WordPress betreibt mehr als 40 % des Webs. Diese Popularität hat eine Kehrseite: Es ist die von Hackern am meisten angegriffene Plattform. Aber hier die beruhigende Wahrheit — fast alle WordPress-Hacks sind keine gezielten Angriffe von Hacking-Genies. Es sind automatisierte, opportunistische Angriffe, die bekannte Lücken auf schlecht gewarteten Sites ausnutzen. Mit anderen Worten: Die meisten sind mit einfachen Maßnahmen vermeidbar. Dieser Leitfaden führt sie aus.
Eine gehackte Site ist nicht nur ein technisches Ärgernis: Es ist ein Leck von Kundendaten (und ein DSGVO-Risiko), durch bösartige Weiterleitungen zerstörtes SEO, ein beschädigter Ruf und manchmal Wochen Aufräumarbeit. Besser vorbeugen. Zielgruppe: WordPress- und WooCommerce-Site-Besitzer, die ruhig schlafen wollen, ohne Cybersicherheitsexperten zu sein.
Wie WordPress-Sites gehackt werden
Angriffsvektoren zu verstehen heißt zu wissen, wo man ansetzt. Die häufigsten Einfallstore:
- Veraltete Plugins und Themes — mit Abstand die Hauptursache. Eine bekannte Lücke in einem nicht aktualisierten Plugin ist eine offene Einladung.
- Schwache Passwörter — Brute-Force-Angriffe testen Tausende Kombinationen auf der Login-Seite.
- Plugins aus dubiosen Quellen — „nulled“ (raubkopierte) Versionen von Premium-Plugins, oft mit Schadcode durchsetzt.
- Unsicheres Hosting — eine schlecht isolierte geteilte Umgebung verbreitet eine Infektion von einer Site zur anderen.
- Keine Überwachung — viele Sites sind wochenlang infiziert, ohne dass es jemand bemerkt.
Die 12 wesentlichen Maßnahmen
1. Systematisch aktualisieren
WordPress-Kern, Plugins und Themes müssen aktuell gehalten werden. Es ist die wichtigste und am meisten vernachlässigte Maßnahme. Idealerweise im kontrollierten Rahmen (Test auf Staging vor der Produktion), damit ein Update die Site nicht bricht.
2. Starke, einzigartige Passwörter
Jedes Admin-Konto braucht ein langes, zufälliges, einzigartiges Passwort. Ein Passwort-Manager macht das schmerzlos. Verbannen Sie „admin / admin123″.
3. Zwei-Faktor-Authentifizierung (2FA)
2FA fügt einen zweiten Identitätsnachweis hinzu (ein temporärer Code auf dem Telefon). Selbst wenn ein Passwort leakt, bleibt das Konto geschützt. Es ist einer der besten Aufwand/Wirkungs-Schutze.
4. Login-Versuche begrenzen
Eine Adresse nach mehreren fehlgeschlagenen Logins zu blockieren neutralisiert Brute-Force-Angriffe. Die Standard-Login-URL zu ändern (/wp-admin, /wp-login.php) fügt eine nützliche Schicht Obskurität hinzu.
5. Das Prinzip der geringsten Rechte
Geben Sie jedem Nutzer nur die Rechte, die er braucht. Ein Redakteur braucht keinen Admin-Zugang. Weniger Konten mit hohen Rechten, weniger Angriffsfläche.
6. Deinstallieren, was nicht genutzt wird
Jedes inaktive Plugin und Theme bleibt eine potenzielle Lücke. Löschen (nicht nur deaktivieren) Sie alles Ungenutzte. Eine schlanke Site ist eine sicherere Site.
7. Nur aus vertrauenswürdigen Quellen installieren
Plugins und Themes nur aus dem offiziellen WordPress.org-Repository oder von anerkannten Anbietern. Nie eine „nulled“-Version: das Sparen weniger Euro wird mit einer garantierten Infektion bezahlt.
8. Eine Web Application Firewall (WAF)
Eine WAF filtert bösartigen Traffic, bevor er Ihre Site erreicht (Injektionen, Scans, Bots). Sie blockiert die Mehrheit automatisierter Angriffe vorgelagert.
9. HTTPS überall
Das SSL-Zertifikat verschlüsselt den Austausch zwischen Besucher und Site. Unverzichtbar für Sicherheit, Vertrauen, DSGVO und SEO. 2026 ist eine Site ohne HTTPS inakzeptabel.
10. Automatische, ausgelagerte Backups
Das Backup ist Ihr ultimatives Sicherheitsnetz. Automatisch, regelmäßig, woanders als auf dem Server der Site gespeichert (sonst nimmt eine Infektion die Backups mit) und — entscheidend — getestet. Ein Backup, das man nicht wiederherstellen kann, ist wertlos.
11. Die Konfiguration härten
Mehrere Einstellungen reduzieren die Angriffsfläche: den Datei-Editor im Admin deaktivieren, die wp-config.php-Datei schützen, XML-RPC deaktivieren wenn ungenutzt, die WordPress-Version verbergen. Diese technischen Maßnahmen gehören zur Standard-Härtung.
12. Überwachen und scannen
Ein regelmäßiger Malware-Scan und eine Dateiintegritäts-Überwachung erkennen eine Infektion früh — bevor sie Schaden anrichtet oder Ihr SEO zerstört. Früherkennung ändert alles.
Der E-Commerce-Fall: erhöhter Einsatz
Für einen WooCommerce-Shop bekommt Sicherheit eine zusätzliche Dimension: Sie verarbeiten Zahlungsdaten und persönliche Informationen. Eine Lücke ist nicht mehr nur technisch, sie wird rechtlich und finanziell. Die obigen Maßnahmen sind ein Minimum, ergänzt durch besondere Wachsamkeit bei Zahlungserweiterungen und Compliance.
Was tun, wenn Ihre Site gehackt ist
Wenn das Schlimmste passiert, ist Panik ein schlechter Ratgeber. Das Vorgehen:
- Isolieren — die Site in Wartung setzen, um die Verbreitung zu stoppen und Besucher zu schützen.
- Identifizieren — den Einstiegspunkt und das Ausmaß der Infektion bestimmen (geänderte Dateien, erstellte Konten).
- Reinigen — den Schadcode entfernen oder ein sauberes Backup von vor der Infektion wiederherstellen.
- Absichern — alle Passwörter ändern, aktualisieren, die ausgenutzte Lücke schließen.
- Überwachen — auf Reinfektion prüfen und Google um eine Neubewertung bitten, falls die Site markiert wurde.
Es ist heikle Arbeit, bei der jeder Schritt zählt — genau die Art Intervention, die wir durchführen.
In der Praxis
WordPress-Sicherheit ist kein Produkt, das man einmal kauft: Es ist ein Zustand, den man aufrechterhält. Die 12 obigen Maßnahmen decken das Wesentliche ab, aber sie haben nur Wert, wenn sie kontinuierlich angewandt werden — daher der Wert eines Wartungsvertrags, der sich darum kümmert. Die Mehrheit der gehackten Sites wurde aus Nachlässigkeit gehackt, nicht aus Pech.
Bei Seganiko gehören Sicherheit und Härtung zu unseren Wartungs– und WordPress-Entwicklungs-Leistungen: gesteuerte Updates, Überwachung, getestete Backups, Firewall und Intervention im Vorfall. Wir führen auch einmalige Sicherheitsaudits durch. Das erste Audit ist kostenlos.
SEO verbessern?
Wir auditieren Ihre Website und setzen eine messbare SEO-Strategie um.
Unser SEO-Service →
