Der ultimative Leitfaden zur WordPress-Sicherheit – Schritt für Schritt (2025)

Jeder WordPress-Website-Besitzer, den wir kennen, hatte diesen Moment der Panik, als ihm klar wurde, dass seine Website anfällig für Hacker sein könnte. Wir haben diese Lektion früh auf unserem Weg auf die harte Tour gelernt, als wir sahen, was Sicherheitsverletzungen für Unternehmen tun konnten.

Deshalb haben wir WPBeginner über die Jahre hinweg erfolgreich vor wiederholten Angriffen geschützt, indem wir die besten Sicherheitspakete verwendet und die bewährten Sicherheitspraktiken von WordPress befolgt haben.

WordPress-Sicherheit muss nicht kompliziert oder teuer sein. Die meisten Website-Besitzer denken, sie müssten Experten engagieren oder Tausende für Sicherheitstools ausgeben, aber das stimmt einfach nicht. Mit dem richtigen Ansatz und bewährten Strategien können Sie Ihre Website genauso schützen, wie wir unsere schützen.

Wir haben jahrelang Sicherheits-Plugins getestet, Best Practices implementiert und Tausenden von WordPress-Benutzern geholfen, ihre Websites zu sichern. In diesem Leitfaden führen wir Sie durch jeden Schritt, den wir unternehmen, um unsere Website sicher zu halten, damit Sie beruhigt schlafen können, wissend, dass Ihre WordPress-Website geschützt ist.

Während die WordPress-Kernsoftware sehr sicher ist und regelmäßig von Hunderten von Entwicklern geprüft wird, muss immer noch viel getan werden, um Ihre Website sicher zu halten.

Bei WPBeginner glauben wir, dass Sicherheit nicht nur die Beseitigung von Risiken bedeutet. Es geht auch um Risikominimierung. Als Website-Besitzer können Sie viel tun, um die Sicherheit Ihrer WordPress-Installation zu verbessern, auch wenn Sie kein Technikexperte sind.

Deshalb haben wir eine WordPress-Sicherheitscheckliste mit umsetzbaren Schritten zusammengestellt, die Sie ergreifen können, um Ihre Website vor Sicherheitslücken zu schützen.

Um es Ihnen leicht zu machen, haben wir ein Inhaltsverzeichnis erstellt, das Ihnen hilft, sich in unserem ultimativen WordPress-Sicherheitsleitfaden zurechtzufinden.

Inhaltsverzeichnis

Grundlagen der WordPress-Sicherheit

• Warum WordPress-Sicherheit wichtig ist
• Halten Sie WordPress auf dem neuesten Stand
• Verwenden Sie starke Passwörter und Benutzerberechtigungen
• Verstehen Sie die Rolle von WordPress-Hosting

WordPress-Sicherheit in einfachen Schritten (ohne Programmierung)

• Installieren Sie eine WordPress-Backup-Lösung
• Installieren Sie ein seriöses WordPress-Sicherheits-Plugin
• Aktivieren Sie eine Web Application Firewall (WAF)
• Verschieben Sie Ihre WordPress-Site zu SSL/HTTPS

WordPress-Sicherheit für Heimwerker

• Ändern Sie den Standard-Admin-Benutzernamen
• Dateibearbeitung deaktivieren
• Deaktivieren Sie die Ausführung von PHP-Dateien in bestimmten WordPress-Verzeichnissen
• Anmeldeversuche begrenzen
• Zwei-Faktor-Authentifizierung (2FA) hinzufügen
• Ändern Sie das WordPress-Datenbankpräfix
• WordPress-Admin- und Anmeldeseite mit Passwort schützen
• Verzeichnisindizierung und -browsing deaktivieren
• XML-RPC in WordPress deaktivieren
• Inaktive Benutzer in WordPress automatisch abmelden
• Sicherheitsfragen zur WordPress-Anmeldung hinzufügen
• WordPress auf Malware und Schwachstellen scannen
• Eine gehackte WordPress-Website reparieren

Bereit? Legen wir los.

Warum Website-Sicherheit wichtig ist

Eine gehackte WordPress-Website kann Ihrem Geschäftseinkommen und Ihrem Ruf ernsthaften Schaden zufügen. Hacker können Benutzerinformationen und Passwörter stehlen, bösartige Software installieren und sogar Malware an Ihre Benutzer verteilen.

Im schlimmsten Fall müssen Sie möglicherweise Lösegeld an Hacker zahlen, nur um wieder Zugriff auf Ihre Website zu erhalten.

Jeden Tag warnt Google 12-14 Millionen Nutzer, dass eine Website, die sie besuchen möchten, möglicherweise Malware enthält oder Informationen stiehlt.

Darüber hinaus listet Google täglich über 10.000 Websites wegen Malware oder Phishing.

So wie Geschäftsinhaber mit einem physischen Standort für die Sicherung ihres Eigentums verantwortlich sind, müssen Online-Geschäftsinhaber ihrer WordPress-Sicherheit besondere Aufmerksamkeit schenken.

