Um WordPress sicher zu machen, brauchst du sieben Maßnahmen. Updates, ein starkes Passwort mit geänderter Login-URL, ein Sicherheits-Plugin, externe Backups, ein SSL-Zertifikat, Zwei-Faktor-Authentifizierung und korrekte Datei-Berechtigungen. Zusammen schließen sie die Einfallstore, über die praktisch alle automatisierten Angriffe laufen.
Eine gehackte Webseite ist kein abstraktes IT-Problem. Es ist der Moment, in dem du morgens deine Seite aufrufst und statt deines Angebots fremde Werbung siehst. Oder gar nichts mehr. Das trifft vor allem kleine Betriebe ohne IT-Abteilung, die WordPress schlicht als Werkzeug nutzen.
Letzte Aktualisierung: September 2026
Was ist WordPress-Sicherheit?
WordPress-Sicherheit umfasst alle Maßnahmen, die verhindern, dass Unbefugte auf deine Webseite zugreifen, sie verändern oder für eigene Zwecke missbrauchen. Dazu zählen technische Einstellungen, regelmäßige Wartung und passende Plugins. Geschützt werden dabei nicht nur deine Inhalte, sondern auch die Daten deiner Besucher, für die du nach DSGVO haftest.
WordPress machte 95,5 Prozent aller im Jahr 2023 erkannten Infektionen aus.
Quelle: Sucuri, „2023 Hacked Website & Malware Threat Report", Erhebungsjahr 2023, Datenbasis: 39.594 im Jahr 2023 vom Sucuri-Bereinigungsteam gesäuberte Webseiten
Diese Zahl wird gern als Beleg dafür genommen, WordPress sei unsicher. Das ist der falsche Schluss. WordPress betreibt einen Großteil aller Webseiten weltweit, entsprechend groß ist der Anteil an den Infektionen. Entscheidend ist, was auf der einzelnen Seite passiert.
Fast alle Angriffe laufen automatisiert. Niemand sucht sich gezielt den Malerbetrieb aus dem Nachbarort aus. Bots durchsuchen das Netz nach Seiten mit bekannten Lücken und schlagen dort zu, wo sie fündig werden. Genau deshalb hilft schon eine solide Grundabsicherung so zuverlässig: Sie sorgt dafür, dass deine Seite durch das Raster fällt.
Maßnahme 1: WordPress, Themes und Plugins aktuell halten
Der häufigste Einstiegspunkt sind veraltete Plugins und Themes. Sicherheitslücken werden öffentlich dokumentiert. Sobald eine bekannt ist, suchen Bots automatisiert nach Seiten, die die alte Version noch betreiben. Updates sind damit die wirksamste einzelne Maßnahme überhaupt.
Bei 39,1 Prozent der infizierten Webseiten war das Content-Management-System zum Zeitpunkt der Infektion veraltet.
Quelle: Sucuri, „2023 Hacked Website & Malware Threat Report", Erhebungsjahr 2023, Datenbasis: 39.594 im Jahr 2023 vom Sucuri-Bereinigungsteam gesäuberte Webseiten
Aktiviere automatische Updates für den WordPress-Kern und für alle Plugins, denen du vertraust. Bei stark angepassten Themes solltest du vorher auf einer Testumgebung prüfen. Feinere Steuerung bietet das Plugin Easy Updates Manager.
Ein zweiter Punkt wird oft übersehen: Plugins, die du nicht mehr nutzt, gehören gelöscht, nicht nur deaktiviert. Ein deaktiviertes Plugin liegt weiterhin auf dem Server und kann eine ausnutzbare Lücke enthalten.
Maßnahme 2: Starkes Passwort und geänderte Login-URL
Der Standardpfad /wp-admin ist jedem bekannt, auch jedem Bot. Brute-Force-Angriffe probieren dort automatisiert tausende Kombinationen durch. Zwei Dinge helfen sofort.
Ein sicheres Passwort hat mindestens 16 Zeichen, mischt Groß- und Kleinbuchstaben, Zahlen und Sonderzeichen und wird nirgendwo sonst verwendet. Ohne Passwort-Manager wie Bitwarden oder 1Password ist das im Alltag kaum durchzuhalten.
