Was Hoster und Firewall übernehmen können

Wer bei einer WordPress-Seite was aktualisiert, was WordPress von einem Hoster erwartet, was eine Firewall vor der Seite leistet und fünf Fragen an deinen Hoster.

Das Wichtigste

Dein Hoster betreibt den Server und PHP. Du betreibst WordPress, die Plugins und die Themes. Eine Lücke in jedem der beiden Teile kann deine Seite öffnen.
Eine Firewall vor deiner Seite kann Angriffe abfangen, bevor es einen Fix gibt. Cloudflare gibt an, dass sein kostenloser Tarif eine enthält.
Frag deinen Hoster, welche PHP-Version deine Seite nutzt, wie schnell er Fixes installiert und was seine Backups enthalten.

Wer was aktualisiert

Beim Shared Hosting, der üblichen Form für kleine Seiten, ist die Arbeit so verteilt:

Teil der Seite	Wer ihn aktualisiert
Betriebssystem und Webserver	dein Hoster
PHP	dein Hoster, oft erst, wenn du nach einer neueren Version fragst
WordPress, Plugins und Themes	du oder die automatischen Updates, die du einschaltest
Passwörter und Benutzerkonten	du
Backups	ihr beide: Frag, was dein Hoster aufbewahrt, und behalte eine eigene Kopie

Was WordPress von einem Hoster erwartet

WordPress empfiehlt einen Hoster mit PHP 8.3 oder neuer, MariaDB ab 10.11 oder MySQL ab 8.0 und HTTPS. Sein Leitfaden zum Absichern rät zu SFTP statt einfachem FTP, weil FTP Passwörter unverschlüsselt überträgt.

Was eine Firewall vor der Seite leistet

Eine Firewall vor deiner Seite bekommt jede Anfrage zuerst. Sie fängt bekannte Angriffsmuster und Anfragefluten ab, bevor sie deinen Server erreichen. WordPress empfiehlt, die Anmeldeversuche dort zu begrenzen, also an einer Web Application Firewall oder einem CDN, oder auf dem Webserver.

Das geben die Hersteller der zwei Firewalls auf dieser Seite an:

	Cloudflare	Sucuri
Kostenlos	ja: unbegrenzter Schutz vor DDoS-Angriffen, eine Web Application Firewall und das „Free Managed Ruleset“	die Firewall gehört nicht zum kostenlosen Plugin
Eigene Regeln	5 im kostenlosen Tarif, 20 bei Pro, 100 bei Business	keine Angabe
Eingeschaltet durch	Änderung deiner DNS-Einträge	Änderung deiner DNS-Einträge

Am meisten hilft eine Firewall in den Stunden, nachdem eine Lücke bekannt wird. Als die Lücke PHP2Shell am 21. Oktober 2026 geschlossen wurde, gab Cloudflare an, dass seine Regeln Seiten hinter seiner kostenlosen oder bezahlten Firewall ab diesem Tag schützten. PHP zu aktualisieren, riet Cloudflare trotzdem. Den ganzen Ablauf zeigt der Fall PHP2Shell.

Fünf Fragen an deinen Hoster

Welche PHP-Version nutzt meine Seite, und wie schnell installiert ihr Sicherheitsupdates für PHP?
Enthalten eure Backups die Dateien und die Datenbank? Wie lange bewahrt ihr sie auf, und kann ich sie selbst zurückspielen?
Ist meine Seite von den Seiten anderer Kunden auf demselben Server getrennt? WordPress warnt, dass beim Shared Hosting die Probleme einer Seite andere treffen können, etwa wenn die E-Mail-Adresse des Servers wegen Spam gesperrt wird.
Bietet ihr SFTP und eine Zwei-Faktor-Anmeldung für das Hosting-Konto an?
Was tut ihr, wenn meine Seite gehackt wird? WordPress rät, den Hoster früh einzubeziehen, weil er vielleicht schon etwas unternimmt.

Nächster Schritt

Der Ratgeber WordPress gehackt? So bereinigst du deine Seite zeigt, was zu tun ist, wenn ein Angriff durchgekommen ist.

Die Zahlen in diesem Ratgeber stammen aus dem Archiv und ändern sich mit jeder Datenaktualisierung. Stand 13. November 2026.