[Zurück nach oben ↑]

Halten Sie WordPress auf dem neuesten Stand

WordPress ist Open-Source-Software und wird regelmäßig gewartet und aktualisiert. Standardmäßig installiert WordPress automatisch kleinere Updates.

Bei Hauptversionen müssen Sie das Update manuell initiieren.

WordPress verfügt auch über Tausende von Plugins und Themes, die Sie auf Ihrer Website installieren können. Diese Plugins und Themes werden von Drittanbietern gepflegt, die regelmäßig Updates veröffentlichen.

Diese WordPress-Updates sind entscheidend für die Sicherheit und Stabilität Ihrer WordPress-Website. Sie müssen sicherstellen, dass Ihr WordPress Core, Plugins und Theme auf dem neuesten Stand sind.

[Zurück nach oben ↑]

Verwenden Sie starke Passwörter und Benutzerberechtigungen

Die häufigsten WordPress-Hacking-Versuche nutzen gestohlene Passwörter. Sie können dies jedoch erschweren, indem Sie stärkere, einzigartige Passwörter für Ihre Website verwenden.

Wir sprechen nicht nur über den WordPress-Adminbereich. Denken Sie daran, starke Passwörter für Ihre FTP-Konten, Datenbanken, WordPress-Hosting-Konten und benutzerdefinierten E-Mail-Adressen zu erstellen, die den Domainnamen Ihrer Website verwenden.

Viele Anfänger mögen keine starken Passwörter, weil sie schwer zu merken sind. Das Gute ist, dass Sie sich Passwörter nicht mehr merken müssen, da Sie einfach einen Passwortmanager verwenden können.

Sehen Sie sich unseren Leitfaden zur Verwaltung von WordPress-Passwörtern an, um weitere Informationen zu erhalten.

Eine weitere Möglichkeit, das Risiko zu verringern, besteht darin, niemandem Zugriff auf Ihr WordPress-Admin-Konto zu gewähren, es sei denn, Sie müssen es unbedingt.

Wenn Sie ein großes Team oder Gastautoren haben, stellen Sie sicher, dass Sie die Benutzerrollen und Berechtigungen in WordPress verstehen, bevor Sie neue Benutzerkonten und Autoren zu Ihrer WordPress-Site hinzufügen.

[Zurück nach oben ↑]

Verstehen Sie die Rolle von WordPress-Hosting

Ihr WordPress-Hosting-Service spielt die wichtigste Rolle für die Sicherheit Ihrer WordPress-Website. Ein guter Shared-Hosting-Anbieter wie Hostinger, Bluehost oder SiteGround ergreift zusätzliche Maßnahmen, um seine Server vor gängigen Bedrohungen zu schützen.

Hier sind nur einige Möglichkeiten, wie gute Webhosting-Unternehmen im Hintergrund daran arbeiten, Ihre Websites und Daten zu schützen:

• Sie überwachen ihr Netzwerk kontinuierlich auf verdächtige Aktivitäten.
• Alle guten Hosting-Unternehmen verfügen über Tools, um groß angelegte DDoS-Angriffe zu verhindern.
• Sie halten ihre Serversoftware, PHP-Versionen und Hardware auf dem neuesten Stand, um zu verhindern, dass Hacker eine bekannte Sicherheitslücke in einer alten Version ausnutzen.
• Sie verfügen über einsatzbereite Notfallwiederherstellungs- und Unfallpläne, mit denen sie Ihre Daten im Falle eines größeren Unfalls schützen können.

Bei einem Shared-Hosting-Plan teilen Sie die Serverressourcen mit vielen anderen Kunden. Es besteht die Gefahr einer seitenübergreifenden Kontamination, bei der ein Hacker eine benachbarte Website nutzen kann, um Ihre Website anzugreifen.

Im Gegensatz dazu bietet die Nutzung eines Managed WordPress Hosting-Services eine sicherere Plattform für Ihre Website. Managed WordPress Hosting-Unternehmen bieten automatische Backups, automatische WordPress-Updates und erweiterte Sicherheitskonfigurationen zum Schutz Ihrer Website.

Wir empfehlen SiteGround als unseren bevorzugten verwalteten WordPress-Hosting-Anbieter. Sie haben reaktionsschnellen Support, schnelle Server und ausgezeichnete Zuverlässigkeit.

Stellen Sie sicher, dass Sie das beste Angebot erhalten, indem Sie unseren speziellen SiteGround Gutschein verwenden.

[Zurück nach oben ↑]

WordPress-Sicherheit in wenigen einfachen Schritten (ohne Programmierung)

Wir wissen, dass die Verbesserung der WordPress-Sicherheit für Anfänger beängstigend sein kann, besonders wenn Sie nicht technisch versiert sind. Wissen Sie was – Sie sind nicht allein.

