WordPress Sicherheit für Profis & Anfänger

Zuletzt aktualisiert: 2026

Schnelle Antwort: Ja, WordPress ist sicher – aber nur, wenn du aktiv mitmachst. Das CMS selbst wird regelmäßig gepatcht, doch veraltete Plugins, schwache Passwörter und ein schlechter Hoster öffnen Angreifern die Tür. Mit den richtigen Maßnahmen kannst du deine WordPress-Website auch ohne technisches Vorwissen solide absichern, und das in weniger als einer Stunde.

Key Takeaways

• WordPress selbst ist nicht das Problem, die meisten Hacks passieren über veraltete Plugins, Themes oder schwache Zugangsdaten.
• Updates sind dein wichtigstes Werkzeug. Auch in 2026 wurden wieder innerhalb weniger Wochen kritische Sicherheitsupdates veröffentlicht, wer nicht aktualisiert, lädt Angreifer und KI-Bots ein.
• Zwei-Faktor-Authentifizierung (2FA) blockiert die meisten automatisierten Login-Angriffe sofort und kostet dich nichts.
• Backups sind dein Sicherheitsnetz, ohne Backup ist ein Hack oft eine Katastrophe, mit Backup ein Nachmittagsproblem.
• SSL/HTTPS ist heute Pflicht, für Vertrauen, SEO und Datenschutz.
• Ein Sicherheits-Plugin wie Wordfence oder Solid Security ergänzt die Basismaßnahmen sinnvoll, ersetzt sie aber nicht.
• Shared Hosting ist riskanter als Managed WordPress Hosting, der Unterschied ist größer als die meisten denken.
• Regelmäßige Routine schlägt einmalige Einrichtung. 15 Minuten im Monat reichen für die meisten Selbstständigen aus.

Was ist WordPress Sicherheit und warum ist sie so wichtig?

WordPress Sicherheit bedeutet: alle Maßnahmen, die verhindern, dass Unbefugte deine Website übernehmen, manipulieren oder Daten stehlen. Klingt technisch, ist es aber nicht zwingend.

Stell dir deine Website wie ein Büro vor. Du schließt die Tür ab, gibst nicht jedem einen Schlüssel, und tauschst das Schloss aus, wenn du weißt, dass jemand einen Nachschlüssel haben könnte. Genau das ist WordPress Sicherheit, nur digital.

Warum ist das wichtig? Weil WordPress laut W3Techs über 43 % aller Websites weltweit betreibt. Das macht es zum beliebtesten Angriffsziel. Automatisierte Bots scannen täglich Millionen von WordPress-Seiten nach bekannten Schwachstellen. Die suchen nicht gezielt nach dir, die suchen nach jeder ungepatchten Installation, die sie finden können.

Und 2026 war in dieser Hinsicht besonders aktiv: Das BSI warnte vor der Angriffskette „wp2shell“, bei der zwei kombinierte Schwachstellen (CVE-2026-60137 und CVE-2026-63030) einem nicht authentifizierten Angreifer vollständige Remote-Code-Execution ermöglichten. Kurz gesagt: Jemand konnte deine Website komplett übernehmen, ohne sich einzuloggen. Das ist kein theoretisches Szenario, das ist aktive Bedrohung.

Gut zu wissen: Du musst kein Sicherheitsexperte werden. Du musst nur die richtigen Basics kennen und konsequent umsetzen.

Mach den WordPress-Sicherheits-Check

Die häufigsten WordPress Sicherheitslücken, was wirklich schiefläuft

Die meisten WordPress-Hacks haben eine von vier Ursachen. Wenn du diese kennst, hast du schon gewonnen.

