Ist WordPress sicher?

WordPress ist grundsätzlich sicher. Aber genauso wie bei allen anderen Website-Redaktionssystemen gibt's auch hier Sicherheitslücken, die durch regelmäßige Updates geschlossen werden. Daher ist die Updatefähigkeit von WordPress-Websites absolut obligatorisch.

Die meisten Angriffspunkte gibt's nicht in WordPress selbst, sondern liegen in unsicheren WordPress-Plugins oder -Themes. Oft sind es kostenlose und wenig überlegt eingesetzte Lösungen, die zu Sicherheitsrisiken führen. Wir haben aber vor ein paar Jahren auch eine Kundin „gewonnen“, deren professionelles WordPress-Theme klangheimlich nicht mehr weiterentwickelt wurde und durch massive Sicherheitslücken Hackern Zugriff auf ihren Online-Shop ermöglichte.

In dem Fall mussten wir ein Notfall-Redesign auf einem anderen Theme und WordPress-Editor durchführen, da das alte Setup nicht mehr zu retten war (die Inhalte schon). Daher ist eine sorgfältige Prüfung der Erweiterungen von WordPress dringend ratsam und bei uns selbstverständlich. Automatische Updates können dabei helfen, Sicherheitslücken bei Bekanntwerden sofort zu schließen.

Diverse Grundeinstellungen und eine Firewall können WordPress zusätzlich absichern. Auch hier gibt es große Unterschiede zur Absicherung: Die meisten Firewall-Plugins wie z. B.

Wordfence laufen auf sogenannter Applikations-Ebene, sprich nur im WordPress-Redaktionssystem. Das kann bei wenig besuchten und noch nie angegriffenen Websites ausreichend sein, ist aber Performance-hungrig und verlangsamt den Server. Denn jeder einzelne Aufruf auf die Website muss erst einmal durch PHP und die Datenbank von WordPress verarbeitet werden, damit eine derartige Firewall entscheiden kann, ob der Zugriff erlaubt ist oder nicht.

Das kostet wertvolle Millisekunden und CPU-Last. Durch Firewalls auf Cloud-Ebene wird der Traffic dagegen gefiltert, bevor er überhaupt auf den eigenen Server kommt. Die populärsten und besten Vertreter hierzu sind Sucuri und Cloudflare.

Ersteres ist relativ schnell eingerichtet, das Cloudflare-Setup ist komplexer. Noch Fragen? Wir beraten zu Sicherheitsthemen, bereinigen gehackte Websites und sichern WordPress-Websites ab.

Unser Hintergrund: Seit 15 Jahren entwickeln wir WordPress-Websites, eigene Plugins und Themes. Zu unseren Kunden gehören außerdem mehrere IT-Security-Unternehmen, die uns regelmäßig mit höchsten Sicherheitsanforderungen herausfordern.