Warum gerade WordPress-Seiten angegriffen werden
WordPress ist eines der meistgenutzten Systeme für Websites. Genau das macht es für Angreifer interessant: Eine bekannte Lücke in einem verbreiteten Plugin lässt sich automatisiert auf sehr vielen Seiten ausnutzen. Die meisten Angriffe sind also nicht persönlich gemeint, sondern laufen massenhaft durch Programme ab.
Für Sie heißt das: Auch die kleine Website eines Tischlers oder einer Physiotherapeutin wird regelmäßig abgeklopft. Wer seine Seite aktuell hält, ist für diese automatisierten Angriffe meist schlicht uninteressant, weil die bekannten Lücken geschlossen sind.
Updates: der wichtigste Schutz
Sicherheitslücken werden laufend gefunden und von den Entwicklern geschlossen. Das nützt aber nur, wenn die Updates auch eingespielt werden. Zu aktualisieren sind:
- WordPress selbst, also der Kern des Systems,
- alle Plugins, auch deaktivierte,
- das Theme, also die Designvorlage,
- die PHP-Version am Server, die Ihr Hoster bereitstellt.
Machen Sie vor größeren Updates ein Backup. Bei Websites mit vielen Funktionen lohnt sich eine Testkopie, auf der Updates zuerst ausprobiert werden. So fällt ein Problem auf, bevor Kunden es sehen.
Prüft, wie gut Google Ihre Website versteht – mit konkreten Punkten, die Sie verbessern können.
Plugins: weniger ist mehr
Plugins machen WordPress flexibel, sind aber auch die häufigste Schwachstelle. Jedes zusätzliche Plugin bedeutet zusätzlichen Code, zusätzliche Updates und ein zusätzliches Risiko. Prüfen Sie deshalb regelmäßig, was Sie wirklich brauchen.
- Wird das Plugin noch aktiv weiterentwickelt und regelmäßig aktualisiert?
- Gibt es eine einfachere Lösung ohne Plugin?
- Haben Sie mehrere Plugins, die dasselbe tun?
- Löschen Sie deaktivierte Plugins, statt sie liegen zu lassen.
Zugänge absichern
Viele Einbrüche gelingen nicht über Technik, sondern über schwache oder geteilte Passwörter. Jede Person, die an der Website arbeitet, sollte ein eigenes Konto mit nur den nötigen Rechten haben. Wer den Betrieb verlässt, wird sofort entfernt.
Verwenden Sie lange, einzigartige Passwörter, am besten aus einem Passwort-Manager, und aktivieren Sie die Zwei-Faktor-Anmeldung. Dabei braucht es neben dem Passwort einen zweiten Nachweis, etwa einen Code am Handy. Das gilt auch für den Zugang zum Hosting und zum Domain-Konto.
Backups und ein einfacher Notfallplan
Trotz aller Vorsicht kann etwas schiefgehen: ein fehlerhaftes Update, ein Angriff, ein versehentlich gelöschter Inhalt. Dann entscheidet das Backup, ob Sie in einer Stunde wieder online sind oder tagelang. Sichern Sie automatisch Dateien und Datenbank und bewahren Sie eine Kopie außerhalb des Servers auf. Mehr dazu im Ratgeber Backups für die Website.
Halten Sie außerdem schriftlich fest, wer im Ernstfall verständigt wird, wo die Zugangsdaten liegen und wie ein Backup eingespielt wird. Ein halbseitiges Dokument reicht.
Monatliche Checkliste und Warnzeichen
- Updates für Kern, Plugins und Theme eingespielt?
- Letztes Backup vorhanden und wiederherstellbar?
- Benutzerkonten geprüft, ehemalige Personen entfernt?
- Kontaktformular getestet: kommt die Nachricht an?
- HTTPS aktiv und Zertifikat gültig? Siehe SSL und HTTPS einfach erklärt.
Warnzeichen für einen Befall sind fremde Links oder Seiten in Google, unbekannte Benutzerkonten, plötzliche Weiterleitungen auf andere Websites oder Warnhinweise im Browser. Dann sofort Zugänge ändern, Hoster informieren und eine saubere Sicherung einspielen lassen.
Selbst pflegen oder abgeben?
Wer sich gern mit Technik beschäftigt und monatlich eine Stunde einplant, kann eine kleine WordPress-Seite gut selbst pflegen. Wenn Sie dafür keine Zeit haben oder die Website viele Erweiterungen hat, ist es sinnvoller, die Pflege abzugeben. Die Leistung Website-Wartung und Hosting übernimmt Updates, Backups und Kontrollen.
Manchmal ist auch die ehrliche Antwort: Für Ihre Zwecke wäre eine schlankere Website ohne viele Plugins die sicherere Wahl. Die Abwägung beschreibt der Vergleich WordPress oder individuelle Website. Allgemeine Tipps für den Betrieb finden Sie unter IT-Sicherheit für kleine Betriebe.
Häufige Fragen
Ist WordPress unsicher?
Nein, WordPress selbst gilt bei regelmäßiger Pflege als solide. Probleme entstehen meist durch veraltete Plugins und Themes, schwache Passwörter oder fehlende Updates. Weil WordPress so verbreitet ist, wird es häufig automatisiert angegriffen. Wer Updates zeitnah einspielt, wenige gepflegte Plugins nutzt und Zugänge mit Zwei-Faktor-Anmeldung schützt, senkt das Risiko deutlich.
Wie oft sollte ich WordPress aktualisieren?
Sicherheitsupdates sollten möglichst zeitnah eingespielt werden, also innerhalb weniger Tage nach Erscheinen. Für alle anderen Updates hat sich eine feste Routine bewährt, etwa einmal pro Woche oder zumindest einmal im Monat. Vor größeren Versionssprüngen sollten Sie ein Backup machen und bei umfangreichen Websites zuerst auf einer Testkopie prüfen.
Reicht ein Sicherheits-Plugin aus?
Ein Sicherheits-Plugin kann helfen, etwa durch Schutz vor vielen Anmeldeversuchen oder Hinweise auf veränderte Dateien. Es ersetzt aber keine Updates, keine starken Passwörter und keine Backups. Manche dieser Plugins sind selbst umfangreich und brauchen Pflege. Wichtiger als jedes Plugin ist eine regelmäßige Routine mit Updates, Kontrolle der Konten und funktionierenden Sicherungen.
Was tun, wenn meine WordPress-Seite gehackt wurde?
Ändern Sie sofort alle Passwörter für WordPress, Hosting und Domain, informieren Sie Ihren Hoster und nehmen Sie die Seite bei Bedarf vorübergehend offline. Spielen Sie dann ein sauberes Backup von vor dem Angriff ein und aktualisieren Sie alles. Wurden personenbezogene Daten betroffen, kann eine Meldepflicht bestehen; im Zweifel fragen Sie die Datenschutzbehörde oder einen Anwalt.
Wie viele Plugins sind für WordPress zu viele?
Eine feste Grenze gibt es nicht. Entscheidend ist, ob jedes Plugin gebraucht wird, aktiv gepflegt ist und regelmäßig Updates bekommt. Eine kleine Firmenwebsite kommt oft mit einer Handvoll Erweiterungen aus. Wenn Sie nicht mehr wissen, wofür ein Plugin installiert wurde, ist das ein gutes Zeichen, es zu prüfen und wenn möglich zu entfernen.