Die Login-URL lässt sich mit einem Plugin wie WPS Hide Login in wenigen Klicks ändern. Damit läuft ein Großteil der automatisierten Angriffe ins Leere, weil sie die richtige Adresse gar nicht erst finden.
Maßnahme 3: Ein Sicherheits-Plugin installieren
Ein dediziertes Sicherheits-Plugin ist das Fundament. Ich empfehle Wordfence Security oder Solid Security. Beide bringen schon in der kostenlosen Version eine Firewall, einen Malware-Scanner, Schutz gegen Brute-Force-Angriffe und Benachrichtigungen bei auffälligen Zugriffen mit.
Wordfence hat den Vorteil eigener Bedrohungsdaten: Das Plugin wertet Angriffe auf sehr viele Webseiten aus und blockiert neue Muster oft, bevor sie deine Seite erreichen. Nach der Installation läuft automatisch ein erster Scan.
Wichtig: Betreibe immer nur ein Sicherheits-Plugin. Zwei gleichzeitig blockieren sich gegenseitig und erzeugen Fehlermeldungen, die niemand mehr auseinanderhält.
Maßnahme 4: Automatische Backups an einem externen Ort
Kein Schutz ist lückenlos. Ein aktuelles Backup ist deshalb die letzte Verteidigungslinie und gleichzeitig die wichtigste. Ohne Backup verlierst du im Ernstfall Inhalte, Kundendaten und Rankings gleichzeitig.
UpdraftPlus ist meine Standardempfehlung. Schon die kostenlose Version sichert die komplette Seite täglich oder wöchentlich und legt die Kopie in Google Drive, Dropbox oder einem anderen Speicher ab.
Der entscheidende Punkt ist der Speicherort. Ein Backup auf demselben Server nützt nichts, wenn genau dieser Server kompromittiert wird. Halte außerdem mehrere Stände vor, mindestens zwei Wochen. Manche Infektionen fallen erst nach Tagen auf, und dann brauchst du einen Stand von davor.
Backups regelmäßig testen
Ein Backup, das noch nie zurückgespielt wurde, ist ein Versprechen, keine Sicherheit. Spiel einmal im Jahr einen Stand auf einer Testumgebung ein und schau, ob die Seite dort tatsächlich läuft. Erst dann weißt du, dass die Sicherung vollständig ist.
Maßnahme 5: SSL-Zertifikat aktivieren
Ein SSL-Zertifikat verschlüsselt die Verbindung zwischen deiner Seite und dem Browser der Besucher. Ohne SSL gehen Formulardaten samt Passwörtern im Klartext durchs Netz. Zusätzlich bewertet Google verschlüsselte Seiten besser.
Die meisten Hoster bieten kostenlose Zertifikate über Let's Encrypt an, aktivierbar mit einem Klick im Hosting-Panel. Danach muss WordPress noch wissen, dass es HTTPS nutzen soll, entweder über die Einstellungen oder ein Plugin wie Really Simple SSL.
Prüfe anschließend, ob wirklich alle Elemente über HTTPS geladen werden. Ein einziges Bild, das noch über HTTP kommt, führt zur Warnung im Browser und macht den Effekt zunichte.
Maßnahme 6: Zwei-Faktor-Authentifizierung aktivieren
Die Zwei-Faktor-Authentifizierung gehört zu den wirksamsten Maßnahmen und wird am häufigsten übersprungen. Selbst wenn jemand dein Passwort kennt, kommt er ohne den zweiten Faktor nicht hinein. Dieser Faktor ist meist ein Code, der alle 30 Sekunden neu erzeugt wird und nur auf deinem Handy existiert.
Wordfence bringt die Funktion kostenlos mit. Alternativ arbeitet das Plugin WP 2FA mit gängigen Authenticator-Apps zusammen.
Erzwing die zweite Stufe für alle Konten mit Schreibrechten, nicht nur für deines. Ein übernommener Redakteurszugang richtet fast denselben Schaden an wie ein Administratorzugang.
