Ist deine WordPress-Website wirklich sicher? Die ehrliche Antwort lautet oft: wahrscheinlich nicht so sicher, wie du denkst.
Das heißt nicht, dass sofort etwas Schlimmes passieren muss. Aber WordPress-Websites werden selten durch einen einzigen großen Fehler unsicher. Meistens sind es viele kleine Dinge: ein altes Plugin, ein schwaches Passwort, ein Backup, das nie getestet wurde, ein Admin-Benutzer zu viel.
Dieser WordPress Sicherheitscheck hilft dir, genau diese Schwachstellen zu finden, bevor daraus ein echtes Problem wird.
Warum ein WordPress Sicherheitscheck sinnvoll ist
WordPress ist beliebt. Genau deshalb ist es auch ein beliebtes Ziel für automatisierte Angriffe.
Viele Angriffe laufen nicht persönlich gegen dich. Bots suchen nach bekannten Schwachstellen, alten Plugins, offenen Logins oder schlecht gepflegten Websites. Wenn deine Website in dieses Muster passt, kann sie zum Ziel werden.
Ein Sicherheitscheck hilft dir bei drei Dingen:
- du erkennst unnötige Risiken
- du findest konkrete Aufgaben statt diffuser Sorge
- du kannst entscheiden, was du selbst erledigst und was du besser abgibst
Wenn du deine Website geschäftlich nutzt, ist Sicherheit kein Extra. Sie schützt Anfragen, Vertrauen, Rankings und im Notfall auch deinen Umsatz.
Die kurze Übersicht: 15 Punkte für deinen Sicherheitscheck
Hier ist die kompakte Liste. Danach gehen wir jeden Punkt einzeln durch.
- WordPress-Version aktuell?
- Plugins aktuell und gepflegt?
- Theme aktuell?
- Ungenutzte Plugins gelöscht?
- Admin-Benutzer geprüft?
- Starke Passwörter aktiv?
- Zwei-Faktor-Login sinnvoll?
- Backups vorhanden?
- Backup-Wiederherstellung getestet?
- Sicherheits- und Malware-Warnungen geprüft?
- Login-Versuche im Blick?
- Dateirechte und unbekannte Dateien geprüft?
- SSL und HTTPS sauber aktiv?
- Formulare und E-Mail-Versand geprüft?
- Monitoring oder regelmäßige Kontrolle eingerichtet?
1. Ist deine WordPress-Version aktuell?
Die WordPress-Version ist die Basis deiner Website. Wenn WordPress selbst veraltet ist, fehlen dir wichtige Sicherheitskorrekturen.
Prüfe im Dashboard, ob Updates verfügbar sind. Achte besonders auf Sicherheits- und Wartungsupdates.
Wichtig: Aktualisieren ist richtig, aber nicht blind. Vor größeren Updates sollte ein aktuelles Backup vorhanden sein. Danach solltest du prüfen, ob die Website noch sauber funktioniert.
Wenn du Updates regelmäßig aufschiebst, ist das ein klares Zeichen dafür, dass dir ein Wartungsprozess fehlt.
2. Sind deine Plugins aktuell und gepflegt?
Plugins sind einer der häufigsten Risikopunkte in WordPress. Das liegt nicht daran, dass Plugins grundsätzlich schlecht sind. Aber jedes Plugin erweitert deine Website um Code, der gepflegt werden muss.
Prüfe:
- Gibt es verfügbare Plugin-Updates?
- Wann wurde das Plugin zuletzt aktualisiert?
- Ist es mit deiner WordPress-Version kompatibel?
- Wird es noch aktiv gepflegt?
- Gibt es viele schlechte Bewertungen wegen Sicherheitsproblemen?
Wenn ein Plugin seit Jahren kein Update mehr bekommen hat, solltest du es kritisch hinterfragen.
3. Ist dein Theme aktuell?
Auch Themes können Sicherheitslücken oder Kompatibilitätsprobleme haben. Das gilt besonders, wenn ein Theme viele eigene Funktionen mitbringt.
Prüfe:
- Ist dein aktives Theme aktuell?
- Gibt es ein Child Theme, falls Anpassungen gemacht wurden?
- Sind ungenutzte Themes entfernt?
- Wird dein Theme vom Anbieter noch gepflegt?
Ein veraltetes Theme kann genauso problematisch sein wie ein veraltetes Plugin.
4. Hast du ungenutzte Plugins wirklich gelöscht?
Deaktiviert ist nicht dasselbe wie gelöscht.
Wenn du ein Plugin nicht mehr brauchst, entferne es vollständig. Ungenutzte Plugins machen deine Website unübersichtlicher und können unnötige Risiken schaffen.
