„Wer interessiert sich schon für meine kleine Website?“ Diesen Satz höre ich oft. Meistens kurz bevor jemand zugibt, dass im Dashboard seit Monaten elf Updates warten. Und ich verstehe den Gedanken total. Du bist keine Bank. Du bist kein Onlineshop mit Tausenden Kundendaten. Du bist eine Selbstständige mit einer schönen Website, die vor allem eins tun soll: dir Anfragen bringen. Warum sollte sich da jemand die Mühe machen, einzubrechen?
Die unbequeme Antwort: Niemand macht sich diese Mühe. Das erledigen Programme und Bots. Für Angreifer ist das ein Massengeschäft. Ein einmal geschriebenes Programm klappert ohne Pause unzählige Websites ab, kostet dabei so gut wie nichts und braucht weder Schlaf noch Feierabend. Und jede Website mit einer offenen Tür ist für sie wertvoll. Ganz egal, wem sie gehört. Ob sie groß oder klein ist. Ob Daten wie E-Mail-Adressen oder Kontoverbindungen gespeichert sind. Denn jetzt Website lässt sich irgendwie für Spam, Betrug oder andere Zwecke einspannen.
Genau deshalb lohnt es sich, deine WordPress-Website so sicher wie möglich zu machen. Auch wenn sie klein ist.
Aber jetzt die gute Nachricht: Geht auch ohne IT-Studium
Inhalt:
Warum Hacker keinen Unterschied zwischen großen Webseiten und deiner kleinen machen
Kopfkino: Du wunderst dich, warum seit Wochen keine Anfragen mehr über deine Website kommen. Dann schreibt dir eine Bekannte, dass sie beim Aufruf deiner Website auf einer dubiosen Gewinnspielseite gelandet ist. Seit wann das so ist? Keine Ahnung!
So sieht ein Hack auf kleinen Websites meistens aus. Dabei saß kein Hacker mit Kapuzenpulli im Keller, der es gezielt auf dich abgesehen hat. Der hat nur ein Programm geschrieben und sich dann ein Eis geholt. Das Programm macht seine Arbeit und sucht ohne Pause nach Seiten mit veralteten Plugins, schwachen Passwörtern oder bekannten Sicherheitslücken. Wird ein Programm fündig, ist es ihm völlig egal, ob dahinter ein Konzern steht oder eine Ernährungsberaterin mit Onepager.
Deine Website ist dabei nicht unbedingt das Ziel, sondern das Werkzeug. Angreifer nutzen gekaperte Seiten unter anderem, um Besucherinnen auf Spam- oder Betrugsseiten umzuleiten, um gefälschte Login-Seiten zu verstecken oder um über dich Spam-Mails zu verschicken. Für dich heißt das im schlimmsten Fall: Google warnt vor deiner Seite, deine Mails landen im Spam und potenzielle Kundinnen sind weg, bevor sie überhaupt wissen, was du anbietest.
Ist WordPress besonders unsicher?
WordPress ist nicht unsicherer als andere Systeme, es ist nur sehr verbreitet. Was verbreitet ist, lohnt sich für automatisierte Angriffe besonders. Der Kern von WordPress wird gut gepflegt und bekommt regelmäßig Sicherheitsupdates.
Die meisten Probleme entstehen woanders: bei Plugins, die du nicht aktualisierst oder um deren Wartung sich die Hersteller nicht mehr kümmern und bei Logins, die nur durch ein mittelmäßiges Passwort geschützt sind. Und da liegt die Magic: Du kannst die Sicherheit deiner Website verbessern - ohne Programmieren zu lernen.
So machst du deine WordPress-Website sicher: die Basics
Wenn du alle Sicherheitstipps da draußen sammelst, springen 3 davon besonders ins Auge. Die solltest du kennen:
Regelmäßig warten. Wenn in einem Plugin eine Sicherheitslücke gefunden wird, schließen die Entwickler*innen sie mit einem Update. Gleichzeitig starten die automatischen Programme und suchen nach Webseiten, die das Update noch nicht eingespielt haben. Ein Update, das wochenlang nicht gemacht wird, ist deshalb keine Kleinigkeit. Eher ein offenes Fenster mit blinkendem Schild, auf dem steht: “Hier geht es rein!” Zur Wartung gehören WordPress selbst, deine Plugins, dein Theme und die PHP-Version auf dem Server, die du oft manuell beim Hoster umstellen musst.
Du brauchst (mehrere!) Backups. Ein Backup ist deine Sicherheitskopie, mit der du zu einem früheren Stand deiner Website zurückkehren kannst. Wichtig ist, dass es nicht nur auf demselben Server liegt wie deine Website, sondern zusätzlich extern, zum Beispiel in einer Cloud. Und dass mehrere Stände aufbewahrt werden. Ein Hack fällt nämlich oft erst Wochen später auf. Wenn dein Backup-Plugin nur die letzte Sicherung behält, hat es in dieser Zeit brav die infizierte Version gesichert.
Zwei-Faktor-Anmeldung. Updates und Backups ohne zweite Absicherung beim Login sind wie ein frisch geputztes Haus mit offener Haustür. Alles ordentlich und trotzdem können alle reinspazieren. Mit der Zwei-Faktor-Anmeldung gibst du beim Einloggen zusätzlich zum Passwort einen Code aus einer App auf deinem Handy ein. Selbst wenn jemand dein Passwort kennt, kommt er ohne dein Handy nicht rein. Das Gleiche gilt übrigens für dein E-Mail-Postfach: Über die Adresse, die in WordPress hinterlegt ist, lässt sich jedes Passwort zurücksetzen. Wer Zugang zu deinem Postfach hat, hat auch Zugang zu deiner Website.
