Wordfence vs. Kakapo Security: Welcher Schutz passt?

Ein Sicherheits-Plugin wird an zwei Tagen beurteilt: an dem, an dem es etwas abwehrt, und an dem, an dem es sich irrt. Der erste Tag steht in jeder Produktbeschreibung. Der zweite steht in keiner — dabei entscheidet er darüber, ob das Plugin nach einem halben Jahr noch eingeschaltet ist. Dieser Vergleich sortiert Wordfence und Kakapo Security nach beidem.

Die kurze Antwort

Wordfence ist das bekannteste Sicherheits-Plugin für WordPress, mit einer kostenlosen Fassung, einer eigenen Firewall und einem Malware-Scanner, der gegen Signaturen des Herstellers arbeitet. Ein Teil der Stärke liegt dabei ausdrücklich außerhalb der eigenen Installation: Signaturen und Bedrohungsdaten kommen vom Anbieter.

Kakapo Security geht den anderen Weg. Es bringt eine Muster-Firewall, einen Suchlauf, einen Abgleich der Kern-Dateien gegen die Prüfsummen von api.wordpress.org und eine Reihe von Login-Sperren mit — und all das läuft auf deinem Server, ohne Rückfrage bei einem Dienst. Dafür gibt es keine gepflegte Signaturdatenbank und keinen Ruf-basierten IP-Filter.

Kurz: Wer eine laufend gepflegte Bedrohungsdatenbank und einen kostenlosen Einstieg will, ist bei Wordfence richtig. Wer nachvollziehen will, wonach genau gesucht wird, wer keine Daten an einen Sicherheitsdienst geben möchte und wer ohnehin weitere Kakapo-Plugins nutzt, findet bei Kakapo Security das passendere Werkzeug.

Was beide können

• Fehlversuche beim Anmelden begrenzen und Adressen sperren
• Zwei-Faktor beim Login
• Dateien auf Veränderungen prüfen und den WordPress-Kern gegen das Original halten
• Einen Suchlauf über wp-content nach verdächtigen Mustern
• Ein Protokoll darüber, was abgewehrt und wer angemeldet wurde
• Benachrichtigung, wenn etwas auffällt

Auf dieser Ebene nehmen sich die beiden wenig. Der Unterschied liegt darin, WOHER das Wissen kommt, nach dem gesucht wird.

Wo sich die beiden unterscheiden

Der Unterschied, den man erst nach Wochen merkt: Fehlalarme

Jeder Suchlauf, der etwas findet, findet auch etwas Falsches. Ein Plugin, das jede Woche drei harmlose Dateien meldet, wird nach dem dritten Mal nicht mehr gelesen — und dann fällt der echte Fund mit durch. Der Umgang mit dieser Frage unterscheidet Werkzeuge stärker als die Zahl ihrer Muster.

Kakapo Security führt dazu eine Liste der gemessen verworfenen Ansätze im ausgelieferten Quelltext — mit der Zahl der Fehlalarme, an der sie gescheitert sind: hohe Dichte an \xNN-Folgen (23 legitime Dateien), zerstückelte Funktionsnamen bei zwei Bruchstücken (2, wegen einer verbreiteten Bibliothek), sehr lange Zeilen (429), nicht druckbare Zeichen (179), offene Backticks (49). Diese Liste steht in der Oberfläche, nicht in einem Entwickler-Wiki.

Ein Sicherheits-Plugin, dessen Übersichtszeile dauerhaft auf Rot steht, schützt nichts mehr — es trainiert nur das Wegklicken. Prüfe nach zwei Wochen Betrieb, wie viele Meldungen echt waren.

Was Kakapo Security ausdrücklich NICHT tut

Das gehört in einen ehrlichen Vergleich, weil es die Auswahl entscheidet:

• Kein Zwei-Faktor über eine Authenticator-App — die Codes kommen per E-Mail. Wer TOTP braucht, braucht ein zusätzliches Plugin.
• Keine gepflegte Signaturdatenbank. Der Suchlauf sucht nach Mustern, nicht nach bekannten Schädlingen mit Namen.
• Kein Schwachstellen-Abgleich ab Werk. Die Adresse einer Quelle lässt sich eintragen, mitgeliefert wird keine.
• Keine Cloud-Firewall vor der Website. Die Regeln laufen in PHP, also erst, wenn WordPress schon startet.

Wer eines dieser vier Dinge braucht, sollte nicht wechseln, nur weil der Rest passt.

Wo die Daten liegen

Ein Sicherheits-Plugin sieht mehr von einer Website als jedes andere: Anmeldeversuche mit Benutzernamen, IP-Adressen der Besucher, Dateilisten, Datenbankinhalte. Die Frage, wohin davon etwas geht, ist deshalb keine Nebensache, sondern Teil der Auftragsverarbeitung.

Kakapo Security fragt für seine Erkennung nichts ab. Firewall-Muster, Suchmuster und Prüflogik liegen im Plugin; nach außen geht nur, was du selbst einrichtest — die Prüfsummen des WordPress-Kerns von api.wordpress.org und, falls hinterlegt, deine eigene Schwachstellen-Quelle. Es gibt keinen Zwischenschritt über einen Dienst des Herstellers.

Wann Wordfence die bessere Wahl ist

• Du willst ohne Budget anfangen
• Du willst eine laufend gepflegte Signatur- und Schwachstellendatenbank, ohne dich selbst darum zu kümmern
• Du brauchst Zwei-Faktor mit einer Authenticator-App
• Du willst bekannte Angreifer-Adressen aus einer gemeinsamen Quelle sperren

Wann Kakapo Security die bessere Wahl ist

• Du willst nachlesen können, wonach gesucht wird — jedes Muster steht im Quelltext
• Es soll nichts an einen Sicherheitsdienst gehen, auch keine Metadaten
• Du brauchst ein Protokoll, dem man nachträgliche Änderungen ansieht
• Du betreust mehrere Seiten und willst sie unter einer Lizenz führen
• Du nutzt ohnehin Consent, Backup oder die übrigen Bausteine

Umstieg: was zu tun ist

1. Notiere dir, welche Regeln beim alten Plugin scharf waren — besonders Sperrlisten und Ausnahmen.
2. Installiere Kakapo Security und trage den Lizenzschlüssel ein.
3. Stelle die Firewall zuerst auf „nur melden“ und lass sie eine Woche mitlaufen.
4. Sieh das Firewall-Protokoll durch: Steht dort echter Verkehr deiner Besucher, ist eine Regel zu breit.
5. Erst danach auf „blockieren“ umstellen.
6. Nimm den Stand der Dateien einmal auf, solange die Seite nachweislich sauber ist.
7. Schalte das alte Plugin ab, statt es zu löschen — für zwei Wochen.

Zwei Firewalls gleichzeitig scharf zu schalten ist keine doppelte Sicherheit, sondern doppelte Fehlerquelle. Eine meldet, die andere blockiert — sonst weißt du nie, welche etwas abgewiesen hat.

Häufige Fragen