Kennst du das Gefühl, wenn du beim Thema WordPress Sicherheit denkst: „Ach, das wird mir schon nicht passieren“? Viele Website-Betreiber wiegen sich in falscher Sicherheit und glauben, ihre kleine WordPress-Seite sei für Angreifer nicht interessant genug und kann nicht gehackt werden.
Doch die Realität sieht anders aus, da viele WordPress Websites immer noch anfällig für Sicherheitslücken sind. Hacker attackieren nicht gezielt, sondern scannen automatisiert das Internet nach verwundbaren Systemen. Eine ungeschützte WordPress-Installation ist ein leichtes Ziel und zwar unabhängig von ihrer Größe.
Die gute Nachricht: Du musst kein Technik-Profi sein, um deine Website wirksam zu schützen. In diesem Artikel zeige ich dir neun praxiserprobte Schritte, mit denen du die Sicherheit von WordPress erhöhen kannst und zwar strukturiert, verständlich und ohne unnötigen Schnickschnack. Diese Maßnahmen basieren auf meinen langjährigen Erfahrungen und lassen sich mit überschaubarem Aufwand umsetzen
1. SSL-Zertifikat aktivieren
Ein SSL-Zertifikat verschlüsselt die Datenübertragung zwischen deiner Website und den Besuchern. Du erkennst es am „https://“ in der Adresszeile und dem Schloss-Symbol im Browser. Ohne SSL warnen moderne Browser deine Besucher mit dem Hinweis „Nicht sicher“ – das wirkt unprofessionell und schadet deinem Ranking bei Google.
Doch die Bedeutung von SSL geht weit über den ersten Eindruck hinaus. Ohne SSL-Verschlüsselung werden alle Daten unverschlüsselt über das Internet übertragen und auch sensible Informationen wie dein Login ins WordPress-Dashboard. Das bedeutet: Wenn du dich ohne HTTPS in deine Website einloggst, können Angreifer im gleichen Netzwerk (z.B. in einem öffentlichen WLAN) dein Passwort abfangen und mitlesen. Mit einem aktiven SSL-Zertifikat ist diese Datenübertragung verschlüsselt und vor solchen Angriffen geschützt.
Die meisten Hoster bieten heute kostenlose SSL-Zertifikate an. Du musst die Verschlüsselung allerdings in der Regel manuell in deinem Hosting-Account aktivieren. Wie das genau funktioniert, habe ich im Artikel WordPress installieren – Schritt-für-Schritt-Anleitung ausführlich erklärt.
2. Sicherer Benutzername
Ein häufiger Fehler, der mir in der Praxis immer wieder begegnet: Die Verwendung von Standard-Benutzernamen wie „admin“ oder „administrator“ für den WordPress-Login. Diese Namen sind weithin bekannt und gehören zu den ersten, die Hacker bei Brute-Force-Angriffen ausprobieren. Wenn dein Benutzername so einfach zu erraten ist, machst du es Angreifern unnötig leicht.
Doch nicht nur Standard-Namen sind problematisch. Auch deinen echten Vornamen solltest du vermeiden. Gerade bei Einzelunternehmern ist dieser oft im Impressum oder auf der Website selbst sichtbar, was das Erraten des Benutzernamens erheblich erleichtert.
Meine Empfehlung: Wähle einen individuellen, nicht leicht zu erratenden Benutzernamen, der weder mit deinem echten Namen noch mit gängigen Begriffen zu tun hat. Eine Kombination aus zufälligen Buchstaben und Zahlen ist ideal. So erhöhst du die Sicherheit deines Login-Bereichs bereits erheblich.
3. Sicheres Passwort
Das Passwort ist dein wichtigster Schutzmechanismus gegen unbefugten Zugriff. Leider sehe ich immer wieder Websites, bei denen viel zu schwache Passwörter verwendet werden. In den meisten Fällen werden zu kurze Passwörter verwendet, oft nur 5 oder 6 Zeichen. Das ist eine absolute Schwachstelle und für moderne Angriffsmethoden in Sekundenschnelle zu knacken.
Ein gutes Passwort sollte mindestens 15 Zeichen lang sein und eine Kombination aus Groß- und Kleinbuchstaben, Zahlen sowie Sonderzeichen enthalten. Wichtig ist auch, dass das Passwort nicht aus sich wiederholenden Zeichen oder einfachen Mustern besteht, sondern möglichst komplex und einzigartig ist.
