WordPress-Hardening Schritt für Schritt: 12 Einstellungen, die die meisten automatisierten Angriffe stoppen

Fast kein Angriff auf eine WordPress-Website ist persönlich. Automatisierte Bots durchsuchen rund um die Uhr das gesamte Internet, suchen nach schwachen Login-Seiten und veralteten Plugins und probieren dann Tausende Passwörter pro Minute. Es spielt keine Rolle, ob Ihre Website ein kleiner Salon in Cluj-Napoca oder ein lokaler Shop ist – wenn sie auf WordPress läuft, stehen Sie auf der Liste.

Die gute Nachricht: Die meisten dieser Angriffe sind automatisiert und primitiv. Sie werden nicht von einem genialen Hacker gehackt, sondern von einem Skript, das nach unverschlossenen Türen sucht. Das bedeutet, eine begrenzte Anzahl korrekter Einstellungen stoppt den Großteil davon. Unten finden Sie 12 Härtungsmaßnahmen, in der Reihenfolge, in der es sich lohnt, sie umzusetzen, mit dem, was jede davon löst. Kein Marketing, keine Versprechen von „100 % sicher“ – denn niemand Seriöses garantiert Ihnen so etwas.

Warum Sie angegriffen werden, auch wenn Ihre Website klein ist

Die Vorstellung, dass „sich niemand für meine Website interessiert“, ist der teuerste Sicherheitsirrtum. Bots wählen keine Opfer aus, sondern scannen massenhaft: Sie suchen die Adresse /wp-login.php, erzwingen Passwörter, testen bekannte verwundbare Plugins und versuchen, Code einzuschleusen.

Warum Sie auch ohne Traffic auf der Liste bleiben:

• Ihr Server kann genutzt werden, um Spam zu versenden oder andere Websites anzugreifen;
• Ihre Seite kann mit versteckten Links zu gefälschten Apotheken oder Casinos vollgestopft werden, was Ihren Ruf bei Google zerstört;
• Kundendaten (Formulare, Bestellungen) haben an sich schon Wert.

Sie verteidigen sich also nicht gegen einen bestimmten Feind, sondern gegen das Hintergrundrauschen des Internets. Und Hintergrundrauschen stoppt man mit Hygiene, nicht mit Magie.

Einstellungen 1–4: Härten Sie die Authentifizierung

Die meisten Einbrüche gelangen einfach durch die Vordertür – die Login-Seite. Hier haben Sie den größten Gewinn bei geringstem Aufwand.

• 1. Entfernen Sie den Benutzer „admin“. Das ist der erste Name, den jeder Bot ausprobiert. Erstellen Sie ein neues Administratorkonto mit anderem Namen und löschen Sie das alte.
• 2. Lange, einzigartige Passwörter. Mindestens zwanzig Zeichen, generiert mit einem Passwort-Manager (Bitwarden, 1Password). Verwenden Sie kein Passwort mehrfach.
• 3. Aktivieren Sie die Zwei-Faktor-Authentifizierung (2FA). Selbst wenn das Passwort erraten oder gestohlen wird, wird der Angreifer ohne den Code auf Ihrem Telefon blockiert. Plugins wie Wordfence oder miniOrange fügen sie in wenigen Minuten hinzu.
• 4. Begrenzen Sie Login-Versuche. Legen Sie eine automatische Sperre nach mehreren falschen Passwörtern fest. Das tötet Brute-Force-Angriffe, die auf Tausenden von Versuchen beruhen.

Einstellungen 5–8: Verkleinern Sie die Angriffsfläche

Jedes Plugin, jedes Theme und jede aktive Funktion ist eine zusätzliche Tür. Je weniger Sie haben, desto weniger müssen Sie verteidigen.

• 5. Aktualisieren Sie alles, automatisch. Den WordPress-Kern, Themes und Plugins. Die überwiegende Mehrheit der Einbrüche nutzt eine bereits behobene Schwachstelle aus, für die der Eigentümer das Update nicht durchgeführt hat. Aktivieren Sie automatische Updates zumindest für Sicherheitskorrekturen.
• 6. Löschen Sie, was Sie nicht nutzen. Deaktivierte Themes und Plugins können trotzdem ausgenutzt werden. Wenn es nicht aktiv und notwendig ist, entfernen Sie es komplett, nicht nur deaktivieren.
• 7. Deaktivieren Sie den Datei-Editor im Panel. Fügen Sie `define('DISALLOW_FILE_EDIT', true);` in wp-config.php hinzu. So kann jemand, der Ihr Konto stiehlt, keinen Code direkt aus dem Dashboard einschleusen.
• 8. Deaktivieren Sie XML-RPC, wenn Sie es nicht nutzen. Es ist ein alter Weg, der oft für Brute-Force- und Verstärkungsangriffe missbraucht wird. Viele Sicherheits-Plugins können ihn per Knopfdruck schließen.

