Kurze Antwort: Die meisten WordPress-Websites werden über veraltete Plugins und schwache oder gestohlene Passwörter gehackt – nicht über WordPress selbst. Laut dem Patchstack-Bericht 2026, den Sicherheitsforscher zitieren, steckten rund 91 % der 2025 veröffentlichten Schwachstellen in Plugins, 9 % in Themes und weniger als 1 % im WordPress-Kern. Die wirksamsten Maßnahmen sind daher einfach: alles aktuell halten, ungenutzte Plugins löschen, starke Passwörter mit Zwei-Faktor-Authentifizierung nutzen, Backups außerhalb des Servers speichern und ein seriöses Sicherheits-Plugin oder eine Firewall einsetzen.
Woher die Schwachstellen kommen
| Quelle | Anteil an Schwachstellen (2025) |
|---|---|
| Plugins | ~91 % |
| Themes | ~9 % |
| WordPress-Kern | Unter 1 % |
Patchstack-Zahlen 2026, wie von Sicherheitsratgebern berichtet. Dieselbe Untersuchung zeigt, dass manche Lücken schon wenige Stunden nach ihrer Veröffentlichung massenhaft ausgenutzt werden – deshalb sind schnelle Updates so wichtig.
Die 15 Schritte
1. WordPress, Plugins und Themes aktualisieren
Updates schließen bekannte Sicherheitslücken. Aktiviere automatische Updates für kleinere Kern-Versionen und für vertrauenswürdige Plugins und prüfe die Seite „Aktualisierungen“ jede Woche. Mach vor größeren Updates immer ein Backup.
2. Ungenutzte Plugins und Themes löschen
Auch deaktivierte Plugins können verwundbare Dateien enthalten. Was du nicht brauchst, lösche. Behalte ein Standard-Theme als Reserve und entferne die übrigen.
3. Nur vertrauenswürdige Plugins installieren
Prüfe vor der Installation das Datum des letzten Updates, die Zahl aktiver Installationen, die Bewertungen und ob der Entwickler im Support antwortet. Finger weg von „nulled“ (raubkopierten) Premium-Plugins – sie enthalten oft Schadcode.
4. Starke, einzigartige Passwörter verwenden
Erstelle mit einem Passwort-Manager lange Zufallspasswörter für jedes Admin-, Hosting-, FTP- und Datenbankkonto.
5. Zwei-Faktor-Authentifizierung (2FA) einschalten
2FA stoppt die meisten Angriffe mit gestohlenen Passwörtern. Aktiviere sie mit einem Sicherheits- oder 2FA-Plugin für alle Administratoren und Redakteure.
6. Login-Versuche begrenzen
Blockiere oder verlangsame wiederholte Fehlversuche, um Brute-Force-Bots auszubremsen. Viele Sicherheits-Plugins und Hoster bringen das bereits mit.
7. Eine Web Application Firewall (WAF) nutzen
Eine Firewall filtert schädlichen Datenverkehr, bevor er deine Website erreicht – als Plugin, beim Hoster oder als Cloud-Dienst. Manche Anbieter bieten „virtuelles Patchen“, das bekannte Angriffe blockiert, bevor du aktualisierst. Prüfe bei Cloud-Firewalls, ob du einen AV-Vertrag brauchst und den Dienst in deiner Datenschutzerklärung nennen musst.
8. Backups außerhalb des Servers speichern
Backups sind dein Sicherheitsnetz. Richte tägliche automatische Backups ein, die nicht auf demselben Server liegen, und teste mindestens einmal eine Wiederherstellung.
9. HTTPS überall verwenden
Installiere ein SSL-Zertifikat (bei den meisten Hostern kostenlos) und stelle sicher, dass jede Seite per HTTPS lädt.
10. Sicheres Hosting wählen
Gute Hoster trennen Kundenkonten voneinander, nutzen aktuelles PHP (empfohlen ist 8.3+), scannen nach Schadsoftware und helfen, wenn etwas schiefgeht. Siehe unseren Ratgeber zum besten WordPress-Hosting. Verlass dich aber nicht allein auf den Hoster – die meisten Angriffe zielen auf Plugins und Logins.
11. Nutzern nur die nötigste Rolle geben
Nicht jeder muss Administrator sein. Nutze die Rollen Redakteur, Autor oder Mitarbeiter und entferne alte Konten, etwa von ehemaligen Agenturen oder Praktikanten.
12. Dateibearbeitung im Dashboard deaktivieren
Füge define( 'DISALLOW_FILE_EDIT', true ); in die wp-config.php ein. Dann kann ein Angreifer, der in ein Konto gelangt, den Code von Themes und Plugins nicht über das Dashboard verändern.
13. wp-config.php und Dateirechte schützen
Übliche sichere Rechte sind 755 für Ordner und 644 für Dateien, für die wp-config.php strengere. Dein Hoster kann das für dich prüfen.
14. Sicherheitsmeldungen verfolgen
Behalte Schwachstellen-Datenbanken und die Änderungsprotokolle deiner Plugins im Blick, damit du weißt, wann ein Update dringend ist. Auch das BSI veröffentlicht Warnungen zu kritischen Lücken.
