Da WordPress zu den am weitesten verbreiteten CMS-Systemen gehört, ist es ein häufiges Angriffsziel. Im heutigen Artikel bringen wir Ihnen 13 Tipps für mehr Sicherheit Ihres WordPress.
1. Gutes Hosting wählen und ihm vertrauen
Ihre Website wird nicht sicher sein, wenn sie auf einem Hosting läuft, das grundlegende Sicherheitskriterien nicht erfüllt — aktualisierte Systemkerne (Linux, Windows Server usw.), SFTP-Verbindung zum Server, Let's Encrypt-Zertifikat, qualitativ hochwertige Unterstützung seitens des Hostings usw. Unter den Hosting-Anbietern sind Websupport, Webglobe – Yegon und weitere eine ausgezeichnete Wahl.
2. WordPress, Plugins und Themes aktualisieren
Das Aktualisieren von Systemkern, Plugins und natürlich dem Theme gehört zur absoluten Selbstverständlichkeit in Sachen Sicherheit. Bevor Sie das System, Module oder das Theme aktualisieren, vergessen Sie nicht das Backup. Sichern Sie Ihre Datenbank, das Theme-Verzeichnis und gegebenenfalls die Plugin-Verzeichnisse. Beim Kern sollten auch kleinere (Teil-)Updates installiert werden, da gerade diese Sicherheitslücken beheben. Wir empfehlen, keine Plugins zu verwenden, die seit mehr als einem Jahr nicht aktualisiert wurden. Bei den meisten hochwertigen Hosting-Anbietern können Sie automatische Kern-Updates aktivieren. In den meisten Fällen können Sie diese einschalten — dann empfiehlt es sich auch, automatische Datenbank- und FTP-Backups zu aktivieren.
3. Zugangsdaten und Admin-Rechte
Die absolute Grundregel bei WordPress ist, den Benutzernamen „admin" nicht zu verwenden. Verwenden Sie irgendeinen anderen Namen. Auch in Kombination mit einem starken Passwort sind Sie beim Namen „admin" anfälliger für Cracking. Das Zweite Wichtige ist, Admin-Rechte nicht an jeden zu vergeben — seien Sie dabei sehr vorsichtig. Falls nicht nötig, geben Sie niemandem Admin-Zugang. Bringen Sie Ihren Nutzern bei, komplexe und lange Passwörter für ihre Sicherheit zu verwenden.
4. (Re)CAPTCHA oder Zwei-Faktor-Authentifizierung
Mit den Zugangsdaten hängt direkt auch die Login-Seite zusammen, die Sie mit reCAPTCHA oder Zwei-Faktor-Authentifizierung per E-Mail oder mobiler App schützen können. reCAPTCHA empfiehlt sich auch bei Kontaktformularen und Kommentaren.
5. Login-URL ändern
Eine weitere Möglichkeit, potenzielle Angriffe zu verhindern, ist die Änderung der Login-URL. Dabei und auch beim Schutz vor Brute-Force-Angriffen hilft Ihnen eines der Sicherheits-Plugins, über die wir in diesem Artikel geschrieben haben: Top 3 Sicherheits-Plugins für WordPress 2018.
6. Plugin- und Theme-Editor deaktivieren
Der Plugin- und Theme-Editor ist eine tolle Sache für Entwickler, da er bestimmte Änderungen direkt aus der WordPress-Administration heraus ermöglicht. Wir empfehlen jedoch, diese Editoren zu deaktivieren — wenn ein Hacker in Ihre Administration gelangt, kann er diese Dateien genauso bearbeiten. Sie können den Editor über Sicherheits-Module oder direkt durch Hinzufügen einer Zeile in die wp-config.php deaktivieren: define( 'DISALLOW_FILE_EDIT', true );
7. Schutz über die .htaccess-Datei
Ein wirksamer Schutz vor Angreifern ist die Beschränkung des Zugriffs auf die WordPress-Administration auf bestimmte IP-Adressen. Fügen Sie folgendes in die .htaccess-Datei im /wp-admin/-Ordner ein: order deny,allow / allow from 123.123.123.123 / deny from all — und in die .htaccess-Datei im Hauptverzeichnis: <FilesMatch wp-login.php> / Order Allow,Deny / Allow from 123.123.123.123 / </FilesMatch>. In beiden Fällen ersetzen Sie 123.123.123.123 durch Ihre IP-Adresse.
