All-In-One Security vs. Kakapo Security: Punkte oder Belege?

All-In-One Security ist ein beliebtes kostenloses Sicherheits-Plugin mit einem Punktesystem: Jede eingeschaltete Maßnahme erhöht den Sicherheits-Score. Das motiviert — und es verführt dazu, Schalter umzulegen, deren Wirkung man nicht kennt.

Die kurze Antwort

AIOS deckt Login-Schutz, Härtung, eine einfache Firewall und Datei-Änderungen ab, ist kostenlos und leicht zugänglich. Der Punktestand macht Fortschritt sichtbar, sagt aber nichts darüber, welche Maßnahme wie viel bringt.

Kakapo Security verzichtet auf eine Punktzahl und setzt auf Nachlesbarkeit: 40 Firewall-Muster und 22 Suchmuster stehen im ausgelieferten Quelltext, dazu eine Liste der Ansätze, die gemessen zu viele Fehlalarme erzeugt haben. Das Aktivitätsprotokoll ist verkettet und gegen einen Wert aus der wp-config.php gerechnet.

Wo sich die beiden unterscheiden

Warum keine Punktzahl

Eine Punktzahl setzt voraus, dass sich Maßnahmen aufaddieren lassen. Das tun sie nicht: Zeitnahe Updates und ein zweiter Faktor bringen zusammen mehr als ein Dutzend kleiner Härtungsschalter — aber in einem Punktesystem zählen sie gleich viel.

Schlimmer ist der zweite Effekt: Wer auf 100 Punkte optimiert, schaltet auch Dinge ein, die auf seiner Seite Nebenwirkungen haben. Ein Schalter, der einen Punkt bringt und den Seitenbauer bricht, ist ein schlechtes Geschäft.

Wenn du ein Werkzeug mit Punktzahl nutzt: Schalte nichts ein, dessen Wirkung du nicht in einem Satz erklären kannst. Der Punktestand ist kein Ziel.

Wann All-In-One Security die bessere Wahl ist

• Du willst kostenlos anfangen
• Du magst eine geführte Einrichtung mit sichtbarem Fortschritt
• Du brauchst nur Login-Schutz und Grundhärtung

Wann Kakapo Security die bessere Wahl ist

• Du willst nachlesen, wonach gesucht wird
• Du brauchst ein Protokoll, dem man nachträgliche Änderungen ansieht
• Es soll nichts an einen Sicherheitsdienst gehen
• Du betreust mehrere Seiten unter einer Lizenz

Umstieg: was zu tun ist

1. Notiere die verlegte Anmelde-Adresse, falls gesetzt — sonst sperrst du dich aus.
2. Sieh nach, welche Regeln in die .htaccess geschrieben wurden; Sicherheits-Plugins hinterlassen dort gern Blöcke.
3. Installiere Kakapo Security und trage den Lizenzschlüssel ein.
4. Firewall zuerst auf „nur melden“, eine Woche mitlaufen lassen.
5. Stand der Dateien aufnehmen, solange die Seite nachweislich sauber ist.
6. Altes Plugin abschalten, dann auf „blockieren“ umstellen.

Was keines der beiden ersetzt

Ein Sicherheits-Plugin ist eine Schicht, nicht das Dach. Drei Dinge bleiben deine Aufgabe, und sie verhindern in der Praxis mehr Vorfälle als jede Firewall-Einstellung.

• Updates. Die große Mehrheit der erfolgreichen Einbrüche nutzt Lücken, für die es längst eine Aktualisierung gab.
• Sicherungen. Sie sind das Einzige, was nach einem Vorfall zählt — und das Einzige, was auch dann hilft, wenn du gar nicht angegriffen wurdest, sondern nur etwas kaputtgespielt hast.
• Aufgeräumte Zugänge. Jeder Zugang, den niemand mehr braucht, ist eine Tür, die niemand mehr beobachtet.

Diese drei kosten kein Geld und keine besondere Kenntnis. Wer sie hat, gewinnt mit einem Sicherheits-Plugin viel dazu. Wer sie nicht hat, kauft sich mit einem Plugin vor allem ein besseres Gefühl.

Wo Kakapo Security bewusst nichts tut

Damit die Erwartung stimmt, hier die Grenzen im Klartext: Die Zwei-Faktor-Anmeldung schickt ihre Codes per E-Mail, eine Authenticator-App wird nicht unterstützt. Eine gepflegte Signaturdatenbank für Schadcode gibt es nicht — der Suchlauf sucht nach Mustern, nicht nach bekannten Schädlingen mit Namen. Und der Schwachstellen-Abgleich nimmt zwar die Adresse einer Quelle entgegen, bringt ab Werk aber keine mit. Dazu kommt: Die Firewall arbeitet in WordPress, nicht davor — ein Angriff, der den Server überlastet, wird von einem PHP-Plugin nicht abgefangen, egal von welchem.

Was es stattdessen tut, ist eng umrissen und nachprüfbar: Muster erkennen und zurückweisen, Kerndateien gegen die Prüfsummen von api.wordpress.org halten, Änderungen an Dateien bemerken und jede Entscheidung in einer Kette protokollieren, die sich nachträglich nicht unauffällig ändern lässt. Wer die vier Punkte braucht, ist richtig. Wer eine Signaturdatenbank sucht, nicht.

Prüf bei jedem Sicherheits-Plugin, wo die Firewall sitzt. Vor dem Server ist stärker gegen Überlast, in WordPress ist genauer bei Anfragen an WordPress selbst. Beides zugleich gibt es nur, wenn der Hoster mitspielt.

Häufige Fragen