15. Die Website überwachen
Nutze Verfügbarkeits-Monitoring und Sicherheitsscans, damit du von Problemen erfährst, bevor deine Besucher sie bemerken. Schau regelmäßig unter Werkzeuge → Website-Zustand nach.
Brauchst du ein Sicherheits-Plugin?
Ein seriöses Sicherheits-Plugin bündelt Firewall, Login-Schutz, 2FA, Malware-Scan und Benachrichtigungen. Bekannte Optionen sind Wordfence, Solid Security, Sucuri und Patchstack. Entscheide dich für eines – mehrere gleichzeitig können sich stören und die Website bremsen.
Schnelle Sicherheits-Checkliste
| Punkt | Erledigt? |
|---|---|
| Kern, Plugins und Themes aktuell | ☐ |
| Ungenutzte Plugins und Themes gelöscht | ☐ |
| 2FA für alle Admin-Konten | ☐ |
| Tägliche externe Backups getestet | ☐ |
| HTTPS auf jeder Seite | ☐ |
| Firewall / Sicherheits-Plugin aktiv | ☐ |
| Dateibearbeitung deaktiviert | ☐ |
| PHP 8.3+ auf dem Server | ☐ |
Was tun, wenn deine Website gehackt wurde?
- Ruhe bewahren – und nicht alles löschen.
- Website in den Wartungsmodus versetzen oder den Hoster bitten, sie zu isolieren.
- Alle Passwörter ändern: WordPress-Benutzer, Hosting, FTP/SFTP, Datenbank.
- Ein sauberes Backup von vor dem Angriff wiederherstellen, falls vorhanden.
- Alles aktualisieren und unbekannte Plugins, Themes und Admin-Konten entfernen.
- Mit einem Sicherheitswerkzeug scannen oder einen Dienst zur Malware-Entfernung beauftragen.
- Zeigt Google eine Warnung, nach der Bereinigung in der Search Console eine Überprüfung beantragen.
- Datenpanne melden: Wurden personenbezogene Daten betroffen, etwa Kundendaten aus Formularen oder dem Shop, musst du das nach Art. 33 DSGVO in der Regel innerhalb von 72 Stunden der zuständigen Datenschutz-Aufsichtsbehörde deines Bundeslandes melden. Bei hohem Risiko müssen auch die betroffenen Personen informiert werden.
Die vergessene Ebene: der Server
Die Sicherheit deiner Website hängt auch von der Server-Software ab: Betriebssystem, Webserver und PHP. Im Oktober 2026 erlaubten zwei kritische PHP-Lücken namens PHP2Shell Angreifern, auf ungepatchten Servern Code auszuführen, ohne sich bei WordPress anzumelden. Plugin-Updates halfen dagegen nicht – nur eine gepatchte PHP-Version. Prüfe deine Version unter Werkzeuge → Website-Zustand → Bericht → Server und wähle einen Hoster, der Sicherheitsupdates schnell einspielt.
Ein Beispiel aus der Praxis
Die Website eines kleinen Vereins leitete Besucher plötzlich auf eine gefälschte Gewinnspielseite um. Ursache war ein Formular-Plugin, das seit acht Monaten nicht aktualisiert worden war und eine bekannte Lücke hatte. Der Verein stellte ein sauberes Backup wieder her, aktualisierte alles, entfernte vier ungenutzte Plugins, aktivierte 2FA und richtete eine Firewall ein. Seitdem prüft ein Ehrenamtlicher jede Woche 15 Minuten lang Updates und Backups.
Eine wöchentliche Sicherheitsroutine
Einmal pro Woche: Updates einspielen, das Backup der letzten Nacht prüfen, Sicherheitsmeldungen ansehen. Einmal im Monat: Benutzer und Plugins durchgehen. Einmal im Quartal: eine Wiederherstellung testen.
Häufige Fragen
Ist WordPress sicher?
Der WordPress-Kern wird gut gepflegt und ist sehr sicher. Die meisten Probleme entstehen durch veraltete Plugins, schwache Passwörter und schlechtes Hosting.
Brauche ich ein kostenpflichtiges Sicherheits-Plugin?
Nicht unbedingt. Kostenlose Versionen und gute Gewohnheiten schützen die meisten kleinen Websites.
Sollte ich die Login-Seite verstecken?
Das reduziert Bot-Lärm, aber 2FA und starke Passwörter sind viel wichtiger.
Wo finde ich die offiziellen Empfehlungen?
Im Leitfaden Hardening WordPress auf WordPress.org (auf Englisch).
Fazit
Sicherheit ist vor allem Gewohnheit: aktualisieren, Unbenutztes löschen, 2FA nutzen und Backups machen. Und wenn nach einem Update etwas schiefgeht, hilft unsere Anleitung zum kritischen Fehler in WordPress.
WordPressPrime.com ist ein unabhängiger Ratgeber und steht in keiner Verbindung zur WordPress Foundation, zu WordPress.org oder zu Automattic. Erstelle vor jeder Änderung ein Backup deiner Website und prüfe die offiziellen Quellen auf aktuelle Angaben.