Wir haben Tausenden von WordPress-Benutzern geholfen, ihre WordPress-Sicherheit zu stärken.

Wir zeigen Ihnen, wie Sie die Sicherheit Ihrer WordPress-Installation mit nur wenigen Klicks verbessern können (keine Programmierung erforderlich).

Wenn Sie mit der Maus zeigen und klicken können, können Sie das tun!

1. Installieren Sie eine WordPress-Backup-Lösung

Backups sind Ihre erste Verteidigungslinie gegen jeden WordPress-Angriff. Denken Sie daran, nichts ist 100% sicher. Wenn staatliche Websites gehackt werden können, dann auch Ihre.

Backups ermöglichen es Ihnen, Ihre WordPress-Website im Falle eines Problems schnell wiederherzustellen.

Es gibt viele kostenlose und kostenpflichtige WordPress-Backup-Plugins, die Sie verwenden können. Das Wichtigste, was Sie über Backups wissen müssen, ist, dass Sie regelmäßig vollständige Website-Backups an einem entfernten Speicherort (nicht auf Ihrem Hosting-Konto) speichern müssen.

Wir empfehlen, sie auf einem Cloud-Dienst wie Amazon, Dropbox oder privaten Clouds wie Stash zu speichern.

Je nachdem, wie oft Sie Ihre Website aktualisieren, ist die ideale Einstellung entweder einmal täglich oder Echtzeit-Backups.

Glücklicherweise kann dies einfach durch die Verwendung von Plugins wie Duplicator, UpdraftPlus oder BlogVault erfolgen. Sie sind beide zuverlässig und vor allem einfach zu bedienen (keine Programmierung erforderlich).

Weitere Details finden Sie in unserem Leitfaden zur Sicherung Ihrer WordPress-Website.

[Zurück nach oben ↑]

Installieren Sie ein seriöses WordPress-Sicherheits-Plugin

Nach den Backups ist der nächste Schritt die Einrichtung eines Prüfungs- und Überwachungssystems, das alles auf Ihrer Website verfolgt.

Dies umfasst die Überwachung der Dateintegrität, fehlgeschlagene Anmeldeversuche, Malware-Scans und mehr.

Glücklicherweise können Sie dies leicht beheben, indem Sie eines der besten WordPress-Sicherheits-Plugins installieren, wie z. B. Sucuri.

Sie müssen das kostenlose Sucuri Security Plugin installieren und aktivieren. Weitere Details finden Sie in unserer Schritt-für-Schritt-Anleitung zum Installieren eines WordPress-Plugins.

Nun können Sie zu Sucuri Security » Dashboard gehen, um zu sehen, ob das Plugin sofortige Probleme mit Ihrem WordPress-Code gefunden hat.

Als Nächstes müssen Sie zur Seite Sucuri Security » Einstellungen navigieren und auf die Registerkarte „Härtung“ klicken.

Die Standardeinstellungen funktionieren für die meisten Websites gut, sodass Sie sie aktivieren können, indem Sie für jede Option auf die Schaltfläche „Härtung anwenden“ klicken.

Dies hilft Ihnen, die wichtigsten Bereiche zu sichern, die Hacker häufig bei ihren Angriffen nutzen.

Nach dem Härtungsteil sind die anderen Standardeinstellungen des Plugins für die meisten Websites gut genug und müssen nicht geändert werden.

Das Einzige, was wir zur Anpassung empfehlen, sind E-Mail-Benachrichtigungen, die Sie im Tab „Benachrichtigungen“ auf der Einstellungsseite finden.

Standardmäßig erhalten Sie viele E-Mail-Benachrichtigungen, die Ihren Posteingang überfüllen können.

Wir empfehlen, Benachrichtigungen nur für wichtige Aktionen zu aktivieren, über die Sie informiert werden möchten, wie z. B. Plugin-Änderungen und neue Benutzerregistrierungen.

Dieses WordPress-Sicherheits-Plugin ist sehr leistungsfähig. Durchsuchen Sie daher alle Registerkarten und Einstellungen, um zu sehen, was es alles kann, wie z. B. Malware-Scans, Audit-Protokolle, Verfolgung fehlgeschlagener Anmeldeversuche und mehr.

Weitere Informationen finden Sie in unserem detaillierten Sucuri-Testbericht.

Aktivieren Sie eine Web Application Firewall (WAF)

Die Verwendung einer Web Application Firewall (WAF) ist der einfachste Weg, Ihre Website zu schützen und sich Ihrer WordPress-Sicherheit sicher zu sein.

Eine Website-Firewall blockiert den gesamten bösartigen Datenverkehr, bevor er Ihre Website überhaupt erreicht.

• Eine DNS-basierte Website-Firewall leitet Ihren Website-Traffic über ihre Cloud-Proxy-Server. Dadurch kann nur legitimer Traffic an Ihren Webserver gesendet werden.
• Eine anwendungsbezogene Firewall prüft den Traffic, sobald er Ihren Server erreicht, aber bevor die meisten WordPress-Skripte geladen werden. Diese Methode ist nicht so effizient wie die DNS-Firewall, um die Serverlast zu reduzieren.

