Warum WordPress-Sicherheit kein Nice-to-have ist
WordPress betreibt über 40 % aller Websites weltweit – und genau das macht es zum bevorzugten Ziel automatisierter Massenangriffe. Bots scannen rund um die Uhr nach bekannten Lücken in veralteten Plugins, schwachen Passwörtern und offenen Admin-Zugängen. Wer gerade erst eine WordPress-Website aufgesetzt hat, findet die Grundlagen im Beitrag WordPress Website erstellen – dieser Beitrag setzt genau da an, wo die Installation endet.
Die meisten erfolgreichen Angriffe sind kein Zufall und keine Raffinesse, sondern das Ergebnis vernachlässigter Basics. Diese sechs Maßnahmen verhindern den Großteil davon.
6 Basis-Maßnahmen gegen Hacks
Die Wartungs-Checkliste
Sicherheit ist kein einmaliges Setup, sondern eine Routine. Diese Rhythmen haben sich in der Praxis bewährt – eine kuratierte, schlanke Plugin-Grundausstattung reduziert dabei von Anfang an das Risiko, siehe Die besten WordPress-Plugins für kleine Unternehmen 2026. Und wer Layout-Plugins wie Elementor einsetzt, sollte deren Update-Rhythmus genauso ernst nehmen wie den von WordPress-Core – mehr dazu im Beitrag Elementor vs. Gutenberg.
- Wöchentlich: Updates prüfen
Core, Theme und Plugins auf verfügbare Updates checken – nicht blind einspielen, sondern erst auf einer Staging-Kopie testen.
- Wöchentlich: Backup-Status kontrollieren
Ist das letzte automatische Backup tatsächlich durchgelaufen und wiederherstellbar? Ein stilles Backup-Versagen bemerkt man sonst erst im Ernstfall.
- Monatlich: Ungenutzte Plugins entfernen
Deaktivierte Plugins bleiben trotzdem angreifbar, solange die Dateien noch auf dem Server liegen.
- Monatlich: Nutzerkonten prüfen
Alte Admin-Zugänge von ehemaligen Dienstleistern oder Mitarbeitenden sind ein häufig übersehenes Einfallstor.
- Vierteljährlich: Ladezeit testen
Neue Plugins und Bilder summieren sich. Ein PageSpeed-Check zeigt, ob die Website noch performant bleibt.
- Jährlich: Hosting-Vertrag prüfen
PHP-Version, Speicherplatz und Support-Qualität sollten mit den Anforderungen der Website mitwachsen.
Eigenwartung oder professionelle Betreuung?
Beides funktioniert – die Frage ist, welche Ressource knapper ist: Zeit oder Budget. Diese Gegenüberstellung zeigt die realistischen Unterschiede:
| Eigenwartung | Professionelle Wartung | |
|---|---|---|
| Aufwand | 2–4 Stunden im Monat, selbst erledigt | Pauschale Wartung, keine eigene Zeit nötig |
| Reaktionszeit | Abhängig von eigener Verfügbarkeit | Meist innerhalb 24–48 Stunden bei Vorfällen |
| Backup-Kontrolle | Muss selbst eingerichtet und geprüft werden | Wird überwacht und regelmäßig getestet |
| Kosten | Nur Hosting- und Tool-Kosten | Zusätzliche monatliche Wartungspauschale |
| Sicherheitsniveau | Abhängig von Disziplin und Zeit | Konstant, unabhängig von Tagesform |
Was bei einem Hack wirklich hilft
Ist die Seite bereits kompromittiert, zählt vor allem eines: ein sauberes, aktuelles Backup, aus dem sich der letzte funktionierende Stand wiederherstellen lässt. Ohne Backup bleibt oft nur die mühsame manuelle Bereinigung – mit unsicherem Ausgang und Risiko für SEO-Rankings. Das ist der Hauptgrund, warum Backups die wichtigste Einzelmaßnahme in dieser ganzen Liste sind.
Wer den strukturellen Wartungsaufwand von WordPress grundsätzlich zu hoch findet, sollte auch einen Blick auf schlankere Alternativen werfen – dazu mehr im Beitrag Von WordPress zu Kirby migrieren.
