Wie Sie Ihre WordPress-Website vor Hackern schützen (17 Expertentipps) 

Möchten Sie Ihre WordPress-Website vor Hackern schützen?

WordPress-Sicherheit ist nicht nur eine Option. Der Schutz Ihrer Website vor Sicherheitsrisiken wie bösartigem Code, Malware, Bots und vielem mehr ist notwendig.

Jede Woche setzt Google mehr als 10.000 Websites wegen Malware und mehr als 50.000 wegen Phishing auf die schwarze Liste. Wenn es Ihnen also ernst damit ist, Ihre Website sicher zu halten, sind Sie hier richtig.

In diesem WordPress-Sicherheitsleitfaden zeigen wir Ihnen, wie Sie Ihre WordPress-Website vor den meisten Sicherheitsproblemen schützen können.

WordPress-Sicherheitsgrundlagen

Beginnen wir damit, zu verstehen, warum die Sicherheit Ihrer WordPress-Website für Ihren Erfolg so wichtig ist und wie Sie einige grundlegende Sicherheitsmaßnahmen umsetzen können.

Zunächst werden Sie sich vielleicht fragen, warum die Sicherheit von WordPress wichtig ist?

1. Verstehen, warum WordPress-Sicherheit wichtig ist

Stellen Sie sich vor, Sie wachen eines Tages auf und finden Ihre WordPress-Website kompromittiert. Die ganze Arbeit, die Sie in den Aufbau einer professionellen Unternehmenswebsite, eines Blogs oder einer E-Commerce-Website gesteckt haben, wird von lästigen Hackern zunichte gemacht.

Hacker können Sicherheitslücken einführen, die nicht nur den Umsatz und den Ruf Ihres Unternehmens schädigen. Sie können auch persönliche Informationen wie Passwörter und Kreditkartendaten stehlen und bösartige Software installieren, die Malware an Ihre Benutzer sendet.

Noch schlimmer ist, dass Sie Opfer von Ransomware werden können, um den Zugang zu Ihrer Website wiederzuerlangen.

Wenn es sich bei Ihrer Website um ein Unternehmen handelt und Sie diesen Alptraum vermeiden wollen, müssen Sie der Sicherheit von WordPress mehr Aufmerksamkeit schenken. Das beginnt schon damit, dass Sie Ihre WordPress-Kernversion auf dem neuesten Stand halten.

2. WordPress-Kerndateien auf dem neuesten Stand halten

Da WordPress Open Source ist, wird es regelmäßig gewartet und aktualisiert. Ihre Standard-WordPress-Installation installiert automatisch kleinere Updates, aber Sie müssen WordPress manuell auf die neueste Version aktualisieren, wenn es um größere Versionen geht.

In ähnlicher Weise gibt es für WordPress Tausende von Plugins und Themes. Die Entwickler dieser Drittanbieter-Tools veröffentlichen ebenfalls regelmäßig Updates.

Außerdem enthalten die Updates oft Sicherheits-Patches, die Schwachstellen beheben. Es ist also wichtig, dass Sie Ihre WordPress-Plugins und -Themes regelmäßig aktualisieren, um die Stabilität und Sicherheit Ihrer Website zu gewährleisten.

3. Ungenutzte Themes und Plugins löschen

Sie sollten nicht nur Ihre Plugins und Themes auf dem neuesten Stand halten, sondern auch alle nicht mehr verwendeten löschen.

Unnötige Themes und Plugins zu haben, ist so, als würden Sie die Tür Ihres Hauses unverschlossen lassen. Sie bieten Hackern eine Hintertür, um sich Zugang zu verschaffen, also entfernen Sie alles, was Sie nicht brauchen.

4. Verwenden Sie sichere Passwörter und Berechtigungen

Einige der häufigsten WordPress-Hacking-Versuche verwenden gestohlene Benutzernamen und Passwörter, um Zugang zu einer Website zu erhalten. Um Hacking-Versuche zu erschweren, sollten Sie starke Passwörter verwenden, die nur für Ihre WordPress-Website gelten.