Typische Kandidaten:
- alte Test-Plugins
- doppelte SEO- oder Cache-Plugins
- Import-Plugins, die nur einmal gebraucht wurden
- deaktivierte Page-Builder-Erweiterungen
- Plugins von früheren Dienstleistern
Je weniger unnötiger Code auf deiner Website liegt, desto besser.
5. Wer hat Administratorrechte?
Administratorrechte sind mächtig. Wer Admin ist, kann Plugins installieren, Benutzer ändern, Inhalte löschen und im schlimmsten Fall die gesamte Website übernehmen.
Prüfe regelmäßig:
- Welche Benutzer haben Administratorrechte?
- Kennst du alle Admins?
- Brauchen alle diese Rechte wirklich?
- Gibt es alte Konten von Agenturen oder Freelancern?
- Gibt es Benutzer mit ungewöhnlichen Namen?
Wenn ein Konto nicht mehr gebraucht wird, entferne es oder reduziere die Rolle.
6. Sind starke Passwörter aktiv?
Schwache Passwörter sind eine Einladung für automatisierte Login-Versuche.
Ein gutes Passwort ist:
- lang
- einzigartig
- nicht wiederverwendet
- nicht erratbar
- in einem Passwortmanager gespeichert
Besonders wichtig sind starke Passwörter für:
- Admin-Benutzer
- Hosting-Zugang
- FTP/SFTP
- Datenbank-Zugang
- E-Mail-Konto der Website
Ein sicherer WordPress-Login bringt wenig, wenn der Hosting-Zugang schwach geschützt ist.
7. Brauchst du Zwei-Faktor-Authentifizierung?
Zwei-Faktor-Authentifizierung bedeutet: Neben dem Passwort wird ein zweiter Nachweis benötigt, zum Beispiel ein Code aus einer App.
Das ist besonders sinnvoll für:
- Administratoren
- Shops
- Mitgliederbereiche
- Websites mit sensiblen Daten
- Websites, die regelmäßig angegriffen werden
Nicht jede kleine Website braucht sofort ein kompliziertes Login-System. Aber für Admin-Zugänge ist Zwei-Faktor-Schutz oft eine sehr sinnvolle zusätzliche Hürde.
8. Gibt es aktuelle Backups?
Backups sind deine Versicherung, wenn etwas schiefgeht.
Prüfe:
- Wann wurde das letzte Backup erstellt?
- Wird die Datenbank gesichert?
- Werden Dateien und Uploads gesichert?
- Gibt es automatische Backups?
- Werden Backups extern gespeichert?
Ein Backup, das nur auf dem gleichen Webspace liegt, ist besser als nichts. Wirklich beruhigend ist es aber nicht. Wenn der Webspace beschädigt, gelöscht oder kompromittiert wird, kann auch das Backup betroffen sein.
Mehr dazu findest du auch in der WordPress Wartung Checkliste.
9. Wurde eine Wiederherstellung getestet?
Viele Website-Betreiber haben ein Backup. Wenige wissen, ob sie es wirklich wiederherstellen können.
Das ist ein Problem.
Ein Backup ist erst dann zuverlässig, wenn du weißt:
- wo es liegt
- wie du darauf zugreifst
- ob es vollständig ist
- ob die Wiederherstellung funktioniert
- wie lange die Wiederherstellung ungefähr dauert
Gerade bei wichtigen Websites sollte die Wiederherstellung nicht erst im Notfall zum ersten Mal ausprobiert werden.
10. Gibt es Hinweise auf Malware?
Nicht jede gehackte Website sieht sofort kaputt aus. Manchmal läuft sie scheinbar normal weiter.
Achte auf Warnzeichen wie:
- unbekannte Weiterleitungen
- fremde Links in Seiten oder Beiträgen
- neue Admin-Benutzer
- Warnungen von Google
- Warnungen vom Hosting-Anbieter
- stark steigender Spam
- unbekannte Dateien in WordPress-Ordnern
- ungewöhnlich langsame Ladezeiten
Wenn du solche Anzeichen bemerkst, solltest du nicht lange herumprobieren. Dann passt eher Soforthilfe: WordPress gehackt? Malware entfernen lassen.
11. Werden Login-Versuche überwacht?
Viele WordPress-Websites bekommen täglich automatisierte Login-Versuche. Das ist nicht automatisch ein Hack, aber es zeigt, dass dein Login nicht unbeobachtet bleiben sollte.
