Die meisten Angriffe auf WordPress-Websites laufen automatisiert. Programme suchen das Netz nach bekannten Lücken in Plugins und Themes ab oder probieren massenhaft Passwörter aus. Gegen beides hilft eine Mischung aus gutem Hosting und sorgfältigem Betrieb. Dieser Ratgeber trennt die Aufgaben: was der Hoster übernehmen kann, was in jedem Fall bei dir bleibt und welche Maßnahmen die WordPress-Dokumentation selbst empfiehlt.
Wo die Lücken stecken
Der Sicherheitsdienst Patchstack zählte 2025 insgesamt 11.334 neue Schwachstellen im WordPress-Umfeld, 42 Prozent mehr als im Vorjahr. 91 Prozent davon fanden sich in Plugins, 9 Prozent in Themes und nur 6 im WordPress-Kern, alle mit geringer Priorität [1]. 17 Prozent der neuen Lücken stufte Patchstack als hoch gefährlich ein, weil sie sich für automatisierte Massenangriffe eignen [1]. Auch Bezahl-Erweiterungen sind betroffen: Fast 2.000 gültige Meldungen betrafen Premium- oder Freemium-Produkte, das waren 29 Prozent aller Meldungen [1].
Daraus folgt die wichtigste Regel: Updates für Plugins und Themes sind keine Nebensache. Wer sie Wochen liegen lässt, lässt bekannte Lücken offen.
Was der Hoster übernehmen sollte
Ein guter Hoster kümmert sich um alles unterhalb von WordPress. Dazu gehören ein aktuelles Betriebssystem, ein aktueller Webserver und vor allem eine aktuelle PHP-Version. Wie schnell das gehen muss, zeigte der 21.10.2026: Das PHP-Projekt schloss zwei kritische Lücken, und das WordPress-Projekt rief alle Betreiber auf, PHP sofort zu aktualisieren. Versionen vor 8.2 bekommen solche Korrekturen nicht mehr [2]. Welche Versionen noch unterstützt werden, steht im Ratgeber PHP für WordPress.
Dazu kommen Schutzmaßnahmen auf dem Server, etwa gegen massenhafte Login-Versuche, verschlüsselte Zugänge per SFTP, HTTPS für die Website und regelmäßige Backups an einem anderen Ort. Frag deinen Hoster, welche dieser Punkte im Tarif enthalten sind und welche nicht.
Noch eine Frage offen?
In der gratis Sprechstunde beantworten wir Fragen zu SEO live, jeden ersten Samstag im Monat um 18 Uhr. Oder du rufst einfach an.
Was immer bei dir bleibt
Updates
Die WordPress-Dokumentation sagt es knapp: Halte WordPress immer auf dem neuesten Stand [3]. Seit Version 3.7 bringt WordPress eine Funktion für automatische Updates mit [3]. Seit Version 5.5 kannst du automatische Updates für einzelne Plugins und Themes einschalten [4]. Wie wichtig das ist, zeigen die letzten Versionen. WordPress 7.1.3 vom 06.10.2026 schloss sieben Sicherheitslücken, WordPress 7.1.4 vom 28.10.2026 unter anderem eine Schwachstelle im Aktualisierungsablauf selbst [5, 6]. Das Projekt empfahl jeweils, sofort zu aktualisieren.
Passwörter und Anmeldung
Ein starkes, eigenes Passwort ist die Grundlage. Die Dokumentation rät von Namen, Wörterbuchwörtern, kurzen Passwörtern und reinen Ziffern- oder Buchstabenfolgen ab und empfiehlt zusätzlich die Anmeldung in zwei Schritten [3]. Dann reicht ein erbeutetes Passwort allein nicht mehr. Gib jedem Redakteur ein eigenes Konto mit den Rechten, die er wirklich braucht, und lösche Konten, die niemand mehr nutzt.
Plugins und Themes
Installiere Plugins und Themes nur aus dem Verzeichnis auf wordpress.org oder von bekannten Anbietern [3]. Lade WordPress selbst nur von wordpress.org [3]. Lösch Erweiterungen, die du nicht nutzt, statt sie nur zu deaktivieren. Auch ein deaktiviertes Plugin liegt mit seinen Dateien auf dem Server. Prüfe vor der Installation, wann ein Plugin zuletzt aktualisiert wurde. Eines, das seit Jahren keine Pflege bekommt, ist ein Risiko.
