Schwachstellen früh erkennen, bevor sie ausgenutzt werden
Plugins, Themes und Core gezielt absichern
Konkrete Schritte für mehr Schutz Ihrer Website
Hosting für WordPress
Plus
1 €/Mon.
für 12 Monate
danach 9 €/Mon.
Einrichtung: 0 €
Preise inkl. MwSt.
Warum Plugins das größte Risiko sind
Plugins erweitern WordPress um fast jede denkbare Funktion. Genau hier liegt aber auch das größte Einfallstor: Veraltete oder schlecht gepflegte Erweiterungen gehören zu den häufigsten Ursachen für gehackte Websites.
Der WordPress-Kern selbst gilt als gut abgesichert. Die meisten erfolgreichen Angriffe laufen über Drittanbieter-Code. Jedes Plugin bringt eigenen Programmcode mit, der direkten Zugriff auf Datenbank und Dateisystem haben kann.
Ein einziges verwundbares Plugin reicht aus, um eine ganze Website zu kompromittieren. Besonders kritisch sind Erweiterungen, die seit Monaten kein Update erhalten haben.
Die meisten Angriffe nutzen bekannte Muster. Diese Einfallstore tauchen besonders oft auf:
Veraltete Plugins mit bekannten Schwachstellen
Themes aus unsicheren Quellen
Schwache oder mehrfach genutzte Passwörter
Ein nicht aktualisierter WordPress-Core
Fehlende Rechtebeschränkung im Dateisystem
Cross-Site-Scripting (XSS) und SQL-Injection zählen zu den verbreitetsten Angriffsarten. Bei XSS schleusen Angreifende Skripte über Eingabefelder ein. Bei SQL-Injection lässt sich die Datenbank über manipulierte Anfragen auslesen, verändern oder löschen. Beide Angriffsarten lassen sich durch saubere Programmierung und aktuelle Software eindämmen.
Nicht jede Schwachstelle wiegt gleich schwer. Kritische WordPress Sicherheitslücken erlauben oft die vollständige Übernahme einer Website. Dazu zählen Schwachstellen, über die sich Administrationsrechte erlangen lassen oder Schadcode direkt ausgeführt wird.
Solche Lücken tauchen regelmäßig in weit verbreiteten Plugins auf. Wird eine kritische Lücke öffentlich bekannt, scannen Angreifende automatisiert nach betroffenen Installationen. Ein zeitnahes Update ist dann die wichtigste Schutzmaßnahme.
Prüfen Sie nach jeder Sicherheitsmeldung, ob ein betroffenes Plugin auf Ihrer Website läuft. Über bekannte Schwachstellen informieren Dienste wie WPScan oder Patchstack. Auch das offizielle Plugin-Verzeichnis sperrt betroffene Plugins und weist auf Risiken hin.
Sichere Plugins von Anfang an auswählen
Die beste Schwachstelle ist die, die Sie gar nicht erst installieren. Prüfen Sie die Plugins vor der Installation nach diesen Kriterien.
Aktualität: Wann erschien das letzte Update? Liegt es über ein Jahr zurück, ist Vorsicht geboten.
Verbreitung: Aktive Installationen und Bewertungen geben Hinweise auf Pflege und Qualität.
Kompatibilität: Das Plugin sollte für Ihre aktuelle WordPress-Version freigegeben sein.
Herkunft: Beziehen Sie Erweiterungen aus dem offiziellen Plugin-Verzeichnis oder von etablierten Anbietern.
Jedes zusätzliche Plugin vergrößert die Angriffsfläche. Deinstallieren Sie Plugins, die Sie nicht nutzen. Einen Überblick über bewährte Erweiterungen finden Sie in der Übersicht der beliebten Plugins. Beim Plugins installieren lohnt der Blick auf die genannten Kriterien.
Eine offizielle WordPress-Schwachstellendatenbank gibt es nicht. Stattdessen pflegen spezialisierte Dienste eigene Verzeichnisse bekannter Sicherheitslücken.
WPScan: Datenbank mit Tausenden dokumentierten Schwachstellen, auch als Plugin nutzbar.
Patchstack: Meldet bekannte Lücken und bietet virtuelle Patches.
Plugin-Verzeichnis: Zurückgezogene oder geschlossene Plugins sind oft ein Warnsignal.
Richten Sie sich eine feste Routine ein. Prüfen Sie regelmäßig, ob für Ihre installierten Erweiterungen Sicherheitsmeldungen vorliegen. So schließen Sie eine WordPress Security Vulnerability, bevor sie aktiv ausgenutzt wird.
Ein WordPress Security Audit bringt Struktur in die Kontrolle. Statt punktuell zu reagieren, prüfen Sie Ihre Installation systematisch und wiederkehrend. Folgendes sollte ein Audit umfassen:
Alle aktiven und inaktiven Plugins auflisten.
Jede Erweiterung gegen bekannte Schwachstellen abgleichen.
Versions- und Update-Stand dokumentieren.
Nicht genutzte oder verwaiste Plugins entfernen.
Datei- und Verzeichnisrechte kontrollieren.
Bei aktiven Websites empfiehlt sich ein monatlicher Rhythmus. Nach jedem größeren Update oder einer neuen Installation lohnt eine Zwischenprüfung. Ergänzend schützen ein sauberes WordPress-Backup und gezielte Regeln in der .htaccess Ihre Installation. Wer tiefer einsteigen will, findet weitere Maßnahmen rund um die WordPress-Sicherheit.
Sicherer Plugin-Betrieb mit STRATO
Sicherheit lebt von Aktualität. Genau hier setzt das Managed Hosting für WordPress von STRATO an: Automatische Updates halten Kern und Erweiterungen aktuell, ohne dass Sie täglich manuell nachsteuern müssen.
So bleibt der häufigste Angriffsweg geschlossen, bevor er entsteht. Tägliche Backups sichern Ihre Inhalte zusätzlich ab. Sie konzentrieren sich auf Ihre Website, während die technische Wartung im Hintergrund läuft. Das senkt das Risiko verwundbarer Plugins spürbar, ohne dass Sie zur Sicherheitsexpertin oder zum Sicherheitsexperten werden müssen.
Fragen und Antworten
Nicht grundsätzlich. Entscheidend sind Pflege und Update-Frequenz, nicht der Preis. Ein gut gewartetes kostenloses Plugin ist sicherer als eine teure, aber vernachlässigte Erweiterung.
Es bleibt auf Ihrer Website aktiv, erhält aber keine Updates mehr. Wurde es wegen einer Sicherheitslücke geschlossen, sollten Sie es zügig ersetzen oder entfernen.
Sie schließen die häufigste Lücke, nämlich veralteten Code. Ein Restrisiko durch unbekannte Schwachstellen bleibt. Deshalb gehören Auswahl, Audit und Backup weiterhin dazu.
Noch kein Hosting für WordPress? Bei STRATO finden Sie einen passenden Tarif
Vladimir Simović setzt seit 2000 mit HTML & CSS und seit 2004 mit WordPress Website-Projekte um. Seit jeher teilt er sein Wissen mit der Community und hat als einer der ersten Blogger im deutschsprachigen Raum zu den WordPress Anfängen Tipps und Tricks veröffentlicht. Seit 2022 ist er als Redakteur für STRATO tätig und verfasst Informationsartikel insbesondere zu WordPress und Hosting-Themen. Im Laufe der Jahre hat er Fachbücher sowie über 60 Fachartikel publiziert und weit über hundert WordPress Projekte betreut.