Mit der zunehmenden Bedeutung der Sicherheit im Internet wächst auch der Sicherheitsbedarf für Websites, Onlineshops und Firmennetzwerke. Eine WordPress-Website kann kompromittiert werden, ohne dass der Betreiber dies unmittelbar bemerkt – und die Folgen können erheblich sein. Die technischen Möglichkeiten für die illegale Ausnutzung des Internets sind äußerst mannigfaltig, die Kreativität von Hackern scheinbar grenzenlos. Und unser Rechtssystem? Die internationale und technisch komplexe Natur vieler Cybercrime-Fälle stellt auch die Strafverfolgungsbehörden vor erhebliche Herausforderungen. Die Aufklärungsquote bei Cybercrime-Straftaten ist in Österreich vergleichsweise niedrig. Im Jahr 2024 lag sie bei 31,7 Prozent – damit wurde nur etwa ein Drittel der angezeigten Fälle aufgeklärt.
WordPress-Websites sind für Angreifer aus verschiedenen Gründen interessant
Typische Unternehmens-Websites sind als Ziel gezielter Erpressungsangriffe häufig weniger lukrativ als beispielsweise große Onlineshops oder Systeme mit besonders wertvollen Daten. Dennoch sind WordPress-Websites aus verschiedenen Gründen ein interessantes Ziel für Angreifer und können – oftmals im Verborgenen – mit Malware oder anderem Schadcode kompromittiert werden. Website-Betreiber merken oft gar nicht, dass ihre Website kompromittiert worden ist.
Es kann beispielsweise vorkommen, dass ohne offensichtlichen Grund plötzlich neue WordPress-Benutzer mit Administrator-Berechtigung im Backend erscheinen. Diese Benutzer könnten beispielsweise neuen Content auf der Website veröffentlichen, und unberechtigterweise Backlinks erstellen. Es könnten auch Benutzerdaten von WooCommerce-Onlineshop-Kunden ausgelesen (exportiert) werden. Oder es könnte der unbefugte und geheime Zugriff auf eine WordPress-Website dazu führen, dass jemand unter dem Deckmantel des Urheberrechts und Datenschutzes gewisse Ansprüche an den Websitebetreiber rechtlich geltend macht.
Dies soll nur verdeutlichen, was passieren kann, wenn die Sicherheit Ihrer WordPress-Website nicht ausreichend gewährleistet ist. WordPress ist als Open-Source-CMS öffentlich einsehbar und wird von einer großen Entwickler- und Community-Basis weiterentwickelt. Wie bei jeder komplexen Software können dabei Sicherheitslücken entdeckt werden. Entscheidend ist daher, dass bekannt gewordene Schwachstellen zeitnah behoben und Sicherheitsupdates installiert werden. Die starke WordPress-Community ist stets bemüht, neue Sicherheitslücken so rasch wie möglich zu schließen, daher gibt es so viele Sicherheits-Updates, immer wieder in sehr dicht aufeinanderfolgenden Zeitabständen.
Beispiel für Missbrauchsszenario einer WordPress Website die über zu wenig Sicherheit verfügt
Nehmen wir an, dass ein kleines Unternehmen eine relativ einfache WordPress-Website als Unternehmenswebsite betreibt. Diese WordPress-Website verfügt über keine technischen Maßnahmen um Malware- oder gewisse Angriffe von außen verhindern oder zumindest erkennen zu können. Dieses fiktive Szenario beschreibt nun den Fall, dass sich jemand von außen Zugriff auf das Backend der Website verschafft und sich ein Benutzerkonto mit Administratorrechten anlegt.
Wie eine kompromittierte WordPress-Website missbraucht werden kann
Nun könnte diese Person eine urheberrechtlich geschützte Bilddatei (ein digitales Foto) in der WordPress-Mediathek hochladen und dieses Foto öffentlich in einem Blog-Beitrag auf der Website veröffentlichen. Der Blogbeitrag könnte so platziert werden, dass er nicht gleich in den Archivseiten oben erscheint. So könnte dieser Blogartikel möglichst unerkannt bleiben. Ein Angreifer mit entsprechenden Berechtigungen kann nachträglich Inhalte verändern oder hinzufügen und dadurch die Rekonstruktion des tatsächlichen Geschehens erschweren.
