WordPress-Sicherheit: Wie Profis WordPress sicher betreiben

Im letzten Beitrag „Regelmäßige WordPress-Wartung: seit 2026 wichtiger als je zuvor“ habe ich über die neuen Bedrohungslagen gesprochen, vor allem durch KI.

In diesem Beitrag geht es darum, wie WordPress-Websites professionell betrieben werden. Die Statistiken zu Sicherheitsvorfällen werden vor allem durch WordPress-Websites in die Höhe getrieben, die nicht professionell betreut werden. Davon dürfte es Millionen geben.

Nachfolgend die wichtigsten Maßnahmen für Standard-Websites. Im Enterprise-Bereich lassen sich zusätzlich weitere Sicherheitsmaßnahmen umsetzen.

• Einen guten Hoster verwenden.
• Die PHP-Version auf dem richtigen Level halten.
• HTTPS/SSL konsequent erzwingen.
• In WordPress das automatische Einspielen von Minor- bzw. Sicherheitsupdates aktiviert lassen. Für Major-Updates ist das in der Regel nicht sinnvoll (wenn auch voraktiviert bei neuen Installationen). Prüfen, ob die automatische Aktualisierung auch tatsächlich funktioniert (gegebenenfalls abhängig vom Hoster).
• Ein Security-Plugin wie Wordfence einsetzen. Es bietet unter anderem einen Login-Schutz, eine Firewall, regelmäßige Scans auf Veränderungen und Malware sowie vor allem E-Mail-Benachrichtigungen. So wird man informiert, wenn ein wichtiges Sicherheitsupdate für eines der installierten Plugins verfügbar ist oder ein anderes sicherheitsrelevantes Problem auftritt. In der Premium-Version profitiert man zusätzlich von Echtzeit-Daten.
• Regelmäßig übrige Aktualisierungen (in einer Testumgebung) durchführen.
• Ein Backup-Plugin wie UpdraftPlus verwenden, das regelmäßig automatisch Sicherungen erstellt und diese idealerweise extern speichert.
• Kein überladenes Multi Purpose Theme wählen, das ein Bundle aus zahlreichen Plugins mitbringt, die häufig nicht zeitnah aktualisiert werden. Je schlanker Installation und Theme sind, desto besser.
• Nur renommierte Plugins verwenden, die möglichst gut zu den tatsächlichen Anforderungen passen. Kein riesiges Plugin für eine kleine Zusatzfunktion einsetzen. Die Plugin-Liste sollte möglichst kurz bleiben.
• Plugins, soweit möglich, auf automatische Updates stellen. Bei vielen ist das problemlos möglich, bei anderen muss individuell abgewogen werden. Falls bei einem Update etwas gravierend schiefläuft, greift ein Sicherheitsmechanismus: WordPress stellt die vorherige Version wieder her und informiert per E-Mail darüber.
• Nicht genutzte Plugins nicht nur deaktivieren, sondern vollständig löschen. Eine reine Deaktivierung bietet keinen Schutz. Auch nicht verwendete Themes sollten entfernt werden.
• Benutzern nur die passenden Benutzerrollen zuweisen. Ein Autor benötigt keinen Administrator-Account. Es sollten grundsätzlich nur so viele Rechte vergeben werden, wie tatsächlich erforderlich sind.
• Mindestens für alle Administrator- und Redakteurskonten eine Zwei-Faktor-Authentifizierung (2FA) einrichten.
• Benutzerkonten regelmäßig bereinigen: Konten ausgeschiedener Mitarbeiter, Testkonten oder nicht mehr benötigte Support-Konten löschen.
• Ordnung auf dem Server halten: keine verwaisten Installationen neben der eigentlichen Website liegen lassen.

Diese Punkte sind einfache Best Practices: unkompliziert, logisch und grundsätzlich bei jedem CMS zu beachten. Websites mit einer höheren Bedrohungslage können mit weiteren Maßnahmen abgesichert werden.