Ratgeber WordPress-Sicherheit

WordPress-Sicherheit: So machst du deine Website sicher

Warum ist WordPress Sicherheit so wichtig ? Eine gehackte Website kostet Nerven, Kunden und oft auch Geld. Die gute Nachricht: Die meisten Angriffe lassen sich mit ein paar festen Regeln verhindern. Hier zeige ich dir, wie ich meine eigenen WordPress-Seiten absichere – Schritt für Schritt und ohne Fachchinesisch.

Warum WordPress-Sicherheit so wichtig ist

WordPress ist das meistgenutzte System für Websites – und deshalb ein beliebtes Ziel. Die meisten Angriffe laufen automatisch: Programme suchen rund um die Uhr nach Seiten mit veralteten Plugins oder schwachen Passwörtern. Es geht also nicht darum, ob deine Seite interessant genug ist. Es reicht, dass sie eine bekannte Lücke hat.

Was passieren kann

Besucher werden auf fremde Seiten weitergeleitet Google zeigt eine Warnung oder nimmt deine Seite aus den Suchergebnissen Spam wird über deine Seite verschickt Daten oder die ganze Website gehen verloren

Warum ich WordPress Sicherheit so ernst nehme

Im Juli 2026 wurde zum Beispiel mit „wp2shell“ eine kritische Lücke im WordPress-Kern bekannt: Angreifer konnten ohne Login eigenen Code auf betroffenen Websites ausführen. WordPress hat die Lücke mit einem Notfall-Update geschlossen – wer es nicht schnell eingespielt hat, war ungeschützt.

Auch ich habe Sicherheit lange unterschätzt. Mich hat diese Lücke eine komplette Website gekostet: Sie war nicht mehr zu retten – und ein Backup hatte ich nicht. Bei einer zweiten Seite hatte ich Glück. Der Hoster hat den Angriff bemerkt, mich informiert und nach meiner Zustimmung eine saubere ältere Version wiederhergestellt. Seitdem gilt auf allen meinen Projekten derselbe Standard – den findest du in den 7 Schritten unten.

7 Schritte: So machst du WordPress sicher

1. Doppelte Backups – automatisch

Ein Backup ist deine Versicherung – aber nur, wenn es im Ernstfall auch da ist. Deshalb sichere ich jede Seite doppelt:

Backup 1 beim Hoster: Der Hoster sichert den kompletten Server automatisch, meist täglich. Ist WordPress so kaputt, dass du dich nicht mehr einloggen kannst, stellst du die Seite darüber mit wenigen Klicks wieder her.

Backup 2 aus WordPress heraus, extern gespeichert: Ein Plugin wie UpdraftPlus sichert Dateien und Datenbank automatisch nach Zeitplan und legt sie außerhalb deines Servers ab, zum Beispiel in Google Drive oder Dropbox. Fällt der Hoster aus oder ist das Server-Backup selbst betroffen, hast du immer noch eine saubere Kopie.

Beide Backups laufen automatisch und regelmäßig – und ab und zu testest du, ob sich eins wirklich wiederherstellen lässt.

2. Updates regelmäßig einspielen

Die meisten Lücken stecken in veralteten Plugins und Themes. Halte sie aktuell und lösche alles, was du nicht nutzt – deaktivieren reicht nicht.

Bei großen WordPress-Updates (neue Hauptversion) warte ich ein paar Tage. Der Grund: Manche Plugins brauchen eine Weile, bis sie mit der neuen Version getestet sind. Mir ist es passiert, dass nach einem WordPress-Update das Cache-Plugin WP Rocket nicht mehr funktionierte, weil es noch nicht kompatibel war.

Anders bei Sicherheits-Updates: Kleine Updates, die eine Lücke schließen, spielst du sofort ein – wie beim Notfall-Update zu wp2shell. Und vor jedem Update gilt: erst Backup, dann Update.

Sicherheits-Updates sofort, große Versionssprünge mit ein paar Tagen Abstand – und nie ohne Backup.

3. Ein Sicherheits-Plugin einsetzen

Auf meinen Projekten läuft Wordfence. Es bringt eine Firewall mit, scannt nach Schadcode und begrenzt Login-Versuche. Es ist aber nicht die einzige gute Lösung – Solid Security oder All-In-One Security (AIOS) leisten Ähnliches. Wichtig: Nutze nur ein umfassendes Sicherheits-Plugin, mehrere gleichzeitig stören sich gegenseitig.

Das absolute Minimum ist ein Plugin wie Limit Login Attempts Reloaded. Es sperrt Angreifer nach ein paar falschen Passwörtern aus und stoppt so automatisches Passwort-Raten.

Tipp aus der Praxis: Sperrt dich das Sicherheits-Plugin selbst aus, kannst du seinen Ordner per FTP oder Dateimanager umbenennen. Dann ist es deaktiviert und du kommst wieder rein.

Mindestschutz: Login-Versuche begrenzen. Besser: eine richtige Firewall.

4. Logins absichern

Verwende lange, einzigartige Passwörter und einen Passwort-Manager. Schalte für alle Administratoren die Zwei-Faktor-Anmeldung ein – Wordfence kann das zum Beispiel.

Es sollte keinen Benutzer mit dem Namen „admin“ geben, denn genau den probieren Angreifer zuerst. Vergib Admin-Rechte nur an Personen, die sie wirklich brauchen, und lösche Zugänge, die nicht mehr genutzt werden – etwa von früheren Dienstleistern.

Jeder Admin-Zugang ist eine Tür – so wenige wie möglich, und jede doppelt verschlossen.

