10 min
WordPress-Sicherheits-Checkliste
20 Schritte zum Schutz einer WordPress-Seite.
WordPress betreibt über 43 % aller Websites — das häufigste Ziel für Hacker. Die gute Nachricht: Die meisten Angriffe nutzen bekannte Schwachstellen, die Sie mit diesen 20 Schritten verhindern können. Die Checkliste deckt jede Sicherheitsebene ab.
WordPress-Sicherheits-Checkliste
Aktualisieren Sie WordPress, Themes und Plugins
Aktivieren Sie automatische Minor-Updates und prüfen Sie Major-Updates monatlich. 95 % der Einbrüche gehen auf veraltete Software zurück.
Starke Passwörter und 2FA
Passwort mit 16+ Zeichen, 2FA mit Google Authenticator oder Authy für alle Admin-Konten. Wechseln Sie Passwörter alle 6 Monate.
Installieren Sie ein SSL-Zertifikat
Kostenloses Let's Encrypt bei BeoHosting. Aktivieren Sie „Force HTTPS Redirect". Ohne SSL werden Passwörter im Klartext übertragen.
Tägliches Off-Site-Backup
UpdraftPlus + Google Drive oder BeoHosting JetBackup. Das Backup sollte nicht auf demselben Server wie die Site liegen. Testen Sie den Restore alle 3 Monate.
WAF (Web Application Firewall)
Wordfence, Sucuri oder Imunify360 (bei BeoHosting enthalten) blockiert SQL-Injection, XSS und Brute-Force, bevor sie die Site erreichen.
Begrenzen Sie Login-Versuche
Limit Login Attempts Reloaded — IPs werden nach 3-5 fehlgeschlagenen Versuchen blockiert. Verschieben Sie /wp-admin mit WPS Hide Login.
Deaktivieren Sie das Datei-Editing im Admin
Fügen Sie define('DISALLOW_FILE_EDIT', true); in die wp-config.php ein. Ein Angreifer kann Themes/Plugins dann nicht über das Admin-Panel bearbeiten.
Verbergen Sie die WordPress-Version
Entfernen Sie mit Yoast SEO oder manuell den Generator-Meta-Tag. Angreifer zielen auf spezifische Schwachstellen bestimmter Versionen.
Schützen Sie die wp-config.php
Verschieben Sie die wp-config.php oberhalb von public_html oder fügen Sie eine .htaccess-Regel hinzu: <Files wp-config.php> Order allow,deny / Deny from all </Files>.
Deaktivieren Sie XML-RPC
XML-RPC wird häufig angegriffen. Deaktivieren Sie es mit dem Plugin Disable XML-RPC oder einer .htaccess-Regel. Wenn Sie Jetpack nutzen, lassen Sie es aktiviert.
Ändern Sie den Admin-Benutzer
Verwenden Sie niemals den Benutzernamen „admin" — er ist die erste Wahl für Brute-Force-Bots. Ändern Sie ihn in einen zufälligen Namen.
Korrekte Dateiberechtigungen
Ordner: 755, Dateien: 644, wp-config.php: 600 oder 640. Niemals 777 — das gibt allen Zugriff.
Wöchentlicher Malware-Scan
Wordfence Scan oder Sucuri SiteCheck. Automatisieren Sie ihn per Cron. BeoHosting Imunify360 scannt in Echtzeit.
Deaktivieren Sie Directory Browsing
Fügen Sie in der .htaccess hinzu: Options -Indexes. So kann niemand die Ordnerstruktur durchsuchen.
Verbergen Sie die Login-Seite vor Bots
WPS Hide Login verschiebt /wp-login.php auf z. B. /geheim-login. Der Bot findet sie nicht, Sie aber schon.
Verwenden Sie Sicherheitsschlüssel
Generieren Sie neue WordPress-Security-Keys (AUTH_KEY, SECURE_AUTH_KEY usw.) über api.wordpress.org/secret-key. Wechseln Sie sie alle 6 Monate.
