WordPress - Sicherheit, Benutzer und Wartung
Eine sichere WordPress-Website entsteht nicht durch einen einzelnen Schalter. Entscheidend sind regelmäßige Updates, getrennte Konten, funktionierende Backups und eine überschaubare Anzahl gepflegter Erweiterungen.
Inhaltsverzeichnis
Grundschutz
- Halten Sie WordPress, Plugins, Themes und PHP aktuell.
- Verwenden Sie HTTPS und rufen Sie den Administrationsbereich nur über HTTPS auf.
- Nutzen Sie für jede Person ein eigenes Konto mit möglichst wenigen Rechten.
- Verwenden Sie starke, einzigartige Passwörter und möglichst Zwei-Faktor-Authentifizierung.
- Löschen Sie nicht benötigte Plugins und Themes.
- Erstellen Sie automatische Backups und bewahren Sie mindestens eine Kopie außerhalb des Webspaces auf.
- Prüfen Sie regelmäßig Werkzeuge > Website-Zustand.
Updates sicher durchführen
- Prüfen Sie, ob ein aktuelles, wiederherstellbares Backup vorhanden ist.
- Lesen Sie bei geschäftskritischen Plugins die Versionshinweise.
- Testen Sie größere Änderungen auf einer Staging-Seite.
- Aktualisieren Sie WordPress, Plugins und Themes.
- Leeren Sie Caches.
- Testen Sie Startseite, Anmeldung, Formulare, Suche, Bestellvorgang und andere wichtige Funktionen.
Für öffentlich erreichbare Seiten sind zeitnahe Sicherheitsupdates besonders wichtig. WordPress 7.1.1 wurde als Wartungs- und Sicherheitsversion veröffentlicht.
Automatische Updates
Automatische Updates können Sicherheitslücken schneller schließen. Aktivieren Sie sie für gepflegte Erweiterungen, wenn Backups und Kontrolle zuverlässig funktionieren. Bei Shops oder stark angepassten Websites ist ein Staging- und Prüfprozess sinnvoll.
WP Toolkit kann Core-, Plugin- und Theme-Updates getrennt steuern. Smart Update ist eine optionale, kostenpflichtige Plesk-Funktion und ersetzt kein Backup.
Backup-Strategie
Ein vollständiges WordPress-Backup umfasst mindestens:
- Website-Dateien einschließlich
wp-content - Datenbank
- gegebenenfalls Webserver- oder Weiterleitungseinstellungen
- dokumentierte Zugangsdaten und externe Dienste, aber keine Passwörter in ungeschützten Textdateien
Prüfen Sie in sinnvollen Abständen eine Wiederherstellung. Ein Backup, das sich nicht einspielen lässt, ist kein verlässlicher Schutz.
Website-Zustand prüfen
- Öffnen Sie Werkzeuge > Website-Zustand.
- Bearbeiten Sie kritische Probleme zuerst.
- Prüfen Sie danach empfohlene Verbesserungen.
- Unter Info finden Sie technische Angaben zu WordPress, Themes, Plugins, Medien, Server, Datenbank und Dateirechten.
Veröffentlichen Sie den kopierten Bericht nicht ungeprüft; er kann interne technische Angaben enthalten.
Verdacht auf Kompromittierung
- Ändern Sie nicht unkoordiniert Dateien, solange Beweise oder Protokolle benötigt werden.
- Sperren Sie bei akutem Missbrauch den öffentlichen Zugriff oder versetzen Sie die Website kontrolliert in Wartung.
- Ändern Sie WordPress-, Plesk-, FTP-, Datenbank- und E-Mail-Passwörter von einem vertrauenswürdigen Gerät.
- Prüfen Sie Administratoren, Plugins, Themes, geplante Aufgaben, Dateien und Protokolle.
- Stellen Sie nur ein nachweislich sauberes Backup wieder her und schließen Sie die ursprüngliche Ursache.
- Informieren Sie Hosting-Anbieter und gegebenenfalls zuständige Datenschutz- oder Sicherheitsstellen.
Ein Sicherheitsplugin kann Hinweise liefern, garantiert aber keine Bereinigung eines bereits kompromittierten Systems.
