WordPress bleibt das am häufigsten verwendete CMS der Welt. Diese Popularität hat viele Vorteile, aber auch einen offensichtlichen Nachteil: es ist eines der Hauptziele automatisierter Angriffe.

Die gute Nachricht ist, dass die meisten Sicherheitsvorfälle nicht auftreten, weil WordPress unsicher ist, sondern weil es schlechte Konfigurationen, anfällige Plugins, schwache Anmeldeinformationen oder nicht gewartete Server gibt.

Hier kommt das WordPress-Hardening ins Spiel, eine Reihe von Maßnahmen, die darauf abzielen, die Angriffsfläche zu reduzieren und jeden Einbruchsversuch so schwierig wie möglich zu machen.

In diesem Leitfaden finden Sie eine praktische Checkliste zur Härtung von WordPress, die an die Sicherheitsrealität von WordPress 2026 angepasst ist, mit Empfehlungen, die sowohl das CMS selbst als auch den Server, das Hosting und das Benutzer-Management abdecken. Es geht nicht nur darum, ein Sicherheits-Plugin zu installieren, sondern eine mehrschichtige Strategie anzuwenden, die Risiken kontinuierlich reduziert.

Was bedeutet Hardening in WordPress?

Das Hardening besteht darin, die Konfiguration eines Systems zu verstärken, um es widerstandsfähiger gegen Angriffe zu machen. In WordPress bedeutet dies, eine Reihe von Maßnahmen zu ergreifen, die darauf abzielen, die Wahrscheinlichkeit zu verringern, dass ein Angreifer einen Zugang findet.

Es gibt keine Website, die unmöglich zu kompromittieren ist. Absolute Sicherheit existiert einfach nicht. Das Ziel des Hardening ist es nicht, alle Risiken zu beseitigen, sondern es viel schwieriger und kostspieliger zu machen, sie auszunutzen.

In einer WordPress-Site kombiniert dieser Prozess Aspekte wie:

• CMS-Konfiguration
• Kontinuierliche Wartung
• Zugangskontrolle
• Server-Schutz
• Backups
• Überwachung
• Gute Verwaltungspraktiken

Mit anderen Worten, die Sicherung von WordPress hängt nicht von einer einzigen Aktion ab, sondern von vielen kleinen Entscheidungen, die zusammen eine viel solidere Verteidigung aufbauen.

Im Jahr 2026 gewinnt dieser Ansatz noch mehr an Bedeutung. Automatisierte Angriffe nutzen künstliche Intelligenz, um anfällige Installationen zu lokalisieren, veraltete Versionen zu erkennen oder bekannte Schwachstellen in wenigen Minuten auszunutzen. Die beste Verteidigung besteht darin, die exponierte Oberfläche so weit wie möglich zu reduzieren, bevor jemand versucht, sie auszunutzen.

Warum braucht WordPress auch 2026 noch Hardening?

Weil das Problem selten WordPress selbst ist.

Der Kern des CMS erhält ständige Updates und hat eine riesige Community, die Schwachstellen überprüft. Ein vollständiges Website besteht jedoch aus vielen weiteren Komponenten, und jede von ihnen kann zu einem Einstiegspunkt werden.

Die häufigsten Risiken bleiben:

• Verlassene Plugins
• Unaktualisierte Themes
• Schwache Passwörter
• Benutzer mit übermäßigen Berechtigungen
• Brute-Force-Angriffe
• Malware, die durch bekannte Schwachstellen eingeführt wird
• Unsichere Server-Konfigurationen

Darüber hinaus hat die Automatisierung von Angriffen in den letzten Jahren erheblich zugenommen. Heute sprechen wir nicht nur von Bots, die Millionen von Passwörtern ausprobieren, sondern von Tools, die in der Lage sind, bestimmte Versionen anfälliger Plugins zu identifizieren, unsichere Konfigurationen zu erkennen oder Lieferketten zu analysieren, um kompromittierte Komponenten zu finden.

Deshalb kann die Web-Sicherheit von WordPress nicht mehr als einmalige Überprüfung verstanden werden. Es ist ein kontinuierlicher Prozess.

Ein sehr häufiges Beispiel ist das eines Unternehmens, das eine Website für einen Kunden entwickelt, sie veröffentlicht und das Projekt monatelang nicht mehr überprüft. Wenn eine kritische Schwachstelle in einem ihrer Plugins auftritt, können Bots innerhalb weniger Stunden Tausende von anfälligen Installationen lokalisieren. Wenn diese Site nicht aktualisiert wird, wird sie zu einem einfachen Ziel.

Eine Strategie zur Härtung der WordPress-Sicherheit bedeutet genau, solche Situationen durch regelmäßige Überprüfungen und präventive Maßnahmen zu vermeiden.

Checkliste zur Härtung für WordPress im Jahr 2026

Im Folgenden finden Sie eine praktische Checkliste mit den wichtigsten Maßnahmen, die Sie überprüfen sollten, um WordPress korrekt zu schützen.

Nicht alle haben die gleiche Priorität, aber zusammen bilden sie eine Strategie für gute Sicherheitspraktiken in WordPress, die viel effektiver ist, als sich nur auf ein Plugin zu verlassen.