Dies gilt für Ihre WordPress-Website, Ihr Hosting, Ihre FTP-Konten, Ihre geschäftliche E-Mail-Adresse und vieles mehr.

Es ist zwar verlockend, den Namen Ihres Haustiers zu verwenden, weil er leicht zu merken ist, aber er ist auch leicht zu erraten.

Am besten ist es, ein Passwort mit mindestens 12 Zeichen zu verwenden. Diese Zeichen sollten aus Groß- und Kleinbuchstaben, Zahlen, Symbolen und Buchstaben bestehen.

Viele WordPress-Nutzer vermeiden es, komplexe Passwörter zu erstellen, weil sie schwer zu merken sind. Die gute Nachricht ist, dass Sie Passwortmanager verwenden können, um sichere Passwörter zu erstellen und zu speichern.

Ein weiterer wichtiger Tipp ist, Ihr WordPress-Administratorkonto privat zu halten. Wenn Sie ein großes Team oder mehrere WordPress-Autoren an Ihrer Website arbeiten lassen, können Sie ihnen bestimmte Benutzerrollen und Berechtigungen zuweisen, bevor Sie ihre neuen Benutzerkonten hinzufügen.

5. Wählen Sie ein sicheres WordPress-Hosting-Unternehmen

Ein weiterer grundlegender Sicherheitsschritt besteht darin, sicherzustellen, dass Sie seriöses Webhosting verwenden. Die besten WordPress-Hosting-Anbieter wie Bluehost, SiteGround und Hostinger achten besonders darauf, ihre Server vor Sicherheitsverstößen zu schützen.

Ein gutes WordPress-Hosting-Unternehmen arbeitet oft im Hintergrund, um Ihre Website mit den folgenden Maßnahmen zu schützen:

• Überwachung auf verdächtige Aktivitäten
• Pflege von Tools zur Verhinderung groß angelegter DDOS-Angriffe
• Server-Software, Hardware und PHP-Versionen auf dem neuesten Stand halten
• Einsatz von Notfallplänen und Notfallplänen für größere Zwischenfälle

Viele Hoster bieten Shared-Hosting-Pläne an, bei denen Sie die Ressourcen des Webservers mit anderen Kunden teilen.

Da dies das Risiko birgt, dass Hacker benachbarte Websites für Angriffe auf Ihre Website nutzen, ist es vielleicht besser, stattdessen verwaltetes WordPress-Hosting zu verwenden.

Managed-WordPress-Hosting-Anbieter wie WPEngine haben eine sicherere Plattform. Sie bieten auch automatische Backups, WordPress-Updates und erweiterte Sicherheit.

No Code WordPress Sicherheitsschritte

Wir verstehen, dass die Verbesserung der Sicherheit von WordPress beängstigend sein kann, insbesondere für neue Website-Besitzer und Anfänger. Keine Sorge, für die folgenden Schritte sind keine technischen Fachkenntnisse erforderlich.

In wenigen Minuten sind Sie auf dem Weg, die Sicherheit von WordPress zu erhöhen, ohne Code zu schreiben.

6. Installieren Sie eine WordPress-Backup-Lösung

Das Sichern von WordPress ist eine der ersten Verteidigungsmaßnahmen gegen Hacker. Wenn etwas Schlimmes passiert, können Sie damit den vorherigen Zustand Ihrer Website wiederherstellen.

Die besten WordPress-Backup-Plugins haben kostenlose und kostenpflichtige Versionen mit zusätzlichen Funktionen wie WordPress-Datenbank- und Dateiübertragungen, Wiederherstellungspunkten und E-Mail-Warnungen. Die wichtigste Funktion, auf die Sie achten sollten, ist jedoch die Möglichkeit, regelmäßig Backups durchzuführen und an einem entfernten Ort zu speichern.

