WordPress-Sicherheit läuft 2027 auf eine kurze Liste von Gewohnheiten hinaus: Core, Plugins und Themes aktuell halten, Anmeldungen mit starken Passwörtern und Zwei-Faktor-Authentifizierung absichern, entfernen, was Sie nicht nutzen, und getestete Backups getrennt vom Server aufbewahren. Fast jeder erfolgreiche Angriff auf eine WordPress-Website kommt durch eine dieser offenen Türen, nicht durch eine exotische Lücke in WordPress selbst.
Zuletzt aktualisiert: 20. Oktober 2026.
Dieser Leitfaden behandelt die wichtigsten Risiken, eine Tabelle mit Lösungen und dem jeweiligen Aufwand, eine nummerierte Checkliste zur Absicherung, die EU-Regeln, die Ihre Website betreffen, und was in den ersten Stunden nach einem Angriff zu tun ist.
Ist WordPress sicher?
Der WordPress-Core wird von einem großen Sicherheitsteam gepflegt, erhält standardmäßig automatische Minor-Updates und wird ständig geprüft. Für sich genommen ist er eine solide Basis. Das Risiko entsteht durch das, was hinzugefügt wird, und durch den Betrieb: Plugins und Themes vieler Autoren, Administratorkonten mit schwachen Passwörtern, alte PHP-Versionen, billiges Hosting ohne Trennung zwischen den Websites und niemand, der hinschaut.
Kurz gesagt: WordPress ist so sicher, wie es gebaut und gewartet wird. Eine schlanke Website mit wenigen, gut gewählten Plugins, aktueller Software und kontrolliertem Zugang ist ein schweres Ziel. Eine Website mit vierzig Plugins, fünf davon verwaist, und einem geteilten Admin-Passwort ist ein leichtes. Der Unterschied liegt selten an der Plattform, sondern an der Sorgfalt drumherum.
Bei Odduel, einer Agentur für Kreation und Technologie in Barcelona und São Paulo, bauen wir WordPress-Websites mit eigenen Block-Themes und so wenigen Plugins wie möglich, teils wegen der Geschwindigkeit, teils weil jedes Plugin Code ist, dem Sie vertrauen müssen. Wenn Sie eine neue Website planen, beginnt unsere Arbeit in Webdesign und Webentwicklung mit genau dieser Frage: Was braucht diese Website wirklich, um zu laufen?
Was sind die größten Sicherheitsrisiken für WordPress?
Angriffe auf WordPress laufen meist automatisiert. Bots durchsuchen das Web nach bekannten Schwachstellen und probieren sie an jeder Website, die sie finden. Die Website eines kleinen Unternehmens wird also genauso wahrscheinlich abgeklopft wie eine große. Diese fünf Risiken zählen am meisten.
Veraltete Plugins und Themes
Das ist der häufigste Weg hinein. In einem Plugin wird eine Lücke gefunden, ein Fix erscheint, die Details werden öffentlich, und Bots probieren die Lücke an jeder Website, die nicht aktualisiert hat. Die Zeit zwischen dem Fix und den ersten Angriffen kann kurz sein. Verwaiste Plugins sind schlimmer: Sie werden nie repariert.
Schwache Anmeldungen und gestohlene Passwörter
Die Anmeldeseite unter `/wp-login.php` ist auf jeder Website öffentlich. Bots probieren gängige Passwörter und Passwörter aus Datenlecks anderer Dienste (Credential Stuffing). Ein Administratorkonto mit wiederverwendetem Passwort oder dem Standard-Benutzernamen „admin“ gibt einem Angreifer die ganze Website, ganz ohne Lücke.
XML-RPC und andere alte Zugänge
XML-RPC ist eine alte Schnittstelle für das Veröffentlichen aus der Ferne. Die meisten Websites brauchen sie nicht mehr, aber sie bleibt standardmäßig eingeschaltet und erlaubt einem Angreifer, viele Passwörter in einer einzigen Anfrage zu testen. Dasselbe gilt für die öffentliche Liste der Benutzernamen in der REST API, die Bots die erste Hälfte jeder Anmeldung liefert.
Datei-Uploads
Jedes Formular und jedes Plugin, das Dateien annimmt, kann zum Weg werden, ein Skript auf den Server zu bringen. Führt der Server dann PHP aus dem Upload-Ordner aus, hat der Angreifer eine Hintertür. Kontaktformulare mit Anhängen, Nutzerprofile und Medien-Plugins sind die üblichen Verdächtigen.
Lieferkette
Ein Plugin, dem Sie vertrauen, kann den Besitzer wechseln. Ein neuer Eigentümer oder ein Angreifer, der das Konto des Autors übernommen hat, kann ein Update mit verstecktem Code an jede Website schicken, die es automatisch installiert. Genullte (raubkopierte) Premium-Plugins und -Themes sind ein Angriff auf die Lieferkette mit Ansage: Sie kommen oft schon mit Schadsoftware an.
