crackthe.netEnglish
Menü

Stufe 1 · Erste Schritte3 Min. Lesezeit

WordPress absichern: die ersten zehn Schritte

Zehn Schritte, die eine WordPress-Seite vor den meisten Angriffen schützen: Updates, weniger Plugins, starke Logins, Zwei-Faktor-Anmeldung, PHP und Backups.

Illustration: ein Schild-Symbol in einer abgerundeten Kachel, dazu der Titel WordPress absichern

Das Wichtigste

  • Die meisten Angriffe auf WordPress nutzen bekannte Lücken in Plugins oder erraten Passwörter. Updates und starke Anmeldungen halten die meisten davon auf.
  • WordPress hat keine eingebaute Zwei-Faktor-Anmeldung. Ein kostenloses Plugin der WordPress-Community rüstet sie nach.
  • Sichere Dateien und Datenbank in Backups, und zwar an mehr als einem Ort.

Bevor du anfängst

Du brauchst ein Administratorkonto in WordPress und für Schritt 8 Zugriff auf die Datei wp-config.php, per SFTP oder über den Dateimanager deines Hosters. Mach zuerst ein Backup (Schritt 10) und arbeite dann die Liste ab. Die Schritte folgen dem offiziellen Leitfaden von WordPress zum Absichern und seiner Seite zu Angriffen auf die Anmeldung.

Die zehn Schritte

  1. Schalte automatische Updates ein. Seine eigenen Sicherheitsupdates installiert WordPress automatisch. Für Plugins und Themes klickst du in der Liste der Plugins und Themes bei jedem auf „Automatische Aktualisierungen aktivieren“.
  2. Lösche Plugins und Themes, die du nicht nutzt. Ein deaktiviertes Plugin liegt weiter auf dem Server. Behalte ein Standard-Theme als Reserve.
  3. Gib jedem Konto ein langes, eigenes Passwort. Der WordPress-Leitfaden warnt vor dem eigenen Namen, dem Benutzernamen, dem Namen der Seite, einzelnen Wörtern aus dem Wörterbuch und kurzen Passwörtern. Mit einem Passwortmanager geht das einfach.
  4. Schalte die Zwei-Faktor-Anmeldung für jeden Administrator ein. Im WordPress-Kern fehlt sie. Das kostenlose Plugin Two Factor der WordPress-Community ergänzt Codes aus einer Authenticator-App, Codes per E-Mail und Backup-Codes.
  5. Nimm nicht „admin“ oder „webmaster“ als Benutzernamen. Diese Namen sind leicht zu erraten.
  6. Gib jeder Person die niedrigste Rolle, die für ihre Arbeit reicht. Wer Beiträge schreibt, muss kein Administrator sein.
  7. Begrenze die Anmeldeversuche. Der WordPress-Leitfaden empfiehlt, sie an einer Firewall oder auf dem Webserver zu begrenzen. Viele Sicherheits-Plugins können das auch.
  8. Schalte den Datei-Editor im Dashboard ab. Trag dazu define( 'DISALLOW_FILE_EDIT', true ); in die wp-config.php ein. Laut WordPress hält das nicht jeden Angriff auf, manche aber schon.
  9. Nutze eine PHP-Version, die noch Updates bekommt. WordPress empfiehlt PHP 8.3 oder neuer. PHP 8.2 bekommt nur noch bis zum 31. Dezember 2026 Sicherheitsupdates. PHP aktualisiert dein Hoster, oft auf deinen Wunsch.
  10. Sichere Dateien und Datenbank in Backups. WordPress rät kleinen Seiten zu wöchentlichen Backups und viel besuchten zu täglichen, dazu zu 3 bis 5 aktuellen Kopien an verschiedenen Orten.

Was diese Schritte nicht abdecken

Sie schützen deine WordPress-Installation. Lücken in der Serversoftware, etwa in PHP selbst, behebt dein Hoster. Eine Firewall vor der Seite kann Angriffe abfangen, bevor es einen Fix gibt. Wie schnell Angriffe folgen, wenn eine Lücke bekannt wird, erklärt der Ratgeber Warum werden WordPress-Seiten gehackt?.

Nächster Schritt

Die Seite Tools für Web-Sicherheit zeigt Sicherheits-Plugins, Backup-Plugins und Firewalls mit ihren Zahlen von WordPress.org.

Die Zahlen in diesem Ratgeber stammen aus dem Archiv und ändern sich mit jeder Datenaktualisierung. Stand 13. November 2026.

Mit den Daten des Archivs prüfen

Weiterlesen: VPN-Anbieter auswählen: Checkliste mit 7 PunktenAlle Ratgeber