SICHERHEIT · WORDPRESS

WordPress-Seiten werden weiter gehackt: Sicherheit, Schwachstellen und Schutz

WordPress ist das meistgenutzte Content-Management-System der Welt, und genau deshalb ist es auch das beliebteste Angriffsziel. Der Kern selbst ist selten schuld. Die meisten Einbrüche kommen über veraltete Plugins, verwundbare Themes und schwache Zugangsdaten. Wenn du WordPress behältst, musst du es aktiv härten.

Warum werden WordPress-Seiten so oft gehackt?

Fangen wir sachlich an: Die schiere Verbreitung von WordPress ist der wichtigste Grund. Wenn ein System einen so großen Anteil aller Websites betreibt, wird jede entdeckte Schwachstelle sofort im großen Stil ausgenutzt. Angreifer suchen selten eine bestimmte Seite. Automatisierte Bots durchkämmen das Netz und testen dieselbe bekannte Lücke gegen Millionen Adressen gleichzeitig.

Das ist kein Zeichen dafür, dass WordPress schlechte Software wäre. Der Kern wird von einem großen Team gepflegt und schnell aktualisiert. Das Risiko entsteht aus dem, was rundherum installiert wird, und aus der Frage, wie sorgfältig eine Seite über Jahre gewartet wird. Genau hier scheitert es im Alltag oft.

Woher kommen die meisten WordPress-Einbrüche?

Die Antwort ist erstaunlich eindeutig. Der Großteil der erfolgreichen Angriffe zielt nicht auf den WordPress-Kern, sondern auf Plugins und Themes, die veraltet oder von vornherein unsicher programmiert sind. Dazu kommen schwache oder wiederverwendete Passwörter, die per automatisiertem Durchprobieren geknackt werden. Diese beiden Kategorien erklären den weitaus größten Teil der Vorfälle.

Das ist eine gute Nachricht, denn beide Ursachen liegen in deiner Hand. Du entscheidest, welche Erweiterungen installiert sind, wie schnell sie aktualisiert werden und wie stark die Zugangsdaten sind. Wir haben eine Liste mit den fünf wichtigsten Punkten zusammengestellt, die du durchgehen solltest. Diese sehen wir uns weiter unten Schritt für Schritt an:

1. Qualität, Herkunft und Herausgeber der Plugins
2. Updates häufig installieren
3. Überflüssige Plugins vermeiden
4. Kommentar- und Registrierungsmöglichkeit deaktivieren
5. Gute Konto- und Passworthygiene bei allen Nutzern

Wie erkennst du gute Plugins und vertrauenswürdige Quellen?

Jedes Plugin ist fremder Programmcode, der auf deiner Seite läuft. Damit übernimmst du auch die Sicherheit dieses Codes. Ein verwaistes Plugin, das seit zwei Jahren kein Update mehr bekommen hat, ist ein klares Warnzeichen. Bekannte Lücken bleiben dort offen, weil niemand sie mehr schließt.

Achte in der Praxis auf drei Dinge: das Datum der letzten Aktualisierung, die Zahl der aktiven Installationen und die Reaktion des Herausgebers auf gemeldete Probleme. Ein Plugin, das regelmäßig gepflegt wird und eine große Nutzerbasis hat, wird schneller repariert, wenn eine Schwachstelle auftaucht. Meide Erweiterungen aus dubiosen Sammlungen und vor allem raubkopierte Premium-Plugins, die oft manipulierten Code enthalten.

Warum solltest du Updates häufig installieren?

Sobald eine Schwachstelle öffentlich gemeldet und gepatcht ist, beginnt ein Wettlauf. Die Korrektur steht im Update, aber sie wirkt erst, wenn sie eingespielt ist. Bots durchsuchen das Netz gezielt nach Seiten, die das Update noch nicht installiert haben. Jeder Tag Verzögerung ist ein offenes Fenster.

Praktisch heißt das: Schalte automatische Sicherheitsupdates für den WordPress-Kern ein. Lege einen festen wöchentlichen Rhythmus fest, in dem du Plugins und Themes prüfst und aktualisierst. Erstelle vor größeren Updates ein Backup, damit du bei einem Kompatibilitätsproblem sauber zurückkannst. Diese Routine ist der wirksamste Einzelschritt für die Sicherheit einer WordPress-Seite.

Warum sind überflüssige Plugins ein Risiko?

Über die Jahre sammeln sich Plugins an. Eines wurde für eine Kampagne installiert, ein anderes zum Ausprobieren, ein drittes ersetzt und vergessen. Jedes davon ist ein potenzieller Einstiegspunkt, und ein deaktiviertes Plugin bleibt auf dem Server liegen. Bei manchen Schwachstellen genügt bereits die pure Anwesenheit der Dateien, damit sie ausgenutzt werden können.

