Inhalt
WordPress unterstützt 43 % aller Websites – und ist das häufigste Ziel von Angriffen. Im Durchschnitt versuchen Hacker jeden Tag, in die Systeme einzudringen. 4.700 Mal auf jeder öffentlichen WordPress-Installation. Die meisten Angriffe erfolgen automatisch und Leicht zu stoppen, wenn Sie diese 12 Schritte befolgen.
Zusamenfassend
- 90 % der Einbrüche nutzt 3 Vektoren: schwache Passwörter, veraltete Plugins, Brute-Force-Angriffe.
- Die ersten 6 Schritte Sie sind das absolute Minimum – ohne sie wird Ihre Website früher oder später zum Opfer fallen.
- Wordfence + WPS Anmeldeinformationen ausblenden + Anmeldeversuche begrenzen Dies ist die heilige Dreifaltigkeit des Minimums.
- Backup = Ihre letzte Verteidigungslinie. Ohne Backup bedeutet ein Hackerangriff den Verlust Ihrer Website.
Die wichtigsten Angriffsvektoren auf WP
1. Brute-Force-Angriff (Versuch, das Passwort zu erraten)
Bot wpisuje setki kombinacji admin/admin123, admin/password, etc., aż trafi. Standard: 1 000 prób na sekundę.
2. Veraltete Plugins
Ein 2019 veröffentlichtes Plugin weist eine Sicherheitslücke auf. Hacker scannen es, um herauszufinden, wer es sonst noch verwendet. Sie können ohne Passwort darauf zugreifen.
3. Hacking über ein „billiges“ Plugin
Raubkopierte Plugins/Themes aus Null-Repositories = 90 % der SchadsoftwareNach der Installation verfügt der Hacker über eine Hintertür.
4. Administrator-Phishing
E-Mail mit dem Inhalt „Ihre Domain läuft ab, melden Sie sich hier an“ → gefälschte Anmeldeseite → Passwortdiebstahl.
5. SQL-Injection / XSS
Ein Angriff auf ein schlecht programmiertes Plugin/Theme, der SQL- oder JavaScript-Injection ermöglicht.
12 Sicherheitsschritte
Schritt 1: Sichere Passwörter + 2FA (Am wichtigsten)
Allein durch diesen Schritt lassen sich 90 % der Einbrüche verhindern.
- Administratorpasswort: mindestens 16 Zeichen, gemischt (Großbuchstaben, Kleinbuchstaben, Zahlen, Sonderzeichen)
- Jeder Administrator hat ein anderes, individuelles Passwort.
- Verwenden Sie einen Passwort-Manager: 1Password, Bitwarden, KeePass
2FA (Zwei-Faktor-Authentifizierung):
- Stecker WP 2FA (frei)
- Richten Sie die Zwei-Faktor-Authentifizierung für ALLE Benutzer mit den Rollen „Administrator“ und „Redakteur“ ein.
- Kostenlose App: Google Authenticator, Authy, Microsoft Authenticator
Schritt 2: Ändern Sie die URL der Anmeldeseite
Domyślny /wp-admin jest dla bota najłatwiejszym celem. Zmiana na /biuro-szefa eliminuje 99% prób brute force.
Stecker: WPS Anmeldeinformationen ausblenden (kostenlos). Einrichtung in 30 Sekunden.
Schritt 3: Anmeldeversuche begrenzen
Auch nach der Änderung der URL sollte niemand 100 Passwörter ausprobieren können.
Stecker: Anmeldeversuche begrenzen (neu geladen) (kostenlos). Standard:
– Maximal 4 Versuche
– 20 Minuten Sperre
– Nach 4 Sperren: 24-Stunden-Sperre
– Administrator-E-Mail-Benachrichtigung
Schritt 4: WordPress, Themes und Plugins aktualisieren
Nur wenn:
– Kleines Update (4.5 → 4.5.1) – sofort
– Großes Update (5.x → 6.x) – nach 1–2 Wochen (bitte warten Sie auf die Fehlerbehebungen)
– Plugins: zuerst für die Staging-Umgebung, dann für die Produktionsumgebung
Automatische Aktualisierung:
– WordPress-Kern: JA
– Plugins: optional nur vertrauenswürdige (Yoast, Wordfence) – die übrigen manuell nach dem Testen
Schritt 5: WAF (Firewall) installieren
Web Application Firewall filtert den Datenverkehr und blockiert bekannte Angriffe (SQLi, XSS, Brute-Force).
Stecker: Wordfence (Freemium):
– Kostenlos: Malware-Scanner in Echtzeit, Firewall-Regeln mit 30-tägiger Verzögerung
– Premium (109 $/Jahr): Echtzeit-Bedrohungsfeed, IP-Reputation, 2FA
Alternative: iThemes-Sicherheit (Solide Sicherheit), Sucuri.
Cloudflare WAF (ab 5 $/Monat): globales CDN + WAF auf Netzwerkebene, sogar noch höher.
Schritt 6: Regelmäßige Datensicherungen
Goldene Regel: 3-2-1:
– 3 Kopien der Daten
– 2 verschiedene Medien
– 1 extern (außerhalb des Servers)
Plugins:
– UpdraftPlus (Freemium) – am beliebtesten für Google Drive/Dropbox/S3
– BackWPup (Freemium) – eine starke Alternative
– Duplikator — hauptsächlich für Migrationen, funktioniert aber auch für Backups
Frequenz:
– Website mit hoher Volatilität (Shop, Blog) — täglich
– Statische Visitenkarte – wöchentlich
– Backup-Protokolle = vor jeder Aktualisierung
Schritt 7: SSL (HTTPS) auf allen Unterseiten
Im Jahr 2026 ist eine Website ohne HTTPS:
– Chrome-Warnung („Nicht sicher“)
– Google-Positionsverlust
– Fehler bei Diensten wie Stripe/PayU (erfordern HTTPS)
Kostenloses SSL-Zertifikat: Let’s Encrypt – die meisten polnischen Hosting-Anbieter sind mit einem Klick erreichbar.
