Die Firmenwebsite wurde vor vier Jahren von einer Agentur gebaut, das Marketing pflegt die Texte, und um die Technik kümmert sich seitdem eigentlich niemand. Genau in dieser Lage befinden sich viele WordPress-Installationen im Mittelstand, und genau dort beginnt WordPress-Sicherheit: bei Zuständigkeit und Wartung. Dieser Beitrag zeigt Geschäftsführern und IT-Verantwortlichen, was zum sicheren Betrieb gehört, wer dafür zuständig sein sollte und was zu tun ist, wenn die Seite doch gehackt wurde.
WordPress-Sicherheit: Warum gerade dieses CMS im Blick sein muss
WordPress ist ein weit verbreitetes Content-Management-System (CMS), also eine Software, mit der sich Inhalte ohne Programmierkenntnisse pflegen lassen. Die Verbreitung hat Vorteile: viele Erweiterungen, viele Fachleute, gute Dokumentation. Sie hat aber auch eine Kehrseite: Angreifer suchen automatisiert nach bekannten Schwachstellen in WordPress-Installationen und deren Erweiterungen. Typisch sind Passwort-Raten am Login, das Ausnutzen bekannter Lücken in Plugins und Themes und eingeschleuster Schadcode.
Ein Angriff auf die Website trifft selten die eigentlichen Geschäftsdaten. Er kann aber erheblichen Schaden anrichten: Die Seite verteilt Schadsoftware an Besucher, leitet auf betrügerische Angebote um, versendet Spam über Ihren Server oder sammelt Daten aus Kontaktformularen. Suchmaschinen und Browser warnen dann vor Ihrer Domain, und der Ruf leidet.
Updates: Kern, Plugins und Themes
WordPress besteht aus drei Teilen, die alle aktuell gehalten werden müssen:
- WordPress-Kern: Kleinere Sicherheitsupdates spielt WordPress standardmäßig automatisch ein. Größere Versionssprünge erfordern meist eine manuelle Freigabe.
- Plugins: Erweiterungen für Formulare, Suchmaschinenoptimierung, Cookie-Banner oder Seitenbaukästen. Hier liegen in der Praxis die meisten Schwachstellen.
- Themes: Das Design der Seite. Auch Themes enthalten Programmcode und können Lücken haben.
Für Plugins und Themes lassen sich automatische Updates einzeln aktivieren. Für einfache Seiten ist das oft die sicherere Wahl, sofern jemand danach prüft, ob die Seite noch korrekt aussieht. Bei aufwendig angepassten Seiten empfiehlt sich eine Testumgebung (Staging), in der Updates zuerst eingespielt werden. Wie Sie Schwachstellen allgemein bewerten und priorisieren, beschreibt unser Beitrag zu Schwachstellen bewerten und patchen.
Verwaiste Plugins erkennen und ersetzen
Ein verwaistes Plugin ist eines, das vom Entwickler nicht mehr gepflegt wird. Es bekommt keine Sicherheitsupdates mehr, auch wenn Lücken bekannt werden. Im WordPress-Pluginverzeichnis erkennen Sie das an Hinweisen wie „wurde seit längerer Zeit nicht aktualisiert“ oder daran, dass ein Plugin geschlossen wurde.
Gehen Sie einmal im Halbjahr die Pluginliste durch und stellen Sie drei Fragen: Wird das Plugin noch gebraucht? Wann gab es das letzte Update? Gibt es eine gepflegte Alternative? Deaktivierte Plugins sollten Sie löschen, nicht nur abschalten, denn ihre Dateien liegen weiter auf dem Server. Grundsätzlich gilt: Je weniger Plugins, desto kleiner die Angriffsfläche.
Admin-Konten und Login absichern
Der häufigste Weg in eine WordPress-Seite führt über schwache oder gestohlene Zugangsdaten. Diese Maßnahmen sind Pflicht:
- Mehrfaktor-Authentifizierung (MFA) für alle Konten mit Administrator- oder Redakteursrechten. WordPress bringt das nicht von Haus aus mit, etablierte Plugins rüsten es nach (Grundlagen: Mehrfaktor-Authentifizierung).
- Persönliche Konten statt eines gemeinsamen „admin“-Zugangs, damit nachvollziehbar ist, wer was geändert hat.
- Rollen sparsam vergeben: Wer nur Texte pflegt, braucht die Rolle „Redakteur“, nicht „Administrator“.
- Konten ausgeschiedener Personen und früherer Agenturen löschen.
