Der primäre Grund für eine eingeschränkte Sicherheit von WordPress sind Hackerangriffe. Diese können grundsätzlich nur erfolgreich verlaufen, wenn das System konkrete Schwachstellen beziehungsweise Sicherheitslücken aufweist. Die Angriffe kommen nicht gezielt von einzelnen Hackern, sondern automatisiert über installierte Software-Erweiterungen wie beispielsweise Plug-ins sowie Themes. Selbst dies ist nur möglich, wenn diese Erweiterungen Sicherheitslücken aufweisen.
Auch wenn WordPress als ein in höchstem Maß sicheres System gilt, existiert kein vollständiger Schutz gegen schadhafte Eindringlinge. Mit den nachfolgenden zehn hilfreichen Maßnahmen lassen sich Hacker-Angriffe jedoch auf ein absolutes Minimum reduzieren.
Die Aktualität von WordPress ist der mit Abstand wichtigste Aspekt beim Vermeiden von Sicherheitslücken. Seriöse und renommierte Anbieter sorgen nicht nur langfristig für zuverlässige Sicherheitsupdates, sondern bieten auf Wunsch auch die vollständige Installation und damit verbundene Konfiguration der Seite.
Hoster, die dafür sorgen, dass sowohl die vorhandene WordPress-Installation als auch die vorhandenen Plug-ins und Themes auf dem aktuellen Stand sind, nehmen Webseitenbetreibern die Arbeit in der Regel vollständig ab. Ist dies nicht gegeben, müssen sich Seiteninhaber selbst via Dashboard um die entsprechenden Updates kümmern.
Das WordPress-Konto sollte in jedem Fall über ein komplexes und für Angreifer schwer zu überwindendes Passwort verfügen. Es besteht die Möglichkeit, einen zusätzlichen Sicherheitsanker in Form der Zwei-Faktor-Authentifizierung (2 FA) einzurichten. Dadurch haben Angreifer üblicherweise keine Möglichkeit mehr, sich Zutritt zur Seite zu verschaffen für den Fall, dass es ihnen gelingen sollte, das Passwort zu überwinden. Der zweite Faktor ist ein weiterer Sicherheitsschlüssel, bei dem ein Zugang nur über einen Code möglich ist, der auf das zugehörige Mobilgerät geschickt wird.
Um selbst festzustellen, ob die eigene auf WordPress basierende Webseite vor Hackerangriffen gut geschützt ist, bietet der kostenlose Dienst " WordPress Security Scan wertvolle Hinweise über mögliche Schwachstellen. Mithilfe der sogenannten Deep-Scan-Technologie können relevante Sicherheitslücken zuverlässig aufgespürt und identifiziert werden. Bei der Prüfung wird einerseits ein passiver Test der bestehenden Seitenstruktur vorgenommen als auch eine Prüfung der aktiven Plug-ins. Sollten diese nicht mehr auf dem neuesten Stand sein, wird dies ebenso angezeigt wie andere Schwachstellen, die als Angriffspunkte dienen können.
Hacker-Angriffe können umso erfolgreicher verlaufen, je unsicherer der Server ist, auf der sich eine mit WordPress erstellte Seite befindet. Hier sollten Nutzer vor allem auf das Angebot besonders preiswerter Anbieter achten. Nicht immer wird bei allen Hostern die Sicherheit gleich groß geschrieben. Gerade Hoster, die hohe Leistung und Zuverlässigkeit versprechen, dafür aber im Vergleich einen nur sehr geringen Preis verlangen, sollten hier kritisch betrachtet werden. Hohe und vor allem funktionsfähige Sicherheitsmaßnahmen kosten, dabei machen Hoster von Webseiten keine Ausnahme. Es kann bei Bedarf auch sinnvoll sein, einen Anbieterwechsel vorzunehmen und mit der eigenen WordPress-Seite zu migrieren.
Bei der Einrichtung von WordPress ist zunächst bei der Funktion "Admin" der Nutzername vorinstalliert. Wird dies nicht geändert, können sich Hacker deutlich leichter über eben diesen zentralen Benutzernamen Zugriff zur Seite verschaffen. Hier sollten Nutzer über den Bereich "Benutzer" einen neuen Administrator anlegen. Der alte Name wird danach gelöscht.
Back-ups sind das Herzstück einer jeden WordPress-Seite. Sollte im Ernstfall ein Hackerangriff wider Erwarten doch erfolgreich gewesen sein, erlaubt ein Back-up das sichere Wiederherstellen der Seite auf den ursprünglichen Stand. Ohne ein Back-up kann generell nicht sichergestellt werden, ob beispielsweise ein vorhandener schadhafter Code nach einem Angriff auch tatsächlich vollständig beseitigt werden konnte.
Ein großes Problem stellt die Änderung von Plug-ins und Themes durch Hacker im administrativen Bereich (Backend) der WordPress Seite dar. Besteht ein Zugang zu diesem Bereich für Angreifer, kann darin schadhafter Code installiert und ausgeführt werden. Um dies zu vermeiden, muss die Bearbeitung im Backend über einen entsprechenden Code verhindert werden:
// Disallow file edit
define( 'DISALLOW_FILE_EDIT', true );
Seit Etablierung der europäischen Datenschutz-Grundverordnung (DSGVO) besteht eine Verpflichtung zur Verschlüsselung der Datenübertragung. In der Regel sollte das kostenlose Einrichten eines entsprechenden Zertifikates serverseitig ermöglicht werden. Mit SSL werden sowohl sensible Daten als auch Internetverbindungen abgesichert.
Plug-ins gehören zu den größten Schwachstellen bei WordPress Seiten. Je mehr davon verwendet werden, desto unübersichtlicher wird irgendwann die Möglichkeit, eventuelle Sicherheitsrisiken aufzuspüren. Grundsätzlich müssen sämtliche Plug-ins ohne Ausnahme immer auf dem aktuellen Stand gehalten werden. Veraltete Themes oder Plug-ins und insbesondere solche, die gar nicht mehr im Einsatz sind, werden gelöscht. Das Installieren von unsicheren oder auch unbekannten Quellen stellt ebenfalls ein hohes Sicherheitsrisiko dar und wird im Idealfall vermieden. Es ist hilfreich, vor der Installation eines jeden neuen Plug-ins zu prüfen, ob es wirklich benötigt wird.
Der beste Schutz für eine WordPress-Seite ist das fachgerechte Erstellen durch professionelle Webdesigner. Auch wenn es möglich ist, WordPress selbst zu lernen, installieren Experten eine in hohem Maß benutzerfreundliche und sichere Seite, die jederzeit anpassbar und veränderbar ist.
Ultrapixel ist Ihr Partner für komplette Webseite-Projekte. Wir unterstützen Sie von der Planung über die Entwicklung bis zur Contenterstellung.
Visitenkarte im Web oder Komplettauftritt für Unternehmen mit allen Raffinessen? Ultrapixel aus Hagen realisiert beides. Wir freuen uns, auf eine lange Erfahrung zurückblicken zu dürfen. In dieser Zeit haben wir bereits mit folgenden Kunden zusammengearbeitet:
