WordPress ist das meistangegriffene CMS der Welt — nicht weil es unsicher konstruiert ist, sondern weil es mit über 43 % Marktanteil das lohnendste Ziel darstellt. Die gute Nachricht: Die große Mehrheit der Angriffe ist automatisiert und zielt auf bekannte Schwachstellen. Wer diese systematisch schließt, ist für 95 % der Bedrohungen nicht anfällig.
1. Updates konsequent durchführen
WordPress-Core, alle Themes und alle Plugins müssen aktuell gehalten werden. Security Releases sollten innerhalb von 48 Stunden eingespielt werden — nach einem kurzen Test auf einer Staging-Umgebung. Reguläre Updates empfehlen wir monatlich. Automatische Minor-Updates für Security Patches können aktiviert werden; Major Updates immer manuell prüfen.
2. Plugin-Inventur und Reduktion
Jedes installierte Plugin ist ein potenzielles Einfallstor. Deaktivieren und löschen Sie alles, was Sie nicht aktiv nutzen. Für normale Business-Sites empfehlen wir maximal 15 bis 20 Plugins. Plugins ohne aktive Entwicklung — kein Update seit mehr als einem Jahr — sollten durch Alternativen ersetzt oder durch Custom-Code abgelöst werden.
3. Starke Passwörter und Zwei-Faktor-Authentifizierung
Mindestlänge 16 Zeichen, einmalige Verwendung — kein Passwort darf für mehrere Dienste genutzt werden. Zwei-Faktor-Authentifizierung (2FA) für alle Admin-Accounts ist Pflicht. Bewährte Plugins dafür: WP 2FA oder die 2FA-Funktion von Wordfence Premium.
4. Login-Schutz
Standard-Login-URL (/wp-admin) durch eine individuelle URL ersetzen. Brute-Force-Schutz aktivieren — maximal fünf Fehlversuche, dann temporäre IP-Sperre. xmlrpc.php deaktivieren, wenn keine externe App darauf angewiesen ist. REST-API-Endpunkte für nicht eingeloggte Nutzer auf das Notwendige beschränken.
5–8. SSL, Backups, WAF und Dateiberechtigungen
HTTPS ist Pflicht — ergänzt durch korrekte HTTP Security Headers (X-Frame-Options, Content-Security-Policy). Tägliche automatische Backups extern gespeichert und regelmäßig getestet. Eine Web Application Firewall (Cloudflare kostenlos oder Wordfence Premium) filtert bösartigen Traffic, bevor er Ihren Server erreicht. Dateiberechtigungen korrekt setzen: wp-config.php auf 600, Verzeichnisse auf 755, Dateien auf 644.
Bei einer professionellen WordPress-Sicherheitsanalyse durch rapiddweller überprüfen wir Ihre gesamte Installation systematisch auf bekannte Schwachstellen und beheben diese mit dokumentiertem Ergebnis.
