WordPress ist das meistgenutzte System für Websites und genau deshalb ein beliebtes Ziel für Angreifer. Die gute Nachricht: Der WordPress-Kern selbst ist gut gepflegt. Die meisten Sicherheitslücken stecken in Plugins und Themes, und gegen viele Angriffe hilft schon konsequente Grundhygiene. Hier erfährst du, wie es aktuell um die WordPress-Sicherheit steht, welche Maßnahmen wirklich wirken, wie du deine Website Schritt für Schritt absicherst und was du tun solltest, wenn sie gehackt wurde.
Wie sicher ist WordPress?
Der WordPress-Kern gilt als sicher und wird regelmäßig aktualisiert. Das Problem ist das Ökosystem drumherum: Kaum eine WordPress-Website kommt ohne Plugins für Formulare, Slider, SEO, Caching oder Page-Builder aus, dazu ein Theme. Jede dieser Erweiterungen ist zusätzlicher Code von einem anderen Entwickler, mit eigener Qualität und eigenem Update-Rhythmus.
Der Sicherheitsanbieter Patchstack hat für das Jahr 2025 ausgewertet, wo Schwachstellen auftreten:
- 11.334 neue Sicherheitslücken, 42 % mehr als im Vorjahr.
- 91 % in Plugins, 9 % in Themes, sechs im WordPress-Kern.
- 17 % galten als hoch gefährlich und eigneten sich für Massenangriffe. Ihre Zahl stieg um 113 %.
- 46 % hatten zum Zeitpunkt der Veröffentlichung noch keinen Patch vom Entwickler.
- Bei besonders stark angegriffenen Lücken vergingen im gewichteten Median nur 5 Stunden bis zu Massenangriffen.
Das zeigt zweierlei: Erstens lohnt es sich, so wenige Erweiterungen wie möglich zu nutzen. Zweitens reicht es nicht, Updates einmal im Monat einzuspielen, wenn Angriffe schon wenige Stunden nach Bekanntwerden einer Lücke beginnen.
Die häufigsten Angriffswege
- Veraltete Plugins und Themes: Bekannte Lücken werden automatisiert gesucht und ausgenutzt, oft lange nachdem ein Update verfügbar ist.
- Fehlende Zugriffskontrollen: Laut Patchstack war fehlerhafte Zugriffskontrolle die am häufigsten ausgenutzte Kategorie. Angreifer gelangen dabei an Funktionen, die eigentlich nur Administratoren vorbehalten sind.
- Schadcode über Eingabefelder: Cross-Site-Scripting schleust Skripte über Formulare oder Kommentare ein.
- Datei-Uploads: Unsichere Upload-Funktionen erlauben es, schädliche Dateien auf den Server zu laden.
- Schwache Passwörter: Automatisierte Anmeldeversuche probieren gängige Kombinationen durch.
- Unsichere Quellen: Kostenpflichtige Plugins oder Themes aus inoffiziellen Quellen enthalten nicht selten versteckten Schadcode.
WordPress absichern: die wichtigsten Maßnahmen
Die offizielle WordPress-Dokumentation zur Härtung nennt eine Reihe von Grundregeln. Die wichtigsten für kleine Websites:
1. Updates konsequent einspielen
Ältere WordPress-Versionen erhalten laut WordPress-Dokumentation keine Sicherheitsupdates mehr. Automatische Updates für den Kern gibt es seit Version 3.7. Halte Kern, Plugins und Themes aktuell und prüfe nach Updates kurz, ob die Website noch funktioniert.
Bei größeren Updates lohnt sich eine Testumgebung, also eine Kopie der Website, auf der du Updates zuerst ausprobierst. Viele Hoster bieten das per Knopfdruck an. Achte außerdem auf die PHP-Version deines Servers: Veraltete Versionen erhalten keine Sicherheitsupdates mehr und bremsen die Seite zusätzlich. Ein aktueller Stand ist meist mit wenigen Klicks im Kundenbereich des Hosters eingestellt.
2. Weniger ist mehr bei Plugins
Installiere nur Plugins aus dem offiziellen WordPress-Verzeichnis oder von bekannten Anbietern. Lösche, was du nicht brauchst, statt es nur zu deaktivieren. Jedes entfernte Plugin ist ein Risiko weniger.