Suchen Sie nach Sicherungslösungen mit externer Speicherung bei Amazon, Dropbox oder einem privaten Cloud-Speicher. Entscheiden Sie sich außerdem für Plugins, die Backups nach Ihrem Zeitplan ermöglichen, z. B. einmal pro Tag oder in Echtzeit.

Einige beliebte Backup-Plugins mit diesen Funktionen sind Duplicator, UpdraftPlus, BlogVault und Jetpack VaultPress Backups. Sie sind einfach zu bedienen, zuverlässig und erfordern keine Programmierung.

7. Wählen Sie das beste WordPress-Sicherheits-Plugin

Nach der Beschaffung einer Backup-Lösung besteht die nächste Aufgabe darin, ein Überwachungssystem einzurichten, um die Aktivitäten auf Ihrer Website zu verfolgen. Diese Aktivität kann fehlgeschlagene Anmeldeversuche, die Überwachung der Dateiintegrität, Malware-Scans und mehr umfassen.

Die meisten dieser Überwachungsaufgaben werden von Sucuri Scanner, dem besten kostenlosen WordPress-Sicherheits-Plugin, leicht erledigt. Nachdem Sie Sucuri installiert und aktiviert haben, navigieren Sie in Ihrem WordPress-Dashboard zu Sucuri Security " Settings und klicken Sie auf die Registerkarte Hardening.

Gehen Sie nun die einzelnen Optionen durch und klicken Sie auf die Schaltfläche Härtung anwenden.

Diese Einstellungen helfen dabei, Bereiche Ihrer Website zu sperren, die Hacker häufig für ihre Angriffe nutzen. Die einzige kostenpflichtige Option ist die Web Application Firewall, die wir im nächsten Schritt erläutern werden.

Weitere alternative WordPress-Sicherheitsplugins sind WordFence und iThemes Security.

8. Verwenden Sie eine Web Application Firewall (WAF)

Der Einsatz einer Firewall ist ein wirksames Mittel, um bösartigen Datenverkehr zu blockieren, bevor er Ihre WordPress-Website erreicht, und es gibt verschiedene Typen zur Auswahl.

• Website-Firewall auf DNS-Ebene: Leitet den Website-Verkehr durch Cloud-Proxy-Server und sendet nur echten Verkehr an Ihren Webserver.
• Firewall auf Anwendungsebene: Untersucht den Datenverkehr, sobald er Ihren Server erreicht, aber bevor WordPress-Skripte geladen werden.

Wie bereits erwähnt, ist die Firewall von Sucuri eine robuste Lösung für dieses Problem. Sucuri hat WPBeginner geholfen, 450.000 Angriffe in 3 Monaten zu blockieren, was seine Effektivität beweist.

Das Plugin bietet außerdem eine Malware-Bereinigung und eine Garantie für die Entfernung von schwarzen Listen. Wenn Sie also gehackt werden, während Sie das Plugin verwenden, wird Ihre Website repariert, ohne dass Fragen gestellt werden. Wenn man bedenkt, dass die meisten Sicherheitsexperten rund 250 $ pro Stunde verlangen, ist dieser Service mit nur 199 $ pro Jahr ein Schnäppchen.

Verbessern Sie noch heute Ihre WordPress-Sicherheit mit Sucuri Firewall.

9. Wechsel von HTTP zu SSL/HTTPS

Falls Sie es noch nicht getan haben, ist das Hinzufügen der SSL-Verschlüsselung zu Ihrer WordPress-Website ein wichtiger nächster Schritt. SSL, kurz für Secure Sockets Layer, verschlüsselt die Datenübertragung zwischen Ihrer Website und den Browsern der Besucher. Dadurch wird es für Hacker schwieriger, Informationen zu stehlen.

Sobald SSL aktiviert ist, verwendet Ihre Website HTTPS anstelle von HTTP. Außerdem wird in Webbrowsern neben Ihrer Adresse ein Vorhängeschloss-Symbol angezeigt.