Halte WordPress, Themes und Plugins immer aktualisiert

Wenn man eine einzige Maßnahme zur Verbesserung der Sicherheit einer WordPress-Site wählen müsste, wäre es wahrscheinlich diese.

Die überwiegende Mehrheit der jedes Jahr ausgenutzten Schwachstellen betrifft alte Versionen von Plugins, Themes oder dem WordPress-Kern selbst. Wenn ein Sicherheitsupdate veröffentlicht wird, werden die technischen Details des Fehlers oft kurz darauf öffentlich gemacht, was es Angreifern erleichtert, ihre Ausnutzung zu automatisieren.

Deshalb ist es entscheidend:

• Den WordPress-Kern so schnell wie möglich zu aktualisieren.
• Alle Plugins auf ihrer neuesten stabilen Version zu halten.
• Auch die installierten Themes zu überprüfen, auch wenn sie nicht aktiv sind.
• Die Kompatibilität vor größeren Updates zu überprüfen.

Ein sehr häufiger Fehler besteht darin zu denken, dass ein deaktiviertes Plugin kein Risiko mehr darstellt. Tatsächlich kann ein Angreifer bestimmte Schwachstellen dennoch ausnutzen, wenn es weiterhin auf dem Server installiert ist.

Deshalb ist es ratsam, alle Komponenten zu entfernen, die keinen Nutzen mehr haben.

Entferne Plugins und Themes, die du nicht verwendest

Jedes Plugin fügt neue Funktionen hinzu… aber auch neuen Code.

Und je mehr Code installiert ist, desto größer ist auch die Angriffsfläche.

Das Beibehalten von Komponenten, die du nicht mehr verwendest, bedeutet, unnötige Risiken einzugehen:

• Sie können aufhören, Unterstützung zu erhalten.
• Sie können Schwachstellen enthalten, die Jahre später entdeckt werden.
• Sie können mit neuen Versionen von WordPress in Konflikt geraten.
• Sie erhöhen die Komplexität der Wartung.

Es ist ratsam, nur das zu behalten, was dem Projekt wirklich Wert bringt.

Wenn du irgendwann ein Plugin wieder verwenden musst, kannst du immer die neueste Version von einer offiziellen Quelle installieren.

Verwende nur vertrauenswürdige Plugins und Themes

Nicht alle Plugins bieten das gleiche Qualitätsniveau.

Vor der Installation eines Plugins ist es ratsam, Aspekte wie die folgenden zu überprüfen:

• Aktualisierungshäufigkeit.
• Ruf des Entwicklers.
• Anzahl der aktiven Installationen.
• Kompatibilität mit der aktuellen Version von WordPress.
• Verfügbarer Support.

Besonders wichtig ist es, die sogenannten nulled plugins oder gehackten Versionen von Premium-Themes und -Erweiterungen zu vermeiden.

Auch wenn sie scheinbar gleich funktionieren, ist es relativ häufig, dass sie Hintertüren, Malware oder Code enthalten, der darauf ausgelegt ist, die Kontrolle über die Site zu übernehmen.

Wenn wir darüber sprechen, wie man eine WordPress-Site sichert, bleibt die Verwendung von Komponenten aus dem offiziellen Repository oder von anerkannten Entwicklern eine der rentabelsten Entscheidungen aus Sicht der Sicherheit.

Schütze den Zugriff auf wp-admin und wp-login.php

Das Admin-Panel ist eines der Lieblingsziele von Angreifern. Kein Zufall: Wenn sie Zugriff auf ein Konto mit ausreichenden Berechtigungen erhalten, können sie die vollständige Kontrolle über die Site übernehmen.

Deshalb besteht ein wichtiger Teil der WordPress-Sicherheitsmaßnahmen darin, den Zugang zum Verwaltungsbereich so schwierig wie möglich zu machen.

Es gibt mehrere Möglichkeiten, dies zu tun:

• Begrenzung der Anzahl der Anmeldeversuche.
• Temporäres Blockieren von IP-Adressen nach mehreren fehlgeschlagenen Versuchen.
• Ändern der Zugriffs-URL, wenn es sinnvoll ist.
• Einschränkung des Zugriffs nach IP in internen oder Unternehmensprojekten.
• Hinzufügen einer zusätzlichen Authentifizierungsebene auf Serverebene.

Diese letzte Maßnahme ist besonders interessant für Admin-Panels, die nur von ein oder zwei Personen genutzt werden. Selbst wenn jemand deine Anmeldeinformationen herausfindet, müsste er noch diese zweite Barriere überwinden.

Es ist jedoch wichtig zu beachten, dass einige zu aggressive Einschränkungen bestimmte Funktionen oder Mitarbeiter, die von verschiedenen Standorten aus arbeiten, beeinträchtigen können. Daher ist es immer ratsam, jede Änderung zu testen, bevor sie in der Produktion angewendet wird.

Aktiviere die Zwei-Faktor-Authentifizierung (2FA)

Ein starkes Passwort reicht nicht mehr aus.

Die Lecks von Anmeldeinformationen werden immer häufiger, und viele Passwörter zirkulieren in öffentlichen Datenbanken, ohne dass der Eigentümer es überhaupt bemerkt.