5. Cloudflare vorschalten

Cloudflare ist ein externer Schutz, der noch vor deinem Hoster sitzt. Besucher landen zuerst bei Cloudflare, erst dann bei deinem Server. So werden Bots, Massenanfragen und bekannte Angriffe herausgefiltert, bevor sie deine WordPress-Seite überhaupt erreichen – wie ein Türsteher vor dem Eingang.

Bei meinem Onlineshop habe ich das zusätzlich eingerichtet. Die kostenlose Version reicht für die meisten kleinen Seiten.

Cloudflare hält Angriffe auf, bevor sie deinen Server überhaupt erreichen.

6. Einen guten Hoster wählen

Sicherheit fängt beim Server an. Ein guter Hoster erkennst du an diesen Punkten:

– aktuelle PHP-Versionen, die du selbst umstellen kannst
– automatische Backups mit mehreren Tagen Aufbewahrung und einfacher Wiederherstellung
– Malware-Scan, der dich bei Auffälligkeiten informiert
– Server-Firewall und getrennte Konten, damit fremde Seiten deine nicht gefährden
– Server in der EU und ein Support, der schnell erreichbar ist

Große Massenhoster sind für kleine Seiten in Ordnung, stoßen aber schnell an ihre Grenzen – bei Geschwindigkeit genauso wie bei Sicherheit. Ich habe meine Projekte deshalb zu Hostinger* und Cloud86* umgezogen. Bei einer meiner Seiten hat der Hoster einen Angriff sogar vor mir bemerkt und eine saubere Version wiederhergestellt.

* Affiliate-Link: Buchst du über diesen Link, bekomme ich eine kleine Provision. Für dich ändert sich am Preis nichts – und ich empfehle nur, was ich selbst nutze.

Ein guter Hoster merkt einen Angriff oft vor dir.

7. SSL und Sicherheits-Header

Deine Seite sollte nur über HTTPS erreichbar sein – das erkennst du am Schloss in der Adresszeile. Die meisten Hoster bieten ein kostenloses SSL-Zertifikat an. Sicherheits-Header sind zusätzliche Anweisungen an den Browser, die bestimmte Angriffe erschweren. Viele Seiten haben sie nicht – das prüfe ich zum Beispiel im Sicherheits-Check.

Kein Schloss in der Adresszeile? Dann ist das das Erste, was du änderst.

Ist deine WordPress-Seite sicher? WordPress Sicherheit Checkliste:

Was tun, wenn die Seite schon gehackt ist?

Typische Anzeichen sind Weiterleitungen auf fremde Seiten, unbekannte Benutzer, seltsame Inhalte oder eine Warnung von Google. Dann gilt: Ruhe bewahren, den Hoster informieren und ein sauberes Backup wiederherstellen. Danach unbedingt Passwörter ändern und die Lücke schließen – sonst passiert es wieder.

Du willst wissen, wo deine Seite steht?

Im WordPress-Sicherheits-Check prüfe ich deine Seite von außen: veraltete Plugins, bekannte Lücken, SSL, Sicherheits-Header und offene Schnittstellen. Du bekommst einen Bericht mit allen Risiken – sortiert nach Dringlichkeit.Lorem ipsum dolor sit amet, consectetur adipiscing elit. Ut elit tellus, luctus nec ullamcorper mattis, pulvinar dapibus leo.

Häufige Fragen zu WordPress Sicherheit

Ist WordPress vertrauenswürdig?

Ja. WordPress ist das meistgenutzte Website-System und wird ständig weiterentwickelt. Die meisten Probleme entstehen nicht durch WordPress selbst, sondern durch veraltete Plugins, schwache Passwörter und fehlende Backups – also durch Dinge, die du selbst in der Hand hast.

Welche Sicherheitslücken gibt es in WordPress?

Die meisten Lücken stecken in Plugins und Themes, die nicht aktualisiert werden. Seltener ist der WordPress-Kern selbst betroffen – wie 2026 bei „wp2shell“. Dazu kommen schwache Passwörter, ungeschützte Logins und veraltete Server beim Hoster.

Wie oft sollte ich ein Backup machen?

Mindestens wöchentlich, bei Shops oder Seiten mit vielen Änderungen täglich. Und vor jedem Update!

Wie mache ich eine WordPress-Seite sicher?

Mit doppelten Backups, regelmäßigen Updates, einem Sicherheits-Plugin, sicheren Logins mit Zwei-Faktor-Anmeldung, einem guten Hoster und HTTPS. Wie das genau geht, steht in den 7 Schritten oben.

Reicht ein Sicherheits-Plugin aus?

Nein. Ein Plugin ist ein Baustein. Ohne Updates, starke Passwörter und funktionierende Backups bleibt deine Seite angreifbar.

Wie kann ich WordPress sichern?

Am besten doppelt: mit einem Backup-Plugin wie UpdraftPlus, das die Sicherung extern speichert, und zusätzlich automatisch beim Hoster. Sichere mindestens wöchentlich, bei Shops täglich – und immer vor einem Update.

Wie kann ich eine WordPress-Seite auf Sicherheit überprüfen?

Ein Sicherheits-Plugin wie Wordfence scannt deine Seite auf Schadcode und veraltete Plugins. Zusätzlich hilft die Checkliste oben. Wenn du eine Einschätzung von außen willst, prüfe ich deine Seite im WordPress-Sicherheits-Check.

Welches Sicherheits-Plugin ist das beste?

Ich setze auf allen Projekten Wordfence ein. Wichtiger als das Plugin selbst ist aber, dass es richtig eingestellt ist und Backups und Updates ebenfalls stimmen.