Dieses Beispiel zeigt, wie eine kompromittierte WordPress-Website zur Manipulation von Inhalten und damit zur Erschwerung der späteren Rekonstruktion eines Sachverhalts missbraucht werden kann. Beispielsweise könnten Logfiles am Webserver wichtige Hinweise bei der Nachverfolgung und Rekonstruktion eines solchen Vorgehens liefern. Auch die vorhandenen Logdaten sind jedoch nicht immer ausreichend, um einen Angriff nachträglich eindeutig zu rekonstruieren. Welche Informationen protokolliert und wie lange sie gespeichert werden, hängt unter anderem von der technischen Konfiguration, dem Hosting und den geltenden datenschutzrechtlichen Rahmenbedingungen ab.
In diesem fiktiven Beispiel wäre es demnach möglich, dass sich der Täter oder ein Komplize als vermeintlicher Urheber des auf der Website veröffentlichten Fotos ausgibt und einen unverhältnismäßig hohen Schadensersatz für die Verletzung seines Urheberrechts einfordert. Aus Unsicherheit und Angst vor rechtlichen Konsequenzen sind die Opfer (Website-Betreiber) oftmals bereit den Geldforderungen nachzukommen – insbesondere dann, wenn das nötige Fachwissen für eigene Nachforschungen fehlt, oder zu wenige Daten für die Nachforschung vorhanden sind (Stichwort: Logfiles am Server).
Der Angreifer einer WordPress-Website muss nicht zwingend ins Backend
Eine mögliche Kompromittierung der WordPress-Website muss nicht zwingend über das WordPress-Backend, beziehungsweise über einen gestohlenen Administrator-Account erfolgen. Ein Angreifer kann sich beispielsweise auch über einen kompromittierten oder unzureichend abgesicherten Serverzugang Zugriff (zB via SSH) auf das System verschaffen. Mögliche Angriffsvektoren können beispielsweise sein:
- veraltete WordPress-Version
- verwundbare Plugins
- verwundbare Themes
- kompromittierte Zugangsdaten
- unsichere Hosting-/Serverkonfiguration
- Schwachstellen in individuell entwickeltem Code
- fehlende Zugriffsbeschränkungen
- kompromittierte Drittanbieter-Dienste
Fazit: WordPress-Sicherheit ist viel mehr als nur ein starkes Administrator-Passwort.
10 Sicherheitstipps um die eigene WordPress Website möglichst sicher zu machen
WordPress, Plugins und Themes konsequent aktuell halten
Das ist wahrscheinlich die wichtigste und gleichzeitig einfachste Maßnahme.
- WordPress-Core aktuell halten
- Plugins regelmäßig aktualisieren
- Themes aktualisieren
- nicht mehr benötigte Plugins und Themes vollständig entfernen
- keine Plugins oder Themes aus unbekannten Quellen verwenden
Vertrauen ist gut, Kontrolle ist besser:
Ein Plugin muss nicht „schlecht programmiert“ sein, damit ein Sicherheitsproblem entsteht. Eine später entdeckte Schwachstelle kann auch in einem weit verbreiteten und seriösen Plugin auftreten.
Starke, individuelle Passwörter und möglichst 2FA
Login und Backend zusätzlich schützen
Neben 2FA gibt es weitere Maßnahmen:
- Login-Versuche begrenzen
- Admin-Bereich ggf. zusätzlich über Netzwerk-/Zugriffsbeschränkungen schützen
- sichere Session-Verwaltung
- unnötige Login-Informationen nicht preisgeben
- keine gemeinsam genutzten Administrator-Accounts
Benutzerrechte auf das notwendige Minimum beschränken
Nicht jeder Benutzer sollte gleich vorweg ein Administrator sein. Es sollten nur so viele Rechte wie nötig und so wenige wie möglich vergeben werden. Das reduziert den Schaden erheblich, wenn ein Benutzerkonto kompromittiert wird.
Nicht benötigte Plugins und Themes entfernen
Backups – und zwar wirklich brauchbare Backups
Ein richtig durchgeführtes Backup hilft nicht nur bei einem technischen Defekt. Es kann nach einer Kompromittierung entscheidend sein, eine saubere Version der Website wiederherzustellen. Backups sollten außerdem getrennt von der Website gespeichert und regelmäßig auf ihre Wiederherstellbarkeit geprüft werden.
Sicherheitsmonitoring und Malware-Erkennung
Wenn ein Angreifer beispielsweise einen neuen Administrator anlegt, sollte der Betreiber möglichst nicht erst Wochen später zufällig darauf stoßen. Sinnvoll sind deshalb beispielsweise:
- Überwachung von Benutzeränderungen
- Erkennung verdächtiger Dateiänderungen
- Malware-Scanning
- Überwachung wichtiger WordPress-Aktivitäten
- Benachrichtigungen bei sicherheitsrelevanten Änderungen
Das führt zu einem wichtigen Grundsatz: Sicherheit bedeutet nicht nur verhindern, sondern auch erkennen.
