{ "id": 37009, "slug": "2019-03-31_wordpress-10-tipps-zur-sicherung-ihrer-website", "url": "https://agents.willem.com/de/posts/2019-03-31_wordpress-10-tipps-zur-sicherung-ihrer-website/", "source_url": "https://willem.com/de/2019-03-31_wordpress-10-tipps-zur-sicherung-ihrer-website/", "language": "de", "date": "2019-03-31", "published": "2019-03-31T00:00:00+01:00", "created": "2025-06-26T22:10:14.476000+02:00", "updated": "2026-10-20T09:16:38.939000+02:00", "title": "WordPress: 10 Tipps zur Sicherung Ihrer Website", "subtitle": "Halte Hacker aus dem beliebtesten Content-Management-System der Welt fern", "summary": "Viele Leute verwalten ihre Website mit WordPress. Kein Wunder also, dass ich oft gebeten werde, mir die Sicherheit ihrer Seite anzusehen. Als ethischer Hacker begegnet mir WordPress in allen Formen, Größen und Zuständen. Manche Seiten sind richtig schlecht gegen Angriffe geschützt. Mit diesen 10 praktischen Tipps verhinderst du, dass deine Website gehackt wird.", "topics": [ "cloud", "cyber-security", "hacking", "howto", "networking", "server", "web", "webdesign" ], "author": { "name": "Willem L. Middelkoop", "url": "https://willem.com" }, "provenance": { "kind": "model", "method": "Gemini translation (2025), reviewed and corrected by Claude Sonnet (20 Oct 2026) against a glossary and hunspell", "date": "2026-10-20", "reviewed_by_native_reader": false, "language": "de", "source_language": "en" }, "translations": [ { "language": "en", "title": "WordPress: 10 tips to secure your website", "url": "https://agents.willem.com/en/posts/2019-03-31_wordpress-10-tips-to-secure-your-website/", "source_url": "https://willem.com/en/2019-03-31_wordpress-10-tips-to-secure-your-website/" }, { "language": "nl", "title": "WordPress: 10 tips om je website te beveiligen", "url": "https://agents.willem.com/nl/posts/2019-03-31_wordpress-10-tips-om-je-website-te-beveiligen/", "source_url": "https://willem.com/nl/2019-03-31_wordpress-10-tips-om-je-website-te-beveiligen/" }, { "language": "es", "title": "WordPress: 10 consejos para asegurar tu sitio web", "url": "https://agents.willem.com/es/posts/2019-03-31_wordpress-10-consejos-para-asegurar-tu-sitio-web/", "source_url": "https://willem.com/es/2019-03-31_wordpress-10-consejos-para-asegurar-tu-sitio-web/" }, { "language": "fr", "title": "WordPress : 10 conseils pour sécuriser ton site web", "url": "https://agents.willem.com/fr/posts/2019-03-31_wordpress-10-conseils-pour-securiser-ton-site-web/", "source_url": "https://willem.com/fr/2019-03-31_wordpress-10-conseils-pour-securiser-ton-site-web/" }, { "language": "it", "title": "WordPress: 10 consigli per proteggere il tuo sito", "url": "https://agents.willem.com/it/posts/2019-03-31_wordpress-10-consigli-per-proteggere-il-tuo-sito/", "source_url": "https://willem.com/it/2019-03-31_wordpress-10-consigli-per-proteggere-il-tuo-sito/" }, { "language": "pt", "title": "WordPress: 10 dicas para proteger o teu site", "url": "https://agents.willem.com/pt/posts/2019-03-31_wordpress-10-dicas-para-proteger-o-teu-site/", "source_url": "https://willem.com/pt/2019-03-31_wordpress-10-dicas-para-proteger-o-teu-site/" }, { "language": "pap", "title": "WordPress: 10 konsèhu