1. Veraltete Plugins und Themes

Das ist mit Abstand die häufigste Ursache. Plugins und Themes sind Code, der von Dritten geschrieben wurde, und Code hat Fehler. Ende August 2026 wurden allein in einer Woche kritische Lücken in populären Erweiterungen dokumentiert, darunter das Avada-Theme (CVE-2026-18431, beliebige Datei-Schreibrechte mit Remote-Code-Execution) und GiveWP (CVE-2026-82222, RCE mit dem höchstmöglichen CVSS-Score von 10.0). Wenn du diese Plugins nicht aktualisierst, bleibt die Lücke offen, egal wie gut der Rest deiner Absicherung ist.

Mehr dazu, wie solche Lücken entstehen, erkläre ich in meinem Artikel über eine weit verbreitete Sicherheitslücke in WordPress Plugins und Themes.

2. Schwache Passwörter und Standard-Benutzernamen

„admin“ als Benutzername und „123456“ als Passwort, das klingt wie ein Witz, ist aber Realität bei erschreckend vielen Websites. Brute-Force-Bots probieren genau diese Kombinationen zuerst.

3. Automatisierte Login-Angriffe (Brute Force)

Bots versuchen automatisch Tausende von Passwort-Kombinationen. Wenn dein Login-Formular keine Begrenzung hat, können sie das unbegrenzt machen, bis sie Erfolg haben.

4. Unsichere Hosting-Umgebungen

Billiges Shared Hosting bedeutet oft: du teilst dir einen Server mit Hunderten anderer Websites. Wenn eine davon gehackt wird, kann das auf deine übergreifen. Dazu gleich mehr.

5. Fehlende Updates des WordPress-Kerns

Das WordPress 7.0.3 Security Release schloss unter anderem eine pre-authentifizierte reflektierte XSS-Schwachstelle auf der Login-Seite (XSS2Shell, CVE-2026-64638), die JavaScript-Ausführung ohne Login ermöglichte. Wer nicht aktualisiert hatte, war angreifbar. Punkt.

WordPress Sicherheit: Die wichtigsten Sofortmaßnahmen für Einsteiger

Diese fünf Maßnahmen kannst du heute noch umsetzen, in unter einer Stunde. Keine Programmierkenntnisse nötig.

Schritt 1: WordPress, Plugins und Themes aktualisieren

Geh in dein Dashboard → Updates → alles aktualisieren. Fertig. Das ist die wirkungsvollste Einzelmaßnahme überhaupt. Mach das zur Gewohnheit: mindestens einmal pro Monat.

Schritt 2: Starkes Passwort setzen

Nutze einen Passwort-Manager (Bitwarden ist kostenlos und gut) und lass dir ein 20-Zeichen-Passwort generieren. Kein Wort aus dem Wörterbuch, keine Geburtstage. Ich selbst nutze übrigens Enpass. Ein tolles Tool, da ich den Tresor lokal oder in meiner eigenen Cloud ablegen kann.

Schritt 3: Benutzernamen „admin“ ändern

Erstelle einen neuen Admin-Nutzer mit einem anderen Namen, weise alle Inhalte zu, lösche den alten „admin“-Account. Das allein macht Brute-Force-Angriffe deutlich schwieriger.

Schritt 4: Zwei-Faktor-Authentifizierung aktivieren

Dazu gleich ein ganzer Abschnitt, das ist wichtig genug für mehr als einen Satz.

Schritt 5: Automatische Updates für den WordPress-Kern aktivieren

In den WordPress-Einstellungen kannst du automatische Minor-Updates aktivieren. Für Security-Releases ist das eine kluge Entscheidung, du willst nicht der Letzte sein, der einen kritischen Patch einspielt.

WordPress Login absichern: 2FA, Login-Lockdown und eigener Login-Pfad

Der Login-Bereich ist das Haupteinfallstor. Wer hier sauber arbeitet, eliminiert einen Großteil der Risiken.

Zwei-Faktor-Authentifizierung (2FA) aktivieren

2FA bedeutet: neben Passwort brauchst du einen zweiten Faktor, meist einen Code aus einer App wie Google Authenticator oder Authy. Selbst wenn jemand dein Passwort kennt, kommt er ohne dein Smartphone nicht rein.