Die Zwei-Faktor-Authentifizierung fügt eine zusätzliche Überprüfung hinzu, die unbefugte Zugriffe erheblich erschwert.

Selbst wenn ein Angreifer das Passwort herausfindet, benötigt er immer noch ein zweites Element, um sich anzumelden, normalerweise einen temporären Code, der in einer Authentifizierungs-App generiert wird, oder einen physischen Sicherheitsschlüssel.

In jedem WordPress-Projekt sollte 2FA für Administratoren obligatorisch und für Redakteure oder Benutzer mit erhöhten Berechtigungen sehr empfehlenswert sein.

Es ist eine der Maßnahmen mit dem besten Verhältnis zwischen Aufwand und Nutzen.

Verwende starke Passwörter und sichere Zugangsrichtlinien

Viele Einbrüche beginnen immer noch mit einem zu einfachen oder in mehreren Diensten wiederverwendeten Passwort.

Ein sicheres Passwort sollte sein:

• Einzigartig für jeden Dienst.
• Ausreichend lang.
• Schwer zu erraten.
• Wann immer möglich mit einem Passwort-Manager generiert.

Vermeide die Verwendung von Eigennamen, Geburtsdaten, dem Firmennamen oder anderen Daten, die leicht in sozialen Netzwerken zu finden sind.

Darüber hinaus ist es ratsam, regelmäßig zu überprüfen, wer Zugriff auf die Site hat.

In Projekten, die seit mehreren Jahren aktiv sind, ist es üblich, ehemalige Mitarbeiter, externe Mitarbeiter oder Agenturen zu finden, die Benutzer mit erhöhten Berechtigungen behalten, obwohl sie diese nicht mehr benötigen.

Die Anwendung des Prinzips der minimalen Berechtigung bedeutet, dass jeder Benutzer nur über die unbedingt erforderlichen Berechtigungen verfügen sollte, um seine Arbeit auszuführen.

Überprüfe die Rollen und Berechtigungen der Benutzer

Nicht alle Benutzer müssen Administratoren sein.

WordPress enthält verschiedene Rollen, um die Aktionen zu begrenzen, die jede Person ausführen kann.

Bevor du erhöhte Berechtigungen gewährst, solltest du dich fragen, ob sie wirklich notwendig sind.

Zum Beispiel:

• Ein Redakteur kann Inhalte veröffentlichen, ohne Plugins zu verwalten.
• Ein Editor kann Veröffentlichungen überprüfen, ohne die Site-Konfiguration zu ändern.
• Ein Entwickler benötigt möglicherweise während einer Migration vorübergehend Zugriff, aber nicht dauerhaft.

Die regelmäßige Überprüfung der registrierten Benutzer ermöglicht es, alte Konten, vergessene Zugänge oder übermäßige Berechtigungen zu erkennen, die das Risiko unnötig erhöhen.

In Sicherheitsprüfungen ist es überraschend häufig, Installationen mit mehreren Administratoren zu finden, die vor Jahren erstellt wurden und niemand mehr weiß, wofür sie dienten.

Erzwinge HTTPS auf der gesamten Site

Heutzutage reicht es nicht aus, nur die Hauptseite zu schützen.

Der gesamte Datenverkehr sollte verschlüsselt über HTTPS erfolgen, einschließlich:

• Das Admin-Panel.
• Das Anmeldeformular.
• Der öffentliche Bereich.
• Die APIs.
• Jeder Austausch vertraulicher Informationen.

Zusätzlich zur Verbesserung der Sicherheit schützt HTTPS die Sitzungscookies, verhindert die Manipulation des Datenverkehrs während der Übertragung und vermittelt sowohl den Benutzern als auch den Suchmaschinen mehr Vertrauen.

Glücklicherweise bieten die meisten Anbieter kostenlose SSL-Zertifikate an, die in wenigen Minuten aktiviert werden können.

Es reicht jedoch nicht aus, das Zertifikat zu installieren. Es ist auch ratsam zu überprüfen, dass keine Ressourcen über HTTP geladen werden (mixed content), da sie den Schutz der Site schwächen könnten.

Konfiguriere die Dateiberechtigungen und Ordner korrekt

Eine falsche Konfiguration der Berechtigungen kann unbefugte Änderungen oder sogar die Ausführung von bösartigem Code erleichtern.

In den meisten WordPress-Installationen sind die empfohlenen Berechtigungen in der Regel:

• 755 für Verzeichnisse.
• 644 für Dateien.

Diese Werte ermöglichen es WordPress, korrekt zu funktionieren, ohne mehr Berechtigungen zu gewähren, als notwendig sind.

Besondere Aufmerksamkeit verdient jedes Verzeichnis, das Schreibzugriff erlaubt, da es verwendet werden könnte, um bösartige Dateien hochzuladen, wenn eine Schwachstelle vorhanden ist.

Es ist auch ratsam zu überprüfen, dass die Dateien dem richtigen Benutzer gehören und zu permissive Berechtigungen wie 777 zu vermeiden, die in einer Produktionsumgebung praktisch nie verwendet werden sollten.

Schütze die kritischen Dateien von WordPress

Nicht alle Dateien haben die gleiche Bedeutung.