Hosting und Server absichern
WordPress-Sicherheit endet nicht am WordPress-Backend. Dazu gehören beispielsweise auch:
- sichere SSH-Zugänge
- möglichst keine Passwort-Authentifizierung bei SSH, sondern Schlüssel
- unnötige Dienste deaktivieren
- aktuelle PHP-Version verwenden
- sichere Serverkonfiguration
- Zugriffe auf administrative Dienste beschränken
- Firewall bzw. entsprechende Schutzmechanismen einsetzen
HTTPS verwenden
HTTPS ist heute selbstverständlich, sollte aber trotzdem erwähnt werden. Es schützt insbesondere die Übertragung zwischen Browser und Website und ist daher ein wichtiger Bestandteil der Grundabsicherung.
Aber wichtig zu wissen: HTTPS schützt eine WordPress-Website nicht vor kompromittierten Plugins, gestohlenen Passwörtern oder einer manipulierten Serverumgebung.
Sicherheitskonzept für Plugins und Themes
Ich persönlich empfehle dringend, nicht einfach jedes Plugin zu installieren, nur weil es eine praktische Funktion bietet. Vor der Installation eines WordPress-Plugins sollte man beispielsweise prüfen:
- Wird das Plugin noch gepflegt?
- Gibt es regelmäßige Updates?
- Wie lange ist das letzte Update her?
- Gibt es bekannte Sicherheitsprobleme?
- Wird das Plugin überhaupt noch benötigt?
- Ist der Entwickler bzw. Anbieter vertrauenswürdig?
Gerade bei WordPress ist die enorme Anzahl verfügbarer Plugins gleichzeitig eine Stärke und ein Sicherheitsrisiko.
Was wir aus diesem Beitrag lernen
Eine sichere WordPress-Website entsteht durch mehrere Schutzebenen, nicht durch eine einzelne Einstellung oder ein Sicherheits-Plugin. Ein möglichst simples Sicherheitskonzept für eine WordPress-Website könnte beispielsweise so aussehen:
- Vorbeugen
- Erkennen
- Reagieren
- Wiederherstellen
1. Vorbeugen:
- Updates
- sichere Passwörter
- 2FA
- minimale Benutzerrechte
2. Erkennen:
- Monitoring
- Malware-Scanning
- Logs
3. Reagieren:
- kompromittierte Benutzer sperren
- Website ggf. isolieren
- Zugangsdaten ändern
- Ursache und Angriffsweg ermitteln
4. Wiederherstellen:
- sauberes Backup einspielen
- Ursache des Angriffs analysieren
Häufige Fragen zur Sicherheit von WordPress
Gibt es andere vergleichbare CMS-Systeme die sicherer sind als WordPress?
WordPress ist nicht grundsätzlich unsicherer als andere vergleichbare Open-Source-CMS. Das Sicherheitsniveau einer Website hängt wesentlich davon ab, wie das CMS betrieben, konfiguriert, erweitert und gewartet wird. Gerade die große Anzahl verfügbarer Plugins und Themes kann bei WordPress jedoch zu einer erheblichen zusätzlichen Angriffsfläche führen. Die Frage ist daher weniger, welches CMS grundsätzlich am sichersten ist, sondern welches CMS unter den gegebenen Rahmenbedingungen sicher betrieben und dauerhaft gewartet werden kann.
Mit anderen Worten: Entscheidend ist nicht allein das eingesetzte System, sondern die Art und Weise, wie es eingesetzt und betrieben wird. Selbst ein grundsätzlich sicher konzipiertes System kann durch eine unsichere Konfiguration, veraltete Komponenten oder unzureichende Wartung einem erhöhten Sicherheitsrisiko ausgesetzt sein.
Was sind die größten Sicherheitsschwachstellen von WordPress?
Die größten Sicherheitsrisiken einer WordPress-Website liegen häufig nicht im WordPress-Core selbst, sondern in verwundbaren oder veralteten Plugins und Themes, kompromittierten oder schwachen Zugangsdaten, zu weitreichenden Benutzerrechten, unsicherer Server- und Hosting-Konfiguration sowie fehlerhaftem individuell entwickeltem Code. Auch unnötige Erweiterungen, fehlende Sicherheitsupdates und unzureichendes Monitoring können die Angriffsfläche erheblich vergrößern. Entscheidend ist daher nicht nur die Sicherheit von WordPress selbst, sondern das Zusammenspiel aus WordPress-Core, Erweiterungen, individueller Programmierung, Benutzerkonten, Serverumgebung und laufender Wartung.