Eigene Backups
Sichere deine Daten regelmäßig, einschließlich der Datenbank, und bewahre datierte Sicherungen an einem vertrauenswürdigen Ort auf [3]. Das gilt auch dann, wenn der Hoster Backups macht. Eine eigene Sicherung an einem anderen Ort hilft, wenn das Hosting selbst ein Problem hat oder du auf einen älteren Stand zurück musst. Wie eine Backup-Strategie aussieht, beschreibt wpwebmaster unter Backup-Strategie für WordPress.
Härtung: zusätzliche Maßnahmen
Die WordPress-Dokumentation nennt weitere Schritte, die einen Angriff erschweren [3]:
- Dateirechte setzen: 755 für Ordner, 644 für Dateien. Nur wp-content muss für den Webserver beschreibbar sein.
- wp-config.php schützen: Die Datei enthält die Zugangsdaten der Datenbank und sollte nur für dich und den Webserver lesbar sein, typischerweise mit den Rechten 400 oder 440.
- Den Dateieditor im Adminbereich abschalten, mit der Zeile define( 'DISALLOW_FILE_EDIT', true ); in wp-config.php. Das hält einen Angreifer nicht davon ab, Dateien hochzuladen, nimmt ihm aber ein bequemes Werkzeug.
- SFTP statt FTP nutzen, weil das Passwort dabei verschlüsselt übertragen wird.
- Protokolle auswerten und Dateiänderungen überwachen, denn Vorbeugung reicht nicht immer.
Bei den Rechten des Datenbankbenutzers ist die Dokumentation vorsichtig. Für den normalen Betrieb reichen Lesen, Einfügen, Ändern und Löschen. Rechte zum Ändern der Tabellenstruktur zu entziehen, empfiehlt sie aber nicht, weil Updates und Plugins sie brauchen können [3].
Woran du einen Angriff erkennst
Typische Anzeichen sind unbekannte Administratorkonten, fremde Weiterleitungen auf andere Websites, Spam-Seiten, die in der Google Suche unter deiner Domain auftauchen, Warnungen des Browsers oder ein Hoster, der wegen verdächtiger Aktivität Alarm schlägt. Die WordPress-Dokumentation rät, Protokolle und Dateiänderungen im Blick zu behalten, denn ein Angriff hinterlässt immer Spuren in den Protokollen oder im Dateisystem [3]. Eine Überwachung der Erreichbarkeit von außen, wie sie wpwebmaster unter WordPress Monitoring beschreibt, meldet zusätzlich Ausfälle.
Ist es passiert, handelst du schnell: Zugänge ändern, die Website vom Netz nehmen oder in den Wartungsmodus setzen, eine saubere Sicherung bereitlegen und die Ursache suchen. Hilfe dabei bietet der WordPress-Notdienst rund um die Uhr unter 0800 188 7 100. Was nach einem Hack zu tun ist, beschreibt wpwebmaster unter WordPress gehackt.
Was ein Hack für die Suche bedeutet
Ein Angriff kann auch Sichtbarkeit in der Suche kosten. Stellt Google fest, dass eine Website gehackt wurde oder Besuchern schaden kann, erscheint das im Bericht "Sicherheitsprobleme" der Search Console. Gehackte Inhalte versucht Google so umfassend wie möglich aus den Suchergebnissen zu entfernen, und Besucher können vor dem Aufruf betroffener Seiten eine Warnseite sehen [9]. Richte die Search Console deshalb ein, solange alles in Ordnung ist. Dann bekommst du eine Nachricht, sobald Google ein Problem findet, und kannst nach der Bereinigung eine Überprüfung beantragen. Welche SEO-Folgen ein Hack haben kann, beschreibt wpseo unter Technische SEO für WordPress.