Ich habe eine detaillierte Anleitung geschrieben, wie du die WordPress 2-Faktor-Authentifizierung Schritt für Schritt einrichtest, inklusive Plugin-Empfehlung und Screenshots. Dauert 10 Minuten.

Wichtiger Hinweis aus der Praxis: Ein Sicherheitsbulletin der CISA dokumentierte einen Fall, bei dem eine „Magic Login“-Implementierung den geheimen Login-Token öffentlich zurückgab statt nur per E-Mail zu senden. Auch vermeintliche Sicherheitsfeatures können Lücken haben, nutze bewährte, aktiv gepflegte Plugins.

Login-Versuche begrenzen (Login Lockdown)

Plugins wie „Limit Login Attempts Reloaded“ sperren eine IP-Adresse nach X fehlgeschlagenen Versuchen. Konfiguriere 3-5 Versuche, dann 30 Minuten Sperre. Das macht Brute-Force-Angriffe praktisch wirkungslos.

Standard-Login-URL ändern

Statt /wp-admin nutzt du eine eigene URL wie /mein-bereich. Bots suchen automatisch nach /wp-admin, wenn die Seite nicht existiert, ziehen sie weiter. Plugins wie „WPS Hide Login“ erledigen das in zwei Minuten.

Mehr Details zu allen Login-Optionen findest du in meinem Artikel über WordPress Login finden, schützen und ändern.

Plugins und Themes sicher halten, was du wirklich beachten musst

Nur vertrauenswürdige Quellen nutzen. Plugins und Themes ausschließlich aus dem offiziellen WordPress-Repository oder von bekannten, seriösen Anbietern installieren. „Nulled“ Plugins (also geklaute Premium-Plugins, die kostenlos angeboten werden) sind häufig mit Malware verseucht. Das ist kein Gerücht, das ist dokumentierte Realität.

Unnötige Plugins löschen, nicht nur deaktivieren. Deaktivierte Plugins können trotzdem Sicherheitslücken enthalten, die ausgenutzt werden. Wenn du ein Plugin nicht brauchst: löschen.

Regelmäßige Updates sind Pflicht. Die NVD-Dokumentation zu CVE-2026-60137 zeigt, wie eine einzelne ungepatchte Schwachstelle in der WP_Query-Funktion zu SQL-Injection führen kann, ausgelöst durch Themes oder Plugins, die nicht vertrauenswürdige Eingaben weitergeben. Das Risiko ist real.

Themes ebenfalls aktuell halten. Gerade beim WordPress Theme Update zögern viele, weil sie Änderungen am Design fürchten. Die Lösung: ein Child Theme nutzen, dann bleiben deine Anpassungen erhalten, egal wie oft du das Parent Theme aktualisierst.

Meine persönliche Faustregel: Mehr als 20 aktive Plugins sind zu viele. Jedes Plugin ist eine potenzielle Angriffsfläche.

WordPress SSL/HTTPS einrichten, warum HTTPS heute Pflicht ist

SSL (Secure Sockets Layer) verschlüsselt die Verbindung zwischen deiner Website und dem Browser deiner Besucher. Ohne SSL werden Daten im Klartext übertragen, Passwörter, Formulareingaben, alles.

Wie du es einrichtest:

1. Bestelle ein SSL-Zertifikat bei deinem Hoster (die meisten bieten Let’s Encrypt kostenlos an).
2. Aktiviere HTTPS in den WordPress-Einstellungen (Einstellungen → Allgemein → WordPress-Adresse auf https:// ändern).
3. Installiere das Plugin „Really Simple SSL“, es leitet automatisch alle HTTP-Anfragen auf HTTPS um und behebt Mixed-Content-Probleme.

Warum das auch für SEO wichtig ist: Google bevorzugt HTTPS-Seiten. Ohne SSL zeigt Chrome deinen Besuchern „Nicht sicher“ in der Adressleiste. Das kostet Vertrauen und Conversions.