Maßnahme 7: Datei-Berechtigungen und Zugriff auf das Backend
Falsche Datei-Berechtigungen sind ein unterschätztes Risiko. Sind Verzeichnisse zu offen konfiguriert, etwa auf 777, können eingeschleuste Skripte Dateien schreiben und ausführen. Sinnvoll sind 755 für Verzeichnisse, 644 für Dateien und 440 oder 400 für die wp-config.php.
Zusätzlich kannst du den Zugriff auf /wp-admin/ auf bestimmte IP-Adressen beschränken, über die .htaccess bei Apache oder die Nginx-Konfiguration. Bei einer wechselnden IP-Adresse ist das unpraktisch, dann bleibt die geänderte Login-URL aus Maßnahme 2 der bessere Weg.
WordPress sicher machen heißt auch: Benutzerkonten aufräumen
In vielen gewachsenen Installationen sammeln sich Zugänge an: die Agentur von vor drei Jahren, ein ehemaliger Mitarbeiter, ein Praktikant. Jedes dieser Konten ist ein möglicher Weg hinein.
- Konten aufräumen: Geh die Benutzerliste einmal im Quartal durch und entferne alles, was nicht mehr gebraucht wird.
- Rollen sparsam vergeben: Wer Beiträge schreibt, braucht keine Administratorrechte. Die Rolle "Redakteur" reicht in den meisten Fällen.
- Kein Sammelkonto: Ein gemeinsam genutzter Admin-Zugang lässt sich später niemandem zuordnen und wird beim Ausscheiden nie geändert.
- Benutzername nicht "admin": Der Standardname erspart Angreifern die Hälfte der Arbeit.
Das Hosting entscheidet mehr, als viele denken
Ein guter Teil der Sicherheit liegt außerhalb von WordPress. Billiges Massenhosting bringt oft veraltete PHP-Versionen mit, kein sauberes Trennen der Kundenkonten und keine serverseitige Schutzschicht.
Achte auf drei Punkte: eine aktuelle PHP-Version, automatische serverseitige Backups zusätzlich zu deinen eigenen und die Möglichkeit, eine Testumgebung anzulegen. Wenn dein Hoster PHP-Versionen anbietet, die seit Jahren keine Sicherheitsupdates mehr bekommen, ist das ein Warnsignal.
Nebenbei zahlt gutes Hosting auf die Ladezeit ein, was wiederum deiner Sichtbarkeit hilft: WordPress zu langsam.
Woran du merkst, dass etwas nicht stimmt
Die wenigsten Angriffe sind sofort sichtbar. Wer eine Seite übernimmt, hat meist kein Interesse daran, dass es auffällt, weil sie im Hintergrund für Spam oder Weiterleitungen genutzt wird. Auf diese Anzeichen solltest du achten:
- Warnung in der Search Console: Google meldet dort erkannte Schadsoftware, oft bevor du selbst etwas bemerkst.
- Fremde Seiten im Index: Such einmal nach
site:deinedomain.deund schau, ob Seiten auftauchen, die du nie angelegt hast. - Unerklärliche Weiterleitungen: Besonders auffällig, wenn sie nur auf dem Handy oder nur bei Besuchern aus der Google-Suche greifen.
- Neue Benutzerkonten: Ein Administrator, den du nicht angelegt hast, ist ein eindeutiges Zeichen.
- Plötzlich langsame Seite: Wenn fremde Skripte mitlaufen, kostet das Rechenzeit.
- Mails landen im Spam: Wird dein Server für Massenmails missbraucht, leidet die Zustellbarkeit deiner eigenen Nachrichten.
Der Blick in die Search Console lohnt sich besonders, weil er nichts kostet und Google Infektionen oft früher erkennt als der Betreiber selbst. Prüf dort auch, ob unter den Suchanfragen plötzlich Begriffe auftauchen, die nichts mit deinem Angebot zu tun haben. Das ist ein typisches Zeichen für eingeschleusten Spam.
