WordPress ist das am weitesten verbreitete Content-Management-System im Internet und daher auch das am häufigsten angegriffene. Nicht, weil es unsicher ist, sondern weil Angreifer wissen, dass eine WordPress-Sicherheitslücke auf vielen Millionen Websites ausgenutzt werden kann. Sobald eine WordPress-Seite online geht, beginnen automatisierte Bots, diese auf Schwachstellen zu untersuchen.

Die Sicherheitshärtung (Hardening) war früher ein langwieriger, manueller Prozess, lässt sich mit Hilfe des WP Toolkits jedoch mit wenigen Klicks durchführen. Das Video und die folgenden Schritte zeigen die wichtigsten Einstellungen nach der Installation.

Video: Biztonsági intézkedések alkalmazása a WP Toolkitben (stumme Bildschirmaufnahme mit ungarischen Untertiteln)

Das WP Toolkit öffnen

1. Melden Sie sich bei cPanel an und klicken Sie im Menü auf der linken Seite auf den Punkt „WordPress-Verwaltung“ (Sie finden diesen auch auf der Startseite in der Gruppe „Domains“).
2. Öffnen Sie in der Liste der WP-Toolkit-Oberfläche die Detailansicht Ihrer Website mit dem Pfeil am Anfang der Zeile. In der Detailansicht sehen Sie die WordPress-Version, die Updates sowie die Sicherheits- und Leistungseinstellungen.

Der Sicherheitsstatus

Klicken Sie im Abschnitt „Sicherheit“ des Datenblatts auf** den Link „Risiko von Sicherheitslücken verringern“** (oder auf das Label „Security Risk“ in der Zeile der Website). Oben im Fenster „Sicherheitsstatus“ fassen vier Felder den Status der Website zusammen:

• Sicherheitsrisiko: Risikobewertung zwischen 0 und 10 auf der Grundlage bekannter Schwachstellen der Website; der Wert 0,0 bedeutet, dass keine schwerwiegenden bekannten Schwachstellen vorliegen.
• Schutz deaktiviert (Schutz aktivieren): Die virtuellen Patches von WP Guardian, die mithilfe eines Plugins anfällige Plugins bis zur Veröffentlichung eines Patches durch Firewall-Regeln schützen. Hierbei handelt es sich um eine separat erwerbbare Lizenz, die nicht Bestandteil des Hosting-Pakets ist; die Risikobewertung und die Liste der Schwachstellen funktionieren auch ohne diese Lizenz.
• Auf dem neuesten Stand: Updates für WordPress, Plugins und Themes; mit der Schaltfläche „Erneut prüfen“ können Sie sofort nach neuen Updates suchen.
• Sicherheitsmaßnahmen: Wie viele Maßnahmen können noch angewendet werden? Über die Schaltfläche „Alle anwenden“ werden alle Maßnahmen gleichzeitig angewendet.

Auf der Registerkarte „Vulnerable Components“ werden die bekannten Sicherheitslücken im WordPress-Kern, in den Plugins und in den Themes nach Schweregrad aufgelistet; die zu ergreifenden Maßnahmen werden im Artikel über anfällige Plugins beschrieben.

Sicherheitsmaßnahmen

Die kritischen Maßnahmen werden vom WP Toolkit bei der Installation automatisch durchgeführt (im Datenblatt wird dies durch die Zeile „Die kritischen Sicherheitsmaßnahmen wurden durchgeführt.“ angezeigt). Die übrigen Maßnahmen müssen Sie selbst auswählen:

1. Öffnen Sie im Fenster „Sicherheitsstatus“ die Registerkarte „Sicherheitsmaßnahmen“. Am Ende der Liste sind die bereits umgesetzten Maßnahmen mit einem grünen Häkchen gekennzeichnet, oben sind diejenigen mit einem orangefarbenen Symbol aufgeführt, die noch fehlen.
2. Markieren Sie die Maßnahmen, die Sie durchführen möchten.
3. Klicken Sie auf die Schaltfläche „Sicher“.

Die Bezeichnungen der Funktionen werden im Panel auf Englisch angezeigt. Die wichtigsten sind:

• Die Ausführung von PHP-Skripten im Verzeichnis „wp-content/uploads“ sowie … im Verzeichnis „wp-includes“ unterbinden: Dies verhindert die Ausführung von PHP in diesen Verzeichnissen, sodass eine hochgeladene schädliche Datei nicht ausgeführt werden kann.
• Dateibearbeitung im WordPress-Dashboard deaktivieren: Deaktiviert den Editor für Themes und Plugins im Admin-Bereich, sodass selbst mit einem gehackten Admin-Konto kein Code eingegeben werden kann.
• Zugriff auf potenziell sensible Dateien sperren und Zugriff auf wp-config.php sperren: Diese Funktion verhindert den Zugriff auf sensible Dateien (z. B. Protokolle, die Datei „wp-config.php“ und deren Kopien).
• Block author scans: Verhindert, dass Bots Benutzernamen von den Autorenseiten auslesen.
• Verzeichnisdurchsuche blockieren: Verhindert, dass Besucher den Inhalt von Verzeichnissen auflisten können.
• Benutzernamen des Standard-Administrators ändern: Hiermit wird der Benutzername „admin“ geändert, den Angreifer als Erstes ausprobieren.
• Zugriff auf „xmlrpc.php“ sperren und Pingbacks deaktivieren: Damit wird die häufig angegriffene XML-RPC-Schnittstelle abgeschottet.

Bestimmte Maßnahmen können die Funktion bestimmter Plugins beeinträchtigen: Die Deaktivierung von „xmlrpc.php“ verhindert beispielsweise die Verbindung zwischen Jetpack und der WordPress-App. Sollte nach einer Änderung etwas nicht mehr funktionieren, wählen Sie die betreffende Maßnahme aus und machen Sie sie mit der Schaltfläche „Wiederherstellen“ rückgängig. Maßnahmen ohne den Vermerk „(rückgängig machbar)“ (z. B. die Änderung des Administrator-Benutzernamens oder des Tabellenpräfixes) können nicht rückgängig gemacht werden. Bevor Sie mehrere Maßnahmen gleichzeitig anwenden, erstellen Sie bitte ein Backup; weitere Informationen hierzu finden Sie im Artikel über das Erstellen von Backups und die Wiederherstellung in WordPress.

Weitere Einstellungen auf der Datenkarte

• Suchmaschinenindexierung: Deaktivieren Sie diese Funktion während der Entwicklung, damit die noch nicht fertiggestellte Seite nicht in Suchmaschinen aufgenommen wird. Bei deaktivierter Funktion fügt WordPress den Seiten die Kennzeichnung „noindex, nofollow“ hinzu, und die Datei „robots.txt“ verhindert ebenfalls das Crawlen. Schalten Sie diese Funktion daher bei der Live-Schaltung unbedingt wieder ein.
• Wartungsmodus: Während der Wartungsarbeiten wird den Besuchern eine Informationsseite angezeigt. Über das daneben befindliche Einstellungssymbol können Sie den Text, einen Countdown sowie Links zu sozialen Netzwerken festlegen.
• Passwortschutz: Die gesamte Seite wird durch einen Benutzernamen und ein Passwort geschützt, was bei Testseiten nützlich ist.
• Fehlerbehebung: Die Einstellungen des WordPress-Fehlerreporters sind standardmäßig deaktiviert. Aktivieren Sie diese Funktion bitte nur zu Testzwecken; lassen Sie sie auf der live geschalteten Website deaktiviert, da die Fehlermeldungen sensible Daten preisgeben könnten.
• Schutz vor direkten Verweisen: Verhindert, dass andere Websites Ihre Bilder einbetten und dadurch den Traffic Ihres Webhostings beanspruchen.
• Übernahme der Datei „wp-cron.php“: Die zeitgesteuerten Aufgaben von WordPress werden nicht bei jedem Seitenaufruf, sondern durch einen regelmäßig geplanten Task ausgeführt; darum geht es in diesem Artikel über den Austausch von WP-Cron.
• Einstellungen für automatische Updates und die Funktion „Intelligentes Update“: automatische Updates für WordPress, Plugins und Themes sowie das Vorabtesten von Updates auf einer Kopie der Website; Einzelheiten finden Sie im Artikel über die Konfiguration automatischer Updates.
• Überprüfung der Integrität von WordPress: Die WordPress-Kerndateien werden mit den Prüfsummen von wordpress.org abgeglichen. Sollten Abweichungen festgestellt werden, können Sie diese über die Schaltfläche „WordPress-Kern neu installieren“ ohne Datenverlust neu installieren. Dies ist bei Verdacht auf eine Infektion hilfreich; die erforderlichen Schritte werden im Artikel zur Malware-Beseitigung mit ImunifyAV beschrieben.

Wenn in der Zeile Ihrer Website ein orangefarbenes SSL/TLS-Symbol angezeigt wird, weist das WP Toolkit darauf hin, dass die permanente (301) Weiterleitung von HTTP auf HTTPS nicht aktiviert ist; Informationen zur Einrichtung dieser Weiterleitung finden Sie im Artikel zur HTTPS-Weiterleitung.

Zu unseren cPanel- und WordPress-Hosting-Paketen bieten wir die Deluxe-Version des WP Toolkits an, das Sie bei der Erkennung anfälliger Plugins, beim Klonen und bei intelligenten Updates unterstützt. Neben den Einstellungen des WP Toolkits sind auch ein starkes Passwort und die Zwei-Faktor-Authentifizierung wichtig; weitere Maßnahmen werden in dem Artikel über Sicherheits-Einstellungen zum Schutz vor WordPress-Hacks behandelt.