Einige enthalten besonders sensible Informationen oder ermöglichen es, das gesamte Verhalten der Site zu ändern.

Die wichtigsten sind:

• wp-config.php
• .htaccess
• xmlrpc.php (wenn nicht verwendet)
• alte Installationsdateien
• Verzeichnisse mit öffentlicher Dateiliste

Eine gute Praxis besteht darin, den direkten Zugriff auf diese Dateien vom Browser aus zu verhindern, wann immer dies möglich ist, und alle temporären Dateien, Backups oder Testskripte zu entfernen, die nach der Entwicklung vergessen wurden.

Eine versehentlich auf dem Server hinterlassene .zip-Datei mit einer Kopie der Website kann viel gefährlicher sein als eine Schwachstelle in WordPress selbst.

Deaktiviere unnötige Funktionen

Funktionalitäten zu reduzieren bedeutet auch, Risiken zu reduzieren.

Zum Beispiel wissen viele Administratoren nicht, dass WordPress es ermöglicht, PHP-Dateien direkt aus dem Admin-Panel zu bearbeiten.

Wenn ein Angreifer mit ausreichenden Berechtigungen Zugriff erhält, erleichtert ihm diese Funktionalität das Einfügen von bösartigem Code in Sekundenschnelle.

Deshalb wird empfohlen, die Bearbeitung von Dateien aus dem Panel über die entsprechende Konstante in wp-config.php zu deaktivieren.

Ebenso ist es ratsam, andere Elemente zu überprüfen, die du möglicherweise nie verwendest:

• XML-RPC, wenn keine Anwendung davon abhängt.
• Unbenutzte Dienste oder Endpunkte.
• Ausführung von Skripten in Verzeichnissen, die nur zur Speicherung von Dateien bestimmt sind.
• Veraltete Module, die keine Funktionalität mehr bieten.

Je kleiner die exponierte Oberfläche ist, desto weniger Möglichkeiten hat ein Angreifer, einen Einstiegspunkt zu finden.

Ändere das Tabellenpräfix, wenn es sich um eine neue Installation handelt

Viele Jahre lang verwendeten alle WordPress-Installationen das Präfix wp_ für die Datenbanktabellen.

Derzeit ist es weiterhin möglich, es während der Installation zu ändern, und dies fügt eine kleine zusätzliche Schutzschicht gegen bestimmte automatisierte Angriffe hinzu, die das Standardpräfix annehmen.

Es ist wichtig klarzustellen, dass es sich nicht um eine magische Lösung handelt.

Allein wird es keinen Einbruch verhindern, aber es kann einige automatisierte Angriffe erschweren und ist Teil des mehrschichtigen Verteidigungsansatzes, der für das Web-Hardening von WordPress charakteristisch ist.

Das Ändern des Präfixes in einer bereits vorhandenen Installation ist jedoch in der Regel ein heikler Prozess, der sorgfältig geplant werden muss, um Kompatibilitätsprobleme zu vermeiden.

Implementiere automatische und verifizierte Backups

Backups sind die letzte Verteidigungslinie, wenn alles andere fehlschlägt.

Eine kritische Schwachstelle, ein Fehler während eines Updates, ein Ransomware-Angriff oder sogar ein menschlicher Fehler können eine Site völlig unbrauchbar machen. In diesem Moment kann ein aktuelles Backup den Unterschied zwischen der Wiederherstellung der Website in wenigen Minuten oder dem Verlust von Tagen Arbeit ausmachen.

Es reicht jedoch nicht aus, Backups zu machen. Es muss auch sichergestellt werden, dass sie tatsächlich funktionieren.

Eine Backup-Strategie sollte mindestens diese Anforderungen erfüllen:

• Automatische Backups mit der richtigen Frequenz durchführen.
• Die Backups an einem anderen Ort als dem Server speichern.
• Mehrere historische Versionen aufbewahren.
• Die Wiederherstellung regelmäßig testen.

Die Frequenz hängt von der Art des Projekts ab. Ein Blog, der einen Artikel pro Monat veröffentlicht, benötigt nicht das gleiche Schutzniveau wie ein E-Commerce mit Bestellungen alle paar Minuten.

Wenn du noch nie versucht hast, ein Backup wiederherzustellen, kannst du nicht davon ausgehen, dass es funktioniert, wenn du es wirklich brauchst.

Verwende eine Firewall und Schutz vor Bots oder Brute-Force-Angriffen

Ein großer Teil des Traffics, den eine WordPress-Site erhält, stammt nicht von Personen, sondern von Bots.

Viele sind völlig legitim, wie Suchmaschinen-Crawler, aber andere versuchen, Schwachstellen zu finden, auf das Admin-Panel zuzugreifen oder bekannte Fehler auszunutzen.

Hier kommt eine Web Application Firewall (WAF) ins Spiel.

Eine Web-Firewall analysiert die Anfragen, bevor sie WordPress erreichen, und kann sie automatisch blockieren:

• Brute-Force-Angriffe.
• Versuche, bekannte Schwachstellen auszunutzen.
• Bösartiger Traffic.
• Automatisierte Bots.
• Verdächtige Anfragen.

