WordPress Sicherheit 2026: 12-Punkte Hardening-Guide

Sicherheitsdienstleister wie Sucuri und Wordfence registrieren pro Tag Zehntausende kompromittierter WordPress-Installationen — Schätzungen sprechen von über 90.000 angegriffenen Seiten täglich. Der Grund ist selten eine spektakuläre Zero-Day-Lücke, sondern fast immer dasselbe: veraltete Plugins, schwache Passwörter und fehlende Grundabsicherung. Die gute Nachricht: Mit einer Handvoll konsequenter Maßnahmen schließen Sie 95 % aller realistischen Angriffsvektoren.

Dieser Guide fasst zusammen, wie ich jede WordPress-Website vor dem Launch absichere — praxiserprobt, ohne Sicherheits-Theater und ohne Ihre Seite langsamer zu machen. Arbeiten Sie die Punkte der Reihe nach ab.

1. Updates: das Fundament jeder Absicherung

Die meisten erfolgreichen Angriffe nutzen längst bekannte und gepatchte Schwachstellen. Wer WordPress-Core, Themes und Plugins aktuell hält, entzieht Bots die einfachste Angriffsfläche. Automatische Minor-Updates sollten grundsätzlich aktiv sein; Major-Updates prüfen Sie vorher auf einer Staging-Umgebung.

• Core-Minor- und Sicherheitsupdates automatisch einspielen lassen
• Plugins und Themes mindestens wöchentlich prüfen und aktualisieren
• Ungenutzte Plugins und Themes vollständig löschen, nicht nur deaktivieren

2. Starke Passwörter und saubere Benutzerkonten

Ein einziges schwaches Administrator-Passwort macht jede weitere Maßnahme wertlos. Setzen Sie auf lange, einzigartige Passwörter aus einem Passwort-Manager und vergeben Sie niemals den Standard-Benutzernamen „admin". Jeder Mitarbeitende erhält ein eigenes Konto mit der jeweils passenden Rolle.

• Mindestens 16 Zeichen, zufällig generiert, pro Dienst einzigartig
• Kein gemeinsam genutztes Sammelkonto — jede Person ein eigenes Login
• Alte Redakteurs- oder Testkonten regelmäßig entfernen

3. Zwei-Faktor-Authentifizierung (2FA)

Selbst ein kompromittiertes Passwort führt mit aktivierter 2FA nicht zum Login. Ein zweiter Faktor per Authenticator-App (TOTP) ist heute Pflicht für alle Konten mit Redaktions- oder Administratorrechten. SMS-Codes sind eine schwächere, aber immer noch bessere Alternative zu gar keinem zweiten Faktor.

• TOTP-App (z. B. für alle Admin- und Redakteurskonten) verbindlich machen
• Backup-Codes sicher offline hinterlegen

4. Login-Schutz: Brute-Force ins Leere laufen lassen

Die Standard-Adresse /wp-login.php ist das Lieblingsziel automatisierter Angriffe. Wer die Login-URL verschiebt und die Zahl der Fehlversuche begrenzt, macht Brute-Force wirtschaftlich sinnlos. Plugins wie WPS Hide Login ändern die Login-Adresse in Sekunden, ohne den Core zu verändern.

• Login-URL mit WPS Hide Login auf eine eigene, nicht erratbare Adresse legen
• Fehlversuche pro IP begrenzen und temporär sperren
• Optional Login zusätzlich per Server-Passwort (HTTP-Auth) schützen

5. Firewall und Web Application Firewall (WAF)

Eine WAF filtert bösartige Anfragen, bevor sie WordPress überhaupt erreichen. Cloud-basierte Lösungen wie Cloudflare oder plugin-basierte Firewalls (Wordfence) blockieren bekannte Angriffssignaturen, SQL-Injection-Versuche und aggressive Bots automatisch. Auf Managed-Hosting ist häufig bereits eine serverseitige WAF aktiv — nutzen Sie sie.

• Reverse-Proxy-WAF (z. B. Cloudflare) vor die Seite schalten
• Bad-Bot- und Country-Blocking bei rein regionaler Zielgruppe erwägen
• Rate-Limiting für Login- und XML-RPC-Endpunkte aktivieren

6. Backups: Ihr Sicherheitsnetz für den Ernstfall

Keine Absicherung ist zu 100 % garantiert — deshalb entscheidet im Ernstfall die Qualität Ihrer Backups. Sichern Sie automatisiert, außerhalb des Servers und testen Sie die Wiederherstellung mindestens einmal. Ein Backup, das sich nicht zurückspielen lässt, ist kein Backup.

