WordPress absichern und warten: was wirklich schützt

Ich baue selbst keine WordPress-Seiten. Trotzdem bekomme ich regelmäßig Anrufe von Betrieben mit einer gehackten WordPress-Installation, weil ihr damaliger Dienstleister nicht mehr erreichbar ist. Aus diesen Fällen ist dieser Artikel entstanden.

Er ist ausdrücklich nicht als Argument gegen WordPress gemeint. Das System läuft laut W3Techs auf 40,7 Prozent aller Websites, und der größte Teil davon läuft problemlos. Die Fälle, die bei mir landen, haben fast immer denselben Ursprung: Niemand war für Updates zuständig.

Was die Zahlen tatsächlich sagen

Der Patchstack-Bericht State of WordPress Security in 2026 ist die belastbarste öffentliche Quelle zum Thema. Die Kernzahlen für 2025:

Die letzte Zeile ist die unangenehmste. Viele Betriebe glauben, ihr Hoster passe auf. Nach diesen Zahlen tut er das nur in einem Bruchteil der Fälle wirksam. Und die Zeile mit den 46 Prozent bedeutet: Es gibt Zeitfenster, in denen die einzige richtige Maßnahme darin besteht, ein Plugin zu deaktivieren, statt auf ein Update zu warten.

Die sechs Maßnahmen, die den Unterschied machen

1. Weniger Plugins

Die wirksamste Maßnahme ist Subtraktion. Jedes Plugin ist fremder Code mit Datenbankzugriff. Gehen Sie Ihre Liste durch und stellen Sie zu jedem Eintrag zwei Fragen: Wird das benutzt? Wurde es in den letzten sechs Monaten aktualisiert? Was bei beiden Fragen ein Nein liefert, kommt weg, nicht auf inaktiv. Deaktivierte Plugins liegen weiterhin auf dem Server und sind weiterhin angreifbar.

In den Installationen, die ich zu sehen bekomme, sind es typischerweise 25 bis 40 Plugins, davon ein Drittel überflüssig. Häufig zwei Werkzeuge für dieselbe Aufgabe, weil vor drei Jahren jemand etwas ausprobiert hat.

2. Sicherheitsupdates automatisieren

WordPress kann automatische Updates für den Kern, für Plugins und für Themes. Bei Fünf-Stunden-Medianen bis zum ersten Angriff ist Automatik die einzige realistische Antwort für einen Betrieb ohne eigene IT. Das Gegenargument, ein Update könne die Seite zerlegen, ist berechtigt. Die Lösung dafür heißt Backup vor dem Update und eine Prüfung danach, nicht Updates weglassen.

3. Backups, die getestet sind

Ein Backup, das noch nie zurückgespielt wurde, ist eine Hoffnung. Drei Anforderungen: Es liegt nicht auf demselben Server wie die Website, es umfasst Dateien und Datenbank, und es reicht zeitlich weit genug zurück. Der letzte Punkt ist der, der wehtut: Wer nur sieben Tage aufbewahrt und einen Einbruch drei Wochen später bemerkt, hat nur verseuchte Stände.

Testen heißt einmal pro Jahr eine Kopie in einer Testumgebung herstellen. Das dauert eine Stunde und ist die einzige Methode, aus einem Backup ein Sicherheitsnetz zu machen.

4. Zugänge härten

• Kein Benutzer namens admin, kein Benutzername, der dem Autornamen entspricht
• Zwei-Faktor-Anmeldung für alle Konten mit Administrationsrechten
• Anmeldeversuche begrenzen, damit Ausprobieren teuer wird
• Redakteure bekommen Redakteursrechte, keine Administratorrechte
• Ausgeschiedene Mitarbeiter und alte Dienstleisterzugänge löschen, nicht deaktivieren
• Zugangsdaten für Datenbank und FTP gehören nicht in eine E-Mail

Punkt fünf ist der, den ich am häufigsten finde. In einer Installation waren noch drei Administratorkonten von zwei früheren Agenturen aktiv, eines davon mit einer E-Mail-Adresse bei einer Domain, die es nicht mehr gab. Wer eine solche Domain registriert, kann sich ein Passwort zusenden lassen.