Mehr zum Thema Hosting und wie es deine Website-Sicherheit beeinflusst, erkläre ich im Artikel über Shared Hosting vs. Managed WordPress Hosting.

Meine wichtigste Regel in der Agentur: Erstelle immer regelmäßige WordPress Backups!

Ein Backup rettet dich nicht vor einem Hack. Aber es rettet dich nach einem Hack. Ohne Backup kann ein einziger Angriff bedeuten: alles weg. Mit Backup bedeutet es: zwei Stunden Arbeit, dann läuft alles wieder.

Meine Empfehlung: Wir nutzen in unserer Agentur WPVivid.

Ich nutze WPVivid in meinen Kundenprojekten seit Jahren und bin sehr zufrieden damit. Es macht automatische Backups, speichert sie in der Cloud (Google Drive, Dropbox, Amazon S3), und die Wiederherstellung funktioniert mit wenigen Klicks, auch für Nicht-Techniker. Praktisch ist, dass du für Tests leicht eine Staging-Umgebung anlegen kannst und auch inkementelle Backups möglich sind (es werden damit nur die Änderungen gespeichert, statt immer die ganze Site).

👉 WPVivid direkt hier holen, ich empfehle das aus eigener Erfahrung, nicht nur weil es ein Partnerlink ist.

Backup-Strategie für Selbstständige:

• Täglich: Automatisches Backup der Datenbank (enthält alle Inhalte, Kommentare, Einstellungen)
• Wöchentlich: Vollständiges Backup inkl. Dateien
• Aufbewahrung: Mindestens 30 Tage, manchmal merkst du einen Hack erst Wochen später
• Offsite-Speicherung: Backup niemals nur auf demselben Server speichern

Mehr Optionen für WordPress Backup Plugins findest du in meinem Artikel über kostenlose WordPress Backup Plugins.

Firewall und Malware-Scanner, brauchst du das wirklich?

Kurze Antwort: Ja, aber du musst kein Experte sein, um davon zu profitieren.

Eine Web Application Firewall (WAF) filtert bösartige Anfragen, bevor sie deine Website erreichen. Cloudflare und andere WAF-Anbieter stellen auch Notfall-Updates ihrer Firewalls zur Verfügung, um Angriffe auf XSS2Shell und CVE-2026-65640 zu blockieren, noch bevor viele Betreiber ihre WordPress-Installation aktualisiert hatten. Das zeigt: Eine WAF kann dich schützen, auch wenn du mit dem Update etwas hinter her bist.

Empfohlene Sicherheits-Plugins:

• Wordfence Security (kostenlose Version reicht für die meisten): Firewall + Malware-Scanner + Login-Schutz in einem
• Solid Security (früher iThemes Security): Gut für Einsteiger, übersichtliche Oberfläche
• Sucuri Security: Besonders gut für den Malware-Scan
• WP Cerber: Prima gehen Bruts-Force-Attacken (nutze ich selbst)
• LoginLogdown: Gute Sicherheit mit Länderblockade (nutze ich auch selbst)

Wichtig: Ein Sicherheits-Plugin ersetzt keine Updates und kein starkes Passwort. Es ist eine zusätzliche Schutzschicht, keine Alleinlösung.

Woran erkenne ich, dass meine WordPress-Website gehackt wurde?

Diese Warnzeichen solltest du kennen, je früher du reagierst, desto weniger Schaden entsteht.

Technische Warnzeichen:

• Deine Website leitet Besucher auf fremde Seiten um
• Google zeigt in den Suchergebnissen „Diese Website wurde möglicherweise gehackt“
• Dein Hoster hat dein Konto gesperrt oder warnt dich per E-Mail
• Du siehst unbekannte Admin-Nutzer in deiner Benutzerliste
• Dateien wurden verändert (Datum im Dateimanager prüfen)
• Deine Website ist plötzlich sehr langsam oder nicht erreichbar

Inhaltliche Warnzeichen:

• Spam-Links oder fremde Inhalte auf deinen Seiten
• Neue Seiten oder Beiträge, die du nicht erstellt hast
• Dein Kontaktformular versendet Spam

Was tust du dann?

