Die meisten „ WordPress “-Hacks beginnen mit einem anfälligen Plugin, nicht mit einem erratenen Passwort. Dieser Leitfaden ordnet die Sicherheitsmaßnahmen für „ WordPress “ nach Priorität: Was du noch heute beheben solltest, was du diese Woche einplanen solltest und was dein Hosting-Anbieter auf Serverebene übernehmen sollte. Du erfährst außerdem, warum Updates allein Lücken hinterlassen und wie du einen Hackerangriff erkennen kannst, bevor er dich Besucherzahlen oder Umsatz kostet.
Der beste Sicherheitsschutz für WordPress ist mehrschichtig. Halte Plugins, Themes und den Kern auf dem neuesten Stand. Lösche alles, was du nicht nutzt. Erfordere eine Zwei-Faktor-Authentifizierung für jeden Administrator, führe geprüfte externe Backups durch und nutze eine Infrastruktur, die Angriffe auf Server- und Anwendungsebene abwehrt. Von diesen Ebenen verdienen Plugins die größte Aufmerksamkeit: Laut Patchstacks Bericht „State of WordPress Security in 2026“ befanden sich 91 % der im Jahr 2025 entdeckten neuen Sicherheitslücken in Plugins und 9 % in Themes.
Geh die folgenden Abschnitte von oben nach unten durch. Jeder Abschnitt ist danach geordnet, wie viel Risiko er im Verhältnis zum Zeitaufwand verringert.
Woher die „ WordPress “-Angriffe kommen
Patchstack zählte im Jahr 2025 11.334 neue Sicherheitslücken im „ WordPress “-Ökosystem, was einem Anstieg von 42 % gegenüber 2024 entspricht (Patchstack). Nur sechs davon betrafen den Kern von „ WordPress “, und alle sechs hatten eine niedrige Priorität. Der Rest stammte von den Plugins und Themes, die du installierst.
Kostenpflichtige Komponenten sind nicht automatisch sicherer. Patchstack hat in Premium-Plugins und -Themes dreimal so viele bekannte, bereits ausgenutzte Sicherheitslücken gefunden wie in kostenlosen – unter anderem, weil weniger Forscher Zugriff auf den Premium-Code haben, um ihn zu überprüfen (Patchstack). Das überrascht viele Webseitenbetreiber, die davon ausgehen, dass eine Lizenzgebühr auch mehr Sicherheit bedeutet.
Core erfordert weiterhin Aufmerksamkeit. Im Juli 2026 deckten Forscher „wp2shell“ auf, zwei „ WordPress “-Kernschwachstellen, die in Kombination eine nicht authentifizierte Remote-Codeausführung auf Standardinstallationen der Versionen 6.9.0 bis 6.9.4 und 7.0.0 bis 7.0.1 ermöglichten (Rapid7). WordPress veröffentlichte die Versionen 6.8.6, 6.9.5 und 7.0.2 und erzwang automatische Updates für kompatible Websites (INCIBE-CERT). Websites, auf denen die automatischen Kern-Updates deaktiviert waren, blieben am längsten angreifbar. Unsere Fallstudie zu „wp2shell“ – Kompromittierung und Wiederherstellung – zeigt, wie das auf einer echten Website aussah.
Was du heute tun kannst, um deine WordPress
Diese vier Schritte dauern auf den meisten Websites weniger als eine Stunde und schließen die Sicherheitslücken, die Angreifer am häufigsten ausnutzen.
Automatische Updates aktivieren
Öffnen Dashboard > Updates und installiere alles, was noch aussteht. Dann geh zu Plugins und klick Automatische Updates aktivieren neben jedem Plugin, bei dem du darauf vertraust, dass es sich automatisch aktualisiert. WordPress installiert kleinere Kern-Updates standardmäßig automatisch – vergewissere dich also, dass diese Funktion nicht deaktiviert wurde, zum Beispiel durch eine WP_AUTO_UPDATE_CORE Konstante gesetzt auf false in wp-config.php.
Bei WooCommerce-Shops oder stark angepassten Websites solltest du größere Plugin-Updates zuerst auf einer Staging-Umgebung testen. Unsere Übersicht über Staging-Plugins für „WordPress “ stellt dir die verschiedenen Optionen vor.