Sinnvoll ist:
- Login-Versuche begrenzen
- auffällige IPs blockieren
- Standard-Benutzernamen vermeiden
- Admin-Konten besonders schützen
- Warnungen bei ungewöhnlicher Aktivität einrichten
Wenn du nie auf solche Daten schaust, merkst du Angriffe oft erst, wenn etwas passiert ist.
12. Sind unbekannte Dateien oder Dateiänderungen sichtbar?
Ein Sicherheitscheck sollte auch prüfen, ob Dateien verändert wurden.
Auffällig sind zum Beispiel:
- PHP-Dateien im Upload-Ordner
- Dateien mit merkwürdigen Namen
- plötzlich geänderte Core-Dateien
- unbekannte Skripte
- neue Dateien direkt im WordPress-Hauptverzeichnis
Hier ist Vorsicht wichtig. Lösche nicht wahllos Dateien, wenn du nicht sicher bist, was sie tun. Bei Malware kann falsches Aufräumen Spuren verwischen oder die Website weiter beschädigen.
13. Läuft die Website sauber über HTTPS?
SSL und HTTPS sind Pflicht.
Prüfe:
- Wird die Website mit https:// geladen?
- Gibt es keine Browser-Warnung?
- Werden Bilder und Skripte ebenfalls über HTTPS geladen?
- Leitet http:// sauber auf https:// weiter?
- Ist das SSL-Zertifikat gültig?
Mixed-Content-Fehler wirken unseriös und können Funktionen stören.
14. Funktionieren Formulare und E-Mail-Versand?
Sicherheit bedeutet nicht nur Schutz vor Hackern. Sicherheit bedeutet auch: Deine Website erfüllt zuverlässig ihren Zweck.
Teste deshalb regelmäßig:
- Kontaktformular
- Angebotsformular
- Newsletter-Anmeldung
- Bestellmails bei WooCommerce
- automatische Benachrichtigungen
Wenn Formulare nicht funktionieren, verlierst du möglicherweise Anfragen, ohne es zu merken.
15. Gibt es Monitoring oder regelmäßige Kontrolle?
Der beste Sicherheitscheck bringt wenig, wenn er nur einmal gemacht wird.
WordPress verändert sich ständig:
- Plugins bekommen Updates
- Sicherheitslücken werden entdeckt
- Bots suchen nach neuen Zielen
- Hosting-Umgebungen ändern sich
- Formulare können ausfallen
Deshalb ist laufende Kontrolle so wichtig. Monitoring, regelmäßige Updates, Backups und Sicherheitschecks sorgen dafür, dass Probleme früher sichtbar werden.
Genau hier setzen meine WordPress-Schutzpakete an.
WordPress Schutz kostenlos beraten lassen
Wie du dein Ergebnis einschätzen kannst
Wenn du beim Sicherheitscheck nur ein oder zwei kleine Punkte gefunden hast, ist das gut. Dann kannst du diese Aufgaben gezielt nachziehen.
Wenn du aber bei mehreren Punkten unsicher bist, solltest du genauer hinschauen.
Besonders kritisch sind Kombinationen wie:
- veraltete Plugins und keine getesteten Backups
- mehrere Admin-Benutzer und schwache Passwörter
- keine Malware-Kontrolle und kein Monitoring
- Shop oder Anfrage-Website ohne regelmäßige Wartung
- frühere Hacks ohne dauerhafte Absicherung danach
Das sind keine Kleinigkeiten mehr. Das sind typische Voraussetzungen dafür, dass ein Problem lange unbemerkt bleibt.
Was du sofort verbessern kannst
Wenn du heute nur wenig Zeit hast, fang mit diesen fünf Dingen an:
- Erstelle ein vollständiges Backup.
- Prüfe, ob deine wichtigsten Plugins aktuell und gepflegt sind.
- Entferne ungenutzte Plugins und Themes.
- Kontrolliere alle Administratoren.
- Teste dein Kontaktformular.
Damit hast du noch keine perfekte Sicherheit. Aber du reduzierst bereits einige der häufigsten Risiken.
Fazit: Sicherheit ist kein einmaliger Haken
Ein WordPress Sicherheitscheck ist kein Zertifikat für immer. Er ist eine Momentaufnahme.
Wirklich sicherer wird deine Website durch Routine:
- regelmäßige Updates
- saubere Backups
- sichere Logins
- klare Benutzerrechte
- Malware-Kontrolle
- Monitoring
- schnelle Reaktion bei Auffälligkeiten
Wenn du das zuverlässig selbst machst, wunderbar. Wenn du es nicht regelmäßig schaffst, ist laufende Betreuung meist die bessere Lösung.
Denn der beste Zeitpunkt für WordPress-Schutz ist nicht nach dem Hack. Der beste Zeitpunkt ist davor.