Die 7 wichtigsten Maßnahmen, um WordPress sicher zu machen, sind: regelmäßige Updates, sichere Passwörter mit geänderter Login-URL, ein Sicherheits-Plugin wie Wordfence, automatische Backups, ein aktives SSL-Zertifikat, Zwei-Faktor-Authentifizierung und korrekte Datei-Berechtigungen. Wer diese Schutzmaßnahmen umsetzt, schließt die häufigsten Angriffsvektoren, und schläft nachts deutlich ruhiger.
Ich sage das aus eigener Erfahrung: Eine gehackte Webseite ist kein abstraktes IT-Problem. Es ist das Gefühl, morgens aufzuwachen, auf deine Webseite zu gehen und statt deines Angebots eine russische Pharma-Werbung zu sehen. Oder gar nichts mehr. Das passiert täglich, und trifft vor allem kleine Betriebe und Selbstständige, die keine IT-Abteilung haben und WordPress einfach als Werkzeug nutzen. Laut dem Sucuri Website Threat Research Report 2023 waren rund 96,2 % aller infizierten Webseiten WordPress-basiert. Das liegt nicht daran, dass WordPress unsicher ist, sondern daran, dass es so weit verbreitet ist und viele Betreiber grundlegende Schutzmaßnahmen vernachlässigen.
96,2 % aller infizierten Webseiten sind WordPress-basiert, nicht weil WordPress unsicher ist, sondern weil Betreiber grundlegende Schutzmaßnahmen vernachlässigen.
Quelle: Sucuri Website Threat Research Report 2023
Was ist WordPress-Sicherheit?
WordPress-Sicherheit bezeichnet alle Maßnahmen, die verhindern, dass unbefugte Dritte auf deine Webseite zugreifen, sie verändern oder für Angriffe missbrauchen können. Dazu gehören technische Einstellungen, regelmäßige Wartung und der Einsatz geeigneter Sicherheits-Plugins. Ein gesichertes WordPress schützt nicht nur deine Inhalte, sondern auch die Daten deiner Besucher, und damit deine Haftung nach DSGVO.
Wordfence registriert täglich über 90.000 Angriffe pro Minute auf WordPress-Installationen weltweit. Die meisten treffen Webseiten mit veralteten Plugins oder schwachen Passwörtern.
Quelle: Wordfence Security
Maßnahme 1: WordPress, Themes und Plugins immer aktuell halten
Der häufigste Einstiegspunkt für Angreifer sind veraltete Plugins und Themes. Sicherheitslücken in WordPress-Erweiterungen werden öffentlich dokumentiert, das heißt, sobald eine Schwachstelle bekannt ist, suchen Bots automatisch nach Webseiten, die die alte Version noch betreiben. Updates sind deswegen keine lästige Routine, sondern aktiver Schutz.
Meine Empfehlung: Aktiviere automatische Updates für WordPress-Core und für alle Plugins, denen du vertraust. Für Themes, die du stark angepasst hast, teste Updates vorher auf einer Staging-Umgebung. Im WordPress-Dashboard unter Einstellungen lassen sich automatische Minor-Updates direkt aktivieren. Für mehr Kontrolle bietet das Plugin Easy Updates Manager granulare Steuerung.
Maßnahme 2: Sicheres Passwort und Login-URL ändern
Der Standard-Login-Pfad /wp-admin ist jedem bekannt, und damit auch jedem Bot. Brute-Force-Angriffe, bei denen automatisch tausende Passwort-Kombinationen durchprobiert werden, zielen genau auf diese URL. Zwei Dinge helfen sofort: ein starkes Passwort und eine geänderte Login-URL.
Ein sicheres Passwort hat mindestens 16 Zeichen, enthält Groß- und Kleinbuchstaben, Zahlen und Sonderzeichen, und wird nirgendwo sonst verwendet. Einen Passwort-Manager wie Bitwarden oder 1Password zu nutzen ist keine Bequemlichkeit, sondern Pflicht. Die Login-URL lässt sich mit Plugins wie WPS Hide Login in wenigen Klicks ändern. Damit fällt ein Großteil der automatisierten Angriffe sofort ins Leere.
