WordPress Security

WordPress ist nicht unsicherer als andere Systeme, aber es ist das mit Abstand verbreitetste CMS der Welt und damit das lohnendste Ziel für automatisierte Angriffe. WordPress-Sicherheit bedeutet deshalb: Einfallstore schließen, Updates zeitnah einspielen, Zugänge härten und für den Ernstfall vorbereitet sein. Was das konkret heißt und was nach einem Hack zu tun ist, lesen Sie hier.

Warum WordPress-Websites angegriffen werden

Der wichtigste Punkt zuerst: Angriffe auf WordPress-Websites sind fast nie persönlich. Niemand sitzt vor dem Bildschirm und hat es gezielt auf Ihr Unternehmen abgesehen. Angreifer betreiben automatisierte Programme, die rund um die Uhr Millionen von Websites nach bekannten Schwachstellen absuchen. Getroffen wird, wer eine offene Tür hat, nicht wer besonders interessant ist.

Deshalb ist auch der Satz „meine Website ist zu klein, um angegriffen zu werden" ein gefährlicher Irrtum. Für Angreifer ist jede Website wertvoll: als Versandstation für Spam, als Wirt für Schadcode, als Umleitung auf dubiose Shops oder schlicht als fremde Rechenleistung. Der Inhalt Ihrer Seite spielt dabei keine Rolle.

Dass WordPress so häufig betroffen ist, liegt an seiner Verbreitung, nicht an seiner Qualität. Wer das verbreitetste System der Welt angreift, erreicht mit einem einzigen Skript die meisten Ziele. Der WordPress-Core selbst wird aktiv gepflegt und schnell gepatcht; die tatsächlichen Lücken entstehen fast immer im Umfeld.

Die typischen Einfallstore

Aus der Analyse gehackter Websites kennen wir die üblichen Wege ins System:

• Veraltete Plugins und Themes: Das mit Abstand häufigste Einfallstor. Sicherheitslücken werden öffentlich dokumentiert; wer den Patch nicht einspielt, steht auf der Liste der automatisierten Scanner.
• Schwache oder wiederverwendete Passwörter: Login-Seiten werden pausenlos mit gestohlenen Zugangsdaten und Wörterbuch-Angriffen beschossen. Ein Passwort, das schon einmal in einem Datenleck stand, fällt in Minuten.
• Themes aus unseriösen Quellen: „Kostenlose" Premium-Themes von Drittanbieter-Seiten enthalten erstaunlich oft eingebauten Schadcode. Die Hintertür wird gleich mitinstalliert.
• Verwaiste Benutzerkonten: Der Admin-Zugang des Praktikanten von vor drei Jahren, das Konto der früheren Agentur: Jedes vergessene Konto ist ein möglicher Zugang.
• Veraltetes PHP und unsicheres Hosting: Eine PHP-Version ohne Sicherheits-Support oder ein schlecht isolierter Server macht selbst gepflegtes WordPress angreifbar.

WordPress-Sicherheit erhöhen: was wirklich wirkt

Wirksame Härtung ist kein einzelner Handgriff, sondern eine Reihe von Maßnahmen, die zusammen mehrere Verteidigungslinien bilden:

• Updates als Fundament: Core, Theme und Plugins zeitnah aktuell halten. Das allein schließt den größten Teil der realen Angriffsfläche.
• Zugänge härten: Eindeutige Benutzernamen, starke Passwörter, Zwei-Faktor-Anmeldung und ein Schutz gegen automatisierte Login-Versuche.
• Weniger ist sicherer: Jedes Plugin, das nicht gebraucht wird, fliegt raus. Weniger Code bedeutet weniger mögliche Lücken.
• Rechte minimieren: Nicht jeder braucht Administratorrechte. Redakteure redigieren, Admins administrieren, und verwaiste Konten werden gelöscht.
• Backups außer Haus: Automatisch, mehrstufig und außerhalb des Webservers gespeichert. Das Backup ist die Versicherung, die den Ernstfall vom Desaster unterscheidet.
• Überwachung: Dateiänderungen, neue Benutzerkonten und gemeldete Plugin-Lücken im Blick behalten, damit aus einem Vorfall keine monatelange Infektion wird.

