WordPress absichern: die Reihenfolge, in der es sich lohnt

Wer „WordPress absichern“ sucht, findet Listen mit zwanzig Punkten. Das Problem daran ist nicht, dass die Punkte falsch wären, sondern dass sie gleich gewichtet danebenstehen. Die ersten drei bringen mehr als die übrigen siebzehn zusammen.

Platz 1: Updates, und zwar zeitnah

Die meisten übernommenen Seiten fallen nicht durch einen ausgefeilten Angriff, sondern durch eine bekannte Lücke in einem Plugin, für die es seit Wochen ein Update gibt. Automatisierte Massenscans suchen genau danach.

Praktisch heißt das: Sicherheitsupdates automatisch, Funktionsupdates von Hand nach kurzer Prüfung — und vor jedem Update ein Sicherungspunkt, damit die Angst vor dem Update nicht zum Grund wird, es zu verschieben.

Ein Plugin, das seit zwei Jahren kein Update bekommen hat, ist ein Risiko, auch wenn es funktioniert. Räum bei der Gelegenheit auf: Was nicht genutzt wird, gehört gelöscht, nicht deaktiviert.

Platz 2: der Login

Die zweithäufigste Tür ist ein Passwort. Vier Maßnahmen, in dieser Reihenfolge:

1. Fehlversuche begrenzen — das nimmt automatisierten Rateversuchen die Grundlage.
2. Passwort-Güte erzwingen, mindestens für alle, die veröffentlichen dürfen.
3. Zweiten Faktor einschalten, wenigstens für Administratoren.
4. Kein Konto mit dem Benutzernamen „admin“, und keine Rolle höher als nötig.

Die Anmelde-Adresse zu verlegen ist ein fünfter Punkt, aber ein schwächerer: Er hält Massenscans fern und spart Last, ersetzt aber keine der vier Maßnahmen darüber. Wer ihn nutzt, sollte die neue Adresse notieren, bevor er speichert.

Platz 3: Härtung — einmal einstellen, danach vergessen

• Dateibearbeitung im Backend abschalten — dort wird Schadcode am liebsten abgelegt
• XML-RPC abschalten, wenn nichts es braucht
• Verzeichnisauflistung verhindern
• PHP-Ausführung im Uploads-Ordner unterbinden
• Benutzeraufzählung über die REST-API einschränken
• Sicherheits-Kopfzeilen setzen

Diese Schalter kosten nichts im Betrieb und schließen jeweils eine bekannte Abkürzung. Sie sind der beste Aufwand-Nutzen-Punkt der ganzen Liste.

Platz 4: sehen, was sich ändert

Ab hier geht es nicht mehr ums Verhindern, sondern ums Bemerken. Zwei Dinge lohnen sich:

Der Kern-Abgleich vergleicht die WordPress-Dateien mit den Prüfsummen von api.wordpress.org. Eine veränderte Kern-Datei ist ein sehr deutliches Zeichen — dort hat niemand einen legitimen Grund, etwas zu ändern.

Der Dosya nöbetçisi nimmt einen Stand auf und meldet Abweichungen. Er ist nur so gut wie der Moment seiner Aufnahme: Ein Stand, der nach einem Befall aufgenommen wurde, erklärt den Schadcode zum Normalzustand.

Nimm den Stand auf, solange die Seite nachweislich sauber ist — am besten direkt nach einer frischen Installation oder nach einer geprüften Wiederherstellung.

Platz 5: Firewall und Suchlauf

Beides ist sinnvoll und beides steht bewusst hier unten. Eine Firewall in PHP läuft erst, wenn WordPress schon startet — sie ersetzt keine Firewall vor dem Webserver. Ein Suchlauf findet, was seinen Mustern ähnelt, nicht jeden Schadcode.

Wichtiger als die Zahl der Regeln ist der Umgang mit Fehlalarmen. Ein Werkzeug, dessen Übersicht dauerhaft rot ist, schützt nichts mehr — es trainiert das Wegklicken. Lass die Firewall deshalb erst eine Woche nur melden und sieh das Protokoll durch, bevor du sie blockieren lässt.

Was oft ganz oben steht und dort nicht hingehört

Der Punkt, den fast alle Listen vergessen

Ein Sicherheits-Plugin verhindert Vorfälle, ein Backup überlebt sie. Wer sich zwischen beidem entscheiden müsste, sollte das Backup nehmen — es ist die einzige Maßnahme, die auch dann noch hilft, wenn alle anderen versagt haben.

Häufige Fragen