WordPress wird nicht gehackt, weil es schlecht ist, sondern weil es überall läuft – Angriffe erfolgen automatisiert, und laut Patchstack lagen 2025 91 % der neuen Lücken in Plugins, 9 % in Themes. Der Schutz-Fünfkampf: zeitnahe Updates (Core, Plugins, Themes, PHP), externe Backups mit Rückspiel-Test, radikale Plugin-Hygiene (deinstallieren statt deaktivieren), abgesicherte Logins (kein „admin", starke Passwörter, 2FA, Versuchs-Limit) und HTTPS.
- Patchstack zählte 2025 11.334 neue WordPress-Lücken: 91 % in Plugins, 9 % in Themes, nur 6 im Kern.
- Inaktive Plugins/Themes sind trotzdem angreifbar: deinstallieren statt nur deaktivieren.
- Backups (Dateien + Datenbank) extern speichern und das Zurückspielen einmal testen.
- Warnzeichen für einen Hack: fremde Weiterleitungen/Werbung, unbekannte Admin-Benutzer, Google-Warnung, Spam „von Ihrer Domain".
Gehackte WordPress-Seiten, die wir auf den Tisch bekommen, haben fast immer dieselbe Vorgeschichte: monatelang keine Updates, ein Dutzend halb vergessener Plugins, kein Backup – und ein Admin-Login mit dünnem Passwort. Keiner dieser Punkte ist schwer zu beheben. Man muss es nur tun – regelmäßig.
Warum ausgerechnet WordPress?
Nicht weil WordPress schlecht wäre – sondern weil es überall ist. Angriffe laufen automatisiert: Bots durchsuchen rund um die Uhr Websites nach bekannten Lücken. Und die stecken fast nie im WordPress-Kern: Von den 11.334 neuen Sicherheitslücken, die der Sicherheitsanbieter Patchstack für 2025 gezählt hat, lagen 91 % in Plugins und 9 % in Themes – im Kern waren es ganze sechs. Wer aktuell hält und wenig installiert, entzieht den Bots die Angriffsfläche.
1. Updates – die wichtigste Maßnahme überhaupt
- Core, Themes und Plugins zeitnah aktualisieren – veröffentlichte Sicherheitsupdates sind zugleich eine öffentliche Anleitung für Angreifer, die Lücke bei allen zu suchen, die nicht updaten.
- Automatische Updates für kleinere Versionen aktiv lassen (WordPress spielt sie standardmäßig selbst ein); größere Updates kontrolliert einspielen (vorher Backup!).
- Auch die PHP-Version beim Hoster aktuell halten – PHP 8.0 und 8.1 bekommen keine Sicherheits-Fixes mehr, PHP 8.2 nur noch bis Ende 2026.
2. Backups – Ihre Rückversicherung
Ein aktuelles, extern gespeichertes Backup (nicht nur am selben Webspace!) macht aus einem Hack ein Ärgernis statt einer Katastrophe: Seite zurückspielen, Lücke schließen, weiter. Automatisieren Sie tägliche oder wöchentliche Sicherungen von Dateien + Datenbank und testen Sie das Zurückspielen einmal – die Grundsätze aus unserem Ratgeber Daten sichern gelten auch für Websites.
3. Plugin-Hygiene: weniger ist sicherer
- Deinstallieren statt deaktivieren: Auch inaktive Plugins und Themes sind angreifbarer Code.
- Nur Plugins aus vertrauenswürdiger Quelle, die aktiv gepflegt werden (letztes Update, Kompatibilität, Verbreitung prüfen). Keine „Nulled“-/Raubkopie-Plugins – sie bekommen keine offiziellen Updates und sind ein bekannter Weg für eingeschleusten Schadcode.
- Faustregel: Jedes Plugin muss seinen Platz verdienen. Zehn gute schlagen dreißig halbtote.
4. Logins absichern
- Kein Benutzer „admin“, starke einzigartige Passwörter (siehe Sichere Passwörter) und Zwei-Faktor-Authentifizierung für alle Administratoren.
- Login-Versuche begrenzen (Brute-Force-Schutz) – per Plugin oder auf Serverebene.
- Rollen sauber vergeben: Redakteure brauchen keine Admin-Rechte; ausgeschiedene Benutzer löschen.
