WordPress Wartung und Sicherheit: 7 Schritte gegen Hacker und Server-Ausfälle für KMU

Das Herzstück Ihrer WordPress-Sicherheit sind die Updates. Viele Unternehmer unterschätzen die Gefahr veralteter Versionen, da sie glauben, die Seite funktioniere ja trotzdem noch einwandfrei. Doch WordPress-Updates schließen kritische Sicherheitslücken, die täglich von automatisierten Bots gescannt werden. Ein veralteter Core, veraltete Plugins oder Themes sind für Cyberkriminelle die einfachste Eintrittspforte in Ihr System. Sie müssen nicht nur den WordPress-Kern, sondern auch alle installierten Plugins und Themes auf dem neuesten Stand halten, um eine geschlossene Angriffsfläche zu gewährleisten.

In Österreich ist zudem die Einhaltung technischer Standards wichtig, um auch rechtliche Konsequenzen gemäß TKG 2021 oder DSGVO zu vermeiden. Ein gehackter Server kann dazu führen, dass Kundendaten unbefugt abfließen, was meldepflichtige Vorfälle bei der Datenschutzbehörde nach sich ziehen kann. Wir empfehlen einen automatisierten Zeitplan, bei dem Updates in einer Staging-Umgebung getestet werden, bevor sie live gehen. So stellen Sie sicher, dass keine Kompatibilitätsprobleme Ihren Geschäftsbetrieb unterbrechen.

Ein weiterer Aspekt ist die Qualität der Plugins. Nutzen Sie nur geprüfte Erweiterungen aus dem offiziellen WordPress-Repository und verzichten Sie auf dubiose Null-Versionen. Die monatliche Wartung sollte fest in Ihren Kalender integriert sein, vergleichbar mit dem obligatorischen Besuch beim Steuerberater oder dem SVS-Jahresabschluss.

Stellen Sie sich vor, Ihre Website ist plötzlich nicht mehr erreichbar oder durch eine fehlerhafte Einstellung zerstört. Ohne ein aktuelles Backup stehen Sie vor dem Nichts und verlieren wertvolle Zeit, die Sie eigentlich in Ihr Kerngeschäft investieren müssten. Ein Backup ist keine Option, sondern eine absolute Notwendigkeit für jedes EPU, das online präsent ist. Dabei reicht es nicht aus, die Dateien einfach nur auf dem gleichen Server zu speichern; im Falle eines Totalausfalls des Hosters ist auch das Backup verloren.

Wir raten zu einer 3-2-1-Backup-Strategie: Mindestens drei Kopien Ihrer Daten, auf zwei verschiedenen Medien, wobei eine Kopie extern gelagert wird. Automatisierte Lösungen spielen Ihre Sicherungen in regelmäßigen Intervallen in einen externen Cloud-Speicher oder auf einen anderen Server. Überprüfen Sie zudem regelmäßig, ob sich diese Backups auch tatsächlich wiederherstellen lassen, denn eine unbrauchbare Sicherung ist so wertvoll wie gar keine Sicherung.

Besonders bei geschäftskritischen Seiten, die via WooCommerce Bestellungen abwickeln, ist die Backup-Frequenz entscheidend. Hier sollte die Sicherung idealerweise täglich erfolgen, um den Datenverlust bei einer Wiederherstellung auf das Minimum zu beschränken. Denken Sie immer daran: Sicherheit bedeutet auch, für den Ernstfall gerüstet zu sein und den operativen Stillstand so kurz wie möglich zu halten.

Der Login-Bereich Ihres WordPress-Backends ist das erste Ziel für Brute-Force-Attacken. Hacker versuchen mit automatisierten Skripten, einfache Passwörter zu erraten. Wenn Ihr Benutzername admin lautet und das Passwort schwach ist, haben Angreifer leichtes Spiel. Eine Zwei-Faktor-Authentifizierung (2FA) ist hier der effektivste Schutzschild. Selbst wenn ein Passwort entwendet wird, verhindert der zweite Faktor den Zugriff durch Unbefugte.

Vergeben Sie zudem Rechte restriktiv. Wenn Sie mit externen Dienstleistern arbeiten, erstellen Sie individuelle Benutzerkonten mit eingeschränkten Rechten und löschen Sie diese nach Abschluss der Zusammenarbeit. Ein Administrator-Konto sollte nur für administrative Aufgaben genutzt werden, nicht für das tägliche Schreiben von Beiträgen. Dies minimiert das Risiko, das von kompromittierten Endgeräten der Mitarbeiter ausgeht.

Zusätzlich sollten Sie den Zugriff auf die wp-login.php Datei einschränken oder über eine Firewall absichern, die verdächtige IP-Adressen nach mehreren Fehlversuchen automatisch sperrt. Solche Sicherheitsmaßnahmen kosten kaum Zeit in der Einrichtung, bieten aber einen massiven Schutz gegen gängige Angriffsmuster, die täglich tausende Webseiten weltweit betreffen.

Die Sicherheit Ihrer WordPress-Installation beginnt bereits beim Hosting-Anbieter. In Österreich gibt es hervorragende Hoster, die spezialisierte WordPress-Pakete anbieten, welche bereits serverseitig gegen die häufigsten Bedrohungen abgesichert sind. Ein SSL-Zertifikat ist heutzutage Standard und für jeden Webauftritt zwingend erforderlich, nicht nur aus SEO-Sicht, sondern auch wegen der Vertrauenswürdigkeit gegenüber Kunden gemäß § 5 ECG.

Konfigurieren Sie zudem Ihre .htaccess-Datei oder Ihre Server-Einstellungen so, dass Verzeichnisse nicht aufgelistet werden können. Dies verhindert, dass Angreifer durch einfaches Klicken durch Ihre Ordnerstruktur sensible Dateien oder Konfigurationsskripte finden. Auch die Deaktivierung der XML-RPC Schnittstelle, sofern nicht explizit benötigt, ist eine bewährte Methode, um WordPress gegen automatisierte Angriffe härter zu machen.

Ein weiterer technischer Faktor ist die PHP-Version. Achten Sie darauf, dass Ihr Hoster immer eine aktuelle, sicher unterstützte PHP-Version bereitstellt. Veraltete Versionen sind nicht nur ein Sicherheitsrisiko, sondern auch ein Performance-Killer, der sich negativ auf Ihre Core Web Vitals auswirkt und somit Ihr Ranking in den Suchmaschinen verschlechtert.