- Anmeldeversuche begrenzen, damit automatisiertes Durchprobieren von Passwörtern ins Leere läuft.
Hosting und PHP-Version
WordPress ist in der Programmiersprache PHP geschrieben. Die PHP-Version auf dem Server ist ein oft übersehener Sicherheitsfaktor. WordPress empfiehlt laut seinen offiziellen Anforderungen PHP 8.3 oder neuer sowie MySQL 8.0 oder MariaDB 10.11 oder neuer. Für WordPress 7.0 hat das Entwicklerteam angekündigt, die Unterstützung für PHP 7.2 und 7.3 einzustellen; die technische Mindestversion liegt damit bei PHP 7.4. Das bedeutet aber nicht, dass PHP 7.4 sicher ist: Diese Version bekommt seit Jahren keine Sicherheitsupdates mehr.
Nach der offiziellen Übersicht von php.net erhalten Stand Oktober 2026 nur noch die Versionen 8.2 bis 8.5 Updates, wobei 8.2 Ende 2026 aus der Sicherheitsunterstützung fällt. Prüfen Sie in der Verwaltungsoberfläche Ihres Hosters oder unter „Werkzeuge > Website-Zustand“ in WordPress, welche Version läuft. Ein Wechsel sollte vorher in einer Testumgebung geprüft werden, weil ältere Plugins mit neuen PHP-Versionen Probleme haben können.
Weitere Punkte beim Hosting: ein gültiges TLS-Zertifikat, damit die Seite nur über HTTPS erreichbar ist, getrennte Zugänge für Datenbank und Dateiübertragung (SFTP statt FTP), restriktive Dateirechte und ein abgeschalteter Datei-Editor im Backend sowie eine Web Application Firewall (WAF), wenn der Hoster sie anbietet. Fehlermeldungen wie 500 oder 503 nach einem Update deuten häufig auf PHP- oder Pluginkonflikte hin. Hilfe zur Einordnung finden Sie auf unserer Seite zu HTTP-Fehlern auf der Website.
Backups außerhalb des Servers
Viele Hoster sichern die Website, aber auf demselben System oder ohne dass Sie Einfluss auf Aufbewahrungsdauer und Wiederherstellung haben. Wird der Server kompromittiert oder der Hosting-Vertrag beendet, ist auch die Sicherung weg.
Sichern Sie deshalb Dateien und Datenbank regelmäßig an einen Ort außerhalb des Webservers, etwa in einen Cloud-Speicher mit eigener Zugangskontrolle. Halten Sie mehrere Generationen vor, denn ein Befall wird oft erst nach Tagen bemerkt. Und testen Sie mindestens einmal im Jahr, ob sich die Seite aus der Sicherung tatsächlich wiederherstellen lässt.
Formulare und Spam
Kontaktformulare sind ein beliebtes Ziel für Spam-Bots und können für den Versand unerwünschter E-Mails missbraucht werden. Schützen Sie Formulare mit einem Spamschutz, etwa einem unsichtbaren Prüfverfahren oder einem datenschutzfreundlichen Captcha-Dienst. Werden Formulareingaben dauerhaft in der Datenbank gespeichert, sollten sie regelmäßig gelöscht werden, und das Formular gehört in Ihre Datenschutzerklärung. Für den Versand der Formular-E-Mails empfiehlt sich ein authentifizierter SMTP-Versand über Ihre Domain, damit die Nachrichten nicht im Spamfilter landen. Auch die Anforderungen an Barrierefreiheit betreffen Formulare, mehr dazu in unserem Beitrag zur Barrierefreiheit digitaler Angebote.
Überwachung
Einfache Überwachung hilft, einen Hack früher zu bemerken als über Kundenanrufe:
- Verfügbarkeitsüberwachung, die meldet, wenn die Seite nicht erreichbar ist
- Benachrichtigung bei neuen Administrator-Konten oder geänderten Dateien
- Ablaufwarnung für TLS-Zertifikat und Domain
- Prüfung, ob die Domain auf Sperrlisten von Suchmaschinen oder Mailprovidern steht
WordPress-Wartung: Wer ist zuständig?
Bei vielen Firmenwebsites ist die Zuständigkeit für WordPress-Sicherheit ungeklärt: Die Agentur hat gebaut, das Marketing pflegt, die IT fühlt sich nicht verantwortlich. Legen Sie schriftlich fest, wer Updates einspielt, wer Backups prüft, wer Konten verwaltet und wer im Störungsfall angerufen wird. Falls eine Agentur zuständig ist, sollte ein WordPress-Wartungsvertrag diese Punkte konkret regeln (mehr dazu unter Wartungsvertrag: Inhalte). Ohne Vertrag ist eine Agentur nicht automatisch für Updates verantwortlich.