Risiken, Lösungen und Aufwand auf einen Blick
Die Tabelle ordnet jedem Risiko die Lösung zu, die es schließt, und eine grobe Einschätzung des Aufwands für eine typische Website.
| Risiko | Lösung | Aufwand |
|---|---|---|
| Veraltete Plugins und Themes | Wöchentliche Updates, Test auf Staging, verwaiste Plugins entfernen | Gering, laufend |
| Schwache Anmeldungen | Eigene Passwörter, Zwei-Faktor-Authentifizierung, Limits für Anmeldeversuche | Gering, einmalig |
| XML-RPC und Benutzerlisten | XML-RPC und die öffentliche Benutzerliste abschalten | Gering, einmalig |
| Datei-Uploads | PHP in Uploads sperren, Dateitypen begrenzen, Uploads scannen | Mittel, einmalig |
| Lieferkette | Wenige Plugins von bekannten Autoren, kein genullter Code, Updates prüfen | Mittel, laufend |
| Kompromittierter Server | Getrenntes Hosting, aktuelles PHP, Firewall, minimale Dateirechte | Mittel, einmalig |
| Datenverlust nach einem Angriff | Externe, versionierte, getestete Backups | Gering, laufend |
Der Großteil der Arbeit ist also wenig aufwendig. Teuer an der WordPress-Sicherheit sind nicht die Lösungen, sondern das Aufräumen, wenn sie ausgelassen wurden.
WordPress-Sicherheit: Checkliste in zehn Schritten
Nutzen Sie diese Checkliste zur Absicherung bei einer neuen Website vor dem Launch und bei einer bestehenden als Prüfung. Gehen Sie sie der Reihe nach durch: Die ersten Schritte schließen die Türen, die Angreifer am häufigsten probieren.
- Aktualisieren Sie alles. Core, Plugins, Themes und PHP. Schalten Sie automatische Minor-Updates des Core ein, testen Sie Plugin-Updates zuerst auf einer Staging-Kopie und legen Sie für den Rest einen wöchentlichen Rhythmus fest.
- Entfernen Sie, was Sie nicht nutzen. Löschen Sie inaktive Plugins und Themes, statt sie nur zu deaktivieren. Ersetzen Sie jedes Plugin, das seit einem Jahr kein Update hatte.
- Prüfen Sie die Benutzerrollen. Geben Sie jeder Person ein eigenes Konto mit der niedrigsten Rolle, die für die Aufgabe reicht. Redakteure müssen keine Administratoren sein. Entfernen Sie Konten ehemaliger Mitarbeitender und Agenturen an dem Tag, an dem sie gehen.
- Schalten Sie Zwei-Faktor-Authentifizierung ein. Machen Sie sie mindestens für Administratoren zur Pflicht. Ergänzen Sie starke, eindeutige Passwörter, gespeichert in einem Passwortmanager.
- Begrenzen Sie Anmeldeversuche. Setzen Sie für `/wp-login.php` ein Limit auf dem Server oder in der Firewall und verbergen Sie Benutzernamen in öffentlichen Archiven und in der REST API.
- Schalten Sie XML-RPC ab, sofern kein Dienst, auf den Sie angewiesen sind, es braucht, und deaktivieren Sie die Dateibearbeitung im Admin-Bereich (`DISALLOW_FILE_EDIT`).
- Bewahren Sie Backups getrennt vom Server auf. Täglich, versioniert, an einem anderen Ort gespeichert und einmal testweise wiederhergestellt, damit Sie wissen, dass sie funktionieren.
- Ergänzen Sie eine Firewall. Eine Web Application Firewall beim Hoster oder vor der Website filtert bekannte Angriffe, bevor sie WordPress erreichen.
- Senden Sie Sicherheits-Header. HTTPS überall mit HSTS, dazu `X-Content-Type-Options`, Schutz vor Einbettung in Frames, eine Referrer-Policy und, wenn Sie so weit sind, eine Content Security Policy.
- Wählen Sie Hosting, das Websites voneinander trennt. Jede Website mit eigenem Systembenutzer, aktuellem PHP, gesperrtem PHP in Uploads und Serverzugang nur per Schlüssel.
Sicherheit gehört auch in die Prüfungen vor dem Launch. Unsere Website-Launch-Checkliste: so testen Sie eine Website vor dem Go-live nennt die Tests vor dem Livegang, und Sicherheit steht dort neben Geschwindigkeit, Barrierefreiheit und Formularen.
Wie sichert man eine WordPress-Website auf dem richtigen Hosting ab?