pa sigurá bo website", "url": "https://agents.willem.com/pap/posts/2019-03-31_wordpress-10-konsehu-pa-sigura-bo-website/", "source_url": "https://willem.com/pap/2019-03-31_wordpress-10-konsehu-pa-sigura-bo-website/" }, { "language": "fy", "title": "WordPress: 10 tips om dyn website te befeiligjen", "url": "https://agents.willem.com/fy/posts/2019-03-31_wordpress-10-tips-om-dyn-website-te-befeiligjen/", "source_url": "https://willem.com/fy/2019-03-31_wordpress-10-tips-om-dyn-website-te-befeiligjen/" } ], "image": "https://willem.com/global/images/51dd00a2ba31.webp", "image_width": 2560, "images": [ { "url": "https://willem.com/global/images/79572e4a515e.webp", "description": "WordPress über das wp-admin-Dashboard aktualisieren", "manager_file": "148-bf2d6faf6057f115dc72e82d984e71359f16b48d8c42b4b41c2ee918cf46b556_ContentAsPost_37009_images-1.jpg" }, { "url": "https://willem.com/global/images/db2e086fcde8.webp", "description": "Den Ruf eines WordPress-Plugins an der Zahl der Downloads und der Bewertung prüfen", "manager_file": "148-bf2d6faf6057f115dc72e82d984e71359f16b48d8c42b4b41c2ee918cf46b556_ContentAsPost_37009_images-2.jpg" }, { "url": "https://willem.com/global/images/7ed5f0ee69b4.webp", "description": "WordPress-Passwort mit dem Paketmitschnitt von Wireshark ausspionieren (via blog.wpscans.com)", "manager_file": "148-bf2d6faf6057f115dc72e82d984e71359f16b48d8c42b4b41c2ee918cf46b556_ContentAsPost_37009_images-3.png" }, { "url": "https://willem.com/global/images/7e3624540722.webp", "description": "Wörterbuchangriffe nutzen Listen bekannter (geleakter) Passwörter, die du in finsteren Ecken des Internets findest", "manager_file": "148-bf2d6faf6057f115dc72e82d984e71359f16b48d8c42b4b41c2ee918cf46b556_ContentAsPost_37009_images-4.png" }, { "url": "https://willem.com/global/images/94b8eedd02ca.webp", "description": "Vertraust du dem kostenlosen WLAN, das du gerade nutzt? (Bild via buffered.com)", "manager_file": "148-bf2d6faf6057f115dc72e82d984e71359f16b48d8c42b4b41c2ee918cf46b556_ContentAsPost_37009_images-5.jpg" }, { "url": "https://willem.com/global/images/b4bed4a35679.webp", "description": "Persönliche Benutzerdaten sickern über die WordPress-REST-API durch", "manager_file": "148-bf2d6faf6057f115dc72e82d984e71359f16b48d8c42b4b41c2ee918cf46b556_ContentAsPost_37009_images-6.jpg" }, { "url": "https://willem.com/global/images/e8fa9fcb7c0e.webp", "description": "Zugriff auf XML-RPC per .htaccess-Datei auf bestimmte IP-Adressen beschränken", "manager_file": "148-bf2d6faf6057f115dc72e82d984e71359f16b48d8c42b4b41c2ee918cf46b556_ContentAsPost_37009_images-7.png" }, { "url": "https://willem.com/global/images/a21ba24bbd4e.webp", "description": "Meine WP-Admin-Seite zu hacken ist ziemlich schwer, weil man sie nicht findet (Tipp: Sie liegt nicht unter /wp-admin)", "manager_file": "148-bf2d6faf6057f115dc72e82d984e71359f16b48d8c42b4b41c2ee918cf46b556_ContentAsPost_37009_images-8.jpg" }, { "url": "https://willem.com/global/images/b8c695c798fe.webp", "description": "Irgendwo in einem Rechenzentrum steht eine Maschine wie diese und hostet deine Website", "manager_file": "148-bf2d6faf6057f115dc72e82d984e71359f16b48d8c42b4b41c2ee918cf46b556_ContentAsPost_37009_images-9.jpg" }, { "url": "https://willem.com/global/images/ba045569ad2d.webp", "description": "Mit