Weitere Informationen finden Sie in unserer Liste der besten WordPress-Firewall-Plugins.

Wir haben Sucuri auf WPBeginner viele Jahre lang verwendet und empfehlen es immer noch als eine der besten Web Application Firewalls für WordPress. Wir sind kürzlich von Sucuri zu Cloudflare gewechselt, da wir ein größeres CDN-Netzwerk mit Funktionen benötigten, die sich stärker auf Unternehmenskunden konzentrierten.

Sie können nachlesen, wie Sucuri uns geholfen hat, 450.000 WordPress-Angriffe in einem Monat zu blockieren.

Der beste Teil an der Firewall von Sucuri ist, dass sie auch eine Garantie für Malware-Bereinigung und Entfernung von Blacklists beinhaltet. Das bedeutet, dass sie, falls Sie unter ihrer Aufsicht gehackt werden, garantieren, Ihre Website zu reparieren, egal wie viele Seiten Sie haben.

Dies ist eine ziemlich starke Garantie, da die Reparatur gehackter Websites teuer ist. Sicherheitsexperten berechnen normalerweise mehr als 250 US-Dollar pro Stunde, während Sie den gesamten Sucuri-Sicherheitsstapel für 199 US-Dollar für ein ganzes Jahr erhalten können.

Das gesagt, Sucuri ist nicht der einzige Anbieter von DNS-Firewalls. Der andere beliebte Konkurrent ist Cloudflare. Sehen Sie unseren Vergleich von Sucuri vs. Cloudflare (Vor- und Nachteile).

[Zurück nach oben ↑]

Verschieben Sie Ihre WordPress-Site zu SSL/HTTPS

SSL (Secure Sockets Layer) ist ein Protokoll, das die Datenübertragung zwischen Ihrer Website und dem Browser des Benutzers verschlüsselt. Diese Verschlüsselung erschwert es jemandem, herumzuschnüffeln und Informationen zu stehlen.

Sobald Sie SSL aktivieren, verwendet Ihre Website-Adresse HTTPS anstelle von HTTP. Sie sehen auch ein Vorhängeschloss- oder ein ähnliches Symbol neben Ihrer Website-Adresse im Browser.

SSL-Zertifikate werden in der Regel von Zertifizierungsstellen ausgestellt, und ihre Preise beginnen bei 80 US-Dollar bis zu Hunderten von Dollar pro Jahr. Aufgrund der zusätzlichen Kosten entschieden sich die meisten Website-Besitzer in der Vergangenheit dafür, das unsichere Protokoll weiterhin zu verwenden.

Um dies zu beheben, beschloss eine gemeinnützige Organisation namens Let’s Encrypt, Website-Besitzern kostenlose SSL-Zertifikate anzubieten. Ihr Projekt wird von Google Chrome, Facebook, Mozilla und vielen weiteren Unternehmen unterstützt.

Es ist einfacher denn je, SSL für alle Ihre WordPress-Websites zu verwenden. Viele Hosting-Unternehmen bieten jetzt ein kostenloses SSL-Zertifikat für Ihre WordPress-Website an.

Wenn Ihr Hosting-Unternehmen keines anbietet, können Sie ein SSL-Zertifikat von Domain.com erwerben. Sie haben die besten und zuverlässigsten SSL-Angebote auf dem Markt. Das Zertifikat wird mit einer Sicherheitsgarantie von 10.000 US-Dollar und einem TrustLogo-Sicherheitsiegel geliefert.

WordPress-Sicherheit für Heimwerker

Wenn Sie alles tun, was wir bisher erwähnt haben, dann sind Sie ziemlich gut aufgestellt.

Aber wie immer gibt es noch mehr, das Sie tun können, um Ihre WordPress-Sicherheit zu erhöhen.

Beachten Sie, dass einige dieser Schritte möglicherweise Programmierkenntnisse erfordern.

Ändern Sie den Standard-Admin-Benutzernamen

Früher war der Standard-WordPress-Admin-Benutzername 'admin'. Da Benutzernamen die Hälfte der Anmeldedaten ausmachen, machte dies es Hackern leichter, Brute-Force-Angriffe durchzuführen.

Glücklicherweise hat WordPress dies inzwischen geändert und verlangt nun, dass Sie bei der Installation von WordPress einen benutzerdefinierten Benutzernamen auswählen.

Einige 1-Klick-WordPress-Installer legen jedoch immer noch den Standard-Admin-Benutzernamen auf „admin“ fest. Wenn Sie feststellen, dass dies der Fall ist, ist es wahrscheinlich eine gute Idee, Ihr Webhosting zu wechseln.

Da WordPress standardmäßig keine Änderung von Benutzernamen zulässt, gibt es drei Methoden, mit denen Sie den Benutzernamen ändern können.