WordPress gehackt: Woran Sie es merken und was zu tun ist
Typische Anzeichen: unbekannte Administrator-Konten, fremde Links oder Seiten im Inhalt, Weiterleitungen auf fremde Angebote, eine plötzlich langsame Seite, Browser- oder Suchmaschinenwarnungen und Spam-Beschwerden. Wenn Ihre Website kompromittiert wurde, gehen Sie in dieser Reihenfolge vor:
- Seite in den Wartungsmodus setzen oder vom Netz nehmen, um Besucher zu schützen.
- Alle Passwörter ändern: WordPress-Konten, Hosting, Datenbank, SFTP.
- Prüfen, ob personenbezogene Daten betroffen sein könnten, zum Beispiel aus Formularen. Ob eine Meldepflicht besteht, sollten Sie mit Ihrem Datenschutzbeauftragten klären.
- Aus einer sauberen Sicherung wiederherstellen, die vor dem Befall liegt.
- Einfallstor schließen: Updates einspielen, verwaiste Plugins entfernen.
- Nach der Bereinigung bei Suchmaschinen eine Überprüfung beantragen, falls die Seite als gefährlich markiert wurde.
Checkliste: WordPress-Website absichern
- Zuständigkeiten für Updates, Backups und Konten schriftlich festlegen.
- Kern, Plugins und Themes aktualisieren, Update-Rhythmus festlegen.
- Nicht gepflegte und deaktivierte Plugins entfernen.
- MFA für alle Administrator- und Redakteurskonten aktivieren.
- PHP-Version prüfen und auf eine unterstützte Version anheben.
- Backup außerhalb des Webservers einrichten und Wiederherstellung testen.
- Formulare mit Spamschutz versehen und gespeicherte Eingaben regelmäßig löschen.
- Verfügbarkeits- und Zertifikatsüberwachung einrichten.
Wie DAVINCI unterstützt
DAVINCI unterstützt Unternehmen im Bereich Webdesign und SEO und hilft dabei, Zuständigkeiten, Updates und Sicherungen für die Firmenwebsite verbindlich zu regeln. Auf Wunsch sehen wir uns eine bestehende Installation an und zeigen, wo veraltete Plugins oder PHP-Versionen ein Risiko darstellen. Sprechen Sie uns gern über unser Kontaktformular an.
Häufige Fragen
Reicht es, wenn der Hoster automatische Updates aktiviert hat?
Das hilft, deckt aber oft nur den WordPress-Kern ab. Plugins, Themes und die PHP-Version müssen trotzdem jemand im Blick behalten. Klären Sie mit Ihrem Hoster genau, was abgedeckt ist.
Brauchen wir ein Sicherheits-Plugin?
Ein Sicherheits-Plugin kann Anmeldeversuche begrenzen, MFA nachrüsten, Dateiänderungen melden und bekannte Schwachstellen anzeigen. Es ersetzt aber weder Updates noch Backups noch eine klare Zuständigkeit. Prüfen Sie vorher, ob das Plugin Daten an den Hersteller übermittelt, und klären Sie das mit Ihrem Datenschutzbeauftragten.
Wie machen wir ein WordPress-Backup?
Zu einer vollständigen Sicherung gehören die Dateien der Installation, vor allem Plugins, Themes und hochgeladene Medien, sowie ein Export der Datenbank. Beides erledigen Backup-Plugins, die Werkzeuge des Hosters oder ein Skript. Entscheidend ist, dass die Sicherung außerhalb des Webservers landet und die Wiederherstellung geprobt wurde.
Sind kostenpflichtige Plugins sicherer als kostenlose?
Nicht automatisch. Entscheidend ist, ob das Plugin aktiv gepflegt wird. Bei Premium-Plugins müssen Sie zudem darauf achten, dass die Lizenz gültig bleibt, sonst kommen keine Updates mehr an.
Sollten wir auf ein anderes System wechseln?
Ein Systemwechsel löst Betriebsprobleme nicht automatisch, jedes CMS braucht Updates und Zuständigkeiten. Für sehr einfache Seiten ohne häufige Änderungen kann eine statische Website eine Option sein, weil dort weniger Programmcode auf dem Server läuft.
Verwandte Themen: Wer hier weiterdenkt, liest bei WordPress-Sicherheit, WordPress-Wartung und PHP-Sicherheitslücke weiter.