Das Hosting entscheidet, wie viel von der Checkliste Sie tatsächlich umsetzen können. Auf einfachem Shared Hosting können Sie oft keine Server-Header setzen, kein PHP in einem Ordner sperren und keine Logs einsehen. Bei einem Managed-WordPress-Hoster oder auf einem gut betriebenen Server geht das.
Stellen Sie einem Hoster vier Fragen. Ist jede Website von den anderen auf derselben Maschine getrennt? Welche PHP-Versionen werden angeboten, und wie schnell wechseln sie auf neue? Werden Backups außerhalb des Servers gespeichert, und können Sie selbst eines wiederherstellen? Gibt es auf Serverebene eine Firewall und ein Limit für Anmeldeversuche?
Sind die Antworten vage, ist der Hoster Teil Ihres Risikos. Auch die Wahl der Plattform zählt: Unser Leitfaden CMS auswählen vergleicht WordPress mit anderen Optionen, wenn Sicherheit und Wartung schwer wiegen.
Welche EU-Regeln gelten für die Sicherheit von WordPress?
Zwei neuere EU-Gesetze werden in Artikeln zur Sicherheit oft zitiert, und beide werden oft überschätzt. Das sagen sie wirklich für eine typische WordPress-Website.
Der Cyber Resilience Act
Der Cyber Resilience Act, Verordnung (EU) 2024/2847, legt Sicherheitsregeln für Produkte mit digitalen Elementen fest, die auf dem EU-Markt in Verkehr gebracht werden. Die Meldepflichten für aktiv ausgenutzte Schwachstellen gelten ab dem 11. September 2026, die meisten anderen Pflichten ab dem 11. Dezember 2027. Er richtet sich an Hersteller von Software und vernetzten Produkten und betrifft deshalb vor allem Unternehmen, die Plugins oder Themes kommerziell verkaufen. Ein Unternehmen, das nur seine eigene Website betreibt, wird dadurch nicht zum Hersteller, profitiert aber davon, wenn die Plugins, die es kauft, unter die Regeln fallen.
NIS2
Die NIS2-Richtlinie gilt über das nationale Recht jedes Mitgliedstaats für mittlere und große Organisationen in bestimmten Sektoren, etwa Energie, Verkehr, Gesundheit, digitale Infrastruktur und Teile der Industrie. Fällt Ihre Organisation darunter, ist Ihre Website Teil der Systeme, die Sie schützen müssen, und Ihre Meldepflichten für Vorfälle gehen über die Website hinaus. Fällt sie nicht darunter, gilt NIS2 nicht für Ihre Website.
DSGVO
Die Regel, die für fast alle gilt, ist die DSGVO. Eine WordPress-Website mit Formulareinträgen, Kundenkonten oder Bestellungen enthält personenbezogene Daten, und ein Angriff darauf ist eine Verletzung des Schutzes personenbezogener Daten. Damit gilt eine klare Frist, siehe unten.
Was ist nach einem WordPress-Hack zu tun?
Tempo und Reihenfolge zählen mehr als Werkzeuge. Folgen Sie diesen Schritten, wenn Sie vermuten, dass die Website kompromittiert ist.
- Eindämmen. Versetzen Sie die Website in den Wartungsmodus oder nehmen Sie sie offline, und ändern Sie die Passwörter aller Administratoren, des Hosting-Kontos, der Datenbank und jedes verbundenen Dienstes.
- Spuren sichern. Kopieren Sie Dateien, Datenbank und Server-Logs, bevor Sie irgendetwas bereinigen, damit Sie herausfinden können, wie der Angreifer hineinkam.
- Personenbezogene Daten bewerten. Klären Sie, ob Formulareinträge, Konten oder Bestellungen offengelegt wurden. Davon hängen Ihre rechtlichen Pflichten ab.
- Melden, wenn nötig. Nach Artikel 33 DSGVO muss eine Verletzung des Schutzes personenbezogener Daten unverzüglich und möglichst binnen 72 Stunden, nachdem sie bekannt wurde, der Aufsichtsbehörde gemeldet werden, es sei denn, sie führt voraussichtlich nicht zu einem Risiko für die Betroffenen. Ist das Risiko für die Betroffenen hoch, müssen auch sie informiert werden.
- Bereinigen oder wiederherstellen. Stellen Sie ein Backup von vor dem Angriff wieder her, oder installieren Sie Core, Plugins und Themes aus offiziellen Quellen neu und bereinigen Sie die Datenbank. Vertrauen Sie keinen Dateien, die während des Angriffs auf dem Server lagen.
- Die Tür schließen. Finden und beheben Sie den Weg hinein, meist ein veraltetes Plugin oder ein gestohlenes Passwort, sonst ist der Angreifer innerhalb von Tagen zurück.