Je nach Anbieter kann dieser Schutz über ein Plugin, auf Serverebene oder sogar bevor der Traffic das Hosting erreicht, implementiert werden.

In die Infrastruktur integrierte Lösungen bieten oft einen wichtigen Vorteil: Sie stoppen den Angriff, bevor er Ressourcen von WordPress verbraucht.

Scanne nach Malware und überwache die Integrität der Dateien

Nicht alle Angriffe führen zu einem sofortigen Ausfall der Website.

In vielen Fällen besteht das Ziel darin, bösartigen Code einzuführen, der wochen- oder monatelang verborgen bleibt.

Dieser Code kann verwendet werden, um:

• Spam zu versenden.
• Besucher umzuleiten.
• Malware zu verteilen.
• Versteckte Benutzer zu erstellen.
• Den Server für andere Angriffe zu nutzen.

Aus diesem Grund ist es ratsam, regelmäßige Scans durchzuführen, die unerwartete Änderungen an den Dateien der Site erkennen.

Viele Tools vergleichen automatisch die Dateien des WordPress-Kerns mit den offiziellen Versionen und alarmieren, wenn sie verdächtige Änderungen finden.

Die frühzeitige Erkennung ist oft einer der Faktoren, die den Einfluss eines Sicherheitsvorfalls am meisten reduzieren.

Überprüfe die Logs und verdächtige Aktivitäten

Die Serverprotokolle erzählen die Geschichte von allem, was auf einer Website passiert.

Ihre regelmäßige Analyse ermöglicht es, anomales Verhalten zu erkennen, lange bevor es zu einem ernsthaften Problem wird.

Einige Indikatoren, die überwacht werden sollten, sind:

• Mehrere fehlgeschlagene Anmeldeversuche.
• Unerwartete Erstellung neuer Benutzer.
• Änderungen an wichtigen Dateien.
• Hochladen unbekannter Dateien.
• Wiederholte Fehler.
• Ungewöhnliche Verkehrsspitzen.
• Massive Anfragen an eine einzige Ressource.

Zum Beispiel deutet der Empfang von Tausenden von Anfragen an wp-login.php in wenigen Minuten in der Regel auf einen automatisierten Brute-Force-Angriff hin.

Ebenso kann die Entdeckung, dass ein Administrator-Benutzer sich von einem Land aus angemeldet hat, in dem er nie arbeitet, eine sofortige Überprüfung rechtfertigen.

Die kontinuierliche Überwachung ermöglicht es, zu reagieren, bevor der Vorfall schwerwiegende Folgen hat.

Trenne Entwicklungs- und Produktionsumgebungen

Tests direkt auf einer funktionierenden Website durchzuführen, ist nie eine gute Idee.

Zusätzlich zum Risiko, sichtbare Fehler für die Besucher zu verursachen, können auch unsichere Konfigurationen eingeführt werden, die letztendlich in die Produktionsumgebung gelangen.

Es ist ratsam, immer mit einer Staging-Umgebung zu arbeiten, in der getestet werden kann:

• Wichtige Updates.
• Neue Plugins.
• Designänderungen.
• Serveränderungen.

Diese Umgebung sollte durch Authentifizierung geschützt sein und vor allem verhindern, dass sie von Suchmaschinen indexiert wird.

Es wäre nicht das erste Mal, dass eine Testkopie mit öffentlich zugänglichen vertraulichen Informationen in Google erscheint.

Halte PHP und den Server aktualisiert

Wenn es um die WordPress-Serversicherheit geht, konzentrieren sich viele Menschen nur auf das CMS und vergessen, dass auch die gesamte umgebende Software gewartet werden muss.

Nur WordPress zu aktualisieren, während deine Website weiterhin mit veralteten PHP-Versionen arbeitet, lässt einen wichtigen Teil der Angriffsfläche offen.

Das Aktualisieren des technischen Stacks bietet mehrere Vorteile:

• Bekannte Schwachstellen werden behoben.
• Die Leistung wird verbessert.
• Die Kompatibilität mit neuen WordPress-Versionen wird erhöht.
• Es können modernere Sicherheitsfunktionen verwendet werden.

Diese Überprüfung sollte auch die Datenbank, die Systembibliotheken und alle anderen Komponenten umfassen, die Teil der Ausführungsumgebung sind.

Die Wahl einer modernen PHP-Version hilft nicht nur, dein WordPress zu schützen, sondern verbessert auch die Ladezeiten und gewährleistet die Kompatibilität mit den neuesten CMS-Versionen.

Verstärke die Sicherheit des Hostings

Ein gut konfiguriertes WordPress kann weiterhin anfällig sein, wenn die Umgebung, in der es gehostet wird, keine Mindestgarantien bietet.

Deshalb sollte die Sicherheit des WordPress-Hostings auch Teil jeder Hardening-Strategie sein.

Bei der Auswahl eines Anbieters ist es ratsam, Aspekte wie die folgenden zu bewerten:

• Zwei-Faktor-Authentifizierung für den Zugriff auf das Kundenpanel.
• Zugriff über verschlüsseltes SSH oder SFTP.
• Einfach zu verwaltende SSL-Zertifikate.
• Automatische Backups.
• Ressourcenüberwachung.
• Isolation zwischen Konten.
• Regelmäßige Infrastruktur-Updates.

