 Prüfungen nach Schadenspotenzial. Er verspricht keine unangreifbare Website. Die gibt es nicht. Auch die offizielle WordPress-Dokumentation beschreibt Hardening als Reduktion von Risiken – nicht als vollständige Eliminierung.

Schnelltest: die fünf kritischsten Prüfungen

Wenn ihr nur 15 Minuten habt, beginnt hier:

1. Offene Sicherheitsupdates: Gibt es bekannte Lücken in WordPress, Theme oder aktiven Plugins?
2. Administratorzugänge: Existieren unbekannte, ungenutzte oder gemeinsam verwendete Admin-Konten?
3. Backup und Restore: Gibt es ein aktuelles externes Backup, das sich nachweislich wiederherstellen lässt?
4. Mehrfaktor-Login: Sind privilegierte Konten mit Zwei-Faktor-Authentifizierung geschützt?
5. Auffälligkeiten: Haben sich Dateien, Weiterleitungen, Benutzer, Cronjobs oder ausgehende Mails unerwartet verändert?

Ein Fund in diesen fünf Punkten bekommt Vorrang vor kosmetischen Einstellungen. Eine veraltete Erweiterung mit bekannter Lücke ist dringender als ein fehlender Security-Header, wenn dieser im konkreten Setup nur einen kleinen Zusatznutzen bringt.

Updates, Plugins und Benutzerrechte

1. WordPress-Core aktuell halten

Prüft, ob die aktuell unterstützte Version läuft und automatische Sicherheitsupdates funktionieren. Alte Versionen erhalten nicht unbegrenzt Sicherheitskorrekturen.

2. Plugins und Themes aktualisieren

Updates werden nicht blind auf der Live-Seite ausgeführt. Prüft Changelog, Kompatibilität und kritische Funktionen. Bei geschäftskritischen Seiten gehört der Test auf Staging zum Ablauf.

3. Ungenutzte Erweiterungen entfernen

Deaktiviert ist nicht entfernt. Nicht benötigte Plugins und Themes bleiben Code auf dem Server und damit mögliche Angriffsfläche. Löscht, was nicht mehr gebraucht wird.

4. Herkunft und Wartungszustand prüfen

Erweiterungen stammen aus vertrauenswürdigen Quellen. Achtet auf aktive Pflege, nachvollziehbare Updates und einen klaren Herausgeber. Nulled Plugins und unbekannte Downloadquellen sind ein Ausschlusskriterium.

5. Rollen nach dem Minimalprinzip vergeben

Nicht jede Person braucht Administratorrechte. Redaktion, Shopmanagement und Technik erhalten nur die Rechte, die für ihre Aufgabe nötig sind.

6. Benutzerbestand regelmäßig prüfen

Ehemalige Mitarbeitende, Dienstleister und Testkonten werden entfernt oder gesperrt. Für jedes Konto muss eine verantwortliche Person erkennbar sein.

Wenn eine konkrete Erweiterung betroffen ist, zählt schnelles Einordnen. Unser Beispiel zur Sicherheitslücke in The Events Calendar Pro zeigt, warum Update, Prüfung und Nachkontrolle zusammengehören.

Login, 2FA und Brute-Force-Schutz

7. Eindeutige starke Passwörter verwenden

Jedes Konto erhält ein eigenes langes Passwort aus einem Passwortmanager. Wiederverwendete Passwörter verbinden das Risiko fremder Dienste direkt mit eurer Website.

8. Zwei-Faktor-Authentifizierung aktivieren

Für Administratoren und andere privilegierte Rollen ist 2FA eine sinnvolle zweite Hürde. Ein gestohlenes Passwort reicht dann nicht allein für den Login.

9. Loginversuche begrenzen und beobachten

Rate Limits, WAF-Regeln oder geeignete Schutzmechanismen bremsen automatisierte Brute-Force-Angriffe. Entscheidend ist, dass legitime Nutzer nicht dauerhaft ausgesperrt werden.

10. Standard- und Sammelkonten vermeiden

Ein Konto wie admin ist nicht automatisch eine Lücke, aber ein leicht erratbarer Benutzername erleichtert automatisierte Versuche. Wichtiger noch: Geteilte Konten verhindern eine klare Zuordnung von Änderungen.

11. Sitzungen und Geräte kontrollieren

Nach Personalwechsel, Passwortfund oder verdächtigem Login werden bestehende Sitzungen beendet. Prüft, ob das eingesetzte System eine solche Kontrolle ermöglicht.

12. Adminbereich nur verschlüsselt erreichbar machen

Login und Backend laufen ausschließlich über HTTPS. Zusätzliche Zugangsbeschränkungen können sinnvoll sein, müssen aber Funktionen wie AJAX, REST API und externe Integrationen berücksichtigen.

Die offizielle WordPress-Anleitung zu Brute-Force-Angriffen nennt mehrere Schutzebenen. Eine umbenannte Login-URL allein ersetzt sie nicht.

Backups und Restore-Probe

13. Dateien und Datenbank sichern

Ein vollständiges Backup umfasst mindestens Datenbank, Uploads, Theme, individuelle Plugins und relevante Konfiguration. Nur die Datenbank oder nur wp-content reicht für eine vollständige Wiederherstellung nicht immer aus.

14. Backups getrennt speichern

Liegt das einzige Backup auf demselben Server, kann ein Ausfall oder Angriff Original und Sicherung gleichzeitig treffen. Mindestens eine Kopie gehört in einen getrennten, kontrollierten Speicher.