Die Preise für SSL-Zertifikate reichen von 80 bis zu Hunderten von Dollar pro Jahr, weshalb viele Website-Besitzer dies vermeiden. Seit Let's Encrypt jedoch kostenlose SSL-Zertifikate anbietet, bieten viele Hosting-Unternehmen diese als Teil ihrer Pläne an.

Wenn Ihr Webhost kein SSL anbietet, können Sie eines bei domain.com kaufen. Dort gibt es das zuverlässigste SSL-Angebot mit einer 10.000-Dollar-Sicherheitsgarantie und dem TrustLogo-Sicherheitssiegel.

Erweiterte WordPress-Sicherheitstipps

Wenn Sie die obigen Sicherheitsschritte gemeistert haben, ist es an der Zeit, sich weiterzuentwickeln. Es gibt immer mehr, was Sie tun können, um Ihre WordPress-Website zu sichern. Lassen Sie uns einige erweiterte Sicherheitsmaßnahmen erkunden.

Hinweis: Für einige der folgenden Schritte sind möglicherweise Programmierkenntnisse erforderlich.

10. Anmeldeversuche begrenzen

Um Ihre Website noch besser vor Brute-Force-Angriffen zu schützen, können Sie die Anmeldeversuche bei WordPress begrenzen. Wenn jemand wiederholt ein falsches Passwort eingibt, wird er für eine gewisse Zeit von Ihrer Website ausgesperrt.

Eine Möglichkeit, diese Funktion zu implementieren, ist die Verwendung des Plugins Limit Login Attempts Reloaded.

Sie können die maximale Anzahl falscher Passwörter festlegen, bevor der Benutzer gesperrt wird, und Sie erhalten eine E-Mail, wenn eine Anmeldung fehlschlägt.

Eine ausführliche Anleitung zur Einrichtung dieses Plugins finden Sie in dieser Anleitung zur Begrenzung von Anmeldeversuchen in WordPress.

11. Zwei-Faktoren-Authentifizierung verwenden

Die Zwei-Faktor-Authentifizierung macht den Anmeldeprozess für legitime Nutzer komplizierter und lästiger und hilft, unerwünschte Nutzer von Ihrer Website fernzuhalten.

Wie der Name schon sagt, müssen Benutzer bei der Zwei-Faktor-Authentifizierung zwei Sicherheitsschritte durchführen, bevor sie die Website nutzen können. Der erste Schritt ist in der Regel die traditionelle Abfrage von Name und Kennwort. Im zweiten Schritt müssen sie einen Sicherheitscode eingeben, der ihnen per SMS oder über ein anderes sicheres Gerät zugeschickt wird.

Mit vielen Plugins können Sie eine Zwei-Faktor-Authentifizierung einrichten, z. B. mit dem kostenlosen WordPress-Plugin Zwei-Faktor-Authentifizierung.

Nachdem Sie das Plugin installiert und aktiviert haben, klicken Sie in Ihrem WordPress-Admin auf den Link Zwei-Faktor-Authentifizierung, der einen einmaligen Einrichtungscode enthält.

Als Nächstes installieren und öffnen Sie eine Authentifizierungs-App auf Ihrem Telefon, z. B. Google Authenticator, und klicken Sie auf das Plus-Symbol, um einen neuen Code hinzuzufügen.

Von dort aus können Sie den QR-Code auf der Einstellungsseite des Plugins scannen, um die Einrichtung abzuschließen.

Wenn Sie sich das nächste Mal bei Ihrer WordPress-Website anmelden, werden Sie nach der Eingabe Ihres Passworts nach dem Zwei-Faktor-Authentifizierungscode gefragt.

12. Verstecken Sie Ihre WordPress Login-Seite

Fast alle Hacker wissen, dass der Zugriff auf eine WordPress-Verwaltungsseite in der Regel durch Hinzufügen von /wp-admin nach dem Domänennamen erfolgt. Wenn Ihr Domänenname zum Beispiel xyz.com lautet, wird Ihre Verwaltungsseite wahrscheinlich über die folgende URL aufgerufen: http://xyz.com/wp-admin.

