WordPress Sicherheit bedeutet: ein Audit zu Beginn, eine technische Härtung (Firewall, Updates, Zugriffsverwaltung) und eine laufende Überwachung, um Angriffe zu verhindern und im Ernstfall schnell zu reagieren. WordPress betreibt über 43 % aller Websites weltweit und ist damit Ziel Nummer eins automatisierter Angriffe: Ohne aktiven Schutz wird eine Website mehrmals täglich nach Lücken abgesucht.
Ich bin Florian Verrine, WordPress-Entwickler seit 20 Jahren. Ich habe Dutzende Kundenwebsites abgesichert, bevor 2026 meine eigene Website digitalcorner.me gehackt wurde. Diese Seite fasst zusammen, was mich diese Erfahrung und über 250 Projekte gelehrt haben: was eine WordPress-Website wirklich schützt und was nur trügerische Sicherheit ist.
Warum WordPress Sicherheit 2026 nicht verhandelbar ist
WordPress ist das Standardziel automatisierter Angriffe. Bots durchsuchen massenhaft verwundbare Plugins und Themes, ohne ein bestimmtes Unternehmen im Visier zu haben. Sie müssen kein Ziel sein, um getroffen zu werden: eine offene Lücke genügt.
Ein Hack kostet weit mehr als die Vorsorge. Verlorener Traffic, Bereinigung, Abwertung bei Google, Imageschaden: Ein unbehandelter Hack kostet schnell 2.000 bis 15.000 €. Mein Sicherheitspaket für Kundenwebsites kostet etwa 15 bis 25 € netto im Monat.
Google und KI-Suchmaschinen strafen kompromittierte Websites ab. Eine mit Spam infizierte Website (Cloaking: Inhalte, die nur Suchmaschinen sehen) verliert innerhalb weniger Tage Rankings, die Rückeroberung dauert Wochen. Ich habe es selbst erlebt: 47 Tage, bis 90 % meines Traffics zurück waren.
Warnsignale einer kompromittierten Website
Eine gehackte Website zeigt nicht immer eine Fehlermeldung. Moderne WordPress-Malware zeigt Besuchern eine normale Website und Google völlig andere Inhalte. Tritt eines dieser Signale auf, sollten Sie innerhalb von 24 Stunden handeln:
- Plötzlicher Einbruch des organischen Traffics ohne Algorithmus-Update oder eigene Änderung. 20 bis 30 % weniger in 48 Stunden sind ein Alarmsignal.
- Themenfremde Suchanfragen in der Google Search Console: Impressionen für Begriffe, die nichts mit Ihrem Geschäft zu tun haben.
- Ungewöhnliche Serverlast: CPU- oder Traffic-Spitzen ohne Erklärung.
- Spam-E-Mails von Ihrer Domain, gemeldet von Empfängern.
- Warnung über geänderte WordPress-Kerndateien von Wordfence oder MalCare.
- Seltsame Treffer bei
site:ihredomain.dein der Google-Suche.
Erkennen Sie eines dieser Signale? Melden Sie sich sofort: Eine schnelle Prüfung bestätigt oder entkräftet den Verdacht innerhalb von 24 bis 48 Stunden.
Die erste Stunde nach einem Hack
- Website in den Wartungsmodus setzen, damit Besucher und Google keine Schadinhalte mehr sehen.
- Vollständiges Backup erstellen, auch wenn es infiziert ist: Dateien und Datenbank, als Referenz und Beweis.
- Alle Passwörter ändern: WordPress-Admins, FTP/SFTP, Datenbank, Hoster, Domain-Registrar.
- Administratorkonten prüfen und unbekannte Konten löschen.
- Nichts blind löschen: Wer eine verdächtige Datei entfernt, ohne den Einfallsweg zu kennen, lässt oft eine Hintertür offen.
Erst dann folgt die Bereinigung: Analyse von Dateien und Datenbank, saubere Neuinstallation des WordPress-Kerns, Schließen der Lücke, Härtung, Überprüfungsantrag bei Google. Notfalleinsätze haben in meinem Kalender Vorrang.
