WordPress absichern: was wir tun und was Sie tun
Die Sicherheit einer WordPress-Website hat zwei Ebenen. Die Serverebene ist unsere Verantwortung: Netzwerk, Betriebssystem, Webserver, PHP, Backups und SSL. Die WordPress-Ebene ist Ihre: Core, Theme, Plugins, Passwörter und Benutzer. Die meisten gehackten Websites, die wir sehen, wurden nicht über den Server angegriffen, sondern über ein Plugin, das monatelang nicht aktualisiert wurde, oder ein Passwort, das sich erraten ließ.
Nachfolgend steht genau, was auf welcher Seite liegt, gefolgt von fünf Schritten, die Sie in einer Stunde durchführen und die den größten Teil des Risikos beseitigen. Unten lesen Sie, was Sie tun, wenn es doch schiefgeht.
Wer tut was
Sicherheit, die man der anderen Seite zuschreibt, macht niemand. Deshalb steht hier schwarz auf weiß, was wir auf Plattformebene tun und was auf Ihrer Seite bleibt.
Was WWW4 auf Plattformebene tut
Das ist bei jedem Hostingpaket dabei und verlangt von Ihnen keine Einstellung, kein Plugin und keine Zusatzbestellung.
- DDoS-Schutz auf Netzwerkebene, damit Ihre Website bei einem Überlastungsangriff erreichbar bleibt
- Tägliches Backup von Dateien und Datenbank, 14 Tage aufbewahrt
- Kostenloses SSL-Zertifikat, automatisch verlängert, damit Verkehr und Logins verschlüsselt sind
- Wartung und Sicherheitsupdates von Betriebssystem, Webserver und den PHP-Versionen, die wir anbieten
- Isolation zwischen Websites auf demselben Server, damit ein Problem beim Nachbarn nicht Ihres wird
Was Sie auf WordPress-Ebene tun
Das steckt in Ihrer Installation, und wir können es nicht für Sie tun, ohne in Ihre Website einzugreifen.
- WordPress-Core, Theme und Plugins aktualisieren, nach einem Backup
- Plugins und Themes, die keine Wartung mehr erhalten, löschen statt nur deaktivieren
- Starke, einmalige Passwörter und Zwei-Faktor-Authentifizierung für jeden Benutzer, der sich einloggen kann
- Benutzerrollen begrenzen: Nur wer die Website verwaltet, ist Administrator, der Rest ist Redakteur oder Autor
- Kein Konto mit dem Benutzernamen 'admin'; der wird als Erster probiert
- Login-Versuche begrenzen, damit ein Passwort nicht endlos erraten werden kann
- Keine geknackten (nulled) Themes oder Premium-Plugins aus zweifelhaften Quellen; die enthalten oft eine Hintertür
- Alte Benutzer löschen: ehemalige Mitarbeiter, frühere Webentwickler, Testkonten
Was wir bewusst nicht versprechen: dass eine Website nicht gehackt werden kann. Wer das behauptet, kennt WordPress nicht. Was wir sagen können: Eine Website, die aktuell ist, keine toten Plugins mitschleppt und ordentliche Logins hat, ist für die automatisierten Scans, die täglich das Internet durchkämmen, kein interessantes Ziel mehr.
WordPress in einer Stunde absichern
Fünf Schritte, in dieser Reihenfolge. Wer sie einmal durchführt und danach monatlich eine Viertelstunde wiederholt, deckt den größten Teil des Risikos ab.
Backup erstellen und alles aktualisieren
Erstellen oder prüfen Sie zuerst ein Backup. Aktualisieren Sie danach WordPress-Core, Ihr Theme und alle Plugins, und prüfen Sie nach dem Update die wichtigsten Seiten und Formulare. Bricht etwas, setzen Sie dieses eine Plugin zurück und wissen, was ersetzt werden muss. Veraltete Plugins sind die häufigste Ursache für eine gehackte Website.
Aufräumen, was Sie nicht nutzen
Löschen Sie deaktivierte Plugins und Themes vollständig; deaktiviert ist nicht weg, der Code liegt noch auf dem Server und bleibt ein Einstiegspunkt. Prüfen Sie bei jedem verbleibenden Plugin, wann es zuletzt aktualisiert wurde. Schon über ein Jahr still? Suchen Sie eine Alternative. Löschen Sie auch Themes oder Plugins, die nicht vom Hersteller selbst stammen.
Logins stärken
Geben Sie jedem Benutzer ein langes, einmaliges Passwort und aktivieren Sie die Zwei-Faktor-Authentifizierung. Gibt es ein Konto mit dem Benutzernamen 'admin', legen Sie einen neuen Administrator mit anderem Namen an, melden Sie sich damit an und löschen Sie das alte Konto, wobei Sie die Inhalte dem neuen Benutzer zuweisen.
Benutzer und Rollen prüfen
Gehen Sie die Benutzerliste durch. Wer arbeitet hier nicht mehr, welche Testkonten oder Konten eines früheren Webentwicklers sind noch da? Löschen Sie sie. Stufen Sie herab, wer kein Administrator sein muss, zu Redakteur oder Autor; wer nur Artikel schreibt, muss keine Plugins installieren können.
Login-Versuche begrenzen und das Backup prüfen
Begrenzen Sie die Anzahl der Login-Versuche, damit ein Passwort nicht endlos erraten werden kann. Prüfen Sie zum Schluss, dass Sie wissen, wie Sie eine Wiederherstellung anfordern, und dass das tägliche Backup Ihre gesamte Website umfasst. Ein Backup, von dem Sie nicht wissen, wie Sie es zurückspielen, ist eine Annahme und kein Sicherheitsnetz.
Wenn es doch schiefgeht
Eine gehackte Website erkennen Sie an unbekannten Administratoren, Seiten oder Dateien, die Sie nicht erstellt haben, Weiterleitungen auf fremde Websites, einer Warnung des Browsers oder von Google, oder E-Mails, die von Ihrer Domain ausgehen, ohne dass Sie sie geschickt haben. Arbeiten Sie dann nicht auf der Website weiter und ändern Sie zuerst Ihre Passwörter: WordPress, Control Panel, FTP und Datenbank.
Der schnellste Weg zurück ist meist eine Wiederherstellung aus dem Backup von vor dem Einbruch, gefolgt vom sofortigen Aktualisieren dessen, was der Einstiegspunkt war. Die Backups werden 14 Tage aufbewahrt; je schneller Sie es melden, desto größer die Chance, dass es noch eine saubere Version gibt. Danach folgt das Aufräumen, und das steht Schritt für Schritt in der Wissensdatenbank.
Was Sie uns melden: Ihren Domainnamen, was Sie sehen und seit wann, und vor allem, wann die Website noch in Ordnung war. Letzteres bestimmt, welches Backup wir zurückspielen. Wir spielen das Backup zurück und schauen in den Serverlogs mit; das Bereinigen und Aktualisieren Ihrer WordPress-Installation bleibt auf Ihrer Seite oder bei Ihrem Webentwickler.
Weiterlesen
Wie wir die Plattform selbst absichern, steht auf der übergreifenden Sicherheitsseite. Was speziell für WordPress im Hosting steckt, auf der Hostingseite.