Die 10 wichtigsten Sicherheitsmaßnahmen für Ihre neue WordPress-Seite

WordPress-Sicherheit von Anfang an: Die wichtigsten Schritte für Ihre neue Website

Die Frage, die aktuell in der WordPress-Community heiß diskutiert wird, ist so simpel wie entscheidend: Welche Sicherheitsmaßnahmen sind wirklich essentiell, wenn Sie eine neue WordPress-Website aufsetzen? Erfahrene Entwickler sind sich einig – es ist deutlich einfacher, von Beginn an gute Gewohnheiten zu etablieren, als später Sicherheitslücken zu flicken. Dieser Artikel fasst die wichtigsten Erkenntnisse zusammen und gibt Ihnen einen konkreten Fahrplan für eine sichere WordPress-Installation.

Warum Sicherheit bei WordPress keine Option, sondern Pflicht ist

WordPress betreibt über 40 Prozent aller Websites weltweit. Diese Popularität macht das System zu einem bevorzugten Ziel für automatisierte Angriffe. Jeden Tag werden tausende WordPress-Seiten kompromittiert – nicht weil WordPress unsicher wäre, sondern weil Betreiber grundlegende Sicherheitsmaßnahmen vernachlässigen.

Für Unternehmen in Frankfurt und Umgebung kann ein gehackter Webauftritt fatale Folgen haben: Datenverlust, Reputationsschäden, DSGVO-Verstöße und im schlimmsten Fall der komplette Ausfall des Online-Geschäfts. Die gute Nachricht: Mit den richtigen Maßnahmen reduzieren Sie das Risiko drastisch.

Sichere Grundlage: Hosting und Server-Konfiguration

Die Wahl des richtigen Hosters

Bevor Sie überhaupt WordPress installieren, treffen Sie eine der wichtigsten Sicherheitsentscheidungen: die Wahl Ihres Hosting-Anbieters. Ein qualitativ hochwertiger Hoster bietet:

• Aktuelle PHP-Versionen: PHP 8.1 oder höher sollte Standard sein. Ältere Versionen erhalten keine Sicherheitsupdates mehr.
• SSL-Zertifikate inklusive: HTTPS ist heute Pflicht, nicht Kür. Seriöse Hoster bieten kostenlose Let’s Encrypt-Zertifikate.
• Automatische Backups: Tägliche Sicherungen auf Server-Ebene sind Gold wert.
• Web Application Firewall (WAF): Viele Premium-Hoster filtern bekannte Angriffsmuster bereits auf Server-Ebene.
• Isolierte Hosting-Umgebungen: Shared Hosting sollte zumindest PHP-Prozesse isolieren, damit ein kompromittierter Nachbar nicht Ihre Seite gefährdet.

Investieren Sie lieber etwas mehr in gutes Hosting. Die 3 Euro Ersparnis im Monat bei einem Billig-Hoster können Sie bei einem Sicherheitsvorfall teuer zu stehen kommen.

Server-Härtung von Anfang an

Direkt nach der Installation sollten Sie folgende Anpassungen vornehmen:

Dateirechte korrekt setzen: Die wp-config.php sollte auf 600 oder 640 stehen, Ordner auf 755, Dateien auf 644. Ihr Hoster kann Ihnen hier helfen.

wp-config.php absichern: Verschieben Sie diese kritische Datei – wenn möglich – eine Ebene über das Web-Root-Verzeichnis. WordPress findet sie trotzdem, aber direkte Zugriffe werden verhindert.

Verzeichnisauflistung deaktivieren: Fügen Sie Options -Indexes in Ihre .htaccess ein. Ohne diese Zeile können Angreifer sehen, welche Dateien in Ihren Ordnern liegen.

Starke Zugangsdaten: Die erste Verteidigungslinie

Administratorkonto richtig anlegen

Der häufigste Fehler bei neuen WordPress-Installationen: Der Benutzername “admin” mit einem schwachen Passwort. So machen Sie es besser:

• Individueller Benutzername: Verwenden Sie niemals “admin”, “administrator” oder den Namen Ihres Unternehmens. Ein kryptischer Benutzername ist ein zusätzliches Hindernis für Angreifer.
• Passwort-Manager nutzen: Generieren Sie ein Passwort mit mindestens 20 Zeichen, das Groß- und Kleinbuchstaben, Zahlen und Sonderzeichen enthält. Tools wie Bitwarden oder 1Password machen die Verwaltung komfortabel.
• Separate Konten für verschiedene Aufgaben: Erstellen Sie einen Editor-Account für die tägliche Arbeit. Den Administrator-Zugang nutzen Sie nur für technische Änderungen.

