Fast jede zweite Anfrage, die mich erreicht, beginnt gleich: “Meine Seite lief komisch – ist die gehackt?” Meistens lautet die Antwort: technisch nicht zwingend, aber sicher ist sie auch nicht. WordPress ist von Haus aus solide gebaut, aber die Sicherheit einer Website hängt fast immer an den Stellschrauben, die niemand nach dem Launch mehr anfasst.
Die gute Nachricht: Du musst kein IT-Studium haben, um deine WordPress Sicherheit 2026 deutlich zu erhöhen. Die folgenden zehn Schritte sind genau die, die ich bei jedem Wartungskunden als Erstes prüfe – der Reihe nach abgearbeitet, brauchst du dafür einen Nachmittag.
Die 10 Schritte für mehr WordPress-Sicherheit
1. Core, Themes und Plugins konsequent aktuell halten
Die meisten erfolgreichen Angriffe auf WordPress-Seiten nutzen keine neuen, spektakulären Lücken – sie nutzen bekannte Schwachstellen in veralteten Plugins, die seit Monaten ein Update bereithalten. Aktiviere automatische Updates für Sicherheits-Patches und prüfe mindestens einmal im Monat manuell, ob Core, Theme und alle aktiven Plugins auf dem neuesten Stand sind. Wichtig dabei: Teste größere Updates vorher in einer Staging-Umgebung, bevor sie live gehen – dazu bald mehr in einem eigenen Beitrag.
2. Starke, einzigartige Passwörter verwenden
“admin123” ist 2026 immer noch erschreckend verbreitet. Jeder Nutzer-Account braucht ein individuelles, langes Passwort – am besten aus einem Passwort-Manager. Wenn du mehrere Kunden-Websites betreust, lohnt sich ein Team-Passwort-Manager, damit niemand Zugangsdaten in Textdateien oder E-Mails herumschickt.
3. Zwei-Faktor-Authentifizierung aktivieren
Selbst ein starkes Passwort kann geleakt werden. Mit Zwei-Faktor-Authentifizierung (2FA) bleibt der Login trotzdem geschützt, weil ein zweiter Faktor – etwa eine App wie Google Authenticator – zwingend nötig ist. Für WordPress gibt es dafür zuverlässige, kostenlose Plugins; die Einrichtung dauert selten länger als zehn Minuten.
4. Login-Bereich gezielt absichern
Brute-Force-Bots probieren rund um die Uhr Zugangsdaten am Standard-Login /wp-admin aus. Drei Maßnahmen helfen sofort: die Anzahl fehlgeschlagener Login-Versuche begrenzen (Rate Limiting), IP-Adressen nach mehreren Fehlversuchen temporär sperren und optional die Login-URL auf eine individuelle Adresse ändern. Keine dieser Maßnahmen ist für sich allein unüberwindbar – in Kombination machen sie es Angreifern aber deutlich schwerer.
5. SSL-Zertifikat einsetzen und HTTPS erzwingen
Ohne SSL-Zertifikat werden Daten zwischen Browser und Server unverschlüsselt übertragen – inklusive Login-Daten. Die meisten Hoster stellen kostenlose Zertifikate (z. B. via Let’s Encrypt) bereit. Wichtig: HTTPS sollte serverseitig erzwungen werden, damit niemand versehentlich über die unverschlüsselte HTTP-Variante landet.
6. Firewall und Malware-Scanner einsetzen
Eine Web Application Firewall filtert verdächtigen Traffic, bevor er WordPress überhaupt erreicht, und ein Malware-Scanner meldet sich, sobald sich unerwartet Dateien ändern. Beides lässt sich über etablierte Security-Plugins abdecken – welche davon sich in der Praxis wirklich bewähren, vergleiche ich in einem eigenen Beitrag.
7. Regelmäßige, getestete Backups einrichten
Sicherheit heißt nicht nur “Angriffe verhindern”, sondern auch “im Ernstfall schnell wiederherstellen können”. Ein Backup ist nur dann wirklich ein Backup, wenn es automatisch läuft, außerhalb des eigenen Servers gespeichert wird und regelmäßig auf Wiederherstellbarkeit geprüft wird. Wie oft das sein sollte, hängt von der Änderungsfrequenz deiner Seite ab.
8. Benutzerrechte sauber vergeben
Nicht jeder, der Zugriff auf WordPress braucht, braucht Administrator-Rechte. Das Prinzip der minimalen Rechte – jeder Account bekommt nur so viele Berechtigungen wie nötig – reduziert den Schaden, falls doch einmal ein Zugang kompromittiert wird. Ehemalige Mitarbeiter oder Dienstleister sollten ihre Zugänge außerdem konsequent verlieren, sobald die Zusammenarbeit endet.
9. Unnötige Plugins und Themes entfernen
Jedes installierte Plugin ist potenziell ein zusätzlicher Angriffspunkt – auch wenn es deaktiviert, aber nicht gelöscht ist. Räume regelmäßig auf: Was wird wirklich genutzt? Was ist ein Test von vor zwei Jahren, der nie wieder deinstalliert wurde? Weniger installierte Software bedeutet automatisch weniger Angriffsfläche.
10. Sicherheits- und Uptime-Monitoring einrichten
Der letzte und aus meiner Sicht unterschätzte Punkt: Du solltest nicht erst durch eine Kunden-E-Mail erfahren, dass etwas nicht stimmt. Ein Monitoring-Tool prüft rund um die Uhr, ob die Seite erreichbar ist und schlägt bei Ausfällen oder verdächtigen Änderungen Alarm – bei mir läuft dafür ein selbst gehostetes Uptime-Kuma-Setup im Hintergrund für jede Kundenseite.
Fazit
Keiner dieser zehn Schritte ist für sich genommen kompliziert – die eigentliche Herausforderung ist, sie dauerhaft und regelmäßig umzusetzen, statt einmalig abzuhaken. Genau dafür gibt es laufende WordPress Wartung: nicht als einmalige Aktion, sondern als feste Routine im Hintergrund. Was so eine Wartung realistisch kostet, habe ich in einem separaten Beitrag aufgeschlüsselt: Was kostet eine WordPress Wartung?
Wenn du unsicher bist, wo deine Seite aktuell steht: Ich biete einen unverbindlichen WordPress-Sicherheitscheck an – melde dich einfach über das Kontaktformular.
