Wie finden Bots WordPress-Seiten? Die Spuren deiner Website

Wie Bots neue Websites finden, welche Spuren WordPress, Version, Plugins und Autoren verraten und wie du sie auf deiner eigenen Seite prüfst.

Das Wichtigste

Bots suchen nicht gezielt nach deiner Seite. Sie probieren Adressen im ganzen Internet durch und lesen öffentliche Listen neuer Websites.
Jede WordPress-Seite hinterlässt Spuren: die Anmeldeseite, ihre Ordner, oft die Versionsnummer, die Versionen ihrer Plugins und die Namen ihrer Autoren.
Ganz verstecken lässt sich WordPress nicht. Schutz bieten aktuelle Updates und Anmeldungen, die schwer zu erraten sind.

Wie Bots eine Seite finden

Bots finden Websites auf zwei einfachen Wegen:

Sie probieren jede Adresse. Das Forschungswerkzeug ZMap prüft über eine Gigabit-Leitung den gesamten öffentlichen IPv4-Adressraum auf einem Port in weniger als 45 Minuten. Solche Werkzeuge kann jeder nutzen.
Sie lesen öffentliche Zertifikatslisten. Zertifikate für HTTPS werden in öffentlichen Certificate-Transparency-Logs eingetragen, die jeder lesen kann. Eine neue Seite taucht dort auf, sobald sie ihr Zertifikat bekommt.

Was WordPress verrät

Spur	Wo sie steht	Was sie zeigt
Anmeldeseite	/wp-login.php	dass die Seite mit WordPress läuft
Ordnernamen im Quelltext	/wp-content/themes/ und /wp-content/plugins/	das Theme und viele Plugins mit Namen
Generator-Tag	`<meta name="generator" content="WordPress …">` im Quelltext	die WordPress-Version
Readme eines Plugins	/wp-content/plugins/name/readme.txt	die Version des Plugins in der Zeile „Stable tag“
Liste der Autoren	/wp-json/wp/v2/users	Namen und Kurznamen der Autoren; der Kurzname ist oft derselbe wie der Anmeldename
XML-RPC	/xmlrpc.php	eine ältere Schnittstelle, die ebenfalls Anmeldungen annimmt

Was Bots mit diesen Spuren tun

Findet ein Bot eine Version, gleicht er sie mit Listen bekannter Lücken ab. Patchstack hat gemessen, dass stark ausgenutzte Lücken in WordPress-Software etwa fünf Stunden nach ihrer Veröffentlichung zum ersten Mal angegriffen wurden. Wo diese Lücken stecken, erklärt der Ratgeber Warum werden WordPress-Seiten gehackt?.

Die Namen der Autoren helfen beim nächsten Schritt, dem Erraten von Passwörtern. Bots probieren sie auf der Anmeldeseite und über XML-RPC aus. Die Sicherheitsfirma Sucuri hat solche Angriffe über XML-RPC 2015 beschrieben.

Prüfe deine eigene Seite

Öffne diese Adressen auf deiner eigenen Seite, mit deiner Domain statt example.com:

example.com/wp-json/wp/v2/users zeigt die Autoren, die jeder sehen kann. Steht dort der Name, mit dem du dich anmeldest, gib diesem Konto ein starkes Passwort und die Zwei-Faktor-Anmeldung. Viele Sicherheits-Plugins können diese Liste verbergen.
Den Quelltext deiner Startseite: Klicke mit der rechten Maustaste auf die Seite, lass dir den Quelltext anzeigen und suche nach „generator“. Steht dort die WordPress-Version, kann ein Sicherheits-Plugin diese Zeile entfernen.
example.com/wp-content/plugins/name/readme.txt für eines deiner Plugins. Öffnet sich die Datei, können Bots seine Version lesen. Aktuelle Plugins sind wichtiger, als das zu verbergen.
example.com/xmlrpc.php. Steht dort „XML-RPC server accepts POST requests only.“, ist die Schnittstelle an. Schalte sie ab, wenn nichts, was du nutzt, sie braucht.

Was du tun kannst

Halte WordPress, Plugins und Themes aktuell. Eine versteckte Version schließt keine Lücke.
Gib jedem Admin-Konto ein langes, eigenes Passwort und die Zwei-Faktor-Anmeldung.
Begrenze die Anmeldeversuche, damit Bots nicht endlos raten können. Viele Sicherheits-Plugins bieten das an.
Schalte XML-RPC ab, wenn nichts, was du nutzt, es braucht.
Lass eine Firewall bekannte Scanner und Angriffe abfangen, bevor sie deine Seite erreichen.

Nächster Schritt

Die Seite Tools für Web-Sicherheit zeigt Firewalls und Sicherheits-Plugins mit ihren Zahlen von WordPress.org und ihren CVE-Einträgen.

Die Zahlen in diesem Ratgeber stammen aus dem Archiv und ändern sich mit jeder Datenaktualisierung. Stand 13. November 2026.