1. Erstellen Sie einen neuen Admin-Benutzernamen und löschen Sie den alten.
2. Verwenden Sie das Plugin Username Changer
3. Benutzernamen über phpMyAdmin aktualisieren

Wir haben alle drei davon in unserem detaillierten Leitfaden unter So ändern Sie Ihren WordPress-Benutzernamen richtig behandelt.

[Zurück nach oben ↑]

Dateibearbeitung deaktivieren

WordPress verfügt über einen integrierten Code-Editor, mit dem Sie Ihre Theme- und Plugin-Dateien direkt aus Ihrem WordPress-Adminbereich bearbeiten können.

In den falschen Händen kann diese Funktion ein Sicherheitsrisiko darstellen, weshalb wir empfehlen, sie zu deaktivieren.

Sie können dies ganz einfach tun, indem Sie den folgenden Code zu Ihrer wp-config.php-Datei hinzufügen oder mit einem Code-Snippet-Plugin wie WPCode (empfohlen):

// Disallow file edit
define( 'DISALLOW_FILE_EDIT', true );

Wir zeigen Ihnen in unserem Leitfaden Schritt für Schritt, wie Sie die Theme- und Plugin-Editoren im WordPress-Admin-Bereich deaktivieren.

Alternativ können Sie dies mit 1-Klick über die Härtungsfunktion im oben genannten kostenlosen Sucuri-Plugin tun.

[Zurück nach oben ↑]

Deaktivieren Sie die Ausführung von PHP-Dateien in bestimmten WordPress-Verzeichnissen

Eine weitere Möglichkeit, Ihre WordPress-Sicherheit zu erhöhen, besteht darin, die Ausführung von PHP-Dateien in Verzeichnissen zu deaktivieren, in denen sie nicht benötigt wird, wie z. B. in /wp-content/uploads/.

Sie können dies tun, indem Sie einen Texteditor wie Notepad öffnen und diesen Code einfügen:

<Files *.php>
deny from all
</Files>

Als Nächstes müssen Sie diese Datei als .htaccess speichern und sie mit einem FTP-Client in den Ordner /wp-content/uploads/ auf Ihrer Website hochladen.

Eine detailliertere Erklärung finden Sie in unserem Leitfaden unter So deaktivieren Sie die PHP-Ausführung in bestimmten WordPress-Verzeichnissen.

Alternativ können Sie dies mit einem Klick über die Härtungsfunktion im kostenlosen Sucuri-Plugin tun, das wir oben erwähnt haben.

[Zurück nach oben ↑]

Anmeldeversuche begrenzen

Standardmäßig erlaubt WordPress Benutzern, sich beliebig oft anzumelden. Dies macht Ihre WordPress-Site anfällig für Brute-Force-Angriffe. Hier versuchen Hacker, Passwörter zu knacken, indem sie sich mit verschiedenen Kombinationen anmelden.

Dies kann leicht behoben werden, indem die Anzahl der fehlgeschlagenen Anmeldeversuche eines Benutzers begrenzt wird. Wenn Sie die zuvor erwähnte Web Application Firewall verwenden, wird dies automatisch erledigt.

Wenn Sie jedoch keine Firewall eingerichtet haben, können Sie mit den folgenden Schritten fortfahren.

Zuerst müssen Sie das kostenlose Limit Login Attempts Reloaded Plugin installieren und aktivieren. Weitere Details finden Sie in unserer Schritt-für-Schritt-Anleitung zur Installation eines WordPress-Plugins.

Nach der Aktivierung beginnt das Plugin, die Anzahl der Anmeldeversuche zu begrenzen, die Benutzer unternehmen können.

Die Standardeinstellungen funktionieren für die meisten Websites. Sie können sie jedoch anpassen, indem Sie zur Seite Einstellungen » Anmeldeversuche begrenzen gehen und oben auf die Registerkarte „Einstellungen“ klicken. Um beispielsweise die DSGVO-Gesetze einzuhalten, können Sie das Kontrollkästchen „DSGVO-Konformität“ aktivieren.

Detaillierte Anweisungen finden Sie in unserem Leitfaden, wie und warum Sie Anmeldeversuche in WordPress einschränken sollten: wie und warum Sie Anmeldeversuche in WordPress einschränken sollten.

[Zurück nach oben ↑]

Zwei-Faktor-Authentifizierung (2FA) hinzufügen

Die Methode der Zwei-Faktor-Authentifizierung erfordert 2 verschiedene Schritte für Benutzer, um sich anzumelden:

1. Der erste Schritt ist Benutzername und Passwort.
2. Der zweite Schritt erfordert, dass Sie einen Code von einem Gerät oder einer App verwenden, die Sie besitzen und auf die Hacker keinen Zugriff haben, wie z. B. Ihr Smartphone.

Die meisten Top-Online-Websites wie Google, Facebook und Twitter erlauben Ihnen, dies für Ihre Konten zu aktivieren. Sie können dieselbe Funktionalität auch zu Ihrer WordPress-Website hinzufügen.