Lösche Plugins und Themes, die du nicht benutzt
Das Deaktivieren eines Plugins löscht dessen Dateien nicht. Sicherheitslückenbehafteter Code kann weiterhin auf dem Server vorhanden sein, lösche daher alles, was inaktiv ist. Behalte ein aktuelles Standard-Theme als Ausweichlösung und entferne den Rest.
Auf WordPress.org wird bei jedem Plugin, das nicht mit den letzten drei Hauptversionen von WordPress getestet wurde, eine Warnung angezeigt. Betrachte diese Warnung als Anlass, nach einem gepflegten Ersatz zu suchen.
Zweifaktor-Authentifizierung für jeden Admin vorschreiben
WordPress Core bietet keine Zwei-Faktor-Authentifizierung, daher brauchst du ein Plugin. Wähle eines, das eine Authentifizierungs-App, Passkeys oder Hardware-Sicherheitsschlüssel unterstützt, anstatt dich auf SMS- oder E-Mail-Codes zu verlassen. SMS-Nachrichten können durch SIM-Swapping abgefangen werden, und E-Mail-Codes sind nur so sicher wie der Posteingang, in dem sie eingehen. Schau dir unseren Vergleich der besten Plugins für die Zwei-Faktor-Authentifizierung für WordPress an oder folge der Einrichtungsanleitung in unserem Support-Center.
Aktualisiere deine Passwortregeln
Der alte Ratschlag, Großbuchstaben, Zahlen und Sonderzeichen zu mischen, ist überholt. Die aktuelle Authentifizierungsrichtlinie des NIST, SP 800-63B-4, besagt, dass Systeme keine Regeln für die Zusammensetzung vorschreiben oder regelmäßige Passwortänderungen verlangen dürfen (NIST). Sie legt eine Mindestlänge von 15 Zeichen fest, wenn das Passwort der einzige Authentifizierungsfaktor ist (Startup Defense).
In der Praxis heißt das:
- Nutze einen Passwort-Manager und ein einzigartiges Passwort für jedes Konto
- Wähle mindestens 15 Zeichen oder eine Passphrase aus mehreren, nicht miteinander in Zusammenhang stehenden Wörtern
- Ändere Passwörter, wenn es Anzeichen für einen Hackerangriff gibt – und nicht einfach nach einem festen Zeitplan.
- Gib jedem seinen eigenen Login; teile niemals ein Admin-Konto mit anderen
Was du diese Woche tun solltest
Benutzerkonten und Rollen prüfen
Geh zu „Benutzer“ > „Alle Benutzer“ und lösche ehemalige Mitarbeiter, Auftragnehmer und alte Agenturkonten. Überprüfe anschließend jede verbleibende Rolle:
| Rolle | Klar, kein Problem | Wer sollte es haben? |
|---|---|---|
| Administrator | Plugins installieren, Einstellungen ändern, Benutzer verwalten | Ein oder zwei Leute, die die Seite betreuen |
| Herausgeber | Inhalte von anderen veröffentlichen und bearbeiten | Inhalte sind entscheidend – die meisten Kunden kommen über von Agenturen erstellte Websites |
| Autor | Eigene Beiträge veröffentlichen | Regelmäßige Autoren |
| Mitwirkender | Entwürfe schreiben, nicht veröffentlichen | Gastautoren oder gelegentliche Autoren |
Defekte Zugriffskontrollen waren 2025 die am häufigsten ausgenutzte Art von Sicherheitslücken, und diese Angriffe sehen oft wie normaler Datenverkehr von angemeldeten Nutzern aus (Patchstack). Wenn deine Website keine öffentliche Registrierung benötigt, deaktiviere unter „Einstellungen > Allgemein“ die Option „Jeder kann sich registrieren “. Weniger Konten bedeuten weniger Einfallstore.
Warum brauchen Plugin-Updates eine zweite Ebene?
Updates schützen dich erst, wenn ein Fix vorliegt. Im Jahr 2025 gab es für 46 % der „ WordPress “-Schwachstellen noch keinen Fix vom Entwickler, als sie öffentlich bekannt wurden (Patchstack). Bei den am häufigsten ausgenutzten Schwachstellen betrug die gewichtete Medianzeit von der Offenlegung bis zur ersten Ausnutzung fünf Stunden.