WP Security Audit Log behältst du im Blick, was auf deiner WordPress-Website passiert (wpsecurityauditlog.com)", "manager_file": "148-bf2d6faf6057f115dc72e82d984e71359f16b48d8c42b4b41c2ee918cf46b556_ContentAsPost_37009_images-10.png" } ], "text": "1) WordPress aktualisieren (und Plugins + Themes)\nDie meisten WordPress-Hacks gehen auf eine nachlässige Update-Politik zurück. Hacker setzen automatische Bots ein, die veraltete Softwareversionen mit bekannten Sicherheitslücken aufspüren. Haben sie deine Website als verwundbar erkannt, ist das Hacken oft ein Kinderspiel.\nHeutzutage kann WordPress sich automatisch aktualisieren, du musst also nicht selbst daran denken. Lies die Anleitung_zum_Aktualisieren_von_WordPress (https://codex.wordpress.org/Updating_WordPress).\n2) Plugins und Themes\nDen schlechten Ruf in Sachen Sicherheit hat WordPress vor allem wegen der erweiterbaren Teile der Plattform, nämlich Plugins und Themes. Sie sind das wichtigste Einfallstor, über das Cyberkriminelle deine WordPress-Website hacken und missbrauchen. Ihre Sicherheitslücken entstehen meistens durch Fehler und Versäumnisse bei der Entwicklung.\nSei sehr zurückhaltend und vorsichtig beim Installieren von Plugins. Prüfe, wer das Plugin oder Theme entwickelt hat, und ob der Entwickler einen guten Ruf hat, wenn es um sicheren Code geht. Plugins und Themes mit vielen Downloads werden oft aktiv gepflegt, ein gutes Zeichen für die Sicherheit. Aktualisiere alle Plugins und Themes und behalte die Sicherheitsbilanz im Blick, zum Beispiel mit einer Seite wie wpvulndb.com (https://www.wpvulndb.com/plugins/).\n3) Verschlüsselung nutzen (TLS/SSL)\nWordPress-Websites ohne TLS/SSL-Verschlüsselung sind ein Sicherheitsrisiko, denn bei jedem Login zur Verwaltung der Website wird dein Passwort im Klartext gesendet. Wer deinen Netzwerkverkehr mithört, kommt also leicht an dein Passwort. Mit einem gültigen Passwort können sich Hacker einfach einloggen. Du willst es ihnen doch nicht so_leicht (https://blog.wpscans.com/sniff-wordpress-login-credentials-wireshark-http-connection/) machen, oder?\nVerschlüssele mit TLS/SSL die gesamte Kommunikation zwischen Webserver und Browser. Dann kann niemand im Netzwerkverkehr entziffern, was du ins Passwortfeld tippst. Die TLS/SSL-Zertifikate für die HTTPS-Verschlüsselung sind heute sehr günstig. Bitte deinen Hosting-Anbieter, eines für deine Website einzurichten.\n4) Starke Passwörter verwenden\nSelbst wenn du alle anderen Tipps befolgst: Schwache Passwörter sind eine weitere häufige Ursache für Sicherheitsvorfälle bei WordPress. Weil die meisten WordPress-Installationen einen Benutzer \"admin\" haben, können Hacker mit Passwort-Wörterbüchern (https://duckduckgo.com/?q=password+dictionairy) automatisch dein Passwort erraten.\nEin starkes Passwort ist eines, das noch nie jemand benutzt hat. Meistens heißt das: länger, mit vielen verschiedenen Zeichen, ohne bekannte Wörter oder Redewendungen. Ein Passwortgenerator liefert dir etwas, das wirklich schwer zu erraten ist (und leicht zu vergessen...). Nutze nie dasselbe Passwort auf mehreren Websites und aktiviere am besten die Zwei-Faktor-Authentifizierung_für_maximale_Zugangskontrolle (https://codex.wordpress.org/Two_Step_Authentication).