WordPress ist das weltweit am weitesten verbreitete Content-Management-System und daher das Hauptziel automatisierter Angriffe. Die meisten Hackerangriffe sind nicht zielgerichtet: Bots suchen nach schwachen Passwörtern und bekannten, aber noch nicht behobenen Sicherheitslücken. Die folgenden Schritte schützen Sie davor.

1. Aktualisierungen

Die meisten Hackerangriffe erfolgen über bekannte Sicherheitslücken in veralteten Plugins oder Themes. Halten Sie den WordPress-Kern, das WordPress-Theme und alle Plugins auf dem neuesten Stand; aktivieren Sie die automatische Aktualisierung für Sicherheitsupdates – mehr dazu erfahren Sie im Artikel über die automatische Aktualisierung von Plugins. Deaktivieren Sie nicht genutzte Plugins und Themes nicht nur, sondern löschen Sie diese auch, da sie selbst im deaktivierten Zustand auf dem Hosting verbleiben und ihre Schwachstellen ausgenutzt werden können.

2. Starke Passwörter, eindeutige Benutzernamen

Verwenden Sie nicht den Benutzernamen „admin“ und legen Sie für jedes Konto ein langes, individuelles Passwort fest, das Sie in einem Passwortmanager speichern. In unserem separaten Artikel erfahren Sie mehr über sichere Passwörter.

3. Zwei-Faktor-Authentifizierung

Bei Verwendung eines Plugins, das eine zweistufige Authentifizierung ermöglicht (z. B. „Two Factor“ oder „Wordfence Login Security“), reicht das Passwort allein nicht aus, um sich anzumelden. Aktivieren Sie diese Funktion zumindest für die Administratorkonten.

4. Begrenzung der Anmeldeversuche

Mit einem Plugin können Sie die Anzahl fehlgeschlagener Anmeldeversuche begrenzen, damit Brute-Force-Angriffe keinen Erfolg haben. Die auf dem Webhosting-Server laufende Schutzfunktion sperrt ebenfalls zu viele fehlerhafte Anmeldeversuche; in diesem Fall hilft Ihnen der Artikel über die IP-Sperre der Firewall weiter.

5. Berechtigungen

Jeder sollte nur so viele Rechte erhalten, wie er benötigt: Ein Artikelautor sollte „Autor“ oder „Redakteur“ sein, nicht „Administrator“. Überprüfen Sie von Zeit zu Zeit die Benutzerliste und löschen Sie nicht mehr genutzte Konten.

6. Die Einstellungen in der Datei „wp-config.php“

• Deaktivierung der Dateibearbeitung: Die Zeile „define('DISALLOW_FILE_EDIT', true);“ verhindert die Bearbeitung von Template- und Plugin-Dateien über das Admin-Panel, sodass mit einem gestohlenen Admin-Passwort kein schädlicher Code direkt eingefügt werden kann.
• Dateiberechtigungen: Die Ordner sollten in der Regel die Berechtigung 755 haben, die Dateien 644; die Datei „wp-config.php“ sollte strengere Berechtigungen aufweisen, beispielsweise 600 oder 640; siehe den Artikel zur Erläuterung der Dateiberechtigungen (chmod, chown).
• Sicherheitsschlüssel: Bei Verdacht auf einen Hackerangriff sollten Sie die Schlüssel in der Datei „wp-config.php“ (AUTH_KEY und ähnliche) mithilfe des WordPress-Schlüsselgenerators austauschen; dadurch werden alle angemeldeten Benutzer abgemeldet.

7. XML-RPC

Die Schnittstelle „xmlrpc.php“ wird heutzutage nur noch von wenigen Anwendungen genutzt, ist jedoch ein häufiges Angriffsziel. Wenn Sie keinen Dienst nutzen, der diese Schnittstelle benötigt (beispielsweise bestimmte Funktionen von Jetpack oder eine ältere mobile App), deaktivieren Sie sie bitte mithilfe eines Sicherheits-Plugins oder über das WP Toolkit.

8. Nur aus zuverlässigen Quellen

Installieren Sie niemals geknackte („nulled“) Vorlagen oder Plugins, da diese häufig versteckte Malware enthalten; siehe: Warum sind geknackte („nulled“) Vorlagen und Plugins gefährlich?

9. HTTPS und Datensicherung

Die Seite sollte vollständig auf HTTPS umgeleitet sein und über eine aktuelle, wiederherstellbare Sicherung verfügen: Sollte alles andere fehlschlagen, kann die Seite daraus wiederhergestellt werden.

Auf den Webhosting-Servern von aWh

Auf unseren cPanel-Servern überwacht ImunifyAV+ die Dateien und meldet Malware. Über den Menüpunkt „Sicherheit“ im WP Toolkit lassen sich einige der oben genannten Einstellungen mit einem Klick vornehmen (beispielsweise die Dateibearbeitung oder die Deaktivierung von XML-RPC); dies wird im Artikel über die Grundeinstellungen des WP Toolkits behandelt. Eine detaillierte Checkliste finden Sie in unserem Blog: WordPress-Sicherheit: Praktische Checkliste.