Wenn es schon passiert ist, hilft dieser Guide hier nicht mehr weiter, dann brauchst du konkrete Erste-Hilfe-Maßnahmen. Meine detaillierte Schritt-für-Schritt-Anleitung für den Ernstfall findest du hier: Was tun, wenn die WordPress-Website gehackt wurde.

WordPress Sicherheit Routine, was du wöchentlich und monatlich tun solltest

Einmal absichern reicht nicht. WordPress Sicherheit ist kein Projekt, das du abhakst, es ist eine Gewohnheit. Aber eine, die wirklich wenig Zeit kostet.

Wöchentlich (ca. 10 Minuten):

• Wichtige Updates bezüglich Sicherheitslücken prüfen und einspielen (Core, Plugins, Themes)
• Backup-Status prüfen: Wurde das letzte Backup erfolgreich erstellt?
• Wordfence-Scan-Ergebnisse kurz ansehen

Monatlich (ca. 20 Minuten):

• Komplett-Updates von WordPress, Themes und Plugins einspielen
• Backup von WordPress Files und der Datenbank anlegen
• Benutzerliste prüfen: Gibt es unbekannte Accounts?
• Inaktive Plugins und Themes löschen
• Sicherheits-Plugin-Logs durchsehen

Quartalsweise:

• Hosting-Paket und PHP-Version prüfen (veraltetes PHP = Sicherheitsrisiko)
• SSL-Zertifikat-Gültigkeit kontrollieren
• Google Search Console auf Sicherheitswarnungen prüfen
• Passwörter rotieren (besonders Admin-Passwort)

WordPress Sicherheit: Shared Hosting vs. Managed Hosting, der Unterschied zählt

Shared Hosting bedeutet: deine Website teilt sich einen Server mit möglicherweise Hunderten anderer Websites. Wenn eine davon kompromittiert wird, kann Malware auf deinen Bereich übergreifen, das nennt sich „Cross-Site-Contamination“.

Managed WordPress Hosting (z. B. Kinsta, WP Engine, Raidboxes) bietet:

• Automatische WordPress-Updates
• Integrierte Firewalls und Malware-Scans
• Isolierte Umgebungen (kein Cross-Site-Risiko)
• Tägliche automatische Backups
• Oft schnellere Ladezeiten durch WordPress-optimierte Server

Wann lohnt sich der Wechsel?

Wenn deine Website Umsatz generiert oder für dein Business kritisch ist, ist Managed Hosting keine Luxus-Option, es ist eine Versicherung. Die Mehrkosten (oft 15-30 € mehr pro Monat) sind gut investiert.

Mehr dazu in meinem Leitfaden über WordPress Hosting: Shared vs. Premium Hosting.

Wann lohnt sich professionelle Hilfe bei der WordPress Sicherheit?

Ehrlich gesagt: Die meisten Selbstständigen können die Basics selbst umsetzen. Aber es gibt Situationen, wo externe Hilfe sinnvoll ist.

Du willst es selbst lernen und verstehen?

Dann ist mein Workshop „WordPress Sicherheit“ genau das Richtige. Ich zeige dir Schritt für Schritt, wie du deine Website absicherst, ohne technischen Vorkenntnisse, mit konkreten Handlungsempfehlungen aus der Praxis.

Du willst es einfach abgeben?

Dann ist unser WordPress-Wartungsservice die bessere Wahl. Wir kümmern uns um Updates, Backups, Monitoring und Sicherheit, du konzentrierst dich auf dein Business.

Du weißt nicht, wo du gerade stehst?

Dann empfehle ich einen Website-Audit von Artivista als neutralen Einstiegspunkt. In meiner Agentur schauen wir uns deine Website im Detail an und sagen dir, wo der größte Handlungsbedarf liegt – bevor es zu spät ist.