Sie wissen auch, dass der Name der Anmeldeseite wp-login.php lautet.

Zum Glück können Sie das ändern. Mit Plugins wie WPS Hide Login können Sie Ihre Anmelde-URL anpassen.

Es wird für Hacker viel schwieriger, in Ihr System einzudringen, wenn sie Ihre Anmeldeseite nicht finden können. Sie können auch dieser Anleitung folgen, wie Sie Ihre WordPress Login-URL ändern.

13. Ändern Sie Ihren Standard-Benutzernamen als Administrator

In ähnlicher Weise kann Ihre WordPress-Installation Administratorkonten den Benutzernamen "admin" geben. Ändern Sie diesen Namen am besten so bald wie möglich, denn Hacker sind damit vertraut und könnten mit diesem Benutzernamen einen "Brute-Force"-Hack versuchen (indem sie verschiedene Passwörter wiederholt ausprobieren).

Viele Hosting-Anbieter sind sich dieses Angriffspotenzials bewusst und vermeiden es daher, das Administratorkonto mit dem Namen "admin" anzulegen. Dennoch lohnt es sich, dies zu überprüfen, um Ihre Sicherheit zu erhöhen.

14. Admin-Zugang nach IP gewähren

Wenn Sie die einzige Person sind, die berechtigt ist, administrative Aufgaben auf Ihrer WordPress-Website durchzuführen, können Sie den administrativen Zugriff auch nach IP-Adresse beschränken.

Ihre IP-Adresse ist ein Zahlenquartett, das Sie online identifiziert. Betrachten Sie sie als Ihre digitale Adresse.

Zu diesem Zweck können Sie WordPress mitteilen, dass nur Personen mit einer bestimmten IP-Adresse Zugriff auf die Verwaltung haben. Das bedeutet, dass Hacker, die versuchen, von einer anderen IP-Adresse auf Ihre Website zuzugreifen, keinen Erfolg haben werden.

Um diese Sicherheitsfunktion zu implementieren, besuchen Sie whatismyip.com, um Ihre IP-Adresse zu ermitteln. Anschließend müssen Sie Ihre .htaccess-Datei im Verwaltungsverzeichnis Ihres Host-Providers ändern, um die Sicherheitsänderung vorzunehmen.

Wenn Sie nicht wissen, wie das geht, rufen Sie den technischen Support Ihres Hosting-Unternehmens an und bitten Sie einen Techniker, es für Sie zu tun.

Sie möchten, dass der Datei etwas hinzugefügt wird, das wie folgt aussieht:

<Files wp-login.php>
order deny,allow
Deny from all
Allow from xxx.xxx.xxx.xxx
</Files>

Ersetzen Sie die "xxx.xxx.xxx.xxx" durch die IP-Adresse, die Sie auf whatismyip.com gesehen haben. Sobald dies geschehen ist und die Datei gespeichert wurde, können nur noch Personen mit dieser speziellen IP-Adresse auf Ihren WordPress-Admin zugreifen.

Hinweis: Ihr Internetdienstanbieter (ISP) ändert manchmal Ihre IP-Adresse. Wenn das passiert, werden Sie von Ihrer Website ausgesperrt. Rufen Sie den technischen Support an und bitten Sie einen Techniker, die IP-Adresse entsprechend zu aktualisieren. Dies geschieht auf Ihr eigenes Risiko.

15. XML-RPC in WordPress deaktivieren

ML-RPC ist eine in WordPress 3.5 eingeführte Funktion, die die Verbindung Ihrer WordPress-Website mit Web- und Mobilanwendungen unterstützt. Aufgrund ihrer Leistungsfähigkeit kann sie jedoch auch Brute-Force-Angriffe verstärken.