Beschränken Sie den Zugriff per IP
Beschränken Sie in der .htaccess den Zugriff auf /wp-admin auf Ihre eigenen IP-Adressen. Eine zusätzliche Schutzschicht für kleine Teams.
Deaktivieren Sie die REST-API für nicht authentifizierte Nutzer
Das Plugin Disable WP REST API oder ein Code-Snippet hält die API nur für angemeldete Nutzer offen.
Aktivieren Sie Monitoring
UptimeRobot für die Uptime, Sucuri SiteCheck für Malware, WP Activity Log zum Nachverfolgen von Änderungen. Sie erhalten Warnungen bei verdächtiger Aktivität.
Plan für die Reaktion auf Vorfälle
Halten Sie einen Plan bereit: wie Sie die Site offline nehmen, wer den Hosting-Support kontaktiert, wo die Backups liegen, wie Sie Passwörter ändern. Ein fertiger Plan = schnelle Wiederherstellung.
Bereit, Ihre Website zu starten?
Schließen Sie sich 4.000+ zufriedenen Kunden an. Kostenlose Migration und 30-Tage-Geld-zurück-Garantie.
FAQ
Antworten auf die häufigsten Fragen zu unseren Diensten.
Rufen Sie uns an: Der Support ist rund um die Uhr erreichbar, per Telefon und über Tickets.
(+381) 60 3535 720Wie oft sollte ich WordPress aktualisieren?
WordPress-Kern, Themes und Plugins sollten Sie aktualisieren, sobald Updates verfügbar sind. Für kleinere Versionen (z. B. 6.4.1 auf 6.4.2) aktivieren Sie automatische Updates. Für größere Versionen (z. B. 6.4 auf 6.5) warten Sie 2-3 Tage zur Stabilitätsbestätigung, erstellen ein Backup und aktualisieren dann.
Reicht Wordfence für den Schutz?
Wordfence ist eine ausgezeichnete erste Verteidigungslinie, aber allein nicht ausreichend. Kombinieren Sie es mit starken Passwörtern, 2FA, regelmäßigen Updates, korrekten Dateiberechtigungen und zuverlässigem Hosting. Sicherheit ist mehrschichtig — kein Plugin ersetzt alle anderen Maßnahmen.
Was ist ein Brute-Force-Angriff und wie schütze ich mich?
Ein Brute-Force-Angriff versucht, das Passwort durch Tausende Kombinationen zu erraten. Schützen Sie sich, indem Sie Login-Versuche begrenzen (Limit Login Attempts), 2FA nutzen, die Admin-URL ändern und ein starkes Passwort verwenden. BeoHosting-Server haben Imunify360, das Brute-Force-Versuche automatisch blockiert.
Wie erkenne ich, ob meine Site gehackt wurde?
Anzeichen für Hacking: unerwartete Weiterleitungen, fremde Nutzer im Admin-Panel, unbekannte Dateien auf dem Server, Google-Malware-Warnungen, Spam-Links im Content, plötzliche Verlangsamung. Installieren Sie Wordfence, das Dateien scannt und mit Originalen vergleicht — jede verdächtige Änderung wird gemeldet.
Reicht kostenloses SSL für eine WordPress-Site?
Ja, das von BeoHosting angebotene kostenlose Let's Encrypt SSL bietet dieselbe Verschlüsselung wie bezahlte Zertifikate. Der Unterschied liegt in Garantien und Unternehmensvalidierung. Für die meisten WordPress-Sites (Blogs, Präsentationen, kleine Shops) ist kostenloses SSL völlig ausreichend.
Unsere Garantien für Ihren Seelenfrieden
Von allen Seiten geschützt
30-Tage-Garantie
Wir erstatten ohne Fragen in den ersten 30 Tagen.
Kostenlose Migration
Wir migrieren Ihre Site ohne Ausfallzeit — Sie tun nichts.
24/7-Support
Unsere Experten sind 24/7 über Tickets und Live-Chat verfügbar.