Gehe die Plugin-Liste regelmäßig durch und stelle bei jedem Eintrag die einfache Frage: Nutze ich das noch? Wenn nicht, deinstalliere es komplett, sodass auch die Dateien verschwinden. Weniger Plugins bedeuten weniger Wartung, weniger Konflikte und eine kleinere Fläche, die jemand angreifen kann.

Solltest du Kommentare und Registrierung deaktivieren?

Die Kommentarfunktion ist bei vielen Unternehmensseiten reine Altlast. Sie zieht Spam an, der Arbeit macht und im schlimmsten Fall schädliche Links verbreitet. Wenn deine Seite keine echte Kommentarkultur pflegt, gibt es keinen Grund, dieses Einfallstor offen zu lassen.

Ähnliches gilt für die offene Registrierung. Ist sie aktiviert, können sich Bots massenhaft Konten anlegen. Schon ein Konto mit unerwartet hohen Rechten kann zum Problem werden. Erlaube die Registrierung nur, wenn dein Angebot sie zwingend braucht, und beschränke die Standardrolle neuer Nutzer auf das Minimum. Für eine klassische Firmenwebsite ist beides schlicht überflüssig.

Wie sieht gute Konto- und Passworthygiene aus?

Automatisiertes Durchprobieren von Zugangsdaten gehört zu den häufigsten Angriffen überhaupt. Bots testen Listen bekannter Passwörter gegen die Login-Seite. Ein kurzes, wiederverwendetes Passwort fällt in Sekunden. Ein langes, einzigartiges Passwort aus einem Passwortmanager macht diesen Weg praktisch aussichtslos.

Die Zwei-Faktor-Authentifizierung ist die zweite starke Schicht. Selbst wenn ein Passwort geleakt wird, fehlt dem Angreifer der zweite Faktor. Vermeide vorhersehbare Benutzernamen wie "admin", gib jeder Person nur so viele Rechte wie nötig und entferne alte Konten von Mitarbeitenden oder Dienstleistern, sobald sie nicht mehr gebraucht werden. Jedes offene Konto ist eine mögliche Tür.

Warum reicht Härten allein nicht? Der Langzeitplan

Alle Maßnahmen oben wirken, und wer sie konsequent umsetzt, betreibt WordPress deutlich sicherer als der Durchschnitt. Aber sei ehrlich zu dir: Härten ist eine Daueraufgabe. Es beseitigt das Grundproblem nicht, sondern hält es nur in Schach. Die breite Angriffsfläche aus Plugins und die endlose Kette von Updates bleiben bestehen, Woche für Woche, Jahr für Jahr.

Für ein KMU, das keine eigene IT-Abteilung hat, ist das eine Last, die leicht liegen bleibt. Deshalb lohnt sich ein Langzeitplan, der über das reine Flicken hinausgeht: der schrittweise Umstieg von WordPress auf statische Seiten, zum Beispiel auf der Plattform von Novavalo. Eine statische Website hat keine Datenbank, kein Login-Panel und keine Plugins, die man aufbrechen könnte. Die häufigsten Angriffswege gegen WordPress existieren dort schlicht nicht.

Der Unterschied ist grundlegend. Die Angriffsfläche schrumpft auf einen Bruchteil, es gibt keine wöchentlichen Sicherheitsupdates zu verpassen, und die Auslieferung über ein CDN ist schnell und robust. Genau aus diesen Gründen haben wir uns entschieden, die Websites von KMU nicht mit WordPress zu bauen. Die Hintergründe dazu findest du in unserem Beitrag darüber, warum wir WordPress hinter uns gelassen haben, und den größeren Bogen zeichnet die Geschichte der Websites nach.

Ein Umzug muss kein Großprojekt sein. Der Weg lässt sich in vier überschaubare Schritte gliedern: Zuerst inventarisierst du die vorhandenen Inhalte, also Seiten, Texte und Bilder. Dann baust du die entsprechenden Seiten statisch neu auf. Anschließend leitest du die alten Adressen per Weiterleitung auf die neuen, damit Suchmaschinen und Besucher nichts verlieren. Zuletzt schaltest du die alte WordPress-Installation kontrolliert ab. Bei Novavalo kann die KI eine entsprechende Website schnell aufbauen, sodass dieser Weg für ein normales KMU realistisch bleibt. Wir versprechen dabei nichts Übertriebenes: Statisch ist nicht für jeden Anwendungsfall die Antwort, aber für die klassische Firmenwebsite ist es die einfachere und sicherere Grundlage.

Häufig gestellte Fragen