\n5) Einen vertrauenswürdigen Computer und ein vertrauenswürdiges Netzwerk nutzen\nGenau wie du in finsteren Straßen kein Bargeld und keine Gadgets zur Schau stellst, solltest du aufpassen, wo (und wann) du dich bei deiner Website einloggst. Ein Computer mit Spyware, Malware oder einem Virus kann Tastenanschläge (und dein Passwort) aufzeichnen und an Kriminelle schicken. Oder ganz analog: Jemand schaut dir buchstäblich über die Schulter (im Bus, im Zug oder im Café), während du dein Passwort eingibst.\nSei vorsichtig, wo und wann du an deiner Website arbeitest. Arbeite nicht an einem gemeinsam genutzten oder öffentlichen Computer, wenn es nicht sein muss. Wenn du über einen öffentlichen WiFi-Hotspot arbeitest, musst du verschlüsseln, damit niemand mitlesen kann. Das geht mit TLS/SSL oder mit einem VPN (zum Beispiel buffered.com). Halte deinen Computer, dein Tablet und dein Smartphone auf dem neuesten Stand.\n6) Die WordPress-REST-API deaktivieren\nDie WordPress_REST_API (https://developer.wordpress.org/rest-api/) gibt Zugriff auf alle Daten deiner Website, im maschinenlesbaren JSON-Format. Beiträge, Seiten, Kategorien, Tags, Kommentare, Medien, Benutzer, Einstellungen und mehr sind leicht abrufbar. Hänge zum Beispiel einmal /wp-json/wp/v2/users an die Adresse deiner Website an. Du bekommst eine Liste aller gültigen Benutzernamen. Willst du das wirklich mit Hackern teilen?\nDeaktiviere die REST-API, um Content Scraping (Plagiate) zu verhindern und keine Benutzerdaten preiszugeben. Benutzerdaten sind persönlich und gehören nicht in die Öffentlichkeit, wenn dir Datenschutz und Sicherheit wichtig sind. Stichwort DSGVO (https://en.m.wikipedia.org/wiki/General_Data_Protection_Regulation). Die REST-API schaltest du mit einem Plugin wie Disable_REST_API (https://wordpress.org/plugins/disable-wp-rest-api/) oder REST_API_Toolbox (https://wordpress.org/plugins/rest-api-toolbox/) ab. Mehr zur Absicherung der WP-REST-API steht im ausführlichen_Blogbeitrag_von_Jeff_Starr (https://digwp.com/2018/08/secure-wp-rest-api/).\n7) XML-RPC-Zugriff deaktivieren\nXML-RPC ist eine WordPress-Funktion, mit der du deine Website per XML fernsteuern kannst (RPC steht für \"Remote Procedure Call\"). So kannst du deine Website verwalten, ohne dich im WP-Admin einzuloggen, zum Beispiel über externe Dienste oder Apps. Leider ist XML-RPC eine Schwachstelle, denn es ist im Grunde eine Hintertür, die Hacker mit Brute-Force (https://blog.sucuri.net/2015/10/brute-force-amplification-attacks-against-wordpress-xmlrpc.html) oder speziellen_Befehlen (https://medium.com/@the.bilal.rizwan/wordpress-xmlrpc-php-common-vulnerabilites-how-to-exploit-them-d8d3c8600b32) aufzubrechen versuchen.\nVermeide Probleme mit xml-rpc.php, indem du diese WordPress-Funktion ganz abschaltest. Das geht mit dem Plugin Disable_XML-RPC (https://wordpress.org/plugins/disable-xml-rpc/) oder indem du den Webserver von Hand mit einer_.htaccess-Datei (https://graspingtech.com/disable-xml-rpc-wordpress/) konfigurierst.