WordPress-Sicherheit prüfen: was wirklich zählt

Warum die meisten WordPress-Angriffe vermeidbar sind

WordPress selbst, das meistgenutzte Content-Management-System weltweit, veröffentlicht regelmäßig Sicherheitsupdates für Core, und auch die großen Plugin-Anbieter schließen bekannt gewordene Lücken meist zügig. Das Problem liegt selten in der Software selbst, sondern darin, dass Updates zu spät oder gar nicht eingespielt werden. Eine veraltete Plugin-Version mit einer öffentlich bekannten Lücke ist für automatisierte Angriffswerkzeuge leicht zu finden — genau das macht WordPress-Websites zu einem häufigen, aber meist vermeidbaren Ziel.

Was eine Sicherheitsprüfung konkret durchgeht

Zuerst die Softwarestände: Läuft die aktuelle Version von WordPress, Theme und jedem installierten Plugin, oder gibt es bekannte Lücken in einer veralteten Version? Danach die Zugänge: Wie viele Administrator-Konten existieren, und braucht wirklich jedes davon volle Rechte? Anschließend die Backups: Gibt es eine aktuelle, extern gespeicherte Sicherung, und wurde ihre Wiederherstellung tatsächlich einmal getestet? Zuletzt die Serverebene, insbesondere die PHP-Version, weil Lücken dort kein WordPress-Update schließt, sondern nur ein Update beim Hoster.

Prüfung ist der Anfang, nicht das Ende

Eine einmalige Prüfung zeigt den aktuellen Zustand, verhindert aber keine künftigen Lücken, die erst nach der Prüfung bekannt werden. Deshalb gehört zu echter Sicherheit eine laufende Wartung: automatisierte Backups, zeitnahes Einspielen sicherheitskritischer Updates und eine gelegentliche Kontrolle der Benutzerkonten. Mehr zu den technischen Grundlagen steht im Kapitel Webdesign-Wissen; was eine laufende technische Betreuung für eine bestehende WordPress-Website kostet, zeigt die Preisseite.