WordPress-Sicherheit hängt weniger am Kern des Systems als an dem, was darum herum installiert ist. Die meisten bekannt gewordenen Sicherheitslücken im WordPress-Umfeld betreffen Plugins und Themes – oft solche, die nicht mehr gepflegt werden oder schon lange auf ein Update warten. Dazu kommen schwache Passwörter und unsichere Einstellungen.
Mit Shieldgaps, unserem eigenen Werkzeug für Sicherheitsanalysen, prüfen wir WordPress-Installationen gezielt auf diese Schwachstellen. Als WordPress-Entwickler setzen wir die Empfehlungen danach auch selbst um – vom Update bis zum Ersatz eines unsicheren Plugins.
Wir beginnen mit einer vollständigen Bestandsaufnahme Ihrer Installation. Shieldgaps gleicht die Versionen von WordPress, Plugins und Themes mit bekannten Schwachstellen ab und prüft die Konfiguration. Dabei achten wir besonders auf Erweiterungen, die seit langer Zeit nicht mehr aktualisiert oder im offiziellen Plugin-Verzeichnis geschlossen wurden, und auf Premium-Themes aus zweifelhaften Quellen – solche „kostenlosen“ Kopien enthalten nicht selten Schadcode.
Außerdem sehen wir uns Benutzerkonten und Rollen an, die Dateirechte auf dem Server, die PHP-Version und Einstellungen, über die sich unnötig viele Informationen über Ihre Website auslesen lassen.
Härtung bedeutet, Angriffsmöglichkeiten gezielt zu verringern. Dazu gehören eine Zwei-Faktor-Anmeldung für alle Konten mit Administratorrechten, eine Begrenzung fehlgeschlagener Anmeldeversuche und Rollen, die nur die Rechte enthalten, die jemand wirklich braucht. Plugins und Themes, die nicht genutzt werden, entfernen wir vollständig, statt sie nur zu deaktivieren.
In der Konfiguration lässt sich zum Beispiel der Datei-Editor im Dashboard abschalten, damit ein übernommenes Konto nicht direkt Code verändern kann. Schnittstellen wie XML-RPC, die Sie nicht benötigen, schränken wir ein. Und wir sorgen dafür, dass Ihre Website auf einer aktuellen, noch unterstützten PHP-Version läuft.
Updates sind der wirksamste Schutz – und zugleich der Moment, in dem am ehesten etwas kaputtgeht. Kleinere Sicherheitsupdates des WordPress-Kerns installiert das System standardmäßig selbst, Plugins und Themes brauchen dagegen Aufmerksamkeit. Wir spielen Updates nach einer Sicherung ein, prüfen danach die wichtigsten Funktionen wie Formulare oder Bestellungen und können bei Problemen auf den vorherigen Stand zurückgehen.
Diese Routine übernehmen wir im Rahmen unserer Website-Wartung dauerhaft. Die WordPress-Website einer Spezialistin für Treuhand, Revision, Steuern und Unternehmensberatung haben wir zum Beispiel umgesetzt und betreuen sie bis heute. Bei der WordPress-Website einer Künstlerin haben wir die Betreuung übernommen.
Wenn eine WordPress-Website bereits kompromittiert ist, zählt ein ruhiges, geordnetes Vorgehen. Zuerst sichern wir den aktuellen Zustand, damit sich später nachvollziehen lässt, was passiert ist. Dann ändern wir alle Zugangsdaten – für WordPress, Datenbank, Hosting und FTP –, entfernen Schadcode und unbekannte Benutzerkonten und ersetzen Kern, Plugins und Themes durch saubere Originalversionen.
Entscheidend ist, die ausgenutzte Lücke zu finden und zu schließen; sonst ist die Website nach kurzer Zeit wieder betroffen. Hat Google eine Warnung angezeigt, beantragen wir nach der Bereinigung eine Überprüfung in der Search Console. Wurden personenbezogene Daten abgegriffen, können Meldepflichten nach der DSGVO bestehen – hier empfehlen wir rechtlichen Rat.
Schicken Sie uns die Adresse Ihrer WordPress-Website. Wir prüfen den Zustand und sagen Ihnen, welche Maßnahmen dringend sind – auch, wenn bereits etwas passiert ist.
Unser Studio liegt in Königstein im Taunus. Wir kommen zu Ihnen oder sprechen per Video-Call – hier finden Sie unsere Seiten für Ihren Ort:
Ein Sicherheits-Plugin kann helfen, etwa mit einer Begrenzung von Anmeldeversuchen oder einer Firewall auf Anwendungsebene. Es ersetzt aber keine Updates, keine sauberen Zugänge und keine sichere Server-Konfiguration – und ist selbst ein weiteres Plugin, das gepflegt werden muss.
Typische Hinweise sind unbekannte Administrator-Konten, Weiterleitungen auf fremde Seiten, seltsame Einträge in den Suchergebnissen, Warnungen im Browser oder eine Sperrung durch den Hoster. Manchmal bleibt ein Angriff aber lange unbemerkt – ein regelmäßiger Sicherheitscheck schafft hier Klarheit.
Ja. Zu Beginn prüfen wir die Installation auf Sicherheitslücken und veraltete Erweiterungen und sagen Ihnen, was dringend ist. Danach kümmern wir uns um Updates, Härtung und Sicherungen – auch bei Websites, die ursprünglich jemand anderes gebaut hat.