3. Starke Passwörter und Zwei-Faktor-Anmeldung
Nutze lange, einzigartige Passwörter und aktiviere eine zweistufige Anmeldung. So reicht ein erratenes Passwort allein nicht für den Zugang. Ein Passwort-Manager hilft dabei, für jedes Konto ein eigenes, sicheres Passwort zu verwenden, ohne sich alle merken zu müssen. Vermeide außerdem den Benutzernamen „admin“ und gemeinsam genutzte Zugänge für mehrere Personen.
4. Rechte begrenzen
Gib jedem Benutzer nur die Rechte, die er wirklich braucht. Wer nur Texte schreibt, braucht keinen Administrator-Zugang. Die WordPress-Dokumentation empfiehlt außerdem, die Bearbeitung von Theme- und Plugin-Dateien im Dashboard abzuschalten.
5. Regelmäßige Backups
Sichere Dateien und Datenbank regelmäßig an einem vertrauenswürdigen Ort außerhalb des Servers und prüfe, ob sich die Sicherung tatsächlich wiederherstellen lässt. Ein Backup, das sich im Ernstfall nicht einspielen lässt, ist keins.
6. HTTPS und sichere Verbindungen
Die gesamte Website sollte verschlüsselt über HTTPS laufen, besonders der Admin-Bereich. Für Dateiübertragungen empfiehlt WordPress SFTP statt FTP, weil Passwörter dabei nicht im Klartext übertragen werden.
7. Zuverlässiges Hosting
Ein guter Hoster hält die Server-Software aktuell und bietet verlässliche Backups und Wiederherstellung. Billiges Hosting ohne Pflege ist ein unterschätztes Risiko.
8. Überwachung und Schutz
Ein Sicherheits-Plugin oder eine Firewall kann verdächtige Zugriffe blockieren und vor bekannten Lücken warnen. Patchstack weist darauf hin, dass klassische Firewalls bestimmte Angriffe auf Zugriffskontrollen schlecht erkennen, weil sie wie normaler Datenverkehr aussehen. Updates und wenige Plugins bleiben deshalb die wichtigste Grundlage.
Wie oft solltest du WordPress pflegen?
Sicherheit ist kein einmaliges Projekt, sondern ein Rhythmus. Für eine typische Unternehmenswebsite hat sich diese Aufteilung bewährt:
- Laufend: Sicherheitsupdates für Kern und Plugins möglichst automatisch oder sehr zeitnah einspielen, besonders wenn eine Lücke bekannt wird.
- Wöchentlich: Kurzer Blick auf Warnungen im Dashboard, im Sicherheits-Plugin und auf die Funktion von Kontaktformularen.
- Monatlich: Alle Updates prüfen, Backup testweise öffnen, Benutzerkonten kontrollieren und nicht mehr benötigte Zugänge löschen.
- Jährlich: Plugins und Theme kritisch hinterfragen. Werden sie noch gepflegt? Gibt es schlankere Lösungen? Auch die PHP-Version beim Hoster prüfen.
Warnsignale: Woran du einen Hack erkennst
- Die Website leitet Besucher auf fremde Seiten um, oft nur auf dem Smartphone oder nur bei Besuchern von Google.
- In den Suchergebnissen tauchen fremde Seiten, Spam-Begriffe oder seltsame Beschreibungen unter deiner Domain auf.
- Google oder der Browser warnen vor deiner Website.
- Es gibt neue Administrator-Konten, die du nicht angelegt hast.
- Die Website ist plötzlich sehr langsam oder dein Hoster meldet ungewöhnlich hohe Serverlast.
- Dein Hoster sperrt die Seite oder meldet verdächtige Dateien.
Manche Infektionen sind gut versteckt und zeigen sich nur bestimmten Besuchern. Laut Patchstack sehen Seiten für Scanner manchmal sauber aus, obwohl sie noch befallen sind.
Was kostet WordPress-Sicherheit?