Maßnahme 3: Wordfence oder Solid Security installieren
Ein dediziertes Sicherheits-Plugin ist das Fundament jeder WordPress-Absicherung. Ich empfehle entweder Wordfence Security oder Solid Security (früher iThemes Security). Beide bieten in der kostenlosen Version bereits: eine Web Application Firewall (WAF), einen Malware-Scanner, Login-Schutz mit Brute-Force-Blockierung und Benachrichtigungen bei verdächtigen Aktivitäten.
Wordfence hat den Vorteil einer eigenen Threat Intelligence, das Plugin lernt aus Angriffen auf Millionen von Webseiten und blockiert neue Bedrohungen oft schon, bevor sie deine Webseite erreichen. Nach der Installation läuft ein erster Scan automatisch. Wenn er Probleme findet, nicht in Panik geraten, viele Meldungen sind harmlose False Positives, die sich mit einem Klick bereinigen lassen.
Maßnahme 4: Automatische Backups einrichten mit UpdraftPlus
Kein Sicherheitssystem der Welt ist zu 100 % unfehlbar. Deshalb ist ein aktuelles Backup die letzte Verteidigungslinie, und gleichzeitig die wichtigste. Wer kein Backup hat, verliert im Ernstfall alles: Inhalte, Kundendaten, Rankings. Das Plugin UpdraftPlus ist meine Standardempfehlung für automatische Backups.
In der kostenlosen Version sicherst du deine gesamte Webseite automatisch täglich oder wöchentlich und speicherst das Backup direkt in Google Drive, Dropbox oder einem anderen Cloud-Dienst. Wichtig: Das Backup muss extern gespeichert werden, ein Backup auf demselben Server hilft nicht, wenn der Server kompromittiert ist. Mindestens 14 tägliche Backups solltest du vorhalten, damit du im Fall einer Infektion auf eine saubere Version zurückgreifen kannst.
Maßnahme 5: SSL-Zertifikat aktivieren (HTTPS)
Ein SSL-Zertifikat verschlüsselt die Verbindung zwischen deiner Webseite und dem Browser deiner Besucher. Ohne SSL werden Formulardaten, inklusive Passwörter, im Klartext übertragen. Das ist nicht nur ein Sicherheitsrisiko, sondern auch ein SEO-Nachteil: Google bewertet HTTPS-Seiten besser als ungesicherte HTTP-Seiten.
Die gute Nachricht: Die meisten Webhoster bieten kostenlose SSL-Zertifikate über Let's Encrypt an. In cPanel oder Plesk ist das in der Regel mit einem Klick aktiviert. Anschließend muss WordPress wissen, dass es HTTPS nutzen soll, entweder über das Plugin Really Simple SSL oder direkt in den WordPress-Einstellungen unter Allgemein. Prüfe danach, ob alle Ressourcen deiner Webseite über HTTPS geladen werden. Gemischte Inhalte (Mixed Content) machen das SSL-Zertifikat sonst wirkungslos.
Maßnahme 6: Zwei-Faktor-Authentifizierung aktivieren
Die Zwei-Faktor-Authentifizierung (2FA) ist eine der wirkungsvollsten Schutzmaßnahmen, die du aktivieren kannst, und eine der am häufigsten ignorierten. Selbst wenn ein Angreifer dein Passwort kennt, kommt er ohne den zweiten Faktor nicht rein. Der zweite Faktor ist in der Regel ein zeitbasierter Code, der alle 30 Sekunden neu generiert wird und nur auf deinem Smartphone existiert.
Wordfence bietet 2FA direkt in der kostenlosen Version an. Alternativ funktioniert das Plugin WP 2FA mit allen gängigen Authenticator-Apps wie Google Authenticator oder Authy. Ich empfehle, 2FA für alle Admin-Accounts zu erzwingen, nicht nur für deinen eigenen. Ein kompromittierter Redakteur-Account ist genauso gefährlich wie ein Admin-Account, wenn er Schreib-Rechte hat.
Maßnahme 7: Datei-Berechtigungen und wp-admin schützen
Falsche Datei-Berechtigungen sind ein unterschätztes Risiko. Wenn Verzeichnisse auf deinem Server zu offen konfiguriert sind (z.B. 777), können eingeschleuste Skripte Dateien schreiben und ausführen. Die sichere Konfiguration lautet: Verzeichnisse auf 755, Dateien auf 644, die wp-config.php auf 440 oder 400.
