Wordfence-Alternative gesucht? Diese sechs Fragen entscheiden

Ein Sicherheits-Plugin tauscht man selten aus Neugier. Meist gibt es einen Anlass: die Seite wurde langsam, das Postfach voller Meldungen, oder in einer Datenschutz-Prüfung stand die Frage, was das Plugin eigentlich nach außen schickt. Dieser Text sortiert die üblichen Anlässe und nennt zu jedem die Frage, die eine Alternative beantworten muss.

Anlass 1: Zu viele Meldungen, zu wenige echte

Der häufigste Grund, und der gefährlichste: Wer jede Woche drei harmlose Funde wegklickt, klickt irgendwann auch den echten weg. Die Frage an jede Alternative lautet deshalb nicht „wie viele Muster hat sie“, sondern wie geht sie mit Fehlalarmen um.

Woran du das erkennst: Sagt das Werkzeug, WONACH es sucht? Kann man einen Fund freigeben — und verfällt die Freigabe, wenn sich die Datei ändert? Kakapo Security bindet jede Freigabe an die Prüfsumme des gelesenen Inhalts: Sobald an der Datei etwas geändert wird, ist der Fund wieder da. Das ist unbequem und richtig.

Ein Stapelknopf „alle freigeben“ ist ein Warnzeichen, keine Erleichterung. Er ist eine Generalamnestie mit einem Klick — genau für die Fälle, die man einzeln hätte ansehen müssen.

Anlass 2: Die Seite ist langsam geworden

Ein Suchlauf über zehntausende Dateien braucht Rechenzeit. Entscheidend ist, ob er sie sich nimmt, wenn niemand da ist, oder mitten im Besuch. Frage an die Alternative: Läuft der Durchgang in Häppchen mit Zeitbudget, lässt er sich anhalten, und setzt er beim nächsten Start dort fort, wo er war?

Zweite Frage, die oft vergessen wird: Was passiert bei jedem einzelnen Seitenaufruf? Eine Firewall prüft mit. Je mehr Regeln, desto mehr Arbeit pro Anfrage — und desto wichtiger ist, dass die Regeln knapp und geprüft sind statt zahlreich.

Anlass 3: Es soll nichts nach außen gehen

Ein Sicherheits-Plugin sieht Anmeldeversuche mit Benutzernamen, IP-Adressen, Dateilisten und Datenbankinhalte. Wenn davon etwas an einen Dienst geht, gehört dieser Dienst in dein Verzeichnis der Verarbeitungstätigkeiten. Frage an die Alternative: Was verlässt den Server, und lässt es sich abstellen?

Bei Kakapo Security liegen Firewall-Muster, Suchmuster und Prüflogik im Plugin. Nach außen geht nur, was du selbst einrichtest: die Prüfsummen des WordPress-Kerns von api.wordpress.org und — falls du eine hinterlegst — deine eigene Schwachstellen-Quelle. Ab Werk ist Letztere leer.

Anlass 4: Der Login ist die eigentliche Schwachstelle

Die meisten Übernahmen laufen nicht über eine Lücke im Code, sondern über ein Passwort. Prüfe deshalb, was die Alternative rund um die Anmeldung bietet — und zwar über das Begrenzen von Fehlversuchen hinaus: Anmelde-Adresse verlegen, Passwort-Güte erzwingen, laufende Sitzungen sehen und beenden, ein Zeitfenster für Anmeldungen, eine Einschränkung nach Herkunftsland.

Und die unbequeme Frage zum Zwei-Faktor: Reicht ein Code per E-Mail, oder braucht ihr eine Authenticator-App? Kakapo Security liefert nur E-Mail-Codes und schreibt das auch so in die Oberfläche. Für viele Redaktionen genügt das. Wer TOTP braucht, muss danach fragen, bevor er wechselt.

Anlass 5: Im Ernstfall fehlte die Auskunft

Nach einem Vorfall zählt nicht, was abgewehrt wurde, sondern was man belegen kann: Wer hat sich wann angemeldet, was wurde an Dateien verändert, wer hat welche Einstellung geändert. Frage an die Alternative: Gibt es ein Protokoll — und sieht man ihm nachträgliche Änderungen an?

Kakapo Security verkettet seine Aktivitätseinträge und rechnet die Kette gegen einen Wert aus deiner wp-config.php. Wer einen Eintrag ändert oder entfernt, bricht die Kette sichtbar. Das ist kein Tresor, aber es unterscheidet ein Protokoll von einer Liste, die sich still bearbeiten lässt.

Anlass 6: Fünf Plugins für fünf Aufgaben

Sicherheit, Cookies, Backup, Tempo — jedes Thema ein Plugin, jedes mit eigener Oberfläche, eigenem Login, eigener Rechnung. Wenn das der Anlass ist, lautet die Frage nicht „welches Sicherheits-Plugin“, sondern ob es die übrigen Bausteine aus derselben Hand gibt und ob sie sich gleich bedienen lassen.

Die Checkliste in Kurzform

Was keine Alternative leisten kann

Kein Plugin in WordPress ersetzt eine Firewall vor dem Webserver, weil es erst läuft, wenn PHP schon gestartet ist. Keines ersetzt aktuelle Updates. Und kein Suchlauf findet jeden Schadcode — er findet, was seinen Mustern ähnelt. Wer diese drei Sätze im Kopf behält, wählt anders und ruhiger.

Nimm den Stand deiner Dateien auf, solange die Seite nachweislich sauber ist. Ein Stand, der erst nach einem Befall aufgenommen wurde, erklärt den Schadcode zum Normalzustand — und er fällt danach nie wieder auf.

Häufige Fragen