Zwei-Faktor-Authentifizierung implementieren

Selbst das beste Passwort kann durch Phishing oder Datenlecks kompromittiert werden. Zwei-Faktor-Authentifizierung (2FA) fügt eine zweite Sicherheitsebene hinzu. Empfehlenswerte Plugins dafür:

• WP 2FA: Einfach einzurichten, unterstützt verschiedene Authentifizierungs-Apps
• Wordfence Login Security: Kostenloses Modul des bekannten Sicherheits-Plugins
• Google Authenticator: Schlanke Lösung ohne Overhead

Aktivieren Sie 2FA für alle Benutzer mit Administratorrechten – ohne Ausnahme.

Den Login-Bereich absichern

Brute-Force-Angriffe verhindern

Automatisierte Angriffe versuchen tausende Passwort-Kombinationen pro Minute. Ohne Schutzmaßnahmen ist es nur eine Frage der Zeit, bis ein schwaches Passwort geknackt wird.

Login-Versuche limitieren: Plugins wie “Limit Login Attempts Reloaded” oder die integrierte Funktion von Wordfence sperren IP-Adressen nach mehreren fehlgeschlagenen Versuchen. Drei bis fünf Versuche vor einer temporären Sperre sind ein guter Richtwert.

Login-URL ändern: Die Standard-URL /wp-admin ist jedem Angreifer bekannt. Plugins wie “WPS Hide Login” ermöglichen eine individuelle Login-Adresse. Wichtig: Notieren Sie sich die neue URL sicher, sonst sperren Sie sich selbst aus.

XML-RPC deaktivieren: Diese Schnittstelle wird für Brute-Force-Attacken missbraucht und ist für die meisten Websites überflüssig. Deaktivieren Sie sie über ein Sicherheits-Plugin oder per .htaccess.

Login-Seite zusätzlich schützen

Für besonders sensible Websites können Sie den wp-admin-Bereich zusätzlich mit einem HTTP-Basic-Auth-Passwort schützen. Das ergibt eine doppelte Passwortabfrage, stoppt aber selbst hartnäckige Bots zuverlässig.

Updates: Das A und O der WordPress-Sicherheit

Warum Updates so kritisch sind

Die Statistiken sind eindeutig: Über 50 Prozent aller WordPress-Hacks erfolgen durch veraltete Plugins. Jedes Update schließt potentielle Sicherheitslücken. Ein veraltetes Plugin ist wie eine offene Tür für Einbrecher.

Update-Strategie entwickeln

WordPress Core: Aktivieren Sie automatische Updates für Minor-Versionen (Sicherheits-Updates). Bei Major-Updates warten Sie einige Tage und prüfen, ob Ihre Plugins kompatibel sind.

Plugins und Themes: Prüfen Sie mindestens wöchentlich auf verfügbare Updates. Für unkritische Websites können Sie automatische Plugin-Updates aktivieren. Bei Business-kritischen Seiten testen Sie Updates zunächst in einer Staging-Umgebung.

PHP-Version: Wechseln Sie auf die neueste stabile PHP-Version, sobald Ihre Plugins und Themes kompatibel sind. Die offizielle WordPress-Dokumentation zu Server-Anforderungen gibt Ihnen aktuelle Empfehlungen.

Ungenutzte Komponenten entfernen

Jedes installierte Plugin und Theme ist ein potentielles Einfallstor. Entfernen Sie konsequent alles, was Sie nicht aktiv nutzen – nicht nur deaktivieren, sondern komplett löschen. Das gilt auch für Standard-Themes wie Twenty Twenty-Three, wenn Sie ein anderes Theme verwenden.

Das richtige Sicherheits-Plugin wählen

Wordfence vs. Solid Security vs. Sucuri

Die drei großen Namen im Bereich WordPress-Sicherheit haben unterschiedliche Stärken:

Wordfence bietet eine integrierte Firewall, Malware-Scanner und Live-Traffic-Überwachung. Die kostenlose Version ist bereits sehr umfangreich. Der Nachteil: Das Plugin ist ressourcenintensiv und kann langsamere Server ausbremsen.

Solid Security (ehemals iThemes Security) punktet mit einer übersichtlichen Oberfläche und vielen Härtungs-Optionen. Die Firewall gibt es allerdings nur in der Pro-Version.

Sucuri arbeitet als externe Firewall (Cloud-basiert) und ist besonders für High-Traffic-Seiten interessant. Der Malware-Scanner ist auch kostenlos nutzbar.

Für die meisten kleinen und mittleren Websites ist Wordfence in der kostenlosen Version ein hervorragender Startpunkt.