Bei der WordPress Installation wird dir in der Regel ein Passwort vorgeschlagen. Ideal ist es, wenn du dieses verwendest. Alternativ kannst du auch gerne dein bestehendes Passwort ändern. Nutze Passwortgeneratoren, um dir en sicheres Passwort zu generieren.
4. Zwei-Faktor-Authentifizierung aktivieren
Die Zwei-Faktor-Authentifizierung (2FA) ist eine der wirksamsten Sicherheitsmaßnahmen überhaupt. Selbst wenn ein Angreifer dein Passwort kennt oder erraten hat, kann er sich ohne den zweiten Faktor nicht einloggen.
So funktioniert es: Zusätzlich zu deinem Benutzernamen und Passwort benötigst du beim Login einen temporären Code, der von einer Authentifizierungs-App auf deinem Smartphone generiert wird. Dieser Code ändert sich alle 30 Sekunden und ist nur für kurze Zeit gültig.
Beliebte Authentifizierungs-Apps sind:
Die Einrichtung ist einfach: Du installierst ein entsprechendes WordPress-Plugin (z.B. „Two-Factor“ oder „WP 2FA“), scannst einen QR-Code mit deiner Authentifizierungs-App und schon ist die zusätzliche Sicherheitsebene aktiv. Der minimale Mehraufwand beim Login lohnt sich absolut – deine Website ist damit deutlich besser geschützt.
5. Zugangsberechtigungen kontrollieren
Oft haben im Laufe der Zeit mehrere Benutzer Zugang zu deiner WordPress-Website und somit auch zum Backend, sei es der virtuelle Assistent, Dienstleister oder Mitarbeiter. Dabei stellt sich die Frage: Brauchen wirklich alle diese Personen dauerhaft Zugriff? Und wenn ja, benötigen sie wirklich Administrator-Rechte?
Ich empfehle dir dringend, regelmäßig deine Benutzerliste zu überprüfen und zu überlegen:
WordPress unterscheidet verschiedene Benutzerrollen, beispielsweise Administrator, Redakteur, Autor, Mitarbeiter oder Abonnent. Nicht jeder muss Administrator sein, oft reicht eine niedrigere Rolle, um die Aufgaben zu erfüllen. Reduziere die Rechte deshalb so weit wie möglich.
Sollte deine virtuelle Assistenz beispielsweise nur auf Abruf Zugang zur Website benötigen und nicht dauerhaft, musst du die Person nicht löschen. Du kannst die Rolle einfach auf „Abonnent“ zurückstufen. So bleibt der Account bestehen, hat aber keine Berechtigungen mehr – und du kannst bei Bedarf schnell wieder Zugriff gewähren. Entferne außerdem Nutzer, die gar nicht mehr benötigt werden, um das Risiko unerlaubter Zugriffe zu minimieren.
6. WordPress, Themes und Plugins regelmäßig aktualisieren
Updates sind ein essentieller Bestandteil der Sicherheit. WordPress, Themes und Plugins werden regelmäßig verbessert und Sicherheitslücken geschlossen. Wenn du Updates lange aufschiebst, öffnest du Angreifern Tür und Tor.
Ich sehe oft Websites mit dutzenden ausstehenden Updates. Bitte logge dich mindestens einmal pro Woche in deine Website ein, überprüfe verfügbare Updates und führe sie zeitnah durch.
Besonders wichtig ist auch, bei gekauften Plugins und Themes die Lizenz aktuell zu halten. Nur so bekommst du regelmäßig Updates und wirst vor Sicherheitslücken geschützt. Wenn eine Lizenz abläuft, kannst du das Plugin zwar meist noch weiter nutzen, erhältst aber keine Updates mehr, was ein großes Risiko darstellt.
Falls ein Theme oder Plugin nicht mehr gepflegt wird, solltest du es sofort ersetzen, da es sonst zu einer Sicherheitslücke werden kann.
Meine Meinung
Bei großen WordPress-Updates kann es sinnvoll sein, noch ein bis zwei Wochen zu warten. Solche Major-Updates enthalten oft zunächst kleinere Bugs, die mit nachfolgenden Updates schnell behoben werden. Sicherheitsupdates für Plugins und kleinere Updates solltest du jedoch immer zeitnah installieren.
7. Firewall installieren
Eine Firewall ist ein wichtiger Schutzmechanismus, der deine Website vor Angriffen schützt. Sie überwacht eingehende Anfragen und blockiert verdächtige Aktivitäten, etwa Brute-Force-Attacken auf den Loginbereich.
Ich empfehle dir ausdrücklich, eine WordPress-Firewall zu installieren, um die Sicherheit deiner Website zu erhöhen und Hacker abzuwehren.
