WordPress ist das meistgenutzte Content-Management-System der Welt. Das zeigt, wie großartig es ist, macht es aber auch zum beliebten Ziel für Angriffe aller Art. Nach der Installation und Einrichtung solltest du dich noch nicht entspannt zurücklehnen, sondern mit den nachfolgenden Schritten schauen, ob du bei deinem WordPress noch etwas optimieren kannst:
Sicheres Passwort wählen
Vergib unbedingt ein sicheres (=langes, komplexes) Administrator Passwort! Lass dies am beste von deinem Browser generieren und notfalls speichern – ich nutze dafür sehr gerne LastPass. Und wie immer gilt: Nutze nicht überall das gleiche Passwort 🙂 Sonst ist vielleicht neben WordPress auch noch gleich dein E-Mail-Postfach und dein Facebook Account gehackt.
Vermeide „admin“ als Benutzer
Suche dir zugleich am besten schon bei der WordPress Installation einen persönlichen Benutzernamen aus (statt dem Standard admin) und lösche nachträglich den admin Nutzer, falls er doch schon angelegt wurde.
Plugins, Themes und WordPress aktuell halten
Die meisten Angriffe werden durch veraltete Plugins und Themes (oder zu einfache Passworte) möglich gemacht. Um hier immer auf dem neuesten Stand zu sein, solltest du nicht nur WordPress, sondern auch alle installierten Erweiterungen sehr regelmäßig, am besten alle 1-2 Wochen, aktualisieren (gib die Wartung gern an mich ab, wenn du dich darum nicht selbst kümmern möchtest).
WordPress selbst bietet auch die Option, Plugins und Themes automatisch aktualisieren zu lassen – dies kannst du theoretisch einstellen, damit alles von selbst sofort gemacht wird. Ich würde dir diese Option nicht empfehlen (oder höchstens bei super unwichtigen kleinen Plugins), weil du bei einem fehlerhaften Update nicht direkt merkst, dass etwas nicht mehr läuft.
Bei einigen Aktualisierungen empfiehlt es sich außerdem, noch ein wenig abzuwarten – z.B. falls für eine neue WordPress Version noch nicht alle Plugins kompatibel sind und somit noch gar nicht mit der neuen Version funktionieren würden.
Anzahl an installierten Plugins minimieren
Installiere nur die Plugins, die du auch wirklich benötigst. Deinstalliere Plugins unbedingt, wenn sie dir nicht mehr länger dienen (nur deaktivieren reicht hier übrigens nicht, denn dann bleiben die Dateien trotzdem auf deinem Server). Und achte auch darauf, dass du dir keine WordPress Plugins einfach irgendwo herunterlädst, sondern installiere sie wenn möglich über den Plugins -> Installieren Menüpunkt deines Dashboards. Hier kannst du zudem schauen, wie häufig das Plugin im Einsatz ist und wann es zuletzt aktualisiert wurde:
Bei uralten, wenig genutzten Plugins ist ggf. Vorsicht geboten, gerade da sie vermutlich nicht mehr den neuesten Sicherheitsstandards entsprechen.
Ein Backup einrichten
Damit du für den Fall der Fälle – falls die Seite doch gehackt wurde oder etwas bei einem Update schief gelaufen ist – abgesichert bist, empfehle ich dir, mind. 1x pro Woche ein automatisches Update machen zu lassen. Hierfür kannst du z.B. Updraft Plus (ruhig in der kostenlosen Version) nutzen. Du musst einmal einstellen, wie häufig und wohin welche Daten gesichert werden sollen und wie viele Versionen beibehalten werde sollen und schon bis du fertig!
Oft sichert der Webhoster deine Website zwar auch – da hast du jedoch selbst keinen Einfluss darauf, wie häufig was genau gesichert wird und kannst auch nicht nur einzelne Teile (z.B. nur die Datenbank oder nur die Dateien) zurücksichern.
In diesem Video zeige ich dir, wie du das Backup einrichten kannst.
Benutzerrollen & Rechte – Nur so viel Macht wie nötig
Mal Hand aufs Herz: Hast du schon mal anderen Leuten Zugriff auf deine Website gegeben, weil sie dir „nur kurz helfen“ sollten? Dann kennst du das Risiko: Zu viele Köche verderben nicht nur den Brei, sondern gefährden auch die Sicherheit deiner Seite.
Nutze daher konsequent die WordPress-Benutzerrollen:
-
Administrator: Nur du (oder dein*e Web-Expert*in) sollte diese Rechte haben.
-
Redakteur, Autor, Mitarbeiter: Gib diese Rollen nur, wenn jemand wirklich Inhalte bearbeiten soll – und dann auch nur genau die Rechte, die er oder sie braucht.
-
Abonnent: Ideal für einfache Logins, z. B. bei geschützten Bereichen oder Mitgliederseiten.
Falls jemand dich nicht mehr unterstützt, lösche ihren oder seinen Account. Er kann ja später jederzeit wieder eingerichtet werden, wenn die Person wieder Zugriff benötigt.