Zusätzlich kannst du den Zugriff auf das /wp-admin/-Verzeichnis per IP-Whitelist einschränken. Das bedeutet: Nur bestimmte IP-Adressen dürfen das Backend überhaupt aufrufen. Das geht über die .htaccess-Datei auf Apache-Servern oder über die Nginx-Konfiguration. Falls du eine dynamische IP-Adresse hast, ist das unpraktisch, dann ist zumindest die geänderte Login-URL aus Maßnahme 2 ein guter Ersatz.
Was tun, wenn die Webseite gehackt wurde?
Wenn es bereits zu spät ist: Ruhe bewahren und systematisch vorgehen. Schritt eins, setze die Webseite sofort offline oder aktiviere den Wartungsmodus, damit kein weiterer Schaden angerichtet wird und keine Besucher auf kompromittierte Inhalte stoßen. Schritt zwei, ändere alle Passwörter: WordPress-Admin, FTP, Datenbank und Hosting-Panel. Schritt drei, spiele das letzte saubere Backup ein. Falls kein Backup existiert, nutze Wordfence oder einen professionellen Dienst wie Sucuri Site Cleaner zur manuellen Bereinigung. Schritt vier, analysiere, wie der Angriff eingedrungen ist, und schließe die Lücke, bevor die Webseite wieder online geht. Danach sofort alle sieben Maßnahmen aus diesem Artikel umsetzen.
Falls du das alleine nicht stemmen kannst oder willst, biete ich als Teil meiner Webseiten-Pakete auch WordPress-Sicherheits-Audits an. Mehr dazu findest du auf der Übersichtsseite. Und wer ohnehin über KI-gestützte Automatisierung nachdenkt, dem empfehle ich meinen Artikel über KI im Alltag: Zeit sparen mit smarten Tools, denn auch die WordPress-Wartung lässt sich heute weitgehend automatisieren.
Häufige Fragen
Wie oft sollte ich meine WordPress-Webseite auf Sicherheit prüfen?
Mindestens einmal pro Monat solltest du einen manuellen Sicherheits-Scan mit Wordfence durchführen und prüfen, ob alle Plugins und Themes aktuell sind. Mit automatischen Updates und einem aktiven Sicherheits-Plugin läuft vieles davon im Hintergrund, aber ein monatlicher Blick aufs Dashboard kostet fünf Minuten und gibt dir Gewissheit.
Ist WordPress von Grund auf unsicher?
Nein. WordPress selbst ist gut gepflegt und erhält regelmäßig Sicherheits-Updates. Das eigentliche Risiko liegt in veralteten Drittanbieter-Plugins, schwachen Passwörtern und fehlender Wartung. Ein gepflegtes WordPress mit den richtigen Einstellungen ist genauso sicher wie jede andere CMS-Plattform, oft sogar sicherer, weil die Community so groß ist und Sicherheitslücken sehr schnell geschlossen werden.
Brauche ich für WordPress-Sicherheit einen Profi oder kann ich das selbst machen?
Die sieben Maßnahmen in diesem Artikel kann jeder selbst umsetzen, auch ohne technisches Vorwissen. Die meisten lassen sich in einer Stunde erledigen. Für komplexere Setups, Multisites oder wenn du bereits gehackt wurdest, lohnt es sich, einen WordPress-Spezialisten hinzuzuziehen. Die Kosten einer professionellen Bereinigung übersteigen in der Regel bei weitem den Aufwand der Prävention.
Welches Sicherheits-Plugin ist das beste für WordPress?
Ich empfehle Wordfence Security für die meisten Anwendungsfälle, die Firewall, der Malware-Scanner und die 2FA-Funktion sind bereits in der kostenlosen Version stark. Solid Security ist eine gute Alternative, besonders wenn du Wert auf eine übersichtlichere Oberfläche legst. Wichtig ist, dass du genau ein Sicherheits-Plugin aktiv hast, mehrere gleichzeitig führen zu Konflikten.
Fazit: WordPress-Sicherheit ist kein einmaliges Projekt
WordPress sicher machen ist kein einmaliger Aufwand, sondern eine kontinuierliche Aufgabe. Die sieben Maßnahmen aus diesem Artikel sind der solide Grundstein, aber Sicherheit braucht Pflege. Wer Updates ignoriert, Backups vergisst oder dasselbe Passwort seit drei Jahren nutzt, lädt Angreifer geradezu ein. Ich habe diese Lektionen zum Teil auf die harte Tour gelernt. Du musst das nicht.
Letzte Aktualisierung: März 2026
