WordPress absichern
Die Maßnahmen, die wirklich etwas bringen, in der Reihenfolge ihrer Wirkung.
WordPress ist die meistgenutzte Software für Websites und damit auch das häufigste Ziel. Angriffe laufen fast immer automatisiert und suchen nach bekannten, längst geschlossenen Lücken.
Die wirksamsten Maßnahmen
- Alles aktuell halten. Kern, Theme und Plugins. Das schließt die überwiegende Mehrheit aller Einfallstore.
- Wenig installieren. Jedes Plugin ist zusätzliche Angriffsfläche. Entferne, was du nicht brauchst.
- Starke Passwörter für alle Zugänge. Besonders für Administratoren.
- Zwei-Faktor-Authentifizierung für den Administrationsbereich.
- Anmeldeversuche begrenzen, damit Passwörter nicht in Ruhe durchprobiert werden.
Wer diese fünf Punkte umsetzt, hat mehr erreicht als mit jedem zusätzlichen Sicherheitsplugin.
Benutzer und Rollen
| Rolle | Vergib sie an |
|---|---|
| Administrator | Nur an dich und unbedingt nötige Personen |
| Redakteur | Personen, die Inhalte freigeben |
| Autor | Personen, die eigene Beiträge schreiben |
| Abonnent | Reine Leserechte |
Prüfe die Benutzerliste regelmäßig. Zugänge aus alten Projekten sind ein klassisches Einfallstor.
Findest du einen Administrator, den du nicht angelegt hast, ist deine Website mit hoher Wahrscheinlichkeit kompromittiert. Lösche ihn nicht einfach, sondern gehe nach dem Artikel zum Ernstfall vor.
Dateibearbeitung abschalten
WordPress erlaubt es standardmäßig, Theme- und Plugin-Dateien direkt im Administrationsbereich zu bearbeiten. Wer einmal Zugang zu einem Administratorkonto hat, kann darüber beliebigen Code ausführen.
Schalte das ab. In vielen Sicherheits-Plugins ist es eine einzelne Option, meist „Dateibearbeitung deaktivieren".
Was wenig bringt
- Den Anmeldepfad zu verstecken. Automatisierte Scanner finden ihn trotzdem.
- Die WordPress-Version zu verbergen. Sie lässt sich an anderen Merkmalen ablesen.
- Mehrere Sicherheitsplugins parallel. Sie stören sich gegenseitig.
Diese Maßnahmen schaden nicht, ersetzen aber keine der fünf oben genannten.
Sicherungen
Wir sichern deine Instanz automatisch alle acht Stunden. Die Sicherungen liegen bei uns und sind für dich nicht einsehbar. Eine Wiederherstellung läuft über ein Ticket.
Für den Ernstfall lohnt sich zusätzlich eine eigene Kopie außerhalb unserer Systeme, etwa ein Export über ein Migrations-Plugin, den du bei dir ablegst.
Regelmäßig kontrollieren
Sieh dir einmal im Monat an: Benutzerliste, installierte Plugins, ausstehende Updates und die Zugriffsprotokolle. Ungewöhnliches fällt früh auf, wenn man den Normalzustand kennt.