WordPress wird nicht gehackt, weil es schlecht ist, sondern weil es überall läuft – Angriffe erfolgen automatisiert, über 90 % der Lücken stecken in Plugins und Themes. Der Schutz-Fünfkampf: zeitnahe Updates (Core, Plugins, Themes, PHP), externe Backups mit Rückspiel-Test, radikale Plugin-Hygiene (deinstallieren statt deaktivieren), abgesicherte Logins (kein „admin", starke Passwörter, 2FA, Versuchs-Limit) und HTTPS.
- Über 90 % der WordPress-Sicherheitslücken stecken in Plugins/Themes – nicht im Kern.
- Inaktive Plugins/Themes sind trotzdem angreifbar: deinstallieren statt nur deaktivieren.
- Backups (Dateien + Datenbank) extern speichern und das Zurückspielen einmal testen.
- Warnzeichen für einen Hack: fremde Weiterleitungen/Werbung, unbekannte Admin-Benutzer, Google-Warnung, Spam „von Ihrer Domain".
Gehackte WordPress-Seiten, die wir auf den Tisch bekommen, haben fast immer dieselbe Vorgeschichte: monatelang keine Updates, ein Dutzend halb vergessener Plugins, kein Backup – und ein Admin-Login mit dünnem Passwort. Keiner dieser Punkte ist schwer zu beheben. Man muss es nur tun – regelmäßig.
Warum ausgerechnet WordPress?
Nicht weil WordPress schlecht wäre – sondern weil es überall ist. Angriffe laufen automatisiert: Bots klappern rund um die Uhr Millionen Websites nach bekannten Lücken ab, über 90 % davon stecken in Plugins und Themes, nicht im WordPress-Kern. Wer aktuell hält und wenig installiert, entzieht den Bots die Angriffsfläche.
1. Updates – die wichtigste Maßnahme überhaupt
- Core, Themes und Plugins zeitnah aktualisieren – veröffentlichte Sicherheitsupdates sind zugleich eine öffentliche Anleitung für Angreifer, die Lücke bei allen zu suchen, die nicht updaten.
- Automatische Updates für kleinere Versionen aktivieren; größere Updates kontrolliert einspielen (vorher Backup!).
- Auch die PHP-Version beim Hoster aktuell halten – alte PHP-Versionen bekommen keine Sicherheits-Fixes mehr.
2. Backups – Ihre Rückversicherung
Ein aktuelles, extern gespeichertes Backup (nicht nur am selben Webspace!) macht aus einem Hack ein Ärgernis statt einer Katastrophe: Seite zurückspielen, Lücke schließen, weiter. Automatisieren Sie tägliche oder wöchentliche Sicherungen von Dateien + Datenbank und testen Sie das Zurückspielen einmal – die Grundsätze aus unserem Ratgeber Daten sichern gelten auch für Websites.
3. Plugin-Hygiene: weniger ist sicherer
- Deinstallieren statt deaktivieren: Auch inaktive Plugins und Themes sind angreifbarer Code.
- Nur Plugins aus vertrauenswürdiger Quelle, die aktiv gepflegt werden (letztes Update, Kompatibilität, Verbreitung prüfen). Keine „Nulled“-/Raubkopie-Plugins – die enthalten fast immer Schadcode.
- Faustregel: Jedes Plugin muss seinen Platz verdienen. Zehn gute schlagen dreißig halbtote.
4. Logins absichern
- Kein Benutzer „admin“, starke einzigartige Passwörter (siehe Sichere Passwörter) und Zwei-Faktor-Authentifizierung für alle Administratoren.
- Login-Versuche begrenzen (Brute-Force-Schutz) – per Plugin oder auf Serverebene.
- Rollen sauber vergeben: Redakteure brauchen keine Admin-Rechte; ausgeschiedene Benutzer löschen.
5. Technische Basis: SSL & Hosting
HTTPS ist Pflicht – für Vertrauen, Datenschutz und Google. Ob Ihr Zertifikat gültig ist und sauber ausgeliefert wird, prüfen Sie mit unserem SSL-Zertifikat-Checker. Ein ordentlicher Hoster mit täglichen eigenen Sicherungen, aktueller PHP-Version und Firewall ist die halbe Miete – beim Billigsten der Billigen sparen Sie an der falschen Stelle.
Woran Sie merken, dass etwas nicht stimmt
- Die Seite wird plötzlich langsam, zeigt fremde Werbung oder leitet Besucher um.
- Google warnt („Diese Website wurde möglicherweise gehackt“) oder Rankings brechen ein – prüfen Sie den Status mit dem Google-Index-Checker.
- Unbekannte Admin-Benutzer, geänderte Dateien, Spam-Mails „von Ihrer Domain“.
- Tote Links und Fehlerseiten häufen sich – ein schneller Rundum-Blick gelingt mit dem Broken-Link-Checker.
Wenn Ihnen das alles zu viel ist
Genau dafür gibt es Wartungsverträge: Wir halten WordPress-Seiten aktuell, gesichert und überwacht – zum planbaren Fixpreis. Und wenn die ständige Pflege grundsätzlich nicht zu Ihrer Website passt, lohnt der Blick auf schlankere Alternativen: WordPress-Alternative: Wann sich ein eigenes CMS lohnt.
Häufige Fragen
Wie oft muss ich WordPress aktualisieren?
Sicherheitsupdates so schnell wie möglich – sobald eine Lücke veröffentlicht ist, suchen Bots automatisiert nach Seiten, die noch nicht aktualisiert haben. Praktikabel sind automatische Updates für kleinere Versionen plus ein fixer Wartungsrhythmus (mindestens monatlich) für alles andere, inklusive PHP-Version beim Hoster.
Woran erkenne ich, dass meine WordPress-Seite gehackt wurde?
Typische Anzeichen: Die Seite leitet Besucher um oder zeigt fremde Werbung, Google warnt („möglicherweise gehackt") oder Rankings brechen ein, unbekannte Administratoren tauchen auf, oder es wird Spam von Ihrer Domain verschickt. Im Verdachtsfall alle Passwörter ändern und die Seite professionell bereinigen lassen – oberflächliches Putzen lässt die Hintertür offen.
Welche Plugins brauche ich für die Sicherheit?
Weniger, als die Werbung verspricht: ein Brute-Force-Schutz (Login-Versuche begrenzen), 2FA für Admins und ein zuverlässiges Backup-Plugin decken das Wichtigste ab. Entscheidender als zusätzliche Security-Plugins ist Reduktion: jedes nicht zwingend nötige Plugin deinstallieren – und niemals „Nulled"-Raubkopien verwenden.
Was kostet professionelle WordPress-Wartung?
Wartungsverträge für typische Firmen-Websites liegen im überschaubaren zweistelligen Monatsbereich – enthalten sind Updates, externe Backups, Monitoring und schnelle Hilfe im Problemfall. Verglichen mit den Kosten einer gehackten Seite (Bereinigung, Ausfall, Reputationsschaden) rechnet sich das schnell.
Fazit
WordPress ist so sicher, wie es gepflegt wird: zeitnahe Updates, externe Backups, radikale Plugin-Hygiene, abgesicherte Logins (2FA, kein „admin“) und HTTPS wehren die allermeisten automatisierten Angriffe ab. Der Aufwand ist überschaubar – verglichen mit den Kosten einer gehackten Seite ist er ein Schnäppchen.
Keine Zeit oder Lust darauf? Unser Wartungsservice übernimmt das komplett – zum planbaren Fixpreis.
