WordPress absichern: Login, wp-config.php, Backups und mehr
WordPress ist ein häufiges Ziel für automatisierte Angriffe – nicht weil die Software selbst unsicher ist, sondern weil sie auf Millionen von Seiten läuft. Der größte Teil der Sicherheitsrisiken entsteht durch Standardkonfigurationen, die niemand angepasst hat, und durch Zugangswege, die offen geblieben sind. Die gute Nachricht: Die wirksamsten Maßnahmen sind keine Raketenwissenschaft.
Der Login: häufigstes Angriffsziel
Automatisierte Bots probieren rund um die Uhr Benutzernamen-Passwort-Kombinationen durch. Drei Maßnahmen machen diesen Angriffsweg praktisch wirkungslos:
- Zwei-Faktor-Authentifizierung (2FA) für alle Admin-Konten
- Login-Limit: nach wenigen Fehlversuchen die IP sperren
- Eigene Login-URL: statt
/wp-login.phpeinen schwer erratbaren Pfad nutzen
Alles dazu mit konkreten Plugin-Empfehlungen → WordPress-Login absichern.
wp-config.php: Schaltzentrale richtig absichern
Die wp-config.php ist die wichtigste Datei deiner Installation – und enthält mehr Möglichkeiten zur Härtung, als die meisten nutzen. Wenige Zeilen machen einen großen Unterschied:
DISALLOW_FILE_EDIT– deaktiviert den Code-Editor im BackendFORCE_SSL_ADMIN– erzwingt HTTPS für Login und BackendWP_DEBUG = false– zeigt auf Live-Seiten keine Fehlermeldungen- Sicherheitsschlüssel neu setzen – invalidiert alle offenen Sessions
Mit Generator für die fertige Konfiguration → wp-config.php härten.
Backups: der letzte Rettungsanker
Kein Sicherheitskonzept ist vollständig ohne zuverlässige Backups. Entscheidend ist nicht, dass Backups erstellt werden – sondern dass sie sich im Ernstfall auch wirklich wiederherstellen lassen.
Was ein vollständiges Backup umfasst und warum der Restore-Test der wichtigste Schritt ist → WordPress-Backups richtig machen.
Wenn es passiert ist: WordPress bereinigen
Weiterleitungen auf fremde Seiten, Spam-Mails, Google-Warnungen – erkennst du eines dieser Zeichen, ist schnelles, strukturiertes Handeln entscheidend:
- Seite sofort offline (Wartungsmodus) oder Zugänge sperren
- Frisches Backup sichern (auch des Kompromittierten – für die Analyse)
- Schadcode mit einem Malware-Scanner lokalisieren
- Dateien bereinigen, Zugangsdaten ändern, Lücke schließen
Vollständige Anleitung → WordPress gehackt? Malware erkennen und bereinigen.
Was zusätzlich hilft
- Plugins aktuell halten – die meisten Hacks nutzen bekannte Schwachstellen in veralteten Plugins
- Schwachstellen-Monitoring (z. B. Patchstack) – meldet neue Lücken in installierten Plugins
- Hosting mit aktivem Malware-Scan – ein guter Hoster erkennt viele Angriffe, bevor sie Schaden anrichten
- Wenige Admin-Konten – je weniger Konten mit vollen Rechten, desto kleiner die Angriffsfläche
Die Kurz-Checkliste
Wenn du nur eine Liste zum Abarbeiten willst:
- 2FA für alle Admins aktiviert
- Login-Limit gegen Brute Force aktiv
- Standard-Benutzer „admin” entfernt, starke Passwörter gesetzt
- wp-config.php gehärtet (Datei-Editor aus, Schlüssel neu)
- Getestete Backups mit externer Kopie
- Core, Plugins, Themes und PHP aktuell
- Schwachstellen-Monitoring aktiv
Was WordPress-Sicherheit nicht ist
Sicherheit ist kein Zustand, den man einmal herstellt und abhakt, sondern ein Prozess. Ein einzelnes Security-Plugin, das man installiert und vergisst, wiegt in falscher Sicherheit: Es schützt den Login, hält aber keine Plugins aktuell und testet keine Backups. Und mehr ist nicht mehr – mehrere Sicherheits-Plugins parallel stören sich gegenseitig und erschweren die Fehlersuche. Der wirksamste Schutz ist die Kombination aus sauberer Konfiguration, laufenden Updates und getesteten Backups, wie sie zu jeder WordPress-Wartung gehört.
Verwandte Themenbereiche
- WordPress-Fehler beheben – Troubleshooting-Überblick für WSOD, 500-Fehler und Datenbankprobleme
- Core Web Vitals für WordPress – Ladezeiten und Nutzererfahrung verbessern
- Was eine WordPress-Wartung wirklich leistet – Prävention statt Reparatur
Du willst wissen, wie sicher deine WordPress-Seite wirklich ist? Schreib uns kurz – wir schauen uns die Konfiguration an und sagen dir, wo der größte Handlungsbedarf liegt.
Häufige Fragen
Wie sichere ich meine WordPress-Seite ab?
In vier Ebenen: den Login absichern (Zwei-Faktor, Login-Limit), die wp-config.php härten (Datei-Editor aus, HTTPS erzwingen, Schlüssel neu), zuverlässige und getestete Backups einrichten und alles laufend aktuell halten. Kein einzelnes Plugin erledigt das; es ist die Kombination dieser Ebenen, die die häufigsten automatisierten Angriffe ins Leere laufen lässt.
Ist WordPress unsicher?
Nein. WordPress selbst ist solide gebaut. Der Grund, warum es so oft angegriffen wird, ist seine Verbreitung: Es läuft auf Millionen Seiten, was es zum lohnenden Massenziel macht. Die meisten erfolgreichen Angriffe nutzen nicht den Core, sondern veraltete Plugins, schwache Passwörter und Standardkonfigurationen, die niemand angepasst hat – also genau die Stellen, die sich absichern lassen.
Reicht ein Security-Plugin für WordPress-Sicherheit?
Ein gutes Security-Plugin ist ein wichtiger Baustein, aber kein Ersatz für laufende Pflege. Es hilft bei Login-Schutz und Monitoring, kann aber weder veraltete Plugins aktuell halten noch getestete Backups ersetzen. Mehrere Sicherheits-Plugins gleichzeitig sind sogar kontraproduktiv, weil sie sich gegenseitig stören. Sicherheit ist ein Prozess aus Konfiguration, Updates und Backups – nicht eine einzelne Installation.
Was ist die wichtigste WordPress-Sicherheitsmaßnahme?
Wenn man nur eine nennen darf: Updates. Die meisten Hacks nutzen bekannte Schwachstellen in veralteten Plugins, Themes oder Core-Versionen, für die längst ein Patch existiert. Wer zeitnah aktualisiert, schließt genau die Lücken, über die der Großteil der automatisierten Angriffe läuft – ergänzt um einen abgesicherten Login und getestete Backups.
Passende Leistungen
Gründer & Full-Stack-Entwickler
20+ Jahre Erfahrung in der Webentwicklung. Spezialisiert auf Laravel, WordPress und individuelle Software für den Mittelstand.