Einstellungen 9–12: Server, Berechtigungen und Sicherheitsnetz

Die letzte Schicht betrifft Dateien, Verbindung und was passiert, wenn dennoch etwas durchrutscht.

• 9. Korrekte Dateiberechtigungen. Verzeichnisse auf 755, Dateien auf 644, und wp-config.php auf 640 oder 600. Nichts sollte auf 777 gesetzt sein. Fragen Sie danach beim Hosting-Anbieter, wenn Sie keinen Zugriff haben.
• 10. HTTPS überall. Aktives SSL-Zertifikat und erzwungene Weiterleitung von http auf https, damit Passwörter und Formulardaten nicht im Klartext übertragen werden.
• 11. Ein Sicherheits-Plugin mit Firewall (WAF). Wordfence oder Solid Security filtern schädlichen Traffic, bevor er die Website erreicht, und senden Ihnen Warnungen. Nicht zwingend erforderlich, aber deckt viele Lücken an einem Ort ab.
• 12. Automatisches Backup, außerhalb des Servers. Die wichtigste Einstellung auf der Liste. Tägliche oder wöchentliche Kopie, separat gespeichert (nicht auf demselben Server). Wenn alles andere versagt, verwandelt ein gutes Backup eine Katastrophe in eine Stunde Arbeit.

Fehler, die ein Sicherheitsgefühl vermitteln, aber nichts bewirken

Nicht alles, was wie Schutz aussieht, schützt auch wirklich. Ein paar Dinge, die oft empfohlen werden und weniger zählen, als Sie denken:

• Die WordPress-Version verstecken. Bots greifen ohnehin alles an, sie wählen nicht nach Version. Das ist kosmetisch.
• Das Präfix der Datenbanktabellen bei einer bereits bestehenden Website ändern. Riskant und mit geringem Nutzen; sinnvoll nur bei der Installation, nicht rückwirkend.
• Die Login-Seite auf eine andere Adresse verschieben. Entmutigt einfache Scans, ersetzt aber nicht 2FA und die Begrenzung der Versuche. Es ist ein Plus, keine Lösung.

Die gesunde Regel: Erledigen Sie zuerst die Dinge, die zählen – Authentifizierung, Updates, Backup – und erst danach die Feinheiten. Und meiden Sie jeden, der Ihnen verspricht, dass die Website „unmöglich zu knacken“ wird. So etwas gibt es nicht; es gibt nur Websites, die schwer genug zu knacken sind, damit der Bot zur nächsten weiterzieht.

Wo Sie anfangen und wie wir Ihnen helfen können

Wenn Sie das selbst machen möchten, gehen Sie in der obigen Reihenfolge vor: zuerst die Authentifizierung (Admin-Benutzer, Passwort, 2FA, Login-Begrenzung), dann Updates und Backup. Allein diese vier Schritte eliminieren den Großteil der automatisierten Angriffe. Der Rest ist Feinschliff.

Wenn Sie wp-config.php und Berechtigungen nicht anfassen möchten, ist das völlig normal – es ist leicht, die Website mit einem falschen Komma zu zerstören. Bei MPO Web Studio arbeiten wir remote, im ganzen Land, und können ein Sicherheitsaudit Ihrer WordPress-Website durchführen, die Härtungsmaßnahmen anwenden und das automatische Backup einrichten, mit von Anfang an transparentem Preis. Wir bauen Ihnen auch ein Demo, bevor Sie irgendetwas bezahlen, damit Sie sehen, mit wem Sie arbeiten.

Schreiben Sie uns auf WhatsApp mit der Adresse Ihrer Website, und wir sagen Ihnen kurz, wo Sie verwundbar sind und was zuerst erledigt werden sollte. Ohne unnötigen Fachjargon.