Zusammenfassend endet die Sicherheit nicht, wenn WordPress korrekt konfiguriert ist. Sie hängt auch von der Umgebung ab, die es jeden Tag am Laufen hält.

Serverseitige Hardening-Maßnahmen, die den Unterschied machen

Bisher haben wir Maßnahmen gesehen, die hauptsächlich vom Site-Administrator abhängen.

Viele der effektivsten Schutzschichten befinden sich jedoch eine Ebene tiefer: auf dem Server, auf dem WordPress ausgeführt wird.

Deshalb sollten wir beim Hardening auch auf die Umgebung achten, in der die Anwendung ausgeführt wird. Ein korrekt konfigurierter Server kann automatisierte Angriffe stoppen, den Einfluss einer Schwachstelle begrenzen und verhindern, dass ein Vorfall andere auf derselben Infrastruktur gehostete Sites betrifft.

WAF und Anwendungsregeln

Eine Web Application Firewall (WAF) analysiert jede HTTP-Anfrage, bevor sie WordPress erreicht.

Ihr Ziel ist es, bekannte Angriffsmuster zu identifizieren und sie automatisch zu blockieren. Unter anderem kann sie folgende Bedrohungen erkennen:

• Brute-Force-Versuche gegen das Admin-Panel.
• SQL-Injection-Angriffe.
• Cross-Site Scripting (XSS).
• Versuche, bösartige Dateien hochzuladen.
• Ausnutzung bekannter Schwachstellen in Plugins und Themes.

Im Gegensatz zu einem Sicherheits-Plugin kann eine auf dem Server implementierte WAF diese Anfragen stoppen, bevor sie Ressourcen von WordPress verbrauchen, wodurch sowohl das Risiko eines Einbruchs als auch die Serverlast reduziert werden.

Eine weit verbreitete Lösung ist ModSecurity, das es ermöglicht, Schutzregeln anzuwenden, die an Anwendungen wie WordPress angepasst sind, und diese Regeln zu aktualisieren, sobald neue Bedrohungen auftreten.

Schutz vor Brute-Force-Angriffen

Nicht alle Angriffe zielen darauf ab, eine Schwachstelle auszunutzen. Viele versuchen einfach, Anmeldeinformationen durch Tausende von Anmeldeversuchen zu erraten.

Tools wie Fail2Ban helfen, dieses Problem zu mindern, indem sie die Serverprotokolle überwachen und automatisch IP-Adressen blockieren, die verdächtiges Verhalten zeigen.

Wenn beispielsweise eine IP-Adresse innerhalb weniger Minuten Hunderte von Anmeldeversuchen unternimmt, kann sie vorübergehend blockiert werden, bevor WordPress die Anfragen verarbeitet.

Diese Art von Schutz reduziert den Ressourcenverbrauch und erschwert automatisierte Angriffe erheblich.

Isolation von Konten und Ressourcen

Einer der am wenigsten sichtbaren, aber wichtigsten Aspekte eines modernen Hostings ist die Isolation zwischen Konten.

Auf einem schlecht konfigurierten Shared-Server könnte eine Schwachstelle in einer Website die anderen auf derselben Maschine gehosteten Sites beeinträchtigen.

Zusätzlich zum Sicherheitsaspekt verbessert diese Isolation auch die Stabilität des Servers, indem verhindert wird, dass eine Site mit übermäßigem CPU- oder Speicherverbrauch die Leistung der anderen beeinträchtigt.

Schutz vor Malware und bösartiger Ausführung

Die aktuellen Angriffe zielen nicht immer darauf ab, eine Website außer Betrieb zu setzen. In vielen Fällen besteht das Ziel darin, bösartigen Code zu installieren, der so lange wie möglich verborgen bleibt.

Deshalb ist es so wichtig, verschiedene Schutzschichten auf dem Server zu kombinieren.

Zu den häufigsten Maßnahmen gehören:

• Automatische Malware-Scans.
• Überwachung von Änderungen an kritischen Dateien.
• Einschränkungen der Ausführung in Verzeichnissen, die nur zur Speicherung von Inhalten bestimmt sind.
• Automatische Quarantäne verdächtiger Dateien.
• Warnungen, wenn unerwartete Änderungen erkannt werden.

Diese Maßnahmen ermöglichen es, Probleme zu erkennen, selbst wenn der Angreifer Zugriff auf die Site erhalten hat, die Reaktionszeit zu verkürzen und die Wiederherstellung zu erleichtern.

Kontinuierliche Aktualisierung des technischen Stacks

Das Hardening beinhaltet auch die Aktualisierung aller Komponenten, die die Website betreiben.

Wir sprechen nicht nur von WordPress.

Auch die folgenden Komponenten müssen auf dem neuesten Stand gehalten werden:

• PHP
• Der Webserver (Apache, Nginx oder LiteSpeed)
• Die Datenbank
• OpenSSL
• Systembibliotheken
• Installierte Module

Eine Schwachstelle in einer dieser Komponenten kann die Site gefährden, auch wenn WordPress vollständig aktualisiert ist.