- Beobachten. Behalten Sie in den Wochen danach Logs, Dateiänderungen und Suchergebnisse auf Spamseiten im Blick, und beantragen Sie in der Google Search Console eine Überprüfung, falls die Website markiert wurde.
Halten Sie jeden Schritt und jede Entscheidung schriftlich fest. Die DSGVO verlangt, jede Verletzung zu dokumentieren, auch eine, die Sie nicht melden mussten.
Häufige Fragen zur Agenturwahl
Ist WordPress sicher für eine Unternehmenswebsite?
Ja, wenn es schlank gebaut und gewartet wird. Der WordPress-Core hat ein eigenes Sicherheitsteam und regelmäßige Updates. Die meisten Angriffe gelingen über veraltete oder verwaiste Plugins, schwache Administratorpasswörter und schlechtes Hosting. Eine Website mit wenigen, gut gewählten Plugins, Zwei-Faktor-Authentifizierung, aktuellem PHP und externen Backups ist ein schweres Ziel für die automatisierten Angriffe, die den Großteil der Bedrohungen ausmachen.
Wie oft sollte ich WordPress-Plugins aktualisieren?
Prüfen Sie mindestens einmal pro Woche auf Updates und spielen Sie Sicherheitsfixes ein, sobald sie erscheinen, denn Angriffe beginnen oft kurz nachdem eine Lücke öffentlich wird. Testen Sie größere Updates zuerst auf einer Staging-Kopie. Jedes Plugin, das ein Jahr lang kein Update hatte, sollte ersetzt werden, denn ein verwaistes Plugin bekommt nie einen Fix.
Brauche ich ein Sicherheits-Plugin?
Nicht immer. Viele Schutzmaßnahmen, etwa Limits für Anmeldeversuche, gesperrtes PHP in Uploads, Sicherheits-Header und eine Firewall, wirken besser auf Server- oder Hosting-Ebene, wo sie Angriffe stoppen, bevor WordPress lädt. Ein Sicherheits-Plugin kann auf Hosting helfen, das nichts davon bietet, ersetzt aber keine Updates, starken Anmeldungen und getesteten Backups.
Sollte ich XML-RPC in WordPress deaktivieren?
Meist ja. XML-RPC ist eine alte Schnittstelle für das Veröffentlichen aus der Ferne, die kaum eine Website noch braucht, und sie erlaubt Angreifern, viele Passwörter in einer einzigen Anfrage zu testen. Schalten Sie sie auf dem Server oder mit einer kleinen Einstellung ab, es sei denn, ein Dienst, auf den Sie angewiesen sind, etwa eine ältere mobile Publishing-App, braucht sie noch. Prüfen Sie das vor dem Abschalten.
Gilt der Cyber Resilience Act für meine WordPress-Website?
Meist nicht direkt. Der Cyber Resilience Act verpflichtet Hersteller von Software und vernetzten Produkten, die auf dem EU-Markt in Verkehr gebracht werden, und betrifft deshalb vor allem Unternehmen, die Plugins, Themes oder Software kommerziell verkaufen. Ein Unternehmen, das seine eigene Website betreibt, ist deshalb kein Hersteller, profitiert aber, weil kommerzielle Plugins die neuen Sicherheitsanforderungen erfüllen müssen.
Wie schnell muss ich ein Datenleck auf meiner WordPress-Website melden?
Wurden personenbezogene Daten offengelegt, verlangt die DSGVO, die Verletzung unverzüglich und möglichst binnen 72 Stunden, nachdem sie Ihnen bekannt wurde, der Aufsichtsbehörde zu melden, es sei denn, sie führt voraussichtlich zu keinem Risiko für Betroffene. Ist das Risiko für die Betroffenen hoch, müssen Sie auch sie informieren. Dokumentieren Sie jede Verletzung, ob gemeldet oder nicht.
Ist Ihre Website Plugin für Plugin gewachsen, oder wissen Sie nicht genau, wer sie zuletzt aktualisiert hat, ist eine kurze Prüfung anhand der Checkliste oben der richtige Anfang; unser Leitfaden Website erstellen lassen: Technik, Umsetzung und Partner richtig wählen erklärt, wie eine schlanke Umsetzung ab dem ersten Briefing geplant wird. Wenn Sie eine WordPress-Website wollen, die von Anfang an sicher gebaut ist, sehen Sie sich unsere Leistung Webdesign und Webentwicklung an, oder sprechen Sie mit uns über Ihr Projekt.
Weiterlesen: Next.js oder React für die Unternehmenswebsite, Webflow oder WordPress 2027: Was passt zu Ihrem Unternehmen, Website-Wartung: Kosten und was die Pakete umfassen.
