WordPress Sicherheitsleitfaden 2026: Schützen Sie Ihre Website vor Bedrohungen

Warum WordPress-Sicherheit 2026 wichtiger denn je ist

WordPress betreibt über 43 % aller Websites im Internet und ist damit das größte Ziel für Cyberangriffe. Allein im Jahr 2025 dokumentierten Sicherheitsforscher über 5.800 Schwachstellen in WordPress-Plugins, -Themes und -Kernsoftware. Die durchschnittlichen Kosten eines Website-Verstoßes für kleine Unternehmen übersteigen mittlerweile 25.000 US-Dollar, wenn man Ausfallzeiten, Datenverlust, Rufschädigung und Wiederherstellungskosten berücksichtigt.

Die gute Nachricht ist, dass die überwiegende Mehrheit der WordPress-Angriffe automatisiert und opportunistisch ist. Sie zielen auf bekannte Schwachstellen, schwache Passwörter und falsch konfigurierte Installationen ab. Durch die Befolgung eines systematischen Sicherheitsansatzes können Sie über 95 % der Angriffsvektoren eliminieren und Ihre Website zu einem gehärteten Ziel machen, das Angreifer zugunsten leichterer Beute überspringen werden.

Dieser Leitfaden behandelt jede Ebene der WordPress-Sicherheit, von der Serverkonfiguration bis zu täglichen Wartungspraktiken. Egal, ob Sie einen persönlichen Blog oder einen stark frequentierten E-Commerce-Shop betreiben, diese Strategien helfen Ihnen, eine Sicherheitsstrategie mit mehreren Verteidigungsebenen aufzubauen.

Verstehen der häufigsten WordPress-Bedrohungen

Bevor Sie Ihre Website verteidigen können, müssen Sie verstehen, wogegen Sie sich verteidigen. Hier sind die häufigsten Angriffsarten, die 2026 auf WordPress-Installationen abzielen.

Brute-Force-Angriffe

Brute-Force-Angriffe versuchen, Ihre Anmeldedaten zu erraten, indem sie Tausende oder Millionen von Kombinationen aus Benutzernamen und Passwörtern ausprobieren. Automatisierte Bots zielen kontinuierlich auf die /wp-login.php und /xmlrpc.php Endpunkte ab. Eine typische WordPress-Website erhält täglich Hunderte von Brute-Force-Versuchen, und Websites mit gängigen Benutzernamen wie "admin" sind besonders anfällig.

SQL-Injection (SQLi)

SQL-Injection-Angriffe nutzen unsachgemäß bereinigte Eingabefelder aus, um bösartige Datenbankabfragen auszuführen. Angreifer können sensible Daten extrahieren, Inhalte ändern, Administratoren-Konten erstellen oder sogar die vollständige Kontrolle über den Datenbankserver übernehmen. Verwundbare Plugins und Themes, die es versäumen, vorbereitete Anweisungen von WordPress zu verwenden, sind der Hauptangriffspunkt.

Cross-Site-Scripting (XSS)

XSS-Angriffe injizieren bösartiges JavaScript in Webseiten, die von anderen Benutzern angezeigt werden. Persistentes XSS ist besonders gefährlich, da das bösartige Skript in der Datenbank verbleibt und jedes Mal ausgeführt wird, wenn jemand die betroffene Seite lädt. Dies kann zu Sitzungsübernahmen, Cookie-Diebstahl und Phishing-Angriffen führen, die von Ihrer eigenen Domain aus erfolgen.

Malware und Hintertüren

Sobald Angreifer Zugang erhalten, installieren sie typischerweise Hintertüren – versteckte Skripte, die es ihnen ermöglichen, auch nach Passwortänderungen wieder Zugang zu erhalten. Häufige Verstecke sind gefälschte Plugin-Dateien, modifizierte Theme-Funktionen und obfuskierten Code im Upload-Verzeichnis. Krypto-Miner, Spam-Injektoren und SEO-Spam gehören zu den häufigsten Payloads.

DDoS-Angriffe

Distributed Denial of Service-Angriffe überlasten Ihren Server mit Verkehr, wodurch Ihre Website für legitime Besucher unzugänglich wird. WordPress-Websites sind besonders anfällig für DDoS-Angriffe auf Anwendungsebene, die ressourcenintensive Operationen wie Suchanfragen, XML-RPC-Pingbacks und REST-API-Endpunkte ausnutzen.

WordPress-Härtung: Sicherheit auf Fundamentebene

Die Härtung Ihrer WordPress-Installation bedeutet, die Angriffsfläche zu reduzieren, indem unnötige Funktionen deaktiviert, Dateiberechtigungen verschärft und Ihre Umgebung so konfiguriert wird, dass sie gängigen Angriffen widersteht. Dies sind Maßnahmen, die Sie auf jeder WordPress-Website unabhängig von Größe oder Zweck umsetzen sollten.

