Warum WordPress-Sicherheit 2026 wichtiger denn je ist

WordPress ist das meistgenutzte CMS der Welt – und genau das macht es zum attraktivsten Angriffsziel für Hacker. Täglich werden weltweit schätzungsweise 30.000 Websites gehackt, ein großer Teil davon läuft auf WordPress. Veraltete Plugins, schwache Passwörter und fehlende Updates öffnen Angreifern Tür und Tor. Die gute Nachricht: Mit den richtigen Maßnahmen können Sie das Risiko um über 95 % reduzieren.

Maßnahme 1: Automatische Updates aktivieren

Der häufigste Einfallsweg für Hacker sind veraltete Plugins und Themes mit bekannten Sicherheitslücken. Aktivieren Sie automatische Updates für WordPress-Core, Plugins und Themes. In der wp-config.php können Sie automatische Minor-Updates aktivieren: define('WP_AUTO_UPDATE_CORE', true);. Für Plugins gibt es in der Plugin-Liste einen Toggle für automatische Updates. Testen Sie Updates zuvor immer auf einer Staging-Umgebung, um Kompatibilitätsprobleme zu vermeiden.

Maßnahme 2: Starke Passwörter und Zwei-Faktor-Authentifizierung

„admin“ als Benutzername und „123456″ als Passwort sind reale Szenarien, die täglich zum Hack führen. Verwenden Sie ausschließlich starke Passwörter (mindestens 16 Zeichen, Groß-/Kleinbuchstaben, Zahlen, Sonderzeichen) und einen individuellen Admin-Benutzernamen. Aktivieren Sie zusätzlich die Zwei-Faktor-Authentifizierung (2FA) mit dem Plugin „Two Factor Authentication“ oder „WP 2FA“. Damit wird ein gehacktes Passwort alleine nutzlos.

Maßnahme 3: Login-URL ändern

Der WordPress-Login ist standardmäßig unter /wp-admin oder /wp-login.php erreichbar – das wissen automatisierte Bots und nutzen es für Brute-Force-Angriffe. Mit dem Plugin „WPS Hide Login“ können Sie die Login-URL auf eine beliebige Adresse verlegen, zum Beispiel /mein-eingang-2026. Bots finden die Seite dann nicht mehr und Brute-Force-Angriffe laufen ins Leere.

Maßnahme 4: Sicherheits-Plugin installieren

Ein gutes WordPress-Sicherheits-Plugin ist unverzichtbar. Empfehlenswerte Optionen sind Wordfence Security (kostenlose Version sehr stark), Sucuri Security oder iThemes Security. Diese Plugins bieten: Malware-Scanner, Firewall, Brute-Force-Schutz, Überwachung von Dateiänderungen und E-Mail-Benachrichtigungen bei verdächtigen Aktivitäten. Wordfence blockiert täglich Millionen von Angriffen.

Maßnahme 5: Regelmäßige Backups

Selbst bei bester Absicherung: Ohne aktuelles Backup kann ein Hack zum Totalverlust führen. Nutzen Sie UpdraftPlus oder BackWPup für automatische tägliche Backups, die extern gespeichert werden (Google Drive, Dropbox, Amazon S3). Testen Sie Ihre Backups regelmäßig durch eine Probewiederherstellung. Idealerweise haben Sie immer mindestens 30 tagesaktuelle Backups verfügbar.