WordPress-Sicherheits-Plugins: was sie leisten und was nicht

Wo ein Sicherheits-Plugin arbeitet und wo eine Cloud-Firewall, was Wordfence und Sucuri angeben, ihre Zahlen von WordPress.org und ihre CVE-Einträge.

Das Wichtigste

Ein Sicherheits-Plugin läuft innerhalb von WordPress. Eine Cloud-Firewall filtert Anfragen, bevor sie deinen Server erreichen. Beide erledigen verschiedene Aufgaben.
Die zwei Sicherheits-Plugins auf dieser Seite sind Wordfence mit 5.000.000+ aktiven Installationen auf WordPress.org und Sucuri mit 600.000+.
Kein Plugin ersetzt Updates. Auch Sicherheits-Plugins haben Lücken und brauchen Updates wie jedes andere Plugin.

Zwei Stellen, an denen ein Angriff gestoppt wird

Innerhalb von WordPress: Ein Sicherheits-Plugin prüft Anfragen, nachdem sie deinen Server erreicht haben. Wordfence gibt an, dass seine Firewall innerhalb von WordPress läuft, also direkt am Endpunkt. Jede Anfrage erreicht also weiter deinen Server und startet PHP.

Vor deinem Server: Eine Cloud-Firewall bekommt den Datenverkehr zuerst und reicht nur weiter, was sie durchlässt. Du schaltest sie ein, indem du die DNS-Einträge deiner Domain änderst. So arbeiten die Firewalls von Sucuri und von Cloudflare. Angriffe, die sie abfangen, erreichen deinen Server nie.

Was die Hersteller angeben

	Wordfence	Sucuri
Firewall	läuft innerhalb von WordPress	läuft vor deinem Server, nicht Teil des kostenlosen Plugins
Gratis-Version	ja; Firewall-Regeln und Malware-Signaturen kommen „30 Tage verzögert“, Premium bekommt sie sofort	ja: Aktivitätsprotokoll, Prüfung der Dateien auf Änderungen, Malware-Scan von außen und Härtung
Schutz der Anmeldung	Passkeys, Zwei-Faktor-Anmeldung, ein CAPTCHA bei der Anmeldung und das Sperren von Passwörtern aus Datenlecks, nichts davon als Premium markiert	die Cloud-Firewall blockt Brute-Force-Angriffe
Bereinigung nach einem Hack	keine Angabe	jeder Plattform-Tarif enthält beliebig viele manuelle Malware-Bereinigungen

Die Tabelle zeigt, was die Hersteller auf ihren eigenen Seiten angeben. Diese Seite hat die Plugins nicht getestet.

Was dieses Archiv gesammelt hat

	Wordfence	Sucuri
Aktive Installationen auf WordPress.org	5.000.000+	600.000+
Bewertung auf WordPress.org	4,7 von 5	4,2 von 5
Eigene CVE-Einträge seit 2021	1	2
Neuester Eintrag	September 2022	August 2026

Was ein Sicherheits-Plugin nicht kann

Es kann keine Lücke in einem anderen Plugin schließen. Es kann nur bekannte Angriffsmuster abfangen, bis du den Fix installierst. Wie schnell neue Regeln kommen, zählt: Laut Wordfence bekommt seine Gratis-Version sie 30 Tage nach Premium. Patchstack hat gemessen, dass stark ausgenutzte Lücken in WordPress-Software etwa fünf Stunden nach ihrer Veröffentlichung zum ersten Mal angegriffen wurden.

Es schützt dich nicht, wenn es selbst veraltet ist. Die Tabelle oben zeigt, dass auch Sicherheits-Plugins CVE-Einträge haben.

Es ersetzt keine Backups. Kommt ein Angriff durch, holt nur ein Backup deine Seite zurück. Wie das geht, erklärt der Ratgeber WordPress-Backups einrichten und testen.

So wählst du aus

Fang mit Updates, starken Anmeldungen und Backups an. Kein Plugin ersetzt sie.
Nimm ein Sicherheits-Plugin dazu, wenn du einen Malware-Scanner und Schutz für die Anmeldung innerhalb von WordPress willst.
Nimm eine Cloud-Firewall dazu, wenn Angriffe abgefangen werden sollen, bevor sie deinen Server erreichen. Dafür änderst du deine DNS-Einträge.
Prüf, wie schnell neue Regeln kommen, in der Version, die du nutzt, gratis oder bezahlt.
Halte das Sicherheits-Plugin selbst aktuell.

Nächster Schritt

Die Seite Tools für Web-Sicherheit zeigt beide Plugins und die Firewalls mit den Angaben ihrer Hersteller.

Die Zahlen in diesem Ratgeber stammen aus dem Archiv und ändern sich mit jeder Datenaktualisierung. Stand 13. November 2026.