Zuerst müssen Sie das Plugin WP 2FA – Two-factor Authentication installieren und aktivieren. Weitere Details finden Sie in unserer Schritt-für-Schritt-Anleitung zum Installieren eines WordPress-Plugins.

Ein benutzerfreundlicher Assistent hilft Ihnen bei der Einrichtung des Plugins, und anschließend erhalten Sie einen QR-Code.

Sie müssen den QR-Code mit einer Authentifizierungs-App auf Ihrem Telefon scannen, z. B. Google Authenticator, Authy oder LastPass Authenticator.

Wir empfehlen die Verwendung von LastPass Authenticator oder Authy, da diese es Ihnen ermöglichen, Ihre Konten in der Cloud zu sichern. Dies ist sehr nützlich, falls Ihr Telefon verloren geht, zurückgesetzt wird oder Sie ein neues Telefon kaufen. Alle Ihre Kontenanmeldungen werden einfach wiederhergestellt.

Die meisten dieser Apps funktionieren auf ähnliche Weise, und wenn Sie Authy verwenden, klicken Sie einfach in der Authenticator-App auf die Schaltfläche „+“ oder „Konto hinzufügen“.

Damit können Sie den QR-Code auf Ihrem Computer mit der Kamera Ihres Telefons scannen. Möglicherweise müssen Sie der App zuerst die Berechtigung zum Zugriff auf die Kamera erteilen.

Nachdem Sie dem Konto einen Namen gegeben haben, können Sie es speichern.

Wenn Sie sich das nächste Mal bei Ihrer Website anmelden, werden Sie nach dem Zwei-Faktor-Authentifizierungscode gefragt, nachdem Sie Ihr Passwort eingegeben haben.

Öffnen Sie einfach die Authenticator-App auf Ihrem Telefon, und Sie sehen einen Einmalcode.

Sie können dann den Code auf Ihrer Website eingeben, um die Anmeldung abzuschließen.

[Zurück nach oben ↑]

Ändern Sie das WordPress-Datenbankpräfix

Standardmäßig verwendet WordPress wp_ als Präfix für alle Tabellen in Ihrer WordPress-Datenbank.

Wenn Ihre WordPress-Site das Standard-Datenbankpräfix verwendet, erleichtert dies Hackern das Erraten Ihres Tabellennamens. Deshalb empfehlen wir, es zu ändern.

Sie können Ihr Datenbankpräfix ändern, indem Sie unserer Schritt-für-Schritt-Anleitung unter Anleitung zum Ändern des WordPress-Datenbankpräfixes zur Verbesserung der Sicherheit folgen.

[Zurück nach oben ↑]

WordPress-Admin- und Anmeldeseite mit Passwort schützen

Normalerweise können Hacker ohne Einschränkungen auf Ihren wp-admin-Ordner und Ihre Login-Seite zugreifen. Dies ermöglicht es ihnen, ihre Hacking-Tricks auszuprobieren oder DDoS-Angriffe durchzuführen.

Sie können auf Serverebene zusätzlichen Passwortschutz hinzufügen, der diese Anfragen effektiv blockiert.

Befolgen Sie einfach unsere Schritt-für-Schritt-Anleitung unter So schützen Sie Ihr WordPress-Admin-Verzeichnis (wp-admin) mit einem Passwort.

[Zurück nach oben ↑]

Verzeichnisindizierung und -browsing deaktivieren

Wenn Sie die Adresse eines Ihrer Website-Ordner in einen Webbrowser eingeben, wird die Webseite index.html angezeigt, falls sie existiert. Wenn sie nicht existiert, wird stattdessen eine Liste der Dateien in diesem Ordner angezeigt. Dies ist als Verzeichnis-Browsing bekannt.

Die Verzeichnisdurchsuchung kann von Hackern genutzt werden, um herauszufinden, ob Sie Dateien mit bekannten Schwachstellen haben, damit sie diese Dateien ausnutzen können, um Zugriff zu erhalten.

Das Verzeichnis-Browsing kann auch von anderen Personen genutzt werden, um Ihre Dateien einzusehen, Bilder zu kopieren, Ihre Verzeichnisstruktur und andere Informationen herauszufinden. Deshalb wird dringend empfohlen, die Verzeichnisindizierung und das Browsing zu deaktivieren.

Sie müssen sich mit Ihrer Website über FTP oder den Dateimanager Ihres Hosting-Providers verbinden. Suchen Sie als Nächstes die Datei .htaccess im Stammverzeichnis Ihrer Website. Wenn Sie sie dort nicht sehen können, lesen Sie unseren Leitfaden, warum Sie die .htaccess-Datei in WordPress nicht sehen können.

Danach müssen Sie die folgende Zeile am Ende der .htaccess-Datei hinzufügen:

Optionen -Indizes

Vergessen Sie nicht, die .htaccess-Datei zu speichern und wieder auf Ihre Website hochzuladen.

Weitere Informationen zu diesem Thema finden Sie in unserem Artikel zum Deaktivieren des Verzeichnis-Browsings in WordPress.

[Zurück nach oben ↑]

XML-RPC in WordPress deaktivieren

XML-RPC ist eine Kern-API von WordPress, die hilft, Ihre WordPress-Site mit Web- und mobilen Apps zu verbinden. Es ist seit WordPress 3.5 standardmäßig aktiviert.

Jedoch kann XML-RPC aufgrund seiner leistungsstarken Natur Brute-Force-Angriffe erheblich verstärken.

Wenn ein Hacker beispielsweise traditionell 500 verschiedene Passwörter auf Ihrer Website ausprobieren wollte, müsste er 500 separate Anmeldeversuche unternehmen. Das Plugin Limit Login Attempts Reloaded kann dies erkennen und blockieren.

Aber mit XML-RPC kann ein Hacker die Funktion system.multicall verwenden, um Tausende von Passwörtern mit sagen wir 20 oder 50 Anfragen auszuprobieren.

Deshalb empfehlen wir Ihnen, XML-RPC zu deaktivieren, wenn Sie es nicht verwenden.

Es gibt 3 Möglichkeiten, XML-RPC in WordPress zu deaktivieren, und wir haben alle in unserem Schritt-für-Schritt-Tutorial zu So deaktivieren Sie XML-RPC in WordPress behandelt.

Alternativ wird dies automatisch erledigt, wenn Sie eine Web Application Firewall (WAF) verwenden, wie wir bereits erwähnt haben.

[Zurück nach oben ↑]

Inaktive Benutzer in WordPress automatisch abmelden

Angemeldete Benutzer können den Bildschirm manchmal verlassen, und dies stellt ein Sicherheitsrisiko dar. Jemand kann ihre Sitzung kapern, Passwörter ändern oder Änderungen an ihrem Konto vornehmen.

Deshalb melden sich viele Banken- und Finanzseiten automatisch von inaktiven Benutzern ab. Sie können eine ähnliche Funktionalität auch auf Ihrer WordPress-Site einrichten.

Sie müssen das Plugin Inactive Logout installieren und aktivieren. Nach der Aktivierung besuchen Sie die Seite Einstellungen » Inactive Logout, um die Abmeldeeinstellungen anzupassen.

Legen Sie einfach die Zeitdauer fest und fügen Sie eine Abmeldemeldung hinzu. Vergessen Sie dann nicht, unten auf der Seite auf die Schaltfläche „Änderungen speichern“ zu klicken, um Ihre Einstellungen zu speichern.

Schritt-für-Schritt-Anleitungen finden Sie in unserem Leitfaden unter So melden Sie inaktive Benutzer in WordPress automatisch ab.

[Zurück nach oben ↑]

Sicherheitsfragen zum WordPress-Anmeldebildschirm hinzufügen

Das Hinzufügen einer Sicherheitsfrage zu Ihrem WordPress-Anmeldebildschirm erschwert es jemandem, unbefugten Zugriff zu erhalten.

Sie können Sicherheitsfragen hinzufügen, indem Sie das Plugin Two Factor Authentication installieren. Nach der Aktivierung müssen Sie die Seite Multi-Factor Authentication » Two Factor besuchen, um die Einstellungen des Plugins zu konfigurieren.

Dies ermöglicht Ihnen, verschiedene Arten der Zwei-Faktor-Authentifizierung zu Ihrer Website hinzuzufügen, einschließlich Sicherheitsfragen.

Detailliertere Anweisungen finden Sie in unserem Tutorial zum Hinzufügen von Sicherheitsfragen zum WordPress-Anmeldebildschirm.

[Zurück nach oben ↑]

WordPress auf Malware und Schwachstellen scannen

Wenn Sie ein WordPress-Sicherheits-Plugin installiert haben, prüft dieses routinemäßig auf Malware und Anzeichen von Sicherheitsverletzungen.

Wenn Sie jedoch einen plötzlichen Rückgang des Website-Traffics oder der Suchrankings feststellen, sollten Sie manuell nach Malware suchen. Sie können dies mit Ihrem WordPress-Sicherheit-Plugin oder einem der besten Malware- und Sicherheits-Scanner tun.

Das Ausführen dieser Online-Scans ist ziemlich einfach. Sie geben einfach die URL Ihrer Website ein, und die Crawler durchsuchen Ihre Website nach bekannter Malware und bösartigem Code.

Beachten Sie jedoch, dass die meisten WordPress-Sicherheits-Scanner Sie nur warnen können, wenn Ihre Website Malware enthält. Sie können die Malware nicht entfernen oder eine gehackte WordPress-Website bereinigen.

Das bringt uns zum nächsten Abschnitt: Bereinigung von Malware und gehackten WordPress-Websites.

[Zurück nach oben ↑]

Eine gehackte WordPress-Website reparieren

Viele WordPress-Benutzer erkennen die Bedeutung von Backups und Website-Sicherheit erst, wenn ihre Website gehackt wurde.

Hacker installieren Hintertüren auf betroffenen Websites, und wenn diese Hintertüren nicht richtig behoben werden, wird Ihre Website wahrscheinlich erneut gehackt.

Für abenteuerlustige und DIY-Benutzer haben wir eine Schritt-für-Schritt-Anleitung zum Reparieren einer gehackten WordPress-Website zusammengestellt.

Die Bereinigung einer WordPress-Website kann jedoch sehr schwierig und zeitaufwändig sein. Unser Rat wäre, einen Profi damit zu beauftragen.

Wenn Sie für die Nutzung des oben genannten Sucuri-Sicherheits-Plugins bezahlen, ist die Reparatur gehackter Websites im Preis inbegriffen.

Andernfalls können Sie sich unsere Empfehlungen für die besten WordPress-Support-Agenturen ansehen, um Fachleute zu finden, die Ihre gehackte Website für Sie reparieren können.

[Zurück nach oben ↑]

FAQs zur WordPress-Sicherheit

Da die Sicherheit von WordPress so wichtig ist, werden uns regelmäßig Fragen dazu gestellt. Hier sind Antworten auf häufig gestellte Fragen zum Schutz von WordPress-Websites vor Angriffen.

Ist WordPress sicher zu verwenden?

WordPress ist darauf ausgelegt, sicher zu sein, insbesondere wenn Sie es regelmäßig aktualisieren. Da es jedoch so beliebt ist, zielen Hacker oft auf WordPress-Websites ab.

Aber keine Sorge. Indem Sie einfache Sicherheitstipps befolgen, wie die in diesem Artikel, können Sie die Wahrscheinlichkeit, dass jemand Ihre Website hackt, erheblich reduzieren.

Was kann meine WordPress-Website gefährden?

Es gibt verschiedene Möglichkeiten, wie Hacker versuchen, auf Websites zuzugreifen. Zu den häufigsten Bedrohungen gehören das Erraten von Passwörtern, die Installation schädlicher Software (Malware) und das Ausnutzen von Schwachstellen im Code Ihrer Website, um Informationen zu stehlen oder die Kontrolle zu übernehmen.

Wie oft sollte ich meine WordPress-Website aktualisieren?

Es ist sehr wichtig, Ihre WordPress-Website, Themes und Plugins auf dem neuesten Stand zu halten. Neue Updates enthalten oft Korrekturen für Sicherheitsprobleme. Versuchen Sie, automatische Updates zu verwenden oder prüfen Sie mindestens einmal pro Woche selbst auf Updates und installieren Sie diese schnell.

Benötige ich ein spezielles Plugin für die Sicherheit?

Sie müssen kein Sicherheit-Plugin verwenden, aber sie können Ihre Website erheblich sicherer machen. Sicherheit-Plugins fungieren als zusätzliche Wachen für Ihre Website und schützen Sie vor Hackern und Malware.

Woher weiß ich, ob jemand meine Website gehackt hat?

Wenn Sie seltsame Dinge auf Ihrer Website bemerken, könnte dies ein Zeichen dafür sein, dass Sie gehackt wurden. Dies könnte beinhalten, dass neue Benutzer oder Dateien angezeigt werden, die Sie nicht erstellt haben, Ihre Website Besucher auf andere Websites weiterleitet, Ihre Website langsam läuft oder Sie Warnungen von Google oder Ihrem Webhosting-Anbieter erhalten.

Was soll ich tun, wenn meine Website gehackt wird?

Wenn Sie glauben, dass Ihre Website gehackt wurde, geraten Sie nicht in Panik, sondern handeln Sie schnell. Sie können sich an Ihr Webhosting-Unternehmen wenden und um Hilfe bitten. Sie können auch ein Sicherheitspaket verwenden oder einen Sicherheitsexperten bitten, Ihre Website zu bereinigen.

Wenn Sie ein Backup Ihrer Website haben, stellen Sie es aus diesem Backup wieder her. Stellen Sie sicher, dass Sie alle Ihre Passwörter ändern, einschließlich der für Ihren WordPress-Adminbereich, Ihre Datenbank und Ihr FTP.

Wir hoffen, dieser Artikel hat Ihnen geholfen, die besten Praktiken zum Schutz Ihrer Website und unsere empfohlenen WordPress-Sicherheitschecklisten zu lernen. Möglicherweise möchten Sie auch unsere Liste der Top-Gründe, warum WordPress-Websites gehackt werden und unsere Expertenauswahl der besten WordPress-Sicherheits-Plugins sehen.

Wenn Ihnen dieser Artikel gefallen hat, abonnieren Sie bitte unseren YouTube-Kanal für WordPress-Video-Tutorials. Sie finden uns auch auf Twitter und Facebook.