Was ein Sicherheits-Plugin leisten sollte

Unabhängig von Ihrer Wahl sollte das Plugin folgende Funktionen abdecken:

• Firewall mit regelmäßig aktualisierten Regeln
• Malware-Scanner für Dateien und Datenbank
• Login-Schutz mit Brute-Force-Prevention
• Dateiintegritäts-Überwachung (erkennt unerwartete Änderungen)
• Sicherheits-Benachrichtigungen per E-Mail

Backup-Strategie: Ihre Lebensversicherung

Das 3-2-1-Prinzip

Auch die beste Sicherheit bietet keine hundertprozentige Garantie. Deshalb sind Backups unverzichtbar. Das 3-2-1-Prinzip besagt:

• 3 Kopien Ihrer Daten
• 2 verschiedene Speichermedien
• 1 Kopie an einem externen Standort (Cloud, externer Server)

Backup-Plugins einrichten

UpdraftPlus ist der Klassiker: kostenlos, zuverlässig und unterstützt viele Cloud-Dienste. Richten Sie automatische Backups ein – täglich für aktive Websites, wöchentlich für statische Seiten.

Wichtig: Testen Sie regelmäßig, ob Ihre Backups funktionieren. Ein Backup, das sich nicht wiederherstellen lässt, ist wertlos.

Zusätzliche Härtungsmaßnahmen für Fortgeschrittene

Security Headers implementieren

HTTP-Sicherheitsheader schützen vor verschiedenen Angriffstypen. Die wichtigsten:

• X-Content-Type-Options: Verhindert MIME-Sniffing
• X-Frame-Options: Schützt vor Clickjacking
• Content-Security-Policy: Kontrolliert, welche Ressourcen geladen werden dürfen

Viele Sicherheits-Plugins bieten diese Funktion, alternativ konfigurieren Sie die Header über die .htaccess oder Ihren Hoster.

Datenbank-Präfix ändern

Das Standard-Präfix “wp_” für Datenbanktabellen ist allgemein bekannt. Bei einer Neuinstallation ändern Sie es auf etwas Individuelles wie “fp7x_“. Bei bestehenden Installationen ist die nachträgliche Änderung möglich, aber mit Risiken verbunden.

REST-API einschränken

Die WordPress REST-API gibt standardmäßig Informationen preis, die Angreifer nutzen können – etwa Benutzernamen. Sicherheits-Plugins oder spezialisierte Erweiterungen ermöglichen eine granulare Kontrolle über API-Zugriffe.

Monitoring und Wartung: Sicherheit ist ein Prozess

Regelmäßige Überprüfungen

Sicherheit ist keine einmalige Aufgabe. Etablieren Sie einen regelmäßigen Wartungsrhythmus:

• Wöchentlich: Updates prüfen und einspielen, Sicherheits-Logs sichten
• Monatlich: Vollständigen Malware-Scan durchführen, Benutzerkonten überprüfen
• Vierteljährlich: Backup-Wiederherstellung testen, Plugins auf Notwendigkeit prüfen

Auf dem Laufenden bleiben

Sicherheitslücken werden regelmäßig entdeckt. Folgen Sie relevanten Quellen wie dem offiziellen WordPress-Security-Blog oder spezialisierten Newslettern. So erfahren Sie zeitnah von kritischen Schwachstellen.

Fazit: Sicherheit muss nicht kompliziert sein

Die wichtigsten Sicherheitsmaßnahmen für eine neue WordPress-Website lassen sich auf wenige Kernpunkte reduzieren: gutes Hosting, starke Zugangsdaten mit 2FA, konsequente Updates, ein solides Sicherheits-Plugin und regelmäßige Backups. Wer diese Grundlagen von Anfang an beherzigt, hat bereits 95 Prozent der üblichen Angriffsvektoren abgedeckt.

Für viele Unternehmen ist die technische Umsetzung dennoch eine Herausforderung – sei es aus Zeitmangel oder fehlendem Know-how. Als WordPress Agentur in Frankfurt unterstützt Frankfurt Marketing Studio Sie gerne bei der Absicherung Ihrer Website. Von der initialen Einrichtung über regelmäßige Wartung bis zur Notfall-Hilfe bei gehackten Seiten: Wir sorgen dafür, dass Sie sich auf Ihr Kerngeschäft konzentrieren können, während Ihre Website sicher läuft.

Quellen

• What are the most important security steps for a new WordPress website? — r/wordpress
• How are professional websites actually built nowadays? — r/wordpress
• Is there a way to make a personal blog for free via Wordpress? — r/wordpress
• Which builders are people actually using today — r/wordpress