FAQ: WordPress Sicherheit, die häufigsten Fragen

Ist WordPress sicher?

Ja, WordPress selbst wird aktiv gepflegt und regelmäßig gepatcht. Die meisten Hacks entstehen nicht durch Schwächen im Core, sondern durch veraltete Plugins, schwache Passwörter oder schlechtes Hosting. Wer die Basics umsetzt, ist gut geschützt.

Wie kann ich WordPress als Anfänger absichern, ohne Experte zu sein?

Fang mit den fünf Sofortmaßnahmen an: Updates einspielen, starkes Passwort setzen, Benutzernamen „admin“ ändern, 2FA aktivieren, automatische Updates einschalten. Das dauert unter einer Stunde und deckt die größten Risiken ab.

Was sind die häufigsten Sicherheitslücken bei WordPress?

Veraltete Plugins und Themes (mit Abstand die häufigste Ursache), schwache Passwörter, fehlende 2FA, kein Brute-Force-Schutz und billiges Shared Hosting ohne Isolierung. Mehr Details im Abschnitt oben.

Woran erkenne ich, dass meine WordPress-Website gehackt wurde?

Umleitungen auf fremde Seiten, Google-Warnungen in den Suchergebnissen, unbekannte Admin-Nutzer, Spam-Links auf deinen Seiten oder eine gesperrte Hosting-Umgebung sind die häufigsten Zeichen. Im Zweifel: Wordfence-Scan durchführen.

Wie oft sollte ich meine WordPress-Website sichern (Backup)?

Das hängt davon ab, wie oft du deine Website aktualisierst. Bei einem Shop würde ich die Datenbank täglich, vollständiges Backup wöchentlich machen. Bei einer normalen Seite reicht auch ein monatliches Backup. Bewahre alte Backups möglichst lange auf (mindestens 6 Monate) und speicher dein Backup auch offsite (Cloud), nie nur auf demselben Server.

Brauche ich ein Sicherheits-Plugin, oder reichen Basismaßnahmen?

Basismaßnahmen (Updates, starkes Passwort, 2FA) sind die Grundlage, ohne die hilft kein Plugin. Ein Sicherheits-Plugin wie Wordfence ergänzt das sinnvoll mit Firewall und Malware-Scan, ist aber keine Alleinlösung.

Was kostet es, eine WordPress-Website professionell absichern zu lassen?

Das hängt vom Umfang ab. Ein einmaliges Sicherheits-Setup liegt je nach Anbieter zwischen 150 und 500 €. Laufende Wartung (Updates, Backups, Monitoring) kostet monatlich meist 30 bis 150 €. Für Selbstständige mit einer einfachen Website ist der Mittelweg oft am sinnvollsten: einmal professionell einrichten lassen, dann selbst warten.

Fazit: WordPress Sicherheit ist kein Hexenwerk

Lass mich ehrlich sein: Ich habe auch mit WordPress-Projekten mal einen Hack erlebt. Das ist kein schönes erlebnis – und verursacht viel Arbeit. ABER ich hatte immer ein solides Sicherheitssystem, sodass ich nie Daten verloren habe. WordPress Sicherheit ist für mich kein optionales Extra, es ist Teil des Setups von Anfang an.

Das Gute: Du brauchst kein Sicherheitsexperte zu werden. Du brauchst nur konsequente Basics. Updates einspielen. Starke Passwörter. 2FA aktivieren. Backups einrichten. SSL nutzen. Ein Sicherheits-Plugin installieren.

Deine nächsten Schritte:

1. Logge dich jetzt in dein WordPress-Dashboard ein und prüfe, ob Updates ausstehen.
2. Richte 2FA ein, hier ist die Anleitung.
3. Installiere WPVivid und richte automatische Backups ein, direkt hier.
4. Wenn du tiefer einsteigen willst: mein WordPress Sicherheits-Workshop wartet auf dich.