Angreifer nutzen auch weiterhin alte Sicherheitslücken aus. Von den zehn am häufigsten ausgenutzten Schwachstellen im Jahr 2025 wurden nur vier in diesem Jahr veröffentlicht (Patchstack). Bei den anderen sechs handelte es sich um ältere Fehler, die auf den Websites noch immer nicht behoben worden waren.
Die Lücke ist also auf beiden Seiten real. Manche Systeme können nicht schnell genug gepatcht werden, und für manche Schwachstellen gibt es gar keinen Patch. Um diese Lücke zu schließen, braucht es einen Schutz, der überwacht, was der Code tut – und nicht nur, welche Version installiert ist.
Was sollte dein Hosting-Anbieter übernehmen?
Manche Schutzmaßnahmen lassen sich nicht über das Dashboard von „ WordPress “ konfigurieren. Das hängt davon ab, wie dein Hosting-Anbieter seine Server aufbaut und betreibt.
InMotion Hosting arbeitet seit 2021 mit Monarx zusammen, und schon im ersten Jahr dieser Partnerschaft konnten wir einen Rückgang der sicherheitsbezogenen Supportfälle um 40 % verzeichnen (InMotion Hosting). Seitdem haben wir Monarx ThreatShield auf unserer gesamten Serverflotte bereitgestellt. Eine herkömmliche Firewall prüft eine Anfrage, bevor sie deine Anwendung erreicht. ThreatShield läuft innerhalb der Anwendungslaufzeit und bewertet daher, was eine Anfrage tatsächlich zu tun versucht, wenn sie ausgeführt wird. So kann es Folgendes verhindern:
- Cross-Site-Scripting und SQL-Injection
- Ausführung von Code aus der Ferne
- Brute-Force-Angriffe auf Logins und Credential Stuffing
- Spam und anderer Missbrauch der Anwendung
Das ist vor allem in der Zeit zwischen der Bekanntgabe der Sicherheitslücke und der Veröffentlichung des Patches wichtig, wenn deine Plugins angreifbar sind und noch kein Update verfügbar ist.
Dein Hosting-Anbieter sollte außerdem die Server-Software aktualisieren, Konten voneinander trennen, Firewalls verwalten und dir Zugang zu Mitarbeitern gewähren, die dir im Falle eines Vorfalls helfen können. Der Support von InMotion Hosting ist rund um die Uhr verfügbar, und jeder Techniker absolviert mehr als 280 Stunden Schulung, bevor er Tier-1-Fälle bearbeitet.
Für VPS- und Dedicated-Server-Kunden, die Malware-Schutz und Backups in einem Paket wünschen, bietet InMotion Premier Care den Monarx-Malware-Schutz, Backup-Speicherplatz und erweiterten Support-Zugang in einem Paket. Du kannst Monarx Security auch separat hinzufügen.
Keine einzelne Schutzebene fängt alles ab. Der Schutz auf Host-Ebene reduziert die Anzahl der Angriffe, die deine Website erreichen; er ersetzt jedoch weder Updates noch sichere Anmeldedaten noch Backups.
Verbessert das Ändern der Anmelde-URL von „ WordPress “ die Sicherheit?
Ein bisschen. Umziehen /wp-admin Das reduziert die Anzahl der automatisierten Anmeldeversuche in deinen Logs, verhindert aber keine Plugin-Exploits, die die Anmeldeseite ohnehin nur selten betreffen. Betrachte es als Wartungsmaßnahme, nicht als Schutz. Einige Caching- und Sicherheits-Plugins stehen zudem im Konflikt mit benutzerdefinierten Anmeldepfaden, also teste die Funktion nach der Änderung.
Welches „ WordPress “-Sicherheits-Plugin solltest du verwenden?
Ein gut gepflegtes Sicherheits-Plugin reicht für die meisten Websites aus. Wordfence und ähnliche Tools kümmern sich an einem Ort um die Begrenzung von Anmeldungen, Benachrichtigungen bei Dateiänderungen und die Zwei-Faktor-Authentifizierung. Vermeide es, zwei Firewall-Plugins gleichzeitig laufen zu lassen. Sie verursachen Konflikte, verdoppeln den Rechenaufwand bei jeder Anfrage und können ein Shared-Hosting-Konto an seine CPU-Grenzen bringen. Plane umfassende Malware-Scans für Zeiten mit geringem Datenverkehr ein.