Wenn du einen Hosting-Anbieter verwendest, der seine Infrastruktur auf dem neuesten Stand hält, wird diese Aufgabe viel einfacher. Bei cdmon stellen wir dir beispielsweise die neuesten stabilen PHP-Versionen und MariaDB zur Verfügung, damit du deine Site auf dem neuesten Stand halten und sowohl von Sicherheits- als auch von Leistungsverbesserungen profitieren kannst.

Die Serversicherheit ist auch Teil des Hardening

Eine korrekt konfigurierte WordPress-Installation benötigt weiterhin eine sichere Umgebung, um das höchste Schutzniveau zu bieten.

Deshalb sollte das Hardening als eine mehrschichtige Strategie verstanden werden, bei der das CMS, der Server, das Betriebssystem, das Netzwerk und das Hosting eine Rolle spielen. Je mehr unabhängige Schichten zusammenarbeiten, desto geringer ist die Wahrscheinlichkeit, dass ein einziger Fehler das gesamte Projekt gefährdet.

Häufige Fehler beim Hardening in WordPress

Es ist wichtig, Sicherheitsmaßnahmen zu ergreifen, aber sie falsch umzusetzen, kann auch Probleme verursachen.

Dies sind einige der häufigsten Fehler, die wir in Sicherheitsprüfungen finden:

Denken, dass ein einziges Plugin alles löst

Sicherheits-Plugins sind sehr nützliche Werkzeuge, ersetzen jedoch keine vollständige Schutzstrategie.

Die Sicherheit hängt von vielen Faktoren ab: dem Server, den Updates, der Benutzerverwaltung, den Berechtigungen, den Backups und der Überwachung.

Inaktive Themes und Plugins installiert lassen

Auch wenn sie deaktiviert sind, bleiben sie als Code auf dem Server vorhanden.

Wenn sie eine bekannte Schwachstelle enthalten, können sie dennoch zu einem Einstiegspunkt werden.

Zu vielen Benutzern Administratorrechte gewähren

Es ist üblich, Administratorrechte «für alle Fälle» zu vergeben.

Das empfohlene Vorgehen ist genau das Gegenteil: immer das Prinzip der minimalen Berechtigung anzuwenden und nur die unbedingt erforderlichen Berechtigungen für jeden Benutzer zu gewähren.

Die Logs nie überprüfen

Viele Einbrüche könnten viel früher erkannt werden, wenn die Serverprotokolle regelmäßig überprüft würden.

Zu warten, bis die Website nicht mehr funktioniert, bedeutet oft, dass das Problem schon lange besteht.

Das Hosting vernachlässigen

Es nützt wenig, WordPress perfekt zu konfigurieren, wenn die Umgebung, in der es ausgeführt wird, nicht gewartet wird oder veraltete Softwareversionen verwendet.

Änderungen direkt in der Produktion vornehmen

Wichtige Plugins zu aktualisieren, Konfigurationen zu ändern oder neue Funktionen zu installieren, ohne sie vorher zu testen, kann unerwartete Fehler verursachen oder die Site unzugänglich machen.

Wann immer möglich, verwende eine Staging-Umgebung.

Eine zugängliche Testumgebung hinterlassen

Eine öffentlich zugängliche Entwicklungskopie kann Benutzer, Konfigurationen oder vertrauliche Informationen enthalten.

Wenn sie zudem veraltet ist, kann sie zu einem Zugangspunkt für den Rest der Infrastruktur werden.

Welche Aufgaben sollten wöchentlich, monatlich und vierteljährlich überprüft werden

Die beste Möglichkeit, die Sicherheit aufrechtzuerhalten, besteht darin, sie zur Routine zu machen.

Nicht alle Aufgaben erfordern die gleiche Häufigkeit.

Wöchentliche Aufgaben

Jede Woche ist es ratsam, Folgendes zu überprüfen:

• Verfügbarkeit der Site.
• Ausstehende WordPress-Updates.
• Updates von Plugins und Themes.
• Funktionieren der Backups.
• Verdächtige Zugriffsversuche.
• Anomaler Ressourcenverbrauch.

Diese Überprüfungen dauern nur wenige Minuten und ermöglichen es, Probleme zu erkennen, bevor sie eskalieren.

Monatliche Aufgaben

Einmal im Monat ist es ratsam, eine gründlichere Überprüfung durchzuführen.

Zum Beispiel:

• Überprüfung der registrierten Benutzer.
• Überprüfung der installierten Plugins.
• Entfernen von Komponenten, die nicht mehr verwendet werden.
• Analyse der Serverprotokolle.
• Durchführung eines vollständigen Malware-Scans.
• Überprüfung der Integrität der Hauptdateien.

Vierteljährliche Aufgaben

Jedes Quartal ist es ratsam, die Sicherheitsstrategie insgesamt zu überprüfen.

Unter anderem:

• Validierung, dass die Backups korrekt wiederhergestellt werden können.
• Überprüfung der Berechtigungen und Rollen.
• Überprüfung der Serverkonfigurationen.
• Bewertung des Hosting-Zustands.
• Überprüfung der Zugangsrichtlinien.
• Aktualisierung der Projektdokumentation.

Diese Art von Überprüfungen hilft, kleine Probleme zu erkennen, die im Laufe der Zeit zu erheblichen Risiken werden können.

