Selbstcheck · zehn Minuten
Ist meine WordPress-Website sicher? Woran Sie es selbst erkennen
Die Frage kommt meistens nach einer Nachricht: Ein Bekannter wurde gehackt, in der Zeitung stand etwas über eine Sicherheitslücke in WordPress, oder im Backend taucht ein Hinweis auf, den Sie nicht einordnen können.
Ob eine Website sicher ist, lässt sich nicht mit Ja oder Nein beantworten. Ob sie gut gepflegt ist, schon. Dafür brauchen Sie keine Technikkenntnisse, nur Ihren Zugang zum WordPress-Backend und den Selbstcheck weiter unten.
Der Selbstcheck: neun Fragen
Melden Sie sich in WordPress an und klicken Sie bei jeder Frage an, was Sie sehen. Am Ende bekommen Sie eine Auswertung. Es wird nichts gespeichert oder verschickt.
Ist WordPress auf dem neuesten Stand?
Wo: Dashboard, Aktualisierungen
Warten Plugin-Updates?
Wo: Plugins, Installierte Plugins
Werden Ihre Plugins noch gepflegt?
Wo: Plugins, jeweils „Details ansehen“
Liegen alte, deaktivierte Plugins herum?
Wo: Plugins, Filter „Inaktiv“. Auch inaktive Plugins können angreifbar sein.
Kennen Sie alle Administratoren?
Wo: Benutzer, Filter „Administrator“
Zeigt der Browser ein Schloss?
Wo: Adresszeile im Browser, auf Ihrer Website
Meldet WordPress eine veraltete PHP-Version?
Wo: Werkzeuge, Website-Zustand. PHP ist die Programmiersprache, mit der WordPress auf dem Server läuft.
Gibt es vollständige Backups außerhalb des Servers?
Wo: Ihr Backup-Plugin oder das Kundenkonto beim Hoster
Meldet Google Sicherheitsprobleme?
Wo: Google Search Console, Sicherheitsprobleme
Warum liegengebliebene Updates dabei das größte Risiko sind, steht im Ratgeber Was passiert, wenn WordPress-Updates liegen bleiben?
Warum „sicher“ keine Ja-Nein-Frage ist
Die meisten Angriffe auf WordPress-Seiten richten sich nicht gezielt gegen eine bestimmte Firma. Programme durchsuchen das Internet automatisch nach Seiten, auf denen ein bekannt verwundbares Plugin läuft. Sobald eine Lücke veröffentlicht ist, dauert es oft nur Tage, bis danach gesucht wird.
Deshalb hängt die Sicherheit Ihrer Seite weniger davon ab, wie bekannt Ihre Firma ist, sondern davon, wie schnell Lücken geschlossen werden. Eine Seite, die heute sicher ist, kann es in vier Wochen nicht mehr sein, wenn in der Zeit niemand ein Update einspielt.
Bei einer Website, die ich übernommen habe, sah das Backend unauffällig aus. WordPress lief aber auf einer Version, die über zwei Jahre alt war, obwohl nie ein Update-Hinweis erschienen war. Außerdem war das Fehlerprotokoll der Seite öffentlich im Internet abrufbar, mit Pfaden auf dem Server und den Namen installierter Erweiterungen, also genau den Informationen, die ein Angreifer sucht. Beides war schnell behoben. Aufgefallen wäre es ohne gezielte Prüfung nicht, weil WordPress selbst keine Warnung angezeigt hat.
Was Online-Scanner sehen können und was nicht
Es gibt Webseiten, die eine Adresse von außen prüfen und danach eine Bewertung anzeigen. Sie sind nützlich für einen ersten Eindruck, sehen aber nur, was jeder Besucher auch sieht: ob HTTPS aktiv ist, ob die Seite auf bekannten Sperrlisten steht, manchmal die WordPress-Version.
Was sie nicht sehen: welche Plugins im Hintergrund laufen, wer Administrator ist, ob Backups vorhanden sind und ob Dateien auf dem Server verändert wurden. Ein gutes Ergebnis heißt deshalb nur, dass von außen nichts auffällt.
Der Selbstcheck prüft die Vorsorge. Werden Besucher auf fremde Seiten weitergeleitet, tauchen unter Ihrer Adresse bei Google Seiten mit fremden Themen auf, gibt es Administratoren oder Dateien, die niemand angelegt hat, oder meldet Ihr Hoster ungewöhnlich viele verschickte Mails, hilft er nicht mehr weiter. Dann lesen Sie den Ratgeber Meine WordPress-Seite wurde gehackt: was jetzt zu tun ist.
Häufige Fragen
Reicht ein Sicherheits-Plugin?
Ein Sicherheits-Plugin kann Anmeldeversuche begrenzen und verdächtige Dateien melden. Es ersetzt aber keine Updates. Hat ein Plugin eine bekannte Lücke, schließt nur das Update diese Lücke. Außerdem muss jemand die Meldungen des Sicherheits-Plugins lesen und darauf reagieren.
Wie oft sollte ich prüfen?
Updates sollten alle zwei bis vier Wochen eingespielt werden, bei Online-Shops und Seiten mit Mitgliederbereich öfter. Den Selbstcheck aus der Tabelle würde ich einmal im Monat machen, oder sofort, wenn Ihnen etwas Ungewöhnliches auffällt.
Kann ich das alles selbst machen?
Ja, wenn Sie regelmäßig Zeit dafür haben und bei einem fehlgeschlagenen Update wissen, wie Sie die Seite wiederherstellen. Worauf es bei der Entscheidung ankommt, steht im Ratgeber WordPress selbst pflegen oder betreuen lassen?
Was kostet eine laufende Sicherheitsprüfung?
Eine regelmäßige Sicherheitsprüfung gehört bei mir zu jedem Betreuungspaket, ab 179 Euro pro Website und Monat inkl. MwSt. Welche Leistungen in welchem Paket stecken, steht auf der Seite zur WordPress-Wartung.
Zweite Meinung
Gelb oder Rot im Selbstcheck?
Was hinter einem Warnzeichen steckt und wie dringend es ist, lässt sich oft erst im Backend und auf dem Server sehen. Schreiben Sie mir die Adresse Ihrer Website. Im unverbindlichen Vorabcheck sehe ich mir Updates, Sicherheit und Backups an und sage Ihnen, was ich finde, auch wenn das Ergebnis ist, dass alles in Ordnung ist.
Weitere Anleitungen und Einschätzungen finden Sie im Ratgeber.