8. Fehlermeldungen deaktivieren
Wenn im Code eines Plugins oder Templates ein Fehler auftritt, kann die Fehlermeldung den vollständigen Serverpfad zur betreffenden Datei anzeigen. Diese Information ist sensibel und für Hacker wichtig. Es ist daher besser, diese Berichte zu deaktivieren, indem Sie folgende Zeilen in die wp-config.php hinzufügen: @ini_set('display_errors','Off'); / @ini_set('error_reporting',0);
9. WordPress-Versionsnummer verbergen
WordPress zeigt standardmäßig die Versionsnummer im Meta-Tag an: <meta name="generator" content="WordPress 4.7.2" />. Für Hacker ist diese Zahl ein wichtiges Datum, anhand dessen sie die Verwundbarkeit Ihrer Website bestimmen können. Die Versionsanzeige können Sie durch Bearbeitung der functions.php in Ihrem Theme unterbinden. Das Verstecken der WordPress-Version empfehlen wir jedoch über ein Sicherheits-Modul zu lösen, damit die Version überall versteckt wird, wo es nötig ist.
10. Child Theme verwenden
Es ist wichtig, ein Child Theme zu verwenden, damit Ihre Änderungen in functions.php, style.css usw. nach einer Theme-Aktualisierung nicht überschrieben werden. Mit einem Child Theme können Sie auch einigen Problemen beim Theme-Update vorbeugen.
11. Berechtigungseinstellungen für Dateien und Ordner prüfen
Korrekte Verzeichnis- und Dateiberechtigungen schützen WordPress vor Sicherheits-Exploits. Bei korrekt gesetzten Rechten ist es für einen Hacker schwieriger, Dateien auf dem Server so zu manipulieren, dass er die Kontrolle über die Website übernimmt. Die korrekten Berechtigungen sollten wie folgt sein:
Alle Verzeichnisse auf 755 oder 750 Alle Dateien auf 644 oder 640 * Die Datei wp-config.php auf 600
12. Datenbank-Präfix ändern
Für die Sicherheit ist es wichtig, das Datenbank-Präfix vom Standard wp_ auf ein anderes zu ändern. Sichern Sie Ihre Datenbank unbedingt vor der Präfix-Änderung. Das Präfix können Sie manuell in der Datenbank und in der wp-config ändern, oder Sie können dafür eines der Sicherheits-Module verwenden.
13. SSL-Zertifikat – https://
Wir bemühen uns, auf jeder Website, an der wir arbeiten, eine gesicherte SSL-Verbindung zu verwenden. Wenn Sie eine klassische HTTP-Verbindung verwenden, werden Ihr Benutzername und Passwort unverschlüsselt über das Internet übertragen. Grundlegend reicht das Let's Encrypt-Zertifikat aus, das eine kostenlose Alternative zu kostenpflichtigen SSL-Zertifikaten darstellt. Hochwertige Hosting-Anbieter haben dieses Zertifikat in ihrem Angebot. Für die SSL-Installation in WordPress verwenden wir dieses einfache Modul: Really Simple SSL
Abschließend möchte ich daran erinnern, dass keine Sicherheitsmaßnahme zu 100 % sicher sein wird. Es wird immer eine gewisse Angriffsmöglichkeit geben. Für mehr Sicherheit und Komfort empfehlen wir, Sicherheits-Plugins wie iThemes Security oder Wordfence zu verwenden, über die wir im Artikel geschrieben haben: Top 3 Sicherheits-Plugins für WordPress 2018. Falls Sie nicht weiterkommen oder keine Zeit für diese Einstellungen haben, zögern Sie nicht, uns zu kontaktieren.