15. Aufbewahrung zum Risiko passend wählen

Ein Shop mit täglichen Bestellungen braucht andere Intervalle als eine selten veränderte Informationsseite. Plant nicht nur die Frequenz, sondern auch die Historie: Wird ein Angriff spät entdeckt, kann das jüngste Backup bereits betroffen sein.

16. Wiederherstellung testen

Eine Restore-Probe prüft Daten, Dateien, Zugänge und Ablauf. Sie wird dokumentiert und nach größeren Systemwechseln wiederholt. Mehr dazu steht in unserem Ratgeber zu WordPress-Backups.

17. Wiederanlauf priorisieren

Welche Funktion muss zuerst zurückkommen: Startseite, Formular, Login oder Checkout? Ein Wiederherstellungsplan spart im Ernstfall mehr Zeit als ein Ordner voller ungeprüfter Sicherungen.

Hosting, PHP, HTTPS und Dateirechte

18. Unterstützte PHP-Version einsetzen

PHP muss vom Hoster unterstützt und mit WordPress, Theme und Plugins kompatibel sein. Vor einem Versionswechsel werden zentrale Funktionen getestet.

19. HTTPS und Zertifikate prüfen

Alle öffentlichen und administrativen Seiten laufen über HTTPS. Achtet auf Zertifikatslaufzeit, gemischte Inhalte und eindeutige Weiterleitungen zwischen Domainvarianten.

20. Dateirechte begrenzen

Dateien und Ordner bekommen nur die Rechte, die der Betrieb tatsächlich benötigt. Schreibrechte für alle Benutzer oder ausführbare Upload-Verzeichnisse erhöhen das Risiko.

21. Datei-Editor im Backend deaktivieren

DISALLOW_FILE_EDIT verhindert, dass Theme- und Plugin-Dateien regulär über das WordPress-Backend bearbeitet werden. Das stoppt keinen vollständigen Angriff, reduziert aber eine einfache Möglichkeit zur Codeausführung.

22. Zuständigkeit des Hosters klären

Fragt nach Serverupdates, Isolierung, Backups, Malware-Reaktion, Logs und Wiederherstellung. Der Hoster schützt die Infrastruktur; Plugins, Benutzer und Anwendung bleiben nicht automatisch seine Aufgabe.

Logging, Monitoring und Alarmwege

23. Änderungen und Fehler protokollieren

Webserver-, PHP- und Anwendungslogs helfen, Zeitpunkt und Umfang einer Auffälligkeit einzugrenzen. Logs müssen datenschutzgerecht aufbewahrt und vor Manipulation geschützt werden.

24. Externes Monitoring einrichten

Erreichbarkeit wird von außen geprüft. Für Formulare und Shops kommen Funktionschecks hinzu. Das Monitoring braucht einen klaren Alarmweg mit Vertretung – eine ungelesene Mail ist kein Prozess.

25. Reaktion und Eskalation dokumentieren

Legt fest, wer bei Malware, ungewöhnlichen Logins, Massenmails oder Ausfall entscheidet. Kontaktdaten des Hosters, Wartungsdienstleisters und gegebenenfalls Datenschutzverantwortlicher gehören in den Ablauf.

Laufende WordPress-Wartung verbindet diese Prüfungen mit einem Rhythmus. Ohne Verantwortliche werden selbst gute Tools irgendwann zu stillen Symbolen im Dashboard.

Was nach einem Fund zu tun ist

Wenn ihr eine Kompromittierung vermutet, arbeitet nicht hektisch direkt im Live-System:

1. Zugänge und Beweise sichern, bevor Logs überschrieben werden.
2. Betroffene Website bei Bedarf kontrolliert isolieren.
3. Umfang prüfen: Benutzer, Dateien, Datenbank, Cronjobs, Weiterleitungen und ausgehende Kommunikation.
4. Zugangsdaten und Schlüssel über einen sauberen Weg erneuern.
5. Sicherheitslücke schließen, bevor ein Backup wieder live geht.
6. Funktionen, Daten und Monitoring nach der Wiederherstellung testen.
7. Vorfall dokumentieren und rechtliche Meldepflichten fachlich prüfen lassen.

Einfach nur die sichtbare Schadseite zu löschen reicht nicht. Ohne Ursache kommt der Angreifer möglicherweise über denselben Weg zurück.

Die 25-Punkte-Checkliste nach Verantwortung

Verantwortung	Typische Prüfungen
Website-Betreiber	Benutzer, Freigaben, interne Geräte, Verantwortliche, rechtliche Bewertung
WordPress-Betreuung	Core, Plugins, Theme, Rollen, 2FA, Backups, Restore, Funktionschecks
Hoster	Server, unterstützte PHP-Versionen, Netzwerk, Zertifikate, Serverlogs, Infrastruktur-Backups
Gemeinsam	Incident-Ablauf, Alarmwege, Wiederanlauf, Schnittstellen und Dokumentation

Nutzt die Liste nicht als einmalige Abnahme. Sicherheitsrelevante Updates und Benutzeränderungen laufen kontinuierlich; Restore- und Prozessprüfungen brauchen einen festen Wiederholungstermin.

Die ausführliche WordPress-Hardening-Dokumentation ist eine gute Primärquelle für die technische Vertiefung. Sie betont ebenfalls, dass Schutz aus mehreren Kontrollen entsteht.

Wenn ihr nicht sicher seid, welche Ebene bei euch fehlt, prüfen wir WordPress, Hosting, Backups, Benutzer und Alarmwege gemeinsam. Unser Sicherheits- und Wartungscheck liefert eine priorisierte Liste statt einer pauschalen „sicher/unsicher“-Ampel.