Schnelle Checkliste zur Härtung für WordPress im Jahr 2026

Wenn du schnell den Zustand deiner Installation überprüfen möchtest, findest du hier die ultimative WordPress-Hardening-Checkliste, die die wichtigsten Maßnahmen zusammenfasst.

• ✅ WordPress aktualisiert.
• ✅ Plugins aktualisiert.
• ✅ Themes aktualisiert.
• ✅ Nicht verwendete Plugins und Themes entfernt.
• ✅ Zwei-Faktor-Authentifizierung aktiviert.
• ✅ Starke Passwörter für alle Benutzer.
• ✅ HTTPS auf der gesamten Site erzwungen.
• ✅ Dateiberechtigungen überprüft.
• ✅ wp-config.php geschützt.
• ✅ .htaccess korrekt konfiguriert.
• ✅ XML-RPC deaktiviert, wenn nicht verwendet.
• ✅ Firewall aktiv.
• ✅ Schutz vor Brute-Force-Angriffen.
• ✅ Regelmäßige Malware-Scans.
• ✅ Verifizierte Backups.
• ✅ Logs regelmäßig überprüft.
• ✅ PHP aktualisiert.
• ✅ Server aktualisiert.
• ✅ Staging-Umgebung.
• ✅ Regelmäßige Benutzerüberprüfung.

Je mehr Elemente du abhaken kannst, desto geringer ist die Angriffsfläche deiner Site.

Vergleich von Maßnahmen nach ihrem Einfluss

Fazit: Hardening ist keine einmalige Aufgabe, sondern eine Gewohnheit

Das WordPress-Hardening besteht nicht darin, ein Plugin zu installieren und die Sicherheit monatelang zu vergessen.

Es geht darum, eine auf Schichten basierende Strategie zu entwickeln, bei der das CMS, der Server, das Hosting, die Benutzer und die Wartungsprozesse eine Rolle spielen.

Die meisten erfolgreichen Angriffe nutzen relativ einfache Fehler aus: veraltete Versionen, schwache Passwörter, übermäßige Berechtigungen oder verlassene Komponenten.

Die gute Nachricht ist, dass all diese Fehler durch die Anwendung einer regelmäßigen Überprüfungsroutine verhindert werden können.

Das Befolgen einer Checkliste wie der, die wir gesehen haben, hilft dir, WordPress viel effektiver zu schützen, die Angriffsfläche zu reduzieren und schneller auf Vorfälle zu reagieren.

Und denk daran: Ein gutes Hosting ist auch Teil dieser Strategie. Automatische Backups, aktualisierte PHP-Versionen, Firewalls, SSL-Zertifikate und Serverüberwachung bieten eine zusätzliche Schutzschicht, die die innerhalb von WordPress geleistete Arbeit ergänzt.

Häufig gestellte Fragen

Was ist Hardening in WordPress?

Das Hardening in WordPress ist die Gesamtheit der Maßnahmen, die die Sicherheit der Site verstärken, um Risiken zu reduzieren, die Angriffsfläche zu begrenzen und unbefugte Zugriffe oder die Ausnutzung von Schwachstellen zu erschweren.

Was ist die wichtigste Maßnahme zum Schutz von WordPress?

WordPress, die Plugins und die Themes immer auf dem neuesten Stand zu halten, ist eine der effektivsten Maßnahmen, da viele Sicherheitslücken veraltete Versionen mit bekannten Schwachstellen ausnutzen.

Reicht es aus, ein Sicherheits-Plugin in WordPress zu installieren?

Nein. Ein Plugin kann helfen, ersetzt jedoch keine vollständige Strategie. Die Sicherheit hängt auch von den Updates, dem Hosting, den Passwörtern, den Berechtigungen, den Backups und der Serverkonfiguration ab.

Ist es ratsam, die Zwei-Faktor-Authentifizierung zu aktivieren?

Ja. Die Zwei-Faktor-Authentifizierung fügt dem Admin-Panel eine zusätzliche Schutzschicht hinzu und reduziert das Risiko unbefugter Zugriffe erheblich.

Welche WordPress-Dateien sollten besonders geschützt werden?

Die wichtigsten sind wp-config.php, .htaccess, der Zugriff auf wp-admin, die Seite wp-login.php und xmlrpc.php, wenn sie nicht verwendet wird.

Wie oft sollte die Sicherheit von WordPress überprüft werden?

Es wird empfohlen, jede Woche kleine Überprüfungen, jeden Monat umfassendere Überprüfungen und alle drei Monate allgemeine Audits durchzuführen.

Hängt das Hardening auch vom Hosting ab?

Ja. Ein sicheres Hosting hilft, die Site durch Firewalls, Isolation zwischen Konten, Backups, SSL-Zertifikate, aktualisierte PHP-Versionen und Infrastrukturüberwachung zu schützen.

Was sind die häufigsten Sicherheitsfehler in WordPress?

Die häufigsten sind die Verwendung schwacher Passwörter, das Nicht-Aktualisieren von Plugins, das Beibehalten inaktiver Themes, das Gewähren zu vieler Berechtigungen an Benutzer und das nie Überprüfen der Logs oder Backups.