Wenn ein Hacker beispielsweise 500 verschiedene Passwörter ausprobieren wollte, musste er 500 Anmeldeversuche unternehmen, die von den Plugins zur Begrenzung der Anmeldeversuche normalerweise abgefangen wurden. Mit XML-RPC können Hacker jedoch die Funktion system.multicall verwenden, um Tausende von Passwörtern mit weniger Anfragen auszuprobieren.

Wenn Sie XML-RPC nicht verwenden, ist es daher am besten, es zu deaktivieren. Vollständige Anweisungen finden Sie in dieser Anleitung zur Deaktivierung von XML-RPC in WordPress.

16. Dateibearbeitung deaktivieren

WordPress verfügt über einen integrierten Code-Editor, mit dem Sie WordPress-Theme- und Plugin-Dateien in Ihrem WordPress-Administrationsbereich bearbeiten können. In den falschen Händen kann diese Funktion die Sicherheit Ihrer Website gefährden, weshalb es am besten ist, sie zu deaktivieren.

Sie können dies ganz einfach tun, indem Sie den folgenden Code in Ihre wp-config.php-Datei einfügen.

<Files *.php>
deny from all
</Files>

Alternativ können Sie die Dateibearbeitung auch mit der Härtungsfunktion des bereits erwähnten kostenlosen Sucuri-Plugins deaktivieren.

17. Scannen Sie Ihre WordPress-Website auf Malware

Wahrscheinlich haben Sie bereits eine Antiviren-Software auf Ihrem PC, die Ihre Festplatte auf potenzielle Bedrohungen überprüft. Wenn Sie ein WordPress-Sicherheits-Plugin installiert haben, wird es Ihre Website routinemäßig auf Sicherheitslücken und Malware überprüfen.

Ein plötzlicher Rückgang der Besucherzahlen Ihrer Website oder der Platzierungen in Suchmaschinen könnte jedoch darauf hindeuten, dass etwas nicht stimmt, und Sie sollten einen manuellen Scan durchführen. Sie können dafür Ihr WordPress-Sicherheits-Plugin oder einen Malware- und Sicherheitsscanner verwenden.

Die Durchführung eines Online-Scanners ist ganz einfach. Geben Sie einfach die URLs Ihrer Website ein, und der Scanner durchsucht Ihre Website nach Malware und bösartigem Code.

Diese Scanner können Ihre Website zwar scannen, aber sie können die Malware nicht entfernen oder eine gehackte Website säubern.

Nächste Schritte

Wir hoffen, dass Sie diesen Leitfaden zum Schutz Ihrer WordPress-Website vor Hackern hilfreich fanden. Ihre WordPress-Website ist genauso anfällig für Eindringlinge wie jede andere Website im Internet, aber Sie können das Risiko eines Angriffs mindern, indem Sie die besten WordPress-Sicherheitspraktiken befolgen.

Weitere Informationen finden Sie in den folgenden Tutorials und Leitfäden:

• Beste WordPress Multisite-Plugins
• Wie man eine WordPress-Website mit einem Passwort schützt
• Beste WordPress-Duplikator-Plugins
• Wie man sichere Stripe-Zahlungen in WordPress akzeptiert

Vielen Dank fürs Lesen! Wir würden uns freuen, Ihre Meinung zu hören. Bitte hinterlassen Sie einen Kommentar mit Ihren Fragen und Ihrem Feedback.

Sie können uns auch auf YouTube, X (früher Twitter) und Facebook folgen, um weitere hilfreiche Inhalte für Ihr Unternehmen zu erhalten.

Stacey Corrin Autorin

Stacey schreibt seit über 10 Jahren über WordPress und digitales Marketing und noch viel länger über andere Themen. Darüber hinaus ist sie fasziniert von Webdesign, Benutzererfahrung und SEO.

Vollständige Bio sehen

WordPress SEO Content Marketing Digitales Marketing SaaS Werbetexten Webgestaltung