5. Hosting mit Substanz

Aktuelle PHP-Version, HTTPS mit automatischer Zertifikatsverlängerung, tägliche serverseitige Backups, eine Testumgebung. Der Unterschied zwischen einem Paket für 3 Euro und einem für 20 Euro im Monat ist bei WordPress kein Luxus, sondern der Unterschied zwischen einer Seite, die man wiederherstellen kann, und einer, bei der man improvisiert. Wo der Server steht und was das für den Datenschutz bedeutet, steht in Hosting in Deutschland.

6. Ein zuständiger Mensch

Die unspektakulärste Maßnahme und die, deren Fehlen jeden Fall verursacht hat, den ich gesehen habe. Es braucht einen Namen, der für Updates zuständig ist, und einen zweiten, der merkt, wenn der erste es nicht macht. Ob das ein Wartungsvertrag ist oder ein Kollege mit einem Kalendereintrag, ist zweitrangig.

Wenn es passiert ist: die Reihenfolge

1. Seite in den Wartungsmodus. Solange sie erreichbar ist, verteilt sie möglicherweise Schadcode weiter.
2. Zustand sichern. Ein vollständiges Abbild von Dateien und Datenbank, bevor Sie etwas ändern. Das ist Ihr einziger Weg, später die Einbruchstelle zu finden.
3. Alle Zugangsdaten wechseln. WordPress-Benutzer, Datenbank, FTP und SFTP, Hosting-Panel, und die E-Mail-Konten, an denen Passwort-Zurücksetzungen hängen.
4. Aus einem sauberen Backup wiederherstellen. Von einem Zeitpunkt, der belegbar vor dem Vorfall liegt.
5. Alles aktualisieren. Kern, Themes, Plugins. Was nicht mehr gepflegt wird, ersetzen oder entfernen.
6. Einbruchstelle finden und schließen. Der Schritt, den fast alle überspringen und der den zweiten Vorfall verhindert.
7. Search Console prüfen. Auf Sicherheitsprobleme und auf fremde indexierte Seiten. Nach dem Aufräumen Überprüfung beantragen.
8. Aus dem Vorfall einen Prozess machen. Automatische Updates, geprüfte Backups, ein Zuständiger, ein Termin.

Was Wartung kostet und wann sie sich nicht mehr lohnt

Für ein Wartungspaket zahlen Betriebe im Markt üblicherweise zwischen 30 und 150 Euro im Monat, je nach Leistungsumfang. Dazu kommen Plugin-Lizenzen, häufig 100 bis 500 Euro im Jahr. Über fünf Jahre sind das grob 2.000 bis 10.000 Euro, nur für Betrieb und Pflege, ohne eine einzige inhaltliche Verbesserung.

Ab diesem Punkt lohnt eine ehrliche Rechnung. Eine statisch generierte Website hat keinen Administrationsbereich im Netz, keine Datenbank im Auslieferungspfad und keine Plugin-Abhängigkeiten. Die Wartungslast ist strukturell nahe null. Der Preis dafür ist, dass Struktur- und Layoutänderungen über einen Entwickler laufen. Für einen Betrieb, der zweimal im Jahr Texte anpasst, ist das ein guter Handel. Für eine Redaktion mit täglichen Beiträgen nicht.

Die vollständige Abwägung mit allen Alternativen steht in WordPress-Alternativen, der Zweikampf mit dem gestalterischen Gegenpol in Webflow oder WordPress.

Wenn Sie den Zustand wissen wollen

Der Website-Audit ist kostenlos und sieht sich unter anderem an, welche Plugin- und Theme-Versionen ausgeliefert werden, ob die PHP-Version aktuell ist und was in der Search Console steht. Wenn die Antwort lautet, dass Aufräumen reicht, sage ich Ihnen das, auch wenn ein Neubau für mich lukrativer wäre. Sie arbeiten direkt mit mir. Braucht ein Projekt zusätzliche Expertise, etwa bei Design, Text oder Fotografie, hole ich geprüfte Spezialisten dazu. Ansprechpartner und Verantwortlicher für das Ergebnis bleibe ich. Zu den Rahmenbedingungen unter Webdesign.

Häufige Fragen