Eine gute Firewall wie die NinjaFirewall übernimmt unter anderem folgende Aufgaben:
So bleibst du immer informiert und kannst schnell reagieren, falls jemand unbefugt an deiner Website arbeitet.
Meine Empfehlung:
Meine klare Empfehlung ist hier die NinjaFirewall. Ich nutze sie selbst für meine Kundenprojekte, da sie schlank ist, zuverlässig funktioniert und dabei nicht überladen mit Features ist, die man am Ende doch nicht braucht.
8. Regelmäßige Backups erstellen
Auch wenn alle anderen Maßnahmen greifen: Es kann immer mal etwas schiefgehen. Daher ist ein regelmäßiges Backup der Website unverzichtbar. So kannst du deine Website im Notfall schnell wiederherstellen – beispielsweise nach einem Hackerangriff oder einem technischen Fehler.
Ich empfehle dir, automatisierte Backups einzurichten, die je nach Umfang deiner Website mindestens täglich oder alle 12 Stunden erstellt werden. Außerdem sollte das Backup nicht nur auf dem Server liegen, sondern regelmäßig auch lokal oder in einer Cloud gespeichert werden.
Für die Backup-Erstellung nutze ich UpdraftPlus, ein zuverlässiges Plugin, das automatische Backups plant und die Sicherungen direkt auf externe Speicherorte wie Google Drive, Dropbox oder eine lokale Festplatte ablegen kann.
Mein persönliches Backup-System sieht so aus: Es beinhaltet regelmäßige Sicherungen aller Dateien und der Datenbank, um im Falle eines Hacks schnell wiederherstellen zu können.
So hast du immer mehrere Sicherungspunkte, auf die du zurückgreifen kannst, falls es Probleme gibt.
9. Plugins sorgfältig auswählen und verwalten
Plugins erweitern die Funktionalität deiner WordPress-Website, können aber auch Sicherheitsrisiken bergen. Deshalb ist es wichtig, nur notwendige Plugins zu installieren und diese regelmäßig zu überprüfen.
Bevor du ein neues Plugin installierst, solltest du daher folgende Fragen klären:
Ein veraltetes oder schlecht gepflegtes Plugin kann ein Einfallstor für Hacker sein. Deshalb ist die sorgfältige Auswahl wichtiger als die pure Anzahl.
Regelmäßig solltest du deine Plugin-Liste durchgehen und inaktive oder nicht mehr benötigte Plugins nicht nur deaktivieren, sondern komplett löschen. Ein deaktiviertes Plugin bleibt auf dem Server und kann trotzdem eine Sicherheitslücke darstellen.
Meine Meinung
Oft höre ich die pauschale Aussage „Zu viele Plugins sind schlecht für die Website“. Das stimmt auf der einen Seite, aber aus meiner Erfahrung ist nicht die Anzahl der Plugins das Problem, sondern deren Qualität. Theoretisch sind viele Plugins nicht schlimm, sofern du die richtigen Plugins verwendest, also Plugins, die gut programmiert wurden und regelmäßig gepflegt werden.
10. Spam-Schutz für Formulare aktivieren
Kontaktformulare sind eine praktische Möglichkeit für Besucher, mit dir in Kontakt zu treten. Doch ungeschützte Formulare bergen ein ernsthaftes Sicherheitsrisiko, das viele unterschätzen. Zwar ist ein sauberer Posteingang ein angenehmer Nebeneffekt, aber der Hauptgrund für einen Spam-Schutz ist technischer Natur.
Ein Hacker kann die E-Mail-Versand-Funktion deines Kontaktformulars missbrauchen und deine Website zur „Spam-Schleuder“ machen. Der Angreifer nutzt deinen Server und deine offizielle E-Mail-Adresse, um tausende Spam- oder Phishing-Mails an völlig fremde Personen zu senden. Das kann gravierende Folgen haben:
Aktiviere deshalb unbedingt einen Spam-Schutz für alle Formulare auf deiner Website. Ich empfehle dir das Plugin WP Armour, das ich selbst nutze. Es schützt zuverlässig vor Spam-Bots, ohne dass deine Besucher störende Captchas lösen müssen.
Weitere gängige Lösungen sind reCAPTCHA von Google, Honeypot-Felder (versteckte Felder, die nur Bots ausfüllen) oder einfache Rechenaufgaben. Die meisten Kontaktformular-Plugins wie Contact Form 7 oder WPForms bieten integrierte Spam-Schutz-Optionen. Nutze sie unbedingt, um deine Website und deinen guten Ruf zu schützen.