• Tägliche automatische Sicherung von Datenbank und Dateien
• Getrennte Aufbewahrung (Cloud-Speicher, nicht auf demselben Server)
• Wiederherstellung regelmäßig testen, nicht nur das Erstellen

7. Malware-Scans und Integritätsprüfung

Ein regelmäßiger Scan erkennt eingeschleusten Schadcode, manipulierte Core-Dateien und verdächtige neue Benutzer, bevor Google Ihre Seite auf die Blocklist setzt. Kombinieren Sie einen serverseitigen Scanner mit einem Plugin, das die Prüfsummen der WordPress-Core-Dateien mit dem Original abgleicht.

• Automatische Scans nach geänderten oder unbekannten Dateien
• Core-Datei-Integrität gegen das offizielle Repository prüfen
• Benachrichtigung bei neu angelegten Admin-Konten aktivieren

8. SSL/TLS und erzwungenes HTTPS

Ein gültiges SSL-Zertifikat ist heute Grundvoraussetzung — für Vertrauen, für die DSGVO und für das Ranking. Achten Sie darauf, dass wirklich alle Anfragen auf HTTPS umgeleitet werden und keine „Mixed Content"-Warnungen entstehen. Kostenlose Let's-Encrypt-Zertifikate erfüllen den Zweck vollständig.

• Vollständige Weiterleitung von HTTP auf HTTPS erzwingen
• Mixed-Content-Warnungen (unverschlüsselte Bilder, Skripte) beseitigen
• HSTS-Header setzen, damit Browser dauerhaft HTTPS erzwingen

9. Datei-Berechtigungen und wp-config härten

Falsch gesetzte Datei-Rechte sind ein unterschätztes Einfallstor. Verzeichnisse sollten in der Regel auf 755, Dateien auf 644 stehen — die sensible wp-config.php auf 600 oder 400. Deaktivieren Sie zusätzlich den Datei-Editor im Backend, damit ein kompromittiertes Konto nicht direkt Code ausführen kann.

• Verzeichnisse 755, Dateien 644, wp-config.php restriktiver (600/400)
• define('DISALLOW_FILE_EDIT', true); in der wp-config setzen
• PHP-Ausführung im Uploads-Ordner serverseitig unterbinden

10. Sicherheits-Header setzen

HTTP-Sicherheitsheader sind kostenlos, schnell umgesetzt und wehren eine ganze Klasse von Angriffen ab — von Clickjacking bis Cross-Site-Scripting. Sie werden serverseitig oder per Plugin ausgeliefert und beeinflussen die Performance nicht.

• Content-Security-Policy gegen eingeschleuste Skripte
• X-Frame-Options und X-Content-Type-Options gegen Clickjacking und MIME-Sniffing
• Referrer-Policy und Permissions-Policy zur Datensparsamkeit

11. Prinzip der minimalen Rechte

Nicht jede Person braucht Administratorrechte. Vergeben Sie konsequent die niedrigste Rolle, die für die jeweilige Aufgabe ausreicht — Redakteure schreiben Inhalte, Autoren pflegen ihre eigenen Beiträge, und die Administratorrolle bleibt einem kleinen Kreis vorbehalten. Das begrenzt den Schaden, falls ein Konto doch kompromittiert wird.

• Rollen strikt nach Aufgabe vergeben (Redakteur statt Administrator)
• Externe Dienstleister nur temporär und rollenbeschränkt einladen
• XML-RPC deaktivieren, wenn keine App-Anbindung benötigt wird

12. Monitoring und Aktivitätsprotokoll

Sicherheit endet nicht mit dem Launch — sie ist ein laufender Prozess. Ein Aktivitätsprotokoll zeigt, wer sich wann eingeloggt und was verändert hat, und ein Uptime-Monitoring meldet Ausfälle, bevor Ihre Kunden sie bemerken. So erkennen Sie Auffälligkeiten früh statt erst nach dem Schaden.

• Aktivitätsprotokoll für Logins, Plugin- und Inhaltsänderungen führen
• Uptime- und Änderungs-Monitoring mit Benachrichtigung einrichten
• Sicherheitsberichte monatlich sichten und dokumentieren

Fazit: Sicherheit ist Wartung, nicht Zufall

WordPress ist nicht unsicher — vernachlässigte WordPress-Installationen sind es. Wer diese zwölf Punkte einmal sauber umsetzt und anschließend konsequent pflegt, betreibt eine Website, die für automatisierte Angriffe schlicht zu aufwendig ist. Der größte Fehler ist, Sicherheit als einmaliges Projekt zu behandeln. Updates, Backups und Monitoring gehören in einen festen Rhythmus — genau das übernimmt eine professionelle Wartung für Sie.