Die Grundmaßnahmen kosten vor allem Zeit: Updates prüfen, Backups testen, Konten pflegen. Dazu kommen je nach Bedarf ein Sicherheits-Plugin oder eine Firewall, ein Backup-Dienst und besseres Hosting. Wer das nicht selbst übernehmen möchte, schließt einen Wartungsvertrag mit einem Dienstleister ab. Vergleiche dabei genau, was enthalten ist: Wie schnell werden Sicherheitsupdates eingespielt? Werden Backups getestet? Was passiert im Ernstfall, und kostet die Bereinigung nach einem Hack extra?
Checkliste: WordPress-Sicherheit
- WordPress-Kern, Plugins und Themes auf dem neuesten Stand
- Automatische Updates aktiviert, wo sinnvoll
- Nicht genutzte Plugins und Themes gelöscht
- Plugins nur aus vertrauenswürdigen Quellen
- Starke, einzigartige Passwörter für alle Konten
- Zwei-Faktor-Anmeldung für Administratoren
- Benutzerrechte auf das Nötige beschränkt
- Dateibearbeitung im Dashboard abgeschaltet
- Regelmäßige, getestete Backups außerhalb des Servers
- HTTPS für die gesamte Website
- Hosting mit aktueller Server-Software
- Überwachung auf Sicherheitswarnungen
Was tun, wenn die Website gehackt wurde?
- Ruhe bewahren und dokumentieren: Was ist aufgefallen, seit wann? Screenshots helfen später.
- Zugänge ändern: Passwörter für WordPress, Hosting, Datenbank und FTP sofort ändern.
- Hoster informieren: Viele Hoster helfen bei der Analyse und können die Seite vorübergehend sperren.
- Sauberes Backup prüfen: Gibt es eine Sicherung von vor dem Angriff? Dann kann sie die Grundlage für die Wiederherstellung sein.
- Ursache finden und schließen: Ohne die Lücke zu schließen, kommt der Angriff wieder. Patchstack weist darauf hin, dass infizierte Dateien oft schwer zu erkennen sind und Seiten trotz scheinbarer Bereinigung erneut befallen werden.
- Google prüfen: In der Search Console unter Sicherheitsprobleme nachsehen, ob Google Warnungen anzeigt, und nach der Bereinigung eine Überprüfung beantragen.
- Datenschutz bedenken: Wurden personenbezogene Daten abgegriffen, können Meldepflichten bestehen. Hol dir dafür rechtliche Beratung.
WordPress oder Alternative?
WordPress kann sicher betrieben werden, wenn sich jemand dauerhaft um Updates, Plugins und Backups kümmert. Wer das nicht leisten will oder kann, hat zwei Möglichkeiten: einen Wartungsvertrag mit einem Dienstleister abschließen oder auf ein System mit weniger Angriffsfläche wechseln, etwa eine sauber programmierte, statische Website ohne Datenbank und Plugins. Welche Alternativen es gibt, hängt davon ab, wie oft du Inhalte änderst und wie viel Technik du selbst übernehmen möchtest.
Häufige Irrtümer
- „Meine Seite ist zu klein für Hacker.“ Angriffe laufen automatisiert und treffen jede Website mit bekannter Lücke, unabhängig von der Größe.
- „Ein Sicherheits-Plugin reicht.“ Es hilft, ersetzt aber keine Updates und keine schlanke Plugin-Auswahl.
- „Deaktivierte Plugins sind ungefährlich.“ Sie liegen weiter auf dem Server. Besser löschen.
- „Premium-Plugins sind sicherer.“ Laut Patchstack waren bei kostenpflichtigen Komponenten sogar 76 % der Lücken ausnutzbar.
Fazit: Sicherheit ist Pflege, kein einmaliges Projekt
- Der WordPress-Kern ist gut gepflegt, die meisten Lücken stecken in Plugins und Themes.
- Angriffe beginnen oft wenige Stunden nach Bekanntwerden einer Lücke. Schnelle Updates sind entscheidend.
- Wenige Plugins, starke Passwörter mit Zwei-Faktor-Anmeldung, getestete Backups und HTTPS bilden die Basis.
- Wer sich nicht kümmern will, braucht Wartung oder ein System mit weniger Angriffsfläche.
Mein Rat: Geh die Checkliste heute einmal durch und lösche alles, was du nicht brauchst. Und frag dich ehrlich, wer sich in sechs Monaten zuverlässig um die nächsten Updates kümmert.