\n8) Die Login-Seite (wp-admin) verstecken oder schützen\nJeder weiß: Um sich bei WordPress einzuloggen, hängt man '/wp-admin' an die Adresse der Website. Deshalb kann jeder Hacker leicht mit Brute-Force-Angriffen auf deine Website loslegen. Ein Schloss ist viel schwerer zu knacken, wenn man es nicht findet.\nÜberleg dir, die wp-admin-Seite zu verstecken oder zu ersetzen. Fachleute nennen das \"Security_through_Obscurity\" (https://en.m.wikipedia.org/wiki/Security_through_obscurity): Man verlässt sich für die Sicherheit auf Geheimhaltung. Dafür gibt es Plugins, oder du konfigurierst den Webserver so, dass der Zugriff auf wp-admin per IP-Filter eingeschränkt wird. Mehr dazu steht in diesem_Blogbeitrag_über_Wege,_die_wp-admin-Seite_zu_verstecken_und_zu_schützen (https://www.3nions.com/hide-wp-admin-page-wordpress-login/). Aber Achtung: Geheimhaltung allein reicht nicht. Setz auch die anderen Tipps um.\n9) Zuverlässiges Hosting\nSelbst wenn du all diese Tipps umsetzt, kann es zu wenig sein, wenn dein Hosting unsicher ist. Hosting ist der Dienst, der deine Website im Internet verfügbar macht. Dafür sorgen besondere Computer, sogenannte Server. Genau wie die Website selbst muss auch der Webserver, der sie ausliefert, sicher sein. Stell dir Hosting wie ein Schiff vor: Wenn es sinkt, reißt es alle Passagiere (Websites) mit...\nInvestiere in zuverlässiges Hosting und such dir einen Anbieter mit gutem Ruf aus. Nimm einen, der gut zu deinem Unternehmen passt, und überleg dir einen dedizierten (verwalteten) VPS. Bedenke: Billiges Hosting ist oft billig, weil du dir den Server mit (vielen) anderen (womöglich unsicheren) Websites teilst. Lies weiter, um die_Sicherheitsrisiken_von_Shared_Hosting_zu_verstehen (https://willem.com/de/2019-02-28_sicherheitsbedenken-im-shared-hosting-verstehen/).\n10) Backup und Kontrolle\nAuch wenn deine Website jetzt reibungslos läuft, kann sich das in Zukunft ändern. Sicherheit ist nie absolut, und schlechtes Wetter kommt immer mal. Bereite dich auf Ärger vor und lass Sicherheitsprobleme nicht unbemerkt.\nKontrolliere deine Website regelmäßig, oder lass jemanden (https://digidef.nl) das für dich tun. Mit einem Plugin wie WP_Security_Audit_Log (https://wordpress.org/plugins/wp-security-audit-log/) erkennst du Angriffe und verdächtiges Verhalten früh. Mach Backups deiner Website, damit du dich von einer Cyberkatastrophe erholen kannst. Das beste Team erwischt es mal. Mit einem Backup verlierst du nicht deine ganze Arbeit. Mehr über verschiedene Wege,_deine_WordPress-Website_zu_sichern (https://websitesetup.org/wordpress-backup/), steht in diesem Beitrag.\nFazit\nMit der Sicherheit deiner Website ist es wie mit der Sicherheit deines Büros oder Hauses. Wenn du gehst, schließt du die Fenster und die Türen ab, oder? Vernachlässige die Sicherheit deiner Website nicht, sie ist genauso wichtig wie Design und Inhalt.\nWenn du diese Sicherheitstipps umsetzt, wird es für Cyberkriminelle viel schwerer, deine Website zu hacken. Mach es selbst (https://codex.wordpress.org/Hardening_WordPress) oder lass dir von jemandem (https://willem.com) helfen.", "word_count": 1079, "markdown_url": "https://agents.willem.com/de/posts/2019-03-31_wordpress-10-tipps-zur-sicherung-ihrer-website/post.md" }