Bonustipp: Stell bitte sicher, dass auch alle anderen Administratoren, Redakteure etc. ein sicheres Passwort wählen und dies im Idealfall regelmäßig ändern und nicht für andere Zugänge nutzen.
👉 Mein Grundsatz: So wenig Admins wie möglich, so viele eingeschränkte Rollen wie nötig. Das senkt das Risiko von ungewollten Änderungen oder Hacks enorm.
SSL-Zertifikat & HTTPS einrichten!
Kennst du dieses kleine Schloss-Symbol in der Browserzeile🔒 – oder alternativ den Hinweis „Nicht sicher“, falls es fehlt? Das Schloss ist kein nettes Gimmick, sondern ein absolutes Muss!
Ohne SSL-Zertifikat wird deine Website nämlich nicht nur von Google abgestraft, sondern die Daten deiner Besucher*innen – vor allem beim Einloggen oder Kontaktformular-Ausfüllen – werden unverschlüsselt übertragen. Und das ist ungefähr so sicher, wie deinen Haustürschlüssel auf die Fußmatte zu legen.
Die gute Nachricht: Fast alle Hoster bieten dir heute ein kostenloses Let’s-Encrypt-Zertifikat an, das du mit wenigen Klicks aktivieren kannst. Danach ist deine Seite über https:// erreichbar und das Schloss erscheint. Achte darauf, dass wirklich alle Seiten auf HTTPS umgeleitet werden – bei Bedarf hilft ein Plugin wie Really Simple SSL oder Better Search Replace (in diesem Youtube-Video zeige ich dir, wie das geht).
Sicherheits Plugins installieren
Auch wenn du alles andere berücksichtigst, machen die folgenden Sicherheitsplugins Sinn:
- Ninja Firewall, Wordfence Security oder mein Favorit: Limit Login Attempts Reloaded um generelle Attacken auf deine Website zu verhindern (hier reicht jeweils die kostenlose Version für den normalen Schutz erstmal aus). Wenn ein schädliches Script z.B. mehrmals hintereinander versucht, sich als Administrator auf deiner Seite einzuloggen, wird der Account vorsichtshalber eine zeitlang blockiert. Die IP-Adresse der Nutzer wird durch diese Plugins evtl. mitgeloggt, sodass ein entsprechender Hinweis in deiner Datenschutzerklärung erfolgen sollte.
- WPS Hide Login oder Loginizer – falls man den Adminbereich nicht über die Standard Adresse /wp-login und /wp-admin erreichbar machen möchte. Hilft gegen automatisierte Hackerattacken.
Zwei-Faktor-Authentifizierung – Admin-Zugang doppelt abgesichert
Du willst Hackern so richtig den Spaß verderben? Dann setze unbedingt auf Zwei-Faktor-Authentifizierung (2FA)!
Das heißt: Neben deinem Passwort brauchst du beim Einloggen noch einen zweiten Code, z. B. aus einer Authenticator-App auf deinem Handy. Damit schützt du deinen Zugang auch dann, wenn dein Passwort in falsche Hände gerät.
Ich empfehle dir die Plugins Security Optimizer, Two Factor oder WP 2FA, die sich recht easy einrichten lassen und deine Login-Sicherheit massiv erhöhen.
Wichtig für die 2FA: Es gibt oft auch für Administratoren keine Hintertür – wenn du nicht mehr reinkommst, ist die einzige Möglichkeit, das Plugin händisch, also z.B. über ein FTP Programm, zu löschen. Falls du dir das nicht selbst zutraust stelle besser vorher sicher, dass dich jemand dabei unterstützen könnte.
Hier ein Screenshot der 2FA Konfigurationsmöglichkeit in meinem Lieblings-Security-Plugin Security Optimizer:
PHP Version aktuell halten
Bei deinem Hoster kannst du in der Regel einstellen, welche PHP Version für deine Website genutzt werden soll.
WordPress selbst zeigt mittlerweile bei veralteten Vesionen einen Warnhinweis im Backend an – spätestens dann ist es höchste Zeit, deine Seite auf die neueste PHP Version umzustellen. Solltest du hierbei Schwierigkeiten haben, kontaktiere am besten deinen Hoster.
Bei all-inkl.com kannst du es nach dem Login in die Verwaltung über all-inkl.com/kas beim Menüpunkt Domain einstellen:
Mit diesen wenigen Schritten hast du die Sicherheit deines WordPress schon sehr erhöht. Lass gern einen Kommentar hier, wenn du noch weitere Tipps oder Fragen hast 🙂
Du willst ganz sicher sein, dass deine Website nicht angreifbar ist?
Lass sie von mir einmal gründlich durchchecken!
Technik-Check für deine WordPress-Website
Ich überprüfe deine Plugins, Updates, Sicherheitseinstellungen, Backups und mehr und stelle dir alles bestmöglich ein.
Oder möchtest du lieber, dass ich mich regelmäßig darum kümmere?
Monatliche Website-Wartung
Ich halte deine Website aktuell, sicher und funktionsfähig – ganz ohne Aufwand für dich.
0 Kommentare