5. Technische Basis: SSL & Hosting
HTTPS ist Pflicht – für Vertrauen, Datenschutz und Google. Ob Ihr Zertifikat gültig ist und sauber ausgeliefert wird, prüfen Sie mit unserem SSL-Zertifikat-Checker. Ein ordentlicher Hoster mit täglichen eigenen Sicherungen, aktueller PHP-Version und Firewall ist die halbe Miete – beim Billigsten der Billigen sparen Sie an der falschen Stelle.
Woran Sie merken, dass etwas nicht stimmt
- Die Seite wird plötzlich langsam, zeigt fremde Werbung oder leitet Besucher um.
- Google warnt („Diese Website wurde möglicherweise gehackt“) oder Rankings brechen ein – prüfen Sie den Status mit dem Google-Index-Checker.
- Unbekannte Admin-Benutzer, geänderte Dateien, Spam-Mails „von Ihrer Domain“.
- Tote Links und Fehlerseiten häufen sich – ein schneller Rundum-Blick gelingt mit dem Broken-Link-Checker.
Wenn Ihnen das alles zu viel ist
Genau dafür gibt es Wartungsverträge: Wir halten WordPress-Seiten aktuell, gesichert und überwacht – zum planbaren Fixpreis. Und wenn die ständige Pflege grundsätzlich nicht zu Ihrer Website passt, lohnt der Blick auf schlankere Alternativen: WordPress-Alternative: Wann sich ein eigenes CMS lohnt.
Quellen
- Patchstack: State of WordPress Security in 2026 (25.02.2026) – 11.334 neue Sicherheitslücken im WordPress-Ökosystem im Jahr 2025, davon 91 % in Plugins, 9 % in Themes, 6 im WordPress-Kern. Abgerufen am 02.10.2026.
- WordPress.org: Upgrading WordPress – automatische Hintergrund-Updates für kleinere Core-Versionen; seit WordPress 5.6 bei Neuinstallationen auch für größere Versionen. Abgerufen am 02.10.2026.
- PHP Group: Supported Versions – PHP 8.0 und 8.1 ohne Sicherheitsupdates; 8.2 bis 31.12.2026, 8.3 bis 31.12.2027, 8.4 bis 31.12.2028, 8.5 bis 31.12.2029. Abgerufen am 02.10.2026.
Häufige Fragen
Wie oft muss ich WordPress aktualisieren?
Sicherheitsupdates so schnell wie möglich – sobald eine Lücke veröffentlicht ist, suchen Bots automatisiert nach Seiten, die noch nicht aktualisiert haben. Praktikabel sind automatische Updates für kleinere Versionen plus ein fixer Wartungsrhythmus (mindestens monatlich) für alles andere, inklusive PHP-Version beim Hoster.
Woran erkenne ich, dass meine WordPress-Seite gehackt wurde?
Typische Anzeichen: Die Seite leitet Besucher um oder zeigt fremde Werbung, Google warnt („möglicherweise gehackt") oder Rankings brechen ein, unbekannte Administratoren tauchen auf, oder es wird Spam von Ihrer Domain verschickt. Im Verdachtsfall alle Passwörter ändern und die Seite professionell bereinigen lassen – oberflächliches Putzen lässt die Hintertür offen.
Welche Plugins brauche ich für die Sicherheit?
Weniger, als die Werbung verspricht: ein Brute-Force-Schutz (Login-Versuche begrenzen), 2FA für Admins und ein zuverlässiges Backup-Plugin decken das Wichtigste ab. Entscheidender als zusätzliche Security-Plugins ist Reduktion: jedes nicht zwingend nötige Plugin deinstallieren – und niemals „Nulled"-Raubkopien verwenden.
Was kostet professionelle WordPress-Wartung?
Bei DERKAUFMANN gibt es die WordPress-Wartung als planbare Monatspauschale; den Betrag für Ihre Website nennen wir Ihnen im Angebot. Enthalten sind Updates, externe Sicherungen, Sicherheitsprüfung und ein regelmäßiger Bericht. Verglichen mit den Kosten einer gehackten Seite (Bereinigung, Ausfall, Reputationsschaden) rechnet sich das schnell.
Fazit
WordPress ist so sicher, wie es gepflegt wird: zeitnahe Updates, externe Backups, radikale Plugin-Hygiene, abgesicherte Logins (2FA, kein „admin“) und HTTPS wehren die allermeisten automatisierten Angriffe ab. Der Aufwand ist überschaubar – verglichen mit den Kosten einer gehackten Seite ist er ein Schnäppchen.
Keine Zeit oder Lust darauf? Unser Wartungsservice übernimmt das komplett – zum planbaren Fixpreis.