Zwei Dinge, die du direkt erledigen kannst
Dir kribbelt es in den Fingern, dich direkt an deine Website zu setzen? Verständlich. Dann mache direkt diese 2 Sachen:
Inaktive Plugins löschen
Geh in deinem Dashboard auf Plugins und filtere nach „Inaktiv“. Bei den meisten Websites tauchen hier ein paar alte Bekannte auf: mal ausprobiert, dann deaktiviert, dann vergessen. Das Problem: Deaktiviert heißt nicht weg. Der Code liegt weiterhin auf dem Server und wenn darin eine Lücke steckt, ist sie auch weiterhin angreifbar. Was du nicht brauchst, löschst du. Und wenn du bei einem Plugin nicht sicher bist, wofür es da ist, frag lieber kurz deine Webdesignerin, bevor du auf „Löschen“ klickst.
Einen Blick in den Website-Zustand werfen
Im WordPress-Dashboard findest du links im Menü: Werkzeuge → Website-Zustand. Damit prüft WordPress selbst, ob bei deiner Seite etwas im Argen liegt. Diese Funktion bringt WordPress mit, einfach so und völlig kostenlos. Aber erstaunlich wenige nutzen das auch. Zwei Dinge solltest du dafür wissen.
Erstens: Ein „Gut“ oben auf der Seite heißt nicht automatisch „sicher“. WordPress prüft dort nur einen Teil der Dinge.
Zweitens: Taucht dort der Hinweis auf eine veraltete PHP-Version auf, sortiert WordPress das gern unter „Leistung“ ein. Lass dich davon nicht täuschen. Eine PHP-Version, die keine Sicherheitsupdates mehr bekommt, ist ein Sicherheitsthema.
Was du nicht selbst machen solltest
Wenn du nach Tipps zur WordPress-Sicherheit suchst, landest du schnell bei Begriffen wie Dateiberechtigungen, XML-RPC, Sicherheitsheadern, Datenbank-Präfix oder Code-Schnipseln, die du in die functions.php einfügen sollst. Spätestens da solltest du vorsichtig werden.
Diese Maßnahmen sind nicht unwichtig, aber sie sind Sache von Profis. Eine falsch eingefügte Zeile in der falschen Datei und deine Website zeigt nur noch eine weiße Seite.
Daher gilt: Kümmere dich um dich erst mal um die oben beschriebenen Basics. Wenn du danach noch mehr willst, dann lies weiter
Pflicht und Kür: dein Sicherheits-Check
Du willst die Pflicht Schritt für Schritt abarbeiten, ohne dir alles selbst zusammensuchen zu müssen? Dann ist mein Website Security Check genau das Richtige für dich. Es ist aufgebaut wie beim Eiskunstlauf.
In der Pflicht findest du die drei Säulen von oben ausführlich erklärt, jeweils mit einer Liste zum Abhaken. Dazu einen Monats-Check, mit dem du deine Website in 15 Minuten pro Monat in Schuss hältst.
Die Kür ist freiwillig, aber ehrlich gesagt mein Lieblingsteil: ein Prompt, mit dem dich die KI Claude durch einen ausführlichen Sicherheits-Check deiner Website führt. Station für Station, mit verständlichen Erklärungen, einer Ampel für jeden Fund und am Ende einer sortierten To-do-Liste. Ohne Code, ohne Fachchinesisch und die kostenlose Version von Claude reicht dafür völlig aus.
Hier kommst du zu meinem Sicherheits-Check: PDF-Guide “Hacker machen keinen Feierabend”.
Was tun, wenn es schon zu spät ist?
Falls du diesen Artikel liest, weil deine Website gerade auf eine fremde Seite umleitet oder Google eine Warnung anzeigt: Atme einmal durch. Lösch jetzt nichts und klick nicht hektisch herum, denn dabei gehen oft Spuren verloren, die später helfen, die Lücke zu finden. Mach Screenshots von allem, was dir auffällt, ändere von einem anderen Gerät aus deine Passwörter für WordPress, deinen Hoster und dein E-Mail-Postfach und gib deinem Hoster Bescheid.
Was du auf keinen Fall tun solltest: einfach das letzte Backup einspielen und hoffen, dass alles wieder gut ist. Das Backup kann selbst schon infiziert sein. Selbst wenn nicht, ist die Lücke, durch die der Angriff kam, danach immer noch offen. Hol dir stattdessen Hilfe von deiner Webdesignerin.
Fazit: Klein ist kein Schutz, aber auch kein Grund zur Panik
Deine Website ist nicht zu klein für Hacker, weil Hacker gar nicht nach Größe sortieren. Aber sie ist auch nicht schutzlos. Mit regelmäßigen Updates, mehreren Backups und einer Zwei-Faktor-Anmeldung machst du es automatisierten Angriffen schon richtig schwer.
Fang heute mit den inaktiven Plugins an, schau einmal in den Website-Zustand und hol dir für den Rest meinen PDF-Guide Website-Security. Deine Website wird es dir danken!