HTTPS erzwingen: w .htaccess:
RewriteEngine On
RewriteCond %{HTTPS} off
RewriteRule ^(.*)$ https://%{HTTP_HOST}%{REQUEST_URI} [L,R=301]
Schritt 8: Deaktivieren Sie die Dateibearbeitung im Bedienfeld
WordPress ermöglicht es standardmäßig, den PHP-Code von Plugins/Themes über das Dashboard zu bearbeiten. Das wird jeder Einbrecher ausnutzen.
W wp-config.php dodaj:
define('DISALLOW_FILE_EDIT', true);
Schritt 9: WordPress-Version ausblenden
Jeśli ujawniasz „WordPress 6.5.2”, haker wie, jakie luki w niej są. Domyślnie WP wstawia tę informację w <head> i readme.html.
Weg: Stecker WP Hide & Security Enhancer lub kod w functions.php:
remove_action('wp_head', 'wp_generator');
I usuń readme.html z root folderu witryny.
Schritt 10: wp-config.php sichern
wp-config.php zawiera dane dostępowe do bazy. Zabezpiecz:
- Bewegen Datei eine Ebene über dem öffentlichen Ordner (sofern der Hosting-Anbieter dies zulässt).
- Chmod 440 (Nur für Besitzer und Gruppe lesbar)
- Geheime Schlüssel aktualisieren einmal im Jahr (geheimer Schlüsselgenerator)
Schritt 11: XML-RPC deaktivieren (falls nicht benötigt)
XML-RPC ist ein altes Protokoll für die Fernveröffentlichung. Angreifer nutzen es für rohe Gewalt.
Falls Sie Jetpack oder die mobile WordPress-App nicht verwenden, deaktivieren Sie bitte Folgendes:
add_filter('xmlrpc_enabled', '__return_false');
Albo .htaccess:
<Files xmlrpc.php>
Order Deny,Allow
Deny from all
</Files>
Schritt 12: Überwachung und Warnmeldungen
Selbst nach all diesen Schritten bemerkt man den Hack möglicherweise nicht sofort. Überwachung erkennt schnell.
Wordfence Free sendet E-Mail-Benachrichtigungen, wenn:
– Jemand meldet sich als Administrator an
– Ein neues Plugin ist in Arbeit
– Die Core-Dateien werden modifiziert
– Es werden Versuche mit roher Gewalt unternommen.
Sucuri SiteCheck (kostenloser externer Test): sitecheck.sucuri.net — einmal im Monat überprüfen.
Die häufigsten Fehler
❌ Anmelden "admin"
Der Bot versucht als Erstes immer den Benutzernamen. andere als "admin", "Administrator", Firmenname.
❌ Raubkopierte Plugins/Themes
„Kostenloses Yoast SEO Premium“ aus einer inoffiziellen Quelle bedeutet Schadsoftware. Dies kann direkt zum Verlust Ihrer Website führen.
❌ Backup nur auf dem Server
Wenn der Server ausfällt oder Hacker die Festplatte verschlüsseln, ist auch Ihr Backup weg. Eine externe Datensicherung ist obligatorisch.
❌ Jeder hat die Rolle „Administrator“.
Der Kunde fragt: „Geben Sie mir vollen Zugriff.“ Geben Sie mir eine Rolle. Editor Stattdessen installiert der Administrator Plugins und bearbeitet das Theme – das stellt ein zusätzliches Risiko dar.
❌ Updates überspringen, „weil sie funktionieren“
Ein altes Plugin, das seit 3 Jahren „funktioniert“, weist mit 99%iger Wahrscheinlichkeit eine bekannte Sicherheitslücke auf. Aktualisieren oder ersetzen Sie es durch eine gepflegte Version.
Was tun, wenn WordPress gehackt wurde?
Vollständige Anleitung: WordPress gehackt – Was nun?.
Abkürzung:
1. Website trennen (Wartungs-/Hosting-Modus aktivieren → Pause)
2. Ändern Sie alle Passwörter (WordPress, Hosting, FTP, Datenbank).
3. Auf Malware scannen (Wordfence, Sucuri, MalCare)
4. Stellen Sie eine Sicherung von vor dem Hackerangriff wieder her.
5. Alles aktualisieren, geheime Schlüssel ändern
6. Sicherheit verstärken (siehe 12 Schritte oben)
Was kommt als Nächstes?
Diese Woche:
- Administratorpasswort stärken + Zwei-Faktor-Authentifizierung aktivieren
- Installieren Sie Wordfence
- Anmelde-URL ändern (WPS Anmeldebildschirm ausblenden)
- Anmeldeversuche beschränken aktivieren
- Prüfen Sie, ob Backups außerhalb des Servers gespeichert werden.
In unserem Webadministration Diese 12 Schritte setzen wir standardmäßig um, zuzüglich Überwachung und monatlicher Sicherheitsberichte. Die Pakete beginnen bei 299 PLN/Monat.
Twoja opinia
Czy ten artykuł był pomocny?
Jedno kliknięcie — pomaga mi wybierać kolejne tematy.