Welche Aspekte muss man bei der Wahl eines Servers in Bezug auf WordPress achten?
Bei der Wahl eines Servers bzw. Hostings für WordPress sollte man nicht nur auf Leistung und Preis achten, sondern vor allem darauf, wie sicher die Serverumgebung betrieben und gewartet wird. Wichtig sind eine aktuelle und von der eingesetzten WordPress-Version unterstützte PHP-Version, regelmäßige Sicherheitsupdates des Betriebssystems und der Serverkomponenten, eine sichere Konfiguration von PHP und Webserver, aktuelle TLS-/HTTPS-Verschlüsselung, restriktive Datei- und Verzeichnisberechtigungen sowie ein ausreichend abgesicherter administrativer Zugang, beispielsweise über SSH.
Ebenfalls wichtig sind regelmäßige und getrennt von der Website gespeicherte Backups, Möglichkeiten zur Protokollierung und Überwachung sicherheitsrelevanter Vorgänge sowie eine ausreichende Isolation, insbesondere wenn sich mehrere Websites einen Server teilen.
Bei der Auswahl eines Hosting-Anbieters sollte man außerdem darauf achten, dass dieser Sicherheitsupdates zeitnah einspielt, aktuelle PHP-Versionen bereitstellt und transparent über Sicherheitsvorfälle und Wartungsmaßnahmen informiert. Im Idealfall steht bei technischen Problemen zudem ein kompetenter und gut erreichbarer Kunden-Support zur Verfügung, der bei Bedarf auch telefonisch erreichbar ist.
Entscheidend ist letztlich, dass nicht nur WordPress selbst, sondern die gesamte Serverumgebung regelmäßig aktualisiert, überwacht und nach dem Prinzip der geringstmöglichen Berechtigungen betrieben wird.
Ist es mit WordPress möglich ohne das Fachwissen für die Sicherheit der eigenen WordPress Website zu sorgen?
Für die grundlegende Absicherung einer WordPress-Website ist kein tiefgehendes IT-Sicherheitswissen erforderlich. Viele wichtige Maßnahmen lassen sich mit überschaubarem technischem Aufwand umsetzen. Je höher jedoch die Anforderungen an Sicherheit und Verfügbarkeit sind, desto wichtiger wird entsprechendes Fachwissen. Insbesondere bei der Absicherung der Serverumgebung, der Beurteilung individueller Programmierungen, der Überwachung auf Sicherheitsvorfälle und der Reaktion auf einen erfolgreichen Angriff kann professionelle Unterstützung sinnvoll oder sogar notwendig sein. WordPress ermöglicht somit auch technisch weniger versierten Website-Betreibern ein gutes Sicherheitsniveau – vorausgesetzt, die grundlegenden Sicherheitsmaßnahmen werden konsequent umgesetzt und regelmäßig kontrolliert.
Wieviel tatsächlichen Zeitaufwand muss man für die WordPress Sicherheit aufwenden?
Der tatsächliche Zeitaufwand für die Sicherheit einer WordPress-Website lässt sich nicht pauschal beziffern. Bei einer kleinen und überschaubaren Website kann der laufende manuelle Aufwand bei konsequenter Automatisierung durchaus auf etwa 30 bis 60 Minuten pro Monat begrenzt werden. Bei komplexeren Websites, Onlineshops oder individuell entwickelten Systemen kann der Aufwand jedoch deutlich höher sein. Entscheidend ist weniger der einmalige Zeitaufwand für die Einrichtung von Sicherheitsmaßnahmen als deren regelmäßige Kontrolle, Wartung und Aktualisierung. Automatisierte Backups, Updates und Sicherheitsüberwachung können dabei helfen, den laufenden Aufwand erheblich zu reduzieren.
Wie kann man eine WordPress-Website vor Hackerangriffen schützen?
Im Grunde genommen hat Markus Steinacher mit diesem Fachartikel so gut wie möglich erklärt, wie man eine WordPress-Website vor Hackerangriffen schützen kann. Mit den beschrieben 10 Sicherheitstipps für WordPress-Websites kann man eine gute Basis schaffen, um mit WordPress möglichst auf der sicheren Seite zu sein.
Noch weitere Fragen zur Sicherheit von WordPress?
Wenn Sie Fragen zu diesem speziellen WordPress-Thema haben, dann stehe ich Ihnen gerne beratend zur Verfügung. Senden Sie mir bitte einfach Ihre unverbindliche Anfrage.