Wie kannst du eine Kompromittierung von „ WordPress “ frühzeitig erkennen?
Moderne „ WordPress “-Malware ist darauf ausgelegt, sich zu tarnen. Bei typischen Kampagnen wird Suchmaschinen-Crawlern Spam angezeigt, einige menschliche Besucher werden auf Betrugsseiten umgeleitet, während Website-Betreibern eine saubere Seite angezeigt wird (Patchstack und Monarx). Eine Malware-Familie namens Lock360 läuft im Server-Speicher und überschreibt Dateien wie index.php und .htaccess sobald sie wiederhergestellt sind.
Achte auf diese Anzeichen:
- Unbekannte Seiten bei der Suche
site:yourdomain.combei Google - Kunden melden Weiterleitungen, die du nicht nachvollziehen kannst
- Administratorkonten, die niemand angelegt hat
- PHP-Dateien darin
/wp-content/uploads/ - Dateien, die sich nach dem Bereinigen wieder ändern
Wenn du eines dieser Anzeichen bemerkst, wende dich bitte an den Support, bevor du ein Backup wiederherstellst, da eine im Arbeitsspeicher verbleibende Infektion eine saubere Wiederherstellung erneut infizieren kann. Unser [Website-Services-Team]([URL ZUR REPARATUR GEHACKTER WEBSITES]) bietet außerdem die Reparatur gehackter Websites mit Standard- und Express-Bearbeitung an.
Ist deine „ WordPress “-Website bereit für den Ansturm in der Weihnachtszeit?
Monarx stellte fest, dass sich die Zahl der bösartigen Datei-Uploads im November und Dezember 2025 fast verdreifacht hat, da der Datenverkehr in der Vorweihnachtszeit seinen Höhepunkt erreichte und die IT-Teams unterbesetzt waren (Patchstack und Monarx). Für WooCommerce-Shops ist das der denkbar schlechteste Zeitpunkt.
Bevor du „ Black Friday “ durchführst, arbeite die oben stehenden Listen für heute und diese Woche ab, setze die Installation nicht unbedingt notwendiger Plugins aus und überprüfe, ob die Wiederherstellung aus einem Backup funktioniert. Schreib dir auf, wen du anrufen musst, falls der Checkout an einem Samstag um 23 Uhr ausfällt.
Wo solltest du anfangen?
| Priorität | Aufgabe | Benötigte Zeit | Wer kümmert sich darum? |
|---|---|---|---|
| Heute | Alles aktualisieren, automatische Updates aktivieren | 15 Minuten | Du |
| Heute | Lösche nicht verwendete Plugins und Themes | 10 Minuten | Du |
| Heute | Zweifaktor-Authentifizierung für Admins vorschreiben | 20 Minuten | Du |
| Diese Woche | Benutzer und Rollen überprüfen | 30 Minuten | Du |
| Diese Woche | Anmeldungen begrenzen, Dateibearbeitung deaktivieren | 20 Minuten | Du |
| Diese Woche | PHP-Version prüfen, Wiederherstellung aus einem Backup testen | 1 Stunde | Du oder dein Entwickler |
| Laufend | Laufzeitschutz, Malware-Erkennung, Server-Patching | Fortlaufend | Dein Gastgeber |
Wenn dein aktueller Host dir diese letzte Zeile überlässt, lohnt es sich, genauer hinzuschauen. „InMotion Hosting “ für WordPress läuft auf einer Infrastruktur, die wir selbst aufbauen und betreiben, mit ThreatShield-Schutz, der in unserer gesamten Flotte eingesetzt wird, und echten Mitarbeitern, die rund um die Uhr Support leisten. Für Agenturen, die viele Kundenwebsites oder Shops verwalten und dedizierte Ressourcen benötigen, bietet „VPS Hosting“ für WordPress zusätzliche Isolation und Kontrolle auf Root-Ebene. Sprich mit unserem Team darüber, welche Lösung am besten zu deiner Arbeitslast passt.