WordPress-Sicherheit: Wie Profis WordPress sicher betreiben

Im letzten Beitrag „Regelmäßige WordPress-Wartung: seit 2026 wichtiger als je zuvor“ habe ich über die neuen Bedrohungslagen gesprochen, vor allem durch KI.

In diesem Beitrag geht es darum, wie WordPress professionell betrieben wird – und eben nicht so wie die vermutlich Millionen unprofessionellen oder technisch ungepflegten WordPress-Websites, die die Hack-Zahlen nach oben treiben und die Security-Statistiken beeinträchtigen.

Nachfolgend die wichtigsten Maßnahmen für Standard-Websites. Im Enterprise-Bereich lassen sich zusätzlich weitere Sicherheitsmaßnahmen umsetzen.

• Einen guten Hoster verwenden. Wir empfehlen insbesondere Hetzner oder ALL-INKL.
• Die PHP-Version stets aktuell halten.
• HTTPS/SSL konsequent erzwingen.
• In WordPress das automatische Einspielen von Minor- bzw. Sicherheitsupdates aktiviert lassen. Für Major-Updates ist das in der Regel nicht sinnvoll (wenn auch voraktiviert bei neuen Installationen). Prüfen Sie, ob die automatische Aktualisierung auch tatsächlich funktioniert (gegebenenfalls abhängig vom Hoster).
• Ein Security-Plugin wie Wordfence einsetzen. Es bietet unter anderem einen Login-Schutz, eine Firewall, regelmäßige Scans auf Veränderungen und Malware sowie vor allem E-Mail-Benachrichtigungen. So wird man informiert, wenn ein wichtiges Sicherheitsupdate für eines der installierten Plugins verfügbar ist oder ein anderes sicherheitsrelevantes Problem auftritt. In der Premium-Version profitiert man zusätzlich von Echtzeit-Daten.
• Regelmäßig übrige Aktualisierungen (in einer Testumgebung) durchführen.
• Ein Backup-Plugin wie UpdraftPlus verwenden, das regelmäßig automatisch Sicherungen erstellt und diese idealerweise extern speichert.
• Kein überladenes Multi Purpose Theme wählen, das ein Bundle aus zahlreichen Plugins mitbringt, die häufig nicht zeitnah aktualisiert werden. Je schlanker Installation und Theme sind, desto besser.
• Nur renommierte Plugins verwenden, die möglichst gut zu den tatsächlichen Anforderungen passen. Kein riesiges Plugin für eine kleine Zusatzfunktion einsetzen. Die Plugin-Liste sollte möglichst kurz bleiben.
• Plugins, soweit möglich, auf automatische Updates stellen. Bei vielen ist das problemlos möglich, bei anderen muss individuell abgewogen werden. Falls bei einem Update etwas gravierend schiefläuft, greift ein Sicherheitsmechanismus: WordPress stellt die vorherige Version wieder her und informiert per E-Mail darüber.
• Nicht genutzte Plugins nicht nur deaktivieren, sondern vollständig löschen. Eine reine Deaktivierung bietet keinen Schutz. Auch nicht verwendete Themes sollten entfernt werden.
• Benutzern nur die passenden Benutzerrollen zuweisen. Ein Autor benötigt keinen Administrator-Account. Es sollten grundsätzlich nur so viele Rechte vergeben werden, wie tatsächlich erforderlich sind.
• Mindestens für alle Administrator- und Redakteurskonten eine Zwei-Faktor-Authentifizierung (2FA) einrichten.
• Benutzerkonten regelmäßig bereinigen: Konten ausgeschiedener Mitarbeiter, Testkonten oder nicht mehr benötigte Support-Konten löschen.
• Ordnung auf dem Server halten: keine verwaisten Installationen neben der eigentlichen Website liegen lassen.
• Mittel- und langfristig regelmäßig überprüfen, welche Komponenten ersetzt oder aufgeräumt werden müssen.

Diese Punkte sind einfache Best Practices: unkompliziert, logisch und grundsätzlich bei jedem CMS zu beachten.

Websites mit einer höheren Bedrohungslage können zusätzlich beispielsweise Cloudflare vorschalten. Das ergänzt Wordfence sinnvoll, da beide Lösungen an unterschiedlichen Stellen arbeiten und wirken.

David Damjanovic

David Damjanovic betreibt seit 2004 eigene Websites, arbeitet seit 2006 mit WordPress und hat 2011 die WordPress Agentur wp-agentur gegründet, eine der ersten in D-A-CH.