Meine Leistungen
Vorbeugen
- Sicherheitsaudit: bekannte Schwachstellen in Kern, Themes und Plugins, Dateirechte, Benutzerkonten, Serverkonfiguration. Mit priorisiertem Bericht und konkretem Maßnahmenplan.
- Web Application Firewall: Wordfence, Sucuri oder Cloudflare mit OWASP-Regeln, passend zu Ihrer Website konfiguriert.
- Kontrollierte Updates: erst auf der Testumgebung, dann live.
- Schutz vor Brute-Force: begrenzte Login-Versuche, geänderte Admin-URL, Zwei-Faktor-Authentifizierung für Administratoren.
- Zugriffsverwaltung: alte Zugänge entfernen, Rollen nach dem Prinzip der minimalen Rechte.
- SSL/TLS: HTTPS-Konfiguration, automatische Verlängerung, gemischte Inhalte bereinigen.
Überwachen
- Echtzeit-Überwachung von Dateiintegrität, Erreichbarkeit und Einbruchsversuchen.
- Code-Analyse auf typische Verschleierungsmuster (
base64_decode,eval(),gzinflate, Einschleusungen in.htaccess). - Externe, automatische Backups mit monatlichem Wiederherstellungstest.
Reagieren
- Notfalleinsatz: Quarantäne, Diagnose, Bereinigung, Wiederherstellung, Überprüfungsantrag bei Google.
- Schulung: Passwörter, Phishing erkennen, richtige Reflexe im Verdachtsfall. Siehe WordPress Schulung.
WooCommerce: Online-Shops schützen
Ein Shop bündelt die Risiken: Kundendaten, Konten mit Passwörtern, oft viele Zahlungs- und Versanderweiterungen. Zusätzlich zum WordPress-Fundament prüfe ich die Zahlungsanbindung (keine Kartendaten auf Ihrem Server), den Schutz der Kundenkonten gegen Credential Stuffing, verwaiste Erweiterungen und die DSGVO-Konformität der Bestelldaten. WooCommerce-Updates teste ich immer vorab, damit kein Verkauf blockiert wird.
Sicherheit beginnt schon bei der Domain: Ein gekapertes Registrar-Konto erlaubt es, Website, E-Mails und sogar HTTPS-Zertifikate umzuleiten. Zwei-Faktor-Authentifizierung beim Registrar gehört deshalb zu jedem Audit.
Ablauf
- Audit (48 bis 72 h): vollständige Bestandsaufnahme, mit oder ohne festgestellten Hack, als schriftlicher Bericht.
- Härtung (3 bis 7 Tage): Umsetzung der priorisierten Maßnahmen.
- Laufende Überwachung (im Monatspaket): Monitoring, Scans, kontrollierte Updates, monatlicher Bericht.
- Notfalleinsatz (bei Bedarf): Eindämmung, technische Bereinigung, Wiederherstellung der Google-Indexierung.
Preise
| Leistung | Richtpreis | Häufigkeit |
|---|---|---|
| Vollständiges Sicherheitsaudit | ab 490 € netto | Einmalig |
| Erstabsicherung (Härtung) | ab 450 € netto | Einmalig |
| Überwachung und Sicherheitswartung | ab 40 € netto / Monat (WordPress Wartung), bis 200 € netto je nach Kritikalität | Monatlich |
| Notfalleinsatz nach einem Hack | nach Angebot, innerhalb von 5 Werktagen | Einmalig |
| Schulung WordPress Sicherheit (1 Tag) | 650 € netto | Einmalig |
Richtpreise: Das endgültige Angebot hängt vom tatsächlichen Zustand der Website ab.
Auch Experten trifft es
Nach 20 Jahren Absicherung von Kundenwebsites hielt ich meine eigene für unangreifbar. 2026 wurde digitalcorner.me trotzdem durch eine SEO-Spam-Injektion kompromittiert. Diese Erfahrung hat meine Methode direkt verändert: Die oben genannten Maßnahmen setze ich heute standardmäßig ein, auf meiner Website wie bei meinen Kunden.
Erster Schritt in jedem Fall: eine klare Diagnose der tatsächlichen Lage. Kontakt aufnehmen.