WordPress-Sicherheit: die fünf Dinge, die wirklich zählen

WordPress ist nicht per se unsicher. Nahezu jeder Vorfall, den wir bereinigt haben, geht auf einen von fünf Punkten zurück — und für keinen davon braucht es eine Security-Suite.

1. Veraltete Plugins und Themes

Die überwältigende Mehrheit. Angreifer scannen nach bekannten Lücken in bestimmten Plugin-Versionen; der Exploit wird veröffentlicht, der Scan findet Sie binnen Tagen. Zeitnah aktualisieren, Ungenutztes entfernen — und zwar löschen, nicht deaktivieren.

2. Schwache oder mehrfach verwendete Admin-Passwörter

Credential Stuffing funktioniert, weil Passwörter wiederverwendet werden. Ein langes, einmaliges Passwort und Zwei-Faktor-Authentifizierung für jedes Administratorkonto schließen das vollständig. Außerdem: kein Benutzername admin, und prüfen, ob Ihre Autorenarchive nicht bereitwillig Benutzernamen preisgeben.

3. Nicht mehr unterstütztes PHP

Wer 2026 noch PHP 7.4 betreibt, betreibt Software, die seit Jahren keine Sicherheitsupdates mehr erhält. Version prüfen, auf eine unterstützte wechseln, vorher auf Staging testen.

4. Zu viele Administratoren

Der Freiberufler von 2021, die frühere Marketingleitung, der Entwickler, der gegangen ist. Jedes ruhende Admin-Konto ist eine Tür. Vierteljährlich die Benutzerliste prüfen und alle herabstufen, die keine Plugins installieren müssen.

5. Kein getestetes Backup

Keine Prävention, sondern das, was aus einer Katastrophe einen Nachmittag macht. Extern, automatisch, und mindestens einmal in einer Testumgebung zurückgespielt.

Was überwiegend Theater ist

wp-admin unter einer eigenen URL verstecken. Die Versionsnummer aus dem Quelltext entfernen. XML-RPC deaktivieren, das ohnehin niemand nutzt. Nicht schädlich — nur wirkungslos gegen echte Angriffe. Ein Plugin, das täglich 400 „abgewehrte Angriffe" meldet, zählt automatisierte Scans, die auch ohne es gescheitert wären.

Wenn es passiert ist

Nicht einfach den sichtbaren Spam löschen. Seite offline nehmen, alle Passwörter ändern — auch Datenbank und Hosting —, aus einem Backup von vor dem Vorfall wiederherstellen, dann alles aktualisieren und erst danach live gehen. Und: Sind personenbezogene Daten betroffen, gilt die 72-Stunden-Meldepflicht nach Art. 33 DSGVO. Die Frist beginnt mit der Kenntnis, nicht mit der Bereinigung.