Was tun, wenn die Webseite gehackt wurde?
Ruhe bewahren und der Reihe nach vorgehen.
- Seite offline nehmen: Wartungsmodus aktivieren, damit kein weiterer Schaden entsteht und keine Besucher auf manipulierte Inhalte stoßen.
- Alle Passwörter ändern: WordPress, FTP, Datenbank und Hosting-Panel, nicht nur den Admin-Zugang.
- Sauberes Backup einspielen: Einen Stand von vor der Infektion, nicht den letzten verfügbaren.
- Einfallstor finden: Ohne geschlossene Lücke ist die Seite nach wenigen Tagen wieder infiziert.
- Meldepflicht prüfen: Wenn personenbezogene Daten betroffen sein könnten, greift unter Umständen die Meldefrist von 72 Stunden gegenüber der Datenschutzaufsicht.
Der letzte Punkt wird fast immer übersehen. Sobald Kundendaten in einer Datenbank liegen, ist ein Einbruch nicht nur ein technisches, sondern auch ein rechtliches Ereignis. Im Zweifel gehört das mit jemandem geklärt, der sich damit auskennt.
Häufige Fragen zu WordPress-Sicherheit
Wie oft sollte ich meine WordPress-Webseite prüfen?
Einmal im Monat reicht für einen manuellen Scan und den Blick auf ausstehende Updates. Mit automatischen Updates und einem aktiven Sicherheits-Plugin läuft das meiste im Hintergrund, der monatliche Blick kostet fünf Minuten.
Ist WordPress von Grund auf unsicher?
Nein. Der Kern wird gut gepflegt und erhält regelmäßig Sicherheitsupdates. Das Risiko liegt bei veralteten Erweiterungen, schwachen Passwörtern und fehlender Wartung. Ein gepflegtes WordPress steht anderen Systemen in nichts nach.
Brauche ich dafür einen Profi?
Die sieben Maßnahmen schafft jeder selbst, meist in ein bis zwei Stunden. Bei einer bereits gehackten Seite, bei Multisites oder komplexen Setups lohnt Unterstützung. Eine professionelle Bereinigung kostet deutlich mehr als die Vorsorge.
Welches Sicherheits-Plugin ist das beste?
Wordfence deckt die meisten Fälle gut ab, Firewall, Scanner und Zwei-Faktor sind schon kostenlos enthalten. Solid Security ist eine gute Alternative mit aufgeräumterer Oberfläche. Entscheidend ist, dass genau eines aktiv ist.
Reicht ein Backup beim Hoster aus?
Als alleinige Sicherung nicht. Hoster-Backups sind eine sinnvolle zweite Ebene, liegen aber auf derselben Infrastruktur. Halte zusätzlich eine eigene Kopie an einem unabhängigen Ort vor.
Was kostet es, eine gehackte Seite bereinigen zu lassen?
Je nach Umfang liegen die Kosten schnell im dreistelligen bis niedrigen vierstelligen Bereich, dazu kommt der Ausfall. Regelmäßige Wartung ist in fast allen Fällen günstiger als eine einzige Bereinigung.
Fazit: WordPress sicher machen ist laufende Pflege
Die sieben Maßnahmen sind der Grundstein, aber sie halten nur, wenn sie gepflegt werden. Wer Updates liegen lässt, Backups vergisst oder seit Jahren dasselbe Passwort nutzt, macht es Angreifern leicht. Der Aufwand dafür liegt bei etwa einer Stunde im Monat.
Wenn du nur eine einzige Sache umsetzt, dann die Backups. Alles andere lässt sich nachholen, ein verlorener Datenbestand nicht. Und wenn Zeit für eine zweite bleibt: Updates. Diese beiden Punkte verhindern zusammen den größten Teil dessen, was in der Praxis schiefgeht.
Ein Teil davon lässt sich abgeben. Wenn du das nicht selbst übernehmen willst, schau dir die Wartungspakete an oder buch ein kostenloses Erstgespräch. Wir sagen dir ehrlich, was deine Seite braucht und was du dir sparen kannst.