Ein Sicherheits-Plugin kann mehrere dieser Aufgaben unterstützen und gehört zur Ausstattung. Aber es ist ein Baustein, keine Strategie: Ein Sicherheits-Plugin auf einer ungewarteten Website ist ein Türschloss in einer offenen Tür.

Ein Punkt, der gern übersehen wird: Sicherheit ist auch eine Datenschutz-Frage. Sobald Ihre Website Kontaktformulare, Kundenkonten oder einen Shop hat, verarbeitet sie personenbezogene Daten. Ein Einbruch ist dann nicht nur ein technisches Ärgernis, sondern kann meldepflichtig werden und das Vertrauen Ihrer Kunden kosten. Auch deshalb lohnt es sich, die Grundlagen ernst zu nehmen, bevor etwas passiert.

WordPress gehackt: was jetzt zu tun ist

Wenn der Ernstfall eingetreten ist, zählt die Reihenfolge.

Erstens: Zugänge sperren. Alle Passwörter ändern: WordPress-Konten, Hosting-Zugang, Datenbank, FTP. Solange der Angreifer gültige Zugangsdaten hat, ist jede Bereinigung vergebens.

Zweitens: Zustand sichern. Ein vollständiges Abbild der infizierten Website erstellen, bevor etwas gelöscht oder überschrieben wird. Es ist die Grundlage für die Analyse des Einfallstors.

Drittens: Schaden begrenzen. Je nach Befall die Seite in den Wartungsmodus nehmen, besonders wenn Besucher auf Schadseiten umgeleitet werden oder der Browser bereits warnt.

Viertens: bereinigen und die Lücke schließen. Das ist der Schritt, der häufig nur halb gemacht wird. Wer nur den sichtbaren Schadcode entfernt oder ein altes Backup einspielt, ohne das Einfallstor zu finden, wird in wenigen Wochen erneut gehackt, durch dieselbe Tür. Zur sauberen Bereinigung gehören der Abgleich aller Dateien mit den Originalen, die Prüfung der Datenbank, die Suche nach versteckten Hintertüren und danach die Härtung des Systems.

Fünftens: Folgen aufräumen. Google-Warnungen entfernen lassen, Sperrlisten prüfen, den Hoster informieren und je nach Fall klären, ob personenbezogene Daten betroffen sind.

Unser Sicherheits-Ansatz

Wir arbeiten seit 2011 mit WordPress und haben in dieser Zeit beide Seiten gesehen: Websites, die durch solide Pflege jahrelang störungsfrei laufen, und Notfälle, bei denen gehackte Seiten bereinigt werden mussten. Unser Ansatz folgt daraus: Vorsorge schlägt Rettung, im Aufwand wie in den Kosten.

Konkret heißt das: Wir beginnen mit einer Bestandsaufnahme Ihrer Website, härten die gefundenen Schwachstellen und halten das System im Rahmen der laufenden Wartung dauerhaft aktuell. Sicherheit ist bei uns kein Zusatzprodukt, sondern Bestandteil des Betriebs.

Wenn Sie wissen möchten, wo Ihre Website heute steht: Unser kostenloser Sicherheits-Check in der Website-Klinik prüft die von außen sichtbaren Sicherheitsmerkmale Ihrer Website und zeigt Ihnen das Ergebnis verständlich aufbereitet. Ohne Registrierung, ohne Verpflichtung.

Eine ehrliche Einordnung zum Schluss

Sie betreiben eine WordPress-Website und fragen sich, ob sie sicher genug ist? Gute Frage, wir stellen sie uns seit 2011 bei jedem Projekt. Meist lautet die Antwort: Mit ordentlicher Härtung und laufender Pflege ist WordPress eine sichere Basis. Gelegentlich zeigt die Bestandsaufnahme aber ein System mit so vielen Altlasten, dass ein Neuaufbau die sicherere und günstigere Entscheidung ist, ob wieder mit WordPress oder auf einem moderneren Unterbau. Auch das sagen wir Ihnen offen. Sie bekommen von uns die Empfehlung, die wir an Ihrer Stelle selbst umsetzen würden.