Sicherheit im Hosting von SEO NW
Im WordPress SEO Hosting für 29 Euro brutto im Monat erschweren Schutzmaßnahmen auf dem Server typische Angriffe, etwa massenhafte Login-Versuche. SEO NW hält WordPress, Themes und Plugins automatisch aktuell, SSL ist aktiv, und jeden Tag entsteht ein Backup in einem zweiten Rechenzentrum. Die Bereinigung einer gehackten Website gehört nicht zum Support und wird nach Aufwand berechnet. Die Backups des Tarifs ersetzen laut Shop deine eigene Datensicherung nicht [7]. Der Tarif Ultimate Hosting enthält zusätzlich einen regelmäßigen Malware-Scan [8]. Alle Leistungen stehen unter Tarif und Leistungen, die Begriffe rund um Verschlüsselung erklärt das Glossar unter SSL-Zertifikat.
Du willst wissen, wie sicher deine WordPress-Website aufgestellt ist? Stell die Frage in der gratis Sprechstunde. Alexander Müller sagt dir, wo du anfangen solltest.
- Studie State of WordPress Security in 2026. Patchstack. Stand 2026. abgerufen am 30.10.2026
- Organisation Critical PHP Security Release. WordPress.org News. Stand 21.10.2026. abgerufen am 30.10.2026
- Organisation Hardening WordPress. WordPress Developer Resources, Advanced Administration Handbook. Stand laufend. abgerufen am 30.10.2026
- Organisation Plugin and themes auto-updates. WordPress.org Documentation. Stand 13.01.2023. abgerufen am 30.10.2026
- Organisation WordPress 7.1.3 Maintenance and Security Release. WordPress.org News. Stand 06.10.2026. abgerufen am 30.10.2026
- Organisation WordPress 7.1.4. WordPress.org News. Stand 28.10.2026. abgerufen am 30.10.2026
- Organisation WordPress SEO Hosting (SW10005). SEO NW, Shop hosting.seo-manager.info. Stand 30.10.2026. abgerufen am 30.10.2026
- Organisation Ultimate Hosting (SW10003). SEO NW, Shop hosting.seo-manager.info. Stand 30.10.2026. abgerufen am 30.10.2026
- Organisation Bericht Sicherheitsprobleme. Google, Search Console-Hilfe. Stand laufend. abgerufen am 30.10.2026
Häufige Fragen
Ist WordPress unsicher?
Der Kern ist gut gepflegt: Patchstack zählte 2025 nur 6 Schwachstellen im WordPress-Kern, alle mit geringer Priorität. Die meisten Lücken stecken in Plugins und Themes, deshalb sind deren Updates so wichtig.
Was ist die wichtigste Sicherheitsmaßnahme?
Updates für WordPress, Plugins und Themes zeitnah einspielen. Danach folgen starke Passwörter mit Anmeldung in zwei Schritten und eigene Backups.
Reicht ein Sicherheits-Plugin?
Nein. Ein Sicherheits-Plugin kann Angriffe erschweren und melden, eine bekannte Lücke in einem veralteten Plugin schließt aber nur das Update.
Sollte ich die Login-Adresse von WordPress ändern?
Das kann automatisierte Login-Versuche verringern, ersetzt aber kein starkes Passwort und keine Anmeldung in zwei Schritten. Wichtiger ist ein Schutz gegen massenhafte Versuche auf Serverebene.
Muss ich deaktivierte Plugins löschen?
Ja, wenn du sie nicht mehr brauchst. Auch deaktivierte Plugins liegen mit ihren Dateien auf dem Server. Die WordPress-Dokumentation rät, nicht genutzte Plugins zu löschen.
Was tue ich, wenn meine Website gehackt wurde?
Zugänge ändern, die Website vom Netz nehmen oder in den Wartungsmodus setzen, eine saubere Sicherung bereitlegen und die Ursache suchen. Hilfe gibt es beim WordPress-Notdienst rund um die Uhr unter 0800 188 7 100.
Noch eine Frage offen?
In der gratis Sprechstunde beantworten wir Fragen zu SEO live, jeden ersten Samstag im Monat um 18 Uhr. Oder du rufst einfach an.
Zuletzt geprüft am 03.11.2026, nächste Prüfung spätestens im November 2027. Fehler entdeckt? Schreib uns.