Sichere Dateiberechtigungen

Falsche Dateiberechtigungen gehören zu den häufigsten Sicherheitsüberblicken. Ihre WordPress-Dateien sollten diesen Berechtigungsstandards folgen:

• Verzeichnisse: 755 (Besitzer kann lesen/schreiben/ausführen; Gruppe und Öffentlichkeit können lesen/ausführen)
• Dateien: 644 (Besitzer kann lesen/schreiben; Gruppe und Öffentlichkeit können nur lesen)
• wp-config.php: 400 oder 440 (Besitzer nur lesen – die sensibelste Datei auf Ihrer Website)
• .htaccess: 444 (nur lesen für alle; Apache muss sie lesen)

Setzen Sie niemals eine Datei oder ein Verzeichnis auf 777. Wenn ein Plugin 777-Berechtigungen anfordert, suchen Sie nach einem alternativen Plugin, da dies ein ernstes Warnsignal ist.

Sicherung von wp-config.php

Die wp-config.php Datei enthält Ihre Datenbankanmeldeinformationen, Authentifizierungsschlüssel und andere sensible Konfigurationen. Neben der Einschränkung der Dateiberechtigungen sollten Sie diese Sicherheitsverbesserungen hinzufügen:

• Bewegen Sie wp-config.php ein Verzeichnis über Ihr WordPress-Wurzelverzeichnis (WordPress findet es dort automatisch)
• Fügen Sie einzigartige Authentifizierungsschlüssel und Salze vom WordPress-Salzgenerator hinzu
• Ändern Sie das Standard-Datenbanktabellenpräfix von wp_ in eine benutzerdefinierte Zeichenfolge
• Deaktivieren Sie die Dateibearbeitung: define('DISALLOW_FILE_EDIT', true);
• Deaktivieren Sie die Installation von Plugins/Themes: define('DISALLOW_FILE_MODS', true); (für Produktionsseiten)
• Erzwingen Sie SSL für den Admin: define('FORCE_SSL_ADMIN', true);
• Begrenzen Sie die Beitragsrevisionen: define('WP_POST_REVISIONS', 5);

Deaktivierung von XML-RPC

XML-RPC ist ein veraltetes Protokoll, das externen Anwendungen die Kommunikation mit WordPress ermöglicht. Während es in den frühen Tagen von WordPress nützlich war, hat die REST-API weitgehend seine Funktionalität ersetzt. XML-RPC wird häufig für Brute-Force-Verstärkungsangriffe ausgenutzt (Angreifer können Hunderte von Passwörtern in einer einzigen Anfrage ausprobieren) und DDoS-Angriffe über die Pingback-Funktion. Deaktivieren Sie es, indem Sie dies in Ihre .htaccess Datei hinzufügen oder ein Sicherheitsplugin verwenden.

Begrenzung der Anmeldeversuche

WordPress begrenzt standardmäßig keine Anmeldeversuche, was Brute-Force-Angriffe sehr einfach macht. Implementieren Sie eine Begrenzung der Anmeldeversuche, die IP-Adressen nach 3-5 fehlgeschlagenen Versuchen für mindestens 15 Minuten sperrt, mit zunehmenden Sperrdauern für Wiederholungstäter. Die meisten Sicherheits-Plugins beinhalten diese Funktion, und es gibt auch leichte Standalone-Plugins, die dies ohne den Overhead einer vollständigen Sicherheitslösung handhaben.

Ändern der Anmeldungs-URL

Obwohl Sicherheit durch Obskurität keine vollständige Strategie ist, reduziert das Ändern der Standard-Anmeldungs-URL von /wp-login.php auf einen benutzerdefinierten Pfad den automatisierten Brute-Force-Verkehr erheblich. Bots, die nach WordPress-Installationen scannen, zielen auf die Standard-Anmeldungs-URL ab, und eine benutzerdefinierte URL beseitigt diesen Lärm vollständig.

Sicherheits-Plugins: Ihre erste Verteidigungslinie

Ein dediziertes Sicherheits-Plugin fügt mehrere Schutzebenen hinzu, die manuell schwer umsetzbar wären. Hier ist ein Vergleich der am weitesten verbreiteten WordPress-Sicherheitslösungen im Jahr 2026.

Für die meisten WordPress-Seiten bietet Wordfence Premium die stärkste Kombination aus Firewall-Schutz, Malware-Scanning und Login-Sicherheit. Die endpunktbasierte Firewall läuft auf Ihrem Server und kann von Angreifern, die Ihre Server-IP-Adresse kennen, nicht umgangen werden – eine bekannte Schwäche von cloud-basierten WAF-Lösungen.

SSL/TLS-Konfiguration und HTTPS

SSL/TLS-Verschlