Wordfence ist eines der bekanntesten Sicherheits-Plugins für WordPress: Es bietet eine Web-Firewall, einen Malware-Scanner, Zugriffsschutz und Traffic-Überwachung. Nicht jede Website benötigt es, und bei Shared Hosting fallen dafür Kosten an. Im Folgenden erläutern wir, wann sich der Einsatz lohnt und worauf Sie achten sollten, wenn Sie es installieren.

Die Messungen wurden im Oktober 2026 mit einer kostenlosen Lizenz für Wordfence Version 9.0.2 auf einem Testkonto für cPanel-Hosting von aWh durchgeführt, und zwar auf einer Website ohne Inhalte, auf der WordPress 7.1 installiert war. Wir haben sowohl die Suche als auch die Aktivierung der Firewall und deren Deaktivierung getestet.

Benötigen Sie diesen Artikel?

Die Frage lautet: Was läuft bereits auf Ihrem Webhosting-Konto?

Sicherheit	cPanel-Hosting standardmäßig	Fügt Wordfence dies hinzu?
Schadensuche in Dateien	ImunifyAV+ auf dem Server (falls etwas gefunden wird)	Ja, es gleicht auch den eigenen Dateien von WordPress
Hinweis auf anfällige Plugins	WP Toolkit	Ja
Sicherheitseinstellungen	WP Toolkit	Teilweise
Beschränkung von Passwortversuchen	Serverseitiger Schutz	Ja, auf WordPress-Ebene
Zweistufige Anmeldung	Keine	Ja (Anmeldesicherheit)
Web-Firewall vor WordPress	Keine	Ja

Für eine einfache, regelmäßig aktualisierte Website reicht bei cPanel-Hosting in der Regel das aus, was der Server bereitstellt, ergänzt durch die grundlegenden Sicherheitseinstellungen und ein kleines Plugin, das eine zweistufige Anmeldung ermöglicht. Wordfence lohnt sich, wenn Sie eine Web-Firewall vor WordPress einsetzen möchten, beispielsweise bei einem Online-Shop oder einer Mitglieder-Website mit vielen Nutzern, oder wenn Sie selbst sehen möchten, welchen Angriffen die Website ausgesetzt ist. Das WP Toolkit ist nur auf cPanel-Hosting verfügbar; daher kann ein Sicherheits-Plugin auf einem Webhosting-Server aufgrund der Anzeige anfälliger Plugins und des Schutzes auf WordPress-Ebene einen größeren Mehrwert bieten.

Wenn vor der Website Cloudflare oder ein anderer Proxy eingesetzt wird, ersetzen einige der dortigen Firewall-Regeln die Wordfence-Firewall, und die Last entsteht auch nicht auf dem Hosting-Server.

Installation

1. Wählen Sie im Admin-Bereich den Punkt „Plugins“ › „Plugin hinzufügen“, suchen Sie nach „Wordfence“, installieren Sie es und aktivieren Sie es. Sie können dies auch über das WP Toolkit oder über die Befehlszeile tun: „wp plugin install wordfence --activate“.
2. Nach der Aktivierung zeigt das Plugin folgende Meldung an: „You must install a license to continue using Wordfence.“ Auch für die kostenlose Nutzung ist eine Registrierung erforderlich. Über die Schaltflächen „RESUME INSTALLATION“ und anschließend „GET YOUR WORDFENCE LICENSE“ können Sie auf der Wordfence-Website eine Lizenz beantragen.
3. Geben Sie den erhaltenen Schlüssel ein, indem Sie auf den Link „Install an existing license“ klicken: Tragen Sie in das Feld „E-Mail“ den Empfänger der Benachrichtigungen ein, in das Feld „License Key“ den Schlüssel und klicken Sie anschließend auf die Schaltfläche „INSTALL LICENSE“. Die erfolgreiche Installation wird durch die Meldung „Free License Installed“ angezeigt. Wordfence verlangt, dass jede Installation einen eigenen Schlüssel erhält.
4. Geben Sie bitte eine E-Mail-Adresse an, die Sie regelmäßig abrufen, da das Plugin die Benachrichtigungen an diese Adresse sendet.

Das Menü des Plugins wird in der linken Leiste angezeigt, und zwar in englischer Sprache: Dashboard, Firewall, Scan, Tools, Audit Log, Login Security, All Options, Help.

Die erste Suche

Auf der Seite „Scan“ startet die Schaltfläche „START NEW SCAN“ den Scanvorgang. Auf unserer Testwebsite ohne Inhalt wurden 4.433 Dateien, 3 Plugins, 3 Vorlagen und 414 URLs innerhalb von 21 Sekunden überprüft. Der einzige Fund mit geringem Schweregrad bestand darin, dass aufgrund der Einstellungen zwei Pfade bei der Malware-Suche übersprungen wurden; dies bedeutet jedoch keine Infektion. Auf einer Website mit vielen Bildern und Plugins dauert die Suche deutlich länger.

In der kostenlosen Version werden die Malware-Signaturen mit einer Verzögerung von 30 Tagen aktualisiert (Signature updates delayed by 30 days), und die Echtzeit-IP-Sperrliste sowie die Reputationsprüfungen (Spamvertising Checks, Spam Check, Blocklist Check) sind nicht verfügbar.

Aktivierung der Firewall

Die Firewall startet im „Learning Mode“ (Lernmodus), der in unserem Test auf sieben Tage eingestellt war. Während dieser Zeit beobachtet sie lediglich den normalen Datenverkehr der Website, um diesen zu erfassen, und blockiert nichts: In unserem Test wurden auch die Angriffsmuster durchgelassen. Bis zum Ende der Woche durchläuft sie die wichtigen Funktionen der Website, darunter den Login, die Formulare und die Kasse. Wechseln Sie anschließend in den Einstellungen der Firewall in den Modus „Enabled and Protecting“, sofern die automatische Umschaltung nicht aktiviert ist.

Die standardmäßige Schutzstufe „Basic WordPress Protection“ wird erst beim Laden von WordPress aktiviert. Den leistungsstärkeren Modus „Extended Protection“ können Sie über die Schaltfläche „Optimize the Wordfence Firewall“ aktivieren:

1. Der Assistent erkennt den Server; auf dem aWh-cPanel-Server war „LiteSpeed/lsapi“ bereits voreingestellt – behalten Sie diese Einstellung bei.
2. Laden Sie die beiden Sicherungsdateien über die Schaltflächen „DOWNLOAD .HTACCESS“ und „DOWNLOAD .USER.INI“ herunter. Erst danach wird die Schaltfläche „CONTINUE“ aktiv.
3. Eine erfolgreiche Einrichtung wird durch die Meldung „Installation Successful“ angezeigt.

Der Assistent erstellt im Stammverzeichnis der Website die Datei „wordfence-waf.php“ und fügt den Block „# Wordfence WAF“ in die Dateien „.htaccess“ und „.user.ini“ ein. In unserem Test wies die Firewall daraufhin die Muster für Verzeichniszugriff und Skript-Einbettung mit einem 403-Fehler und der Meldung „A potentially unsafe operation has been detected“ zurück, während normale Anfragen durchgelassen wurden. Ein einfaches SQL-Injection-Beispiel wurde jedoch durchgelassen, da es keiner der Regeln entsprach; daher führt die Firewall keine automatischen Aktualisierungen durch.

Was Sie bei „Extended Protection“ beachten sollten

Folgendes haben wir in unseren eigenen Tests festgestellt:

• Löschen Sie die Datei „wordfence-waf.php“ nicht. Falls die Datei fehlt, die Konfiguration jedoch weiterhin darauf verweist, gibt die gesamte Website einen 500-Fehler aus. Sollte dies geschehen sein, stellen Sie die Datei wieder her oder löschen Sie den Block „# Wordfence WAF“ aus der Datei „.htaccess“.
• Das Zurücksetzen der .htaccess-Datei deaktiviert die Firewall stillschweigend. Wenn Sie die Datei auf den Standardzustand zurücksetzen, funktioniert die Website zwar weiterhin einwandfrei, die Firewall wird jedoch nicht früh genug ausgeführt, weshalb Sie den Assistenten erneut ausführen müssen.
• Verschiebung: Der Block enthält den vollständigen Pfad zur Datei. Deaktivieren Sie vor einer Verschiebung oder einem Ordnerwechsel die Funktion über die Schaltfläche „REMOVE EXTENDED PROTECTION“ und aktivieren Sie sie anschließend wieder über den Assistenten.

Wie viele Ressourcen verbrauchen Sie?

Unsere Messdaten stammen von der Testwebsite ohne Inhalte:

Was wir gemessen haben	Ergebnis
Die Zeit bis zum ersten Byte der Startseite	Im ausgeschalteten Zustand ca. 0,10 ms, im eingeschalteten Zustand ca. 0,15 ms, im Extended-Protection-Modus ca. 0,17 ms
Größe des Plugins	22 MB
Der Ordner „wp-content/wflogs“	8,3 MB, bereits nach dem Einschalten
Neue Datenbanktabellen	26
Neue geplante Aufgaben	Stündliche und tägliche Ausführungen

Auf einer leeren Website ist das zwar nicht weiter schlimm, doch das Plugin wird bei jeder Anfrage ausgeführt, und die vollständige Suche liest zahlreiche Dateien aus. Bei Shared Hosting kann dies zu einer Ressourcenbeschränkung führen und einen 508-Fehler verursachen. Daher:

• Scan: Aktivieren Sie auf der Seite „All Options“ im Abschnitt „Performance Options“ die Einstellung „Use low resource scanning“. Der Scan dauert zwar länger, belastet das Hosting jedoch weniger. Führen Sie die Scans nach Möglichkeit zu Zeiten mit geringem Datenverkehr durch.
• Live-Traffic: Beschränken Sie die Protokollierung auf Sicherheitsereignisse. Die Protokollierung des gesamten Datenverkehrs führt zu kontinuierlichen Einträgen in die Datenbank; aktivieren Sie diese Funktion daher nur für kurze Fehlerbehebungen.
• Ein Plugin reicht aus: Verwenden Sie nicht gleichzeitig zwei Firewall-Sicherheits-Plugins, da diese miteinander in Konflikt geraten und das Hosting doppelt belasten.

Hinter Cloudflare

Wenn vor Ihrer Website Cloudflare eingesetzt wird und Wordfence die IP-Adresse des Besuchers falsch erkennt, wird möglicherweise anstelle der Besucher-IP die Proxy-IP-Adresse angezeigt, sodass durch eine Sperre alle Besucher ausgeschlossen werden könnten. Geben Sie auf der Seite „All Options“ unter der Einstellung „How does Wordfence get IPs“ die richtige Quelle an und überprüfen Sie Ihre eigene IP-Adresse auf der Seite „Tools › Live Traffic“.

Falls Sie sich ausgesperrt haben

Falls Wordfence Ihre eigene IP-Adresse blockiert oder die Admin-Oberfläche aufgrund Ihrer Firewall nicht geladen wird, können Sie das Plugin deaktivieren, indem Sie den Ordner im Dateimanager oder per FTP umbenennen: „wp-content/plugins/wordfence“ sollte beispielsweise in „wordfence-ki“ umbenannt werden. Per SSH: „wp plugin deactivate wordfence“. Lesen Sie anschließend den Artikel über die IP-Blockierung durch die Firewall, falls auch die Firewall des Servers Ihre Adresse blockiert.

Entfernung

Eine einfache Deinstallation lässt vieles zurück. In unserem Test blieben nach dem Löschen des Plugins alle 26 Tabellen, der 8,3 MB große Ordner „wflogs“ sowie einige Einstellungen erhalten. Gehen Sie daher bitte in folgender Reihenfolge vor:

1. Wenn Sie den Modus „Extended Protection“ verwendet haben, klicken Sie in den Firewall-Einstellungen auf die Schaltfläche „REMOVE EXTENDED PROTECTION“, laden Sie die beiden Sicherungskopien herunter und klicken Sie auf die Schaltfläche „CONTINUE“. Es kann bis zu 5 Minuten dauern, bis die Änderung wirksam wird; löschen Sie das Plugin bis dahin bitte nicht.
2. Aktivieren Sie auf der Seite „All Options“ im Abschnitt „General Wordfence Options“ die Einstellung „Delete Wordfence tables and data on deactivation“ und speichern Sie die Änderung.
3. Deaktivieren Sie das Plugin und löschen Sie es anschließend.
4. Löschen Sie die verbleibende Datei „wordfence-waf.php“ aus dem Stammverzeichnis Ihrer Website.

So ist in unserem Test der Ordner „wflogs“ verschwunden, und von den 26 Tabellen sind vier übrig geblieben: Die Tabellen mit dem Präfix „wfls_“ gehören zum Bereich „Login Security“, und einige Einstellungen verbleiben ebenfalls in der Datenbank. Diese werden nicht ausgeführt, sondern belegen lediglich Speicherplatz. In den Einstellungen unter „Login Security“ löscht die Option „Delete Login Security tables and data on deactivation“ auch diese; wir haben dies nicht getestet; nachträglich können sie auch in phpMyAdmin gelöscht werden.

Weitere Maßnahmen zur WordPress-Sicherheit finden Sie in unserer praktischen Checkliste.