WordPress betreibt einen großen Teil aller Websites weltweit – und genau diese Verbreitung macht es zu einem beliebten Ziel für automatisierte Angriffe. Die gute Nachricht: Die meisten erfolgreichen Angriffe nutzen nicht raffinierte Sicherheitslücken, sondern simple, altbekannte Schwachstellen. Wer diese schließt, ist schon deutlich besser abgesichert als der Durchschnitt. Dieser Beitrag zeigt die häufigsten Einfallstore und eine konkrete 30-Minuten-Checkliste zum Nachmachen – auch ohne eigene IT-Abteilung.
Die häufigsten Einfallstore in der Praxis
1. Veraltete Plugins und Themes
Der mit Abstand häufigste Einstiegspunkt für Angriffe sind veraltete Plugins und Themes mit bekannten, öffentlich dokumentierten Sicherheitslücken. Automatisierte Scanner durchsuchen das Web systematisch nach Websites mit bestimmten veralteten Versionen – das passiert nicht gezielt gegen Sie persönlich, sondern massenhaft und automatisiert.
2. Schwache oder wiederverwendete Zugangsdaten
Ein Benutzername „admin“ mit einem Passwort, das auch für andere Dienste verwendet wird, ist nach wie vor eine der größten Schwachstellen. Gelangt ein Passwort bei einem anderen Anbieter in falsche Hände, probieren Angreifer es automatisiert auch bei WordPress-Logins.
3. Fehlende oder nicht getestete Backups
Kein direktes Einfallstor, aber der Grund, warum ein erfolgreicher Angriff oft zur Katastrophe wird: Ohne aktuelles, getestetes Backup bedeutet ein Hack im schlimmsten Fall den Totalverlust der Website.
4. Veraltete PHP-Version
Ältere PHP-Versionen erhalten irgendwann keine Sicherheitsupdates mehr. Läuft eine Website noch auf einer solchen Version, bleiben bekannte Lücken dauerhaft offen – unabhängig davon, wie aktuell WordPress selbst ist.
5. Offene XML-RPC-Schnittstelle
Die XML-RPC-Schnittstelle von WordPress wird heute kaum noch gebraucht, ist aber auf vielen Installationen standardmäßig aktiv. Sie wird häufig für automatisierte Brute-Force-Angriffe und Pingback-Missbrauch ausgenutzt.
6. Fehlende Zwei-Faktor-Authentifizierung
Ein einzelnes Passwort als einzige Absicherung für den Login-Bereich ist ein Risiko, das sich mit wenig Aufwand deutlich reduzieren lässt.
Die 30-Minuten-Checkliste zum Nachmachen
Diese Schritte lassen sich ohne Entwicklerkenntnisse an einem ruhigen Nachmittag umsetzen:
- Alle Plugins und Themes aktualisieren (ca. 5 Minuten): Im Dashboard unter „Aktualisierungen“ alle verfügbaren Updates einspielen. Vorher, wenn möglich, ein Backup erstellen.
- Ungenutzte Plugins und Themes löschen (ca. 5 Minuten): Jedes inaktive Plugin ist eine potenzielle Angriffsfläche, auch wenn es nicht aktiv genutzt wird. Radikal aufräumen lohnt sich.
- Admin-Benutzernamen prüfen und Passwort erneuern (ca. 5 Minuten): Kein Benutzername „admin“, stattdessen ein individueller Name. Ein neues, langes und einzigartiges Passwort setzen, idealerweise über einen Passwort-Manager erstellt.
- Zwei-Faktor-Authentifizierung aktivieren (ca. 5 Minuten): Über ein etabliertes Sicherheits-Plugin lässt sich 2FA in wenigen Minuten für alle Administrator-Konten einrichten.
- XML-RPC deaktivieren, falls nicht benötigt (ca. 5 Minuten): Wird keine App oder Schnittstelle genutzt, die XML-RPC voraussetzt, kann die Funktion über ein Sicherheits-Plugin oder eine kurze Serverkonfiguration abgeschaltet werden.
- Backup einrichten und testen (ca. 5 Minuten): Ein automatisches, regelmäßiges Backup einrichten – und mindestens einmal tatsächlich eine Wiederherstellung testen, um sicherzugehen, dass es im Ernstfall funktioniert.
Was danach noch sinnvoll ist
Die Checkliste deckt die größten und schnellsten Risiken ab. Wer darüber hinaus Zeit investieren möchte, sollte zusätzlich die PHP-Version beim Hoster prüfen und gegebenenfalls anheben lassen, eine Web Application Firewall in Betracht ziehen und Login-Versuche über ein Sicherheits-Plugin protokollieren und limitieren lassen. Das sind aber schon Schritte für die zweite Runde – die 30-Minuten-Checkliste allein schließt bereits die Einfallstore, über die die meisten automatisierten Angriffe laufen.
Fazit
WordPress-Sicherheit ist kein Projekt, das eine ganze IT-Abteilung braucht. Die größten Risiken lassen sich mit überschaubarem Aufwand deutlich reduzieren. Wer die sechs Punkte aus der Checkliste regelmäßig – etwa einmal im Quartal – durchgeht, liegt bei der Absicherung der eigenen Website bereits deutlich vor dem Durchschnitt.