Optional: Erweiterte Sicherheitsmaßnahmen
Wenn du die neun Basismaßnahmen umgesetzt hast, verfügt deine Website bereits über ein solides Sicherheitsniveau. Für alle, die noch einen Schritt weitergehen möchten, gibt es zusätzliche Maßnahmen, die den Schutz weiter erhöhen, allerdings erfordern diese oft etwas mehr technisches Know-how. Bitte beachte, dass die nachfolgende Auflistung nur ein Auszug darstellt, es gibt noch viele weitere Maßnahmen.
Login-Pfad ändern
Standardmäßig erreichst du das WordPress-Login unter „deine-domain.de/wp-admin“. Dieser Pfad ist allgemein bekannt, und viele empfehlen, ihn mit einem Plugin zu ändern. Ich war früher auch großer Fan davon, doch meine Erfahrung zeigt: Wenn du eine gute Firewall nutzt, ist diese Maßnahme nicht mehr nötig. Die Firewall schützt den Login-Bereich bereits effektiv.
Doppelter Login (HTTP-Authentifizierung)
Eine wirksamere Maßnahme ist ein doppelter Login: Du richtest eine zusätzliche Authentifizierung ein, sodass Besucher erst einen Benutzernamen und ein Passwort eingeben müssen, bevor sie überhaupt das WordPress-Login-Fenster sehen. Diese HTTP-Authentifizierung wird auf Server-Ebene eingerichtet und bietet eine zusätzliche Schutzschicht.
Serverseitige Einstellungen
Fortgeschrittene können direkt auf dem Server Sicherheitseinstellungen vornehmen, etwa durch .htaccess-Dateien oder spezielle Server-Konfigurationen. Diese Maßnahmen setzen jedoch technisches Verständnis voraus und sind für die meisten nicht zwingend notwendig.
Zusammenfassung: WordPress-Sicherheit verbessern in 10 Schritten
Die Sicherheit deiner WordPress-Website ist kein komplexes Hexenwerk, sondern eine Sache der richtigen Basismaßnahmen. Mit den zehn Schritten aus diesem Artikel schützt du deine Website effektiv vor den häufigsten Angriffen:
- SSL-Zertifikat aktivieren: Verschlüssele die Datenübertragung mit HTTPS
- Sicherer Benutzername: Vermeide „Admin“ und deinen Vornamen
- Sicheres Passwort: Mindestens 15 Zeichen mit Groß-/Kleinbuchstaben, Zahlen und Sonderzeichen
- Zwei-Faktor-Authentifizierung aktivieren: Zusätzlicher Schutz durch temporäre Codes
- Zugangsberechtigungen kontrollieren: Prüfe regelmäßig, wer Zugriff hat und mit welchen Rechten
- WordPress, Themes und Plugins regelmäßig aktualisieren: Mindestens einmal pro Woche Updates prüfen
- Firewall installieren: Schütze den Login-Bereich mit der NinjaFirewall
- Regelmäßige Backups einrichten: Automatisierte Sicherungen mit UpdraftPlus
- Plugins sorgfältig auswählen und verwalten: Qualität vor Quantität
- Spam-Schutz für Formulare aktivieren: Verhindere Missbrauch deiner E-Mail-Funktion
Diese Maßnahmen sind für jeden umsetzbar und bieten bereits ein hohes Sicherheitsniveau. Die erweiterten, optionalen Maßnahmen kannst du ergänzen, wenn du noch einen Schritt weitergehen möchtest, sie sind aber kein Muss, wenn die Grundlagen stimmen.
Dein nächster Schritt: Selbst umsetzen oder professionelle Unterstützung holen
Du hast jetzt einen klaren Fahrplan, wie du deine WordPress-Website Schritt für Schritt absichern kannst. Vielleicht fühlst du dich bereit, die Maßnahmen selbst umzusetzen, dann empfehle ich dir, systematisch vorzugehen und mit den ersten drei Punkten zu starten.
Falls du dir unsicher bist, ob deine Website bereits ausreichend geschützt ist, oder wenn du professionelle Unterstützung bei der Umsetzung wünschst, biete ich dir ein Website-Audit an. Dabei prüfe ich alle wichtigen Sicherheitsmaßnahmen deiner Website und zeige dir konkret, wo Handlungsbedarf besteht.
Du hast Fragen zum Thema WordPress-Sicherheit oder möchtest mehr über das Website-Audit erfahren? Kontaktiere mich gerne, ich helfe dir weiter.
