Die meisten gehackten WordPress-Seiten wurden nicht über WordPress selbst angegriffen, sondern über ein Plugin, das seit Monaten kein Update bekommen hat. Laut dem Patchstack-Report zur WordPress-Sicherheit entfallen rund 96 % der bekannten Schwachstellen auf Plugins, der Rest auf Themes und den Core. Wer seine Website absichern will, fängt deshalb nicht bei einem Sicherheits-Plugin an, sondern beim Inventar.
Die folgende Checkliste ist nach Wirkung sortiert. Wenn du nur die ersten fünf Punkte umsetzt, hast du den größten Teil des realistischen Risikos abgedeckt.
Öffne im Backend Plugins → Installierte Plugins und Design → Themes. Notiere dir jedes Plugin, das du nicht eindeutig zuordnen kannst. Deaktivierte Plugins und Themes sind kein sicherer Ort: Der Code liegt weiter auf dem Server und ist teilweise direkt aufrufbar. Was du nicht brauchst, wird gelöscht, nicht deaktiviert.
Prüfe außerdem bei jedem Plugin auf wordpress.org, wann es zuletzt aktualisiert wurde. Ein Plugin ohne Update seit zwei Jahren ist ein Kandidat für den Austausch. Mehr zur Frage, wie viele Plugins sinnvoll sind, findest du in unserer Diagnose zu WordPress-Plugins.
Unter Plugins → Installierte Plugins kannst du pro Plugin „Automatische Updates aktivieren“ wählen. Für Core, Sicherheits-Plugins und gut gepflegte Plugins ist das sinnvoll. Der Grund ist Zeit: Der Patchstack-Report nennt für 2026 einen Median von wenigen Stunden zwischen Bekanntwerden einer Lücke und den ersten Massenangriffen. Ein wöchentlicher manueller Update-Rhythmus ist dafür zu langsam.
Das Sicherheitsnetz heißt Backup. Ohne funktionierende Wiederherstellung sind automatische Updates ein Risiko, mit ihr sind sie ein Gewinn. Wie du das sauber aufsetzt, steht in unserer Anleitung zum WordPress-Backup.
Begrenze Fehlversuche beim Login (das können Wordfence, Solid Security oder ein Rate-Limit auf Serverebene). Deaktiviere, was du nicht nutzt: die XML-RPC-Schnittstelle, wenn keine externe App darauf zugreift, und den Datei-Editor im Backend. Letzteres geht mit einer Zeile in der wp-config.php:
define( 'DISALLOW_FILE_EDIT', true );
Ändere die Login-URL nur, wenn du zusätzlich alles andere erledigt hast. Sie ist Verschleierung, kein Schutz.
Ein aktuelles PHP (ab 8.2 wird gepflegt, ältere Versionen erhalten keine Sicherheitsupdates mehr) und ein Hoster mit Isolation zwischen den Kundenkonten sind die Basis. HTTPS muss auf allen Seiten erzwungen werden, und die Website-URL unter Einstellungen → Allgemein beginnt mit https://. Prüfe bei deinem Hoster, ob eine Web Application Firewall vorgeschaltet ist und wie Backups auf Serverebene organisiert sind.
Ein Plugin wie Wordfence, Patchstack oder Solid Security bringt drei nützliche Dinge: Schwachstellen-Warnungen für installierte Komponenten, Login-Schutz und Änderungsüberwachung an Dateien. Es ersetzt nicht Updates, Backups und Rechteverwaltung. Ein Plugin, das eine bekannte Lücke meldet, hilft nur dem, der danach handelt.
Erkennungszeichen sind unbekannte Administratoren, Weiterleitungen auf fremde Seiten, japanische oder pharmazeutische Texte in den Suchergebnissen oder plötzlich Warnungen im Browser. Die Reihenfolge dann: Seite in den Wartungsmodus, Backup vom letzten sauberen Stand einspielen, alle Passwörter (WordPress, Hosting, Datenbank, FTP) ändern, alles aktualisieren und erst danach wieder online nehmen. Wer nur die sichtbaren Dateien bereinigt, hat oft die Hintertür übersehen und wird zwei Wochen später erneut gehackt.
Nein. Es ergänzt Updates, Zugriffskontrolle und Backups, ersetzt sie aber nicht.
Automatische Updates laufen dauerhaft. Einmal im Quartal lohnt sich ein Blick auf Benutzer, Plugin-Liste und Backup-Wiederherstellung.
Es ist häufiger Ziel, weil es weit verbreitet ist. Das Risiko entsteht meist durch fehlende Pflege, nicht durch das System.
Wenn du keine Zeit hast, das alles regelmäßig selbst zu erledigen, oder unsicher bist, in welchem Zustand deine Seite gerade ist: Wir schauen uns das gern an und geben dir eine ehrliche Einschätzung, bevor irgendetwas beauftragt wird. Melde dich dafür über unseren Kontaktbereich. Einen Überblick über unsere Leistungen im Bereich Webdesign findest du hier. Und wenn deine Seite zwar sicher, aber zäh ist: Warum ist meine WordPress-Website so langsam?