Die häufigsten WordPress-Sicherheitsprobleme aus unserer Praxis
Veraltete Plugins
Der mit Abstand häufigste Einfallsweg. Plugins werden installiert, vergessen,
nicht aktualisiert. Sicherheitslücken bleiben offen. Bei Sites, die wir übernehmen,
finden wir oft 5–15 inaktive oder veraltete Plugins. Lösung: alles, was nicht
gebraucht wird, deinstallieren – nicht nur deaktivieren.
Schwache Login-Daten
admin/admin123 ist immer noch keine Seltenheit. Brute-Force-Bots
probieren tausende Kombinationen pro Stunde. Lösung: starke Passwörter,
Two-Factor-Authentifizierung, Login-URL ändern, IP-basiertes Limiting.
Keine Trennung zwischen Live und Staging
Updates direkt auf Live einzuspielen ist Hochrisiko. Wenn ein Plugin-Update
die Site zerschießt, ist sie sofort offline. Lösung: Staging-Umgebung
einrichten, Updates dort testen, dann sauber auf Live übertragen.
Fehlende Sicherungs-Layer im Server
Eine WordPress-Site, die ohne Reverse-Proxy, Web Application Firewall oder
zumindest sauberer .htaccess-Konfiguration läuft, ist allen Bot-Wellen direkt
ausgesetzt. Lösung: Server-Layer härten, nicht nur die Site selbst.
Wartung statt Notfall: Wie wir vorgehen
Wöchentliche Update-Routine
Updates für WordPress-Core, Plugins und Themes laufen wöchentlich – aber nie blind.
Vor jedem Update: Staging-Umgebung prüfen, Plugin-Update einzeln einspielen,
Site-Funktionen testen, dann erst auf Live. Bei Konflikten: zurück zur vorherigen
Version, Plugin-Hersteller kontaktieren, Workaround suchen.
Monatliche Sicherheits-Checks
Einmal im Monat: Login-Logs durchgehen, Audit-Logs prüfen, ungewöhnliche
Datei-Änderungen erkennen, Plugin-Liste auf neue Sicherheitsmeldungen abklopfen.
Ergebnis fließt in den monatlichen Klartext-Report ein.
Sofortmaßnahmen bei Vorfällen
Wenn doch etwas passiert: in der Regel innerhalb weniger Stunden Reaktion. Site
offline nehmen, Schadcode lokalisieren, sauberes Backup einspielen, Sicherheitslücke
schließen, alle Passwörter neu setzen, Site wieder online. Bei harten Notfällen
läuft parallel der 24/7-IT-Notdienst
als Eskalationsweg.
Was Wartung nicht ist
Drei Erwartungen, die wir geradeziehen müssen:
- Wartung ist keine 100-%-Garantie.Auch bei sauberer Pflege gibt es Zero-Day-Lücken und gezielte Angriffe. Wartung reduziert das Risiko massiv, schließt es aber nie zu null aus.
- Wartung ersetzt kein Backup-Konzept.Sicherheit und Backup arbeiten Hand in Hand – beide brauchen Aufmerksamkeit. Details: Backup & Recovery.
- Wartung macht keine Plugins gut, die schlecht sind.Wenn ein Plugin Sicherheitsprobleme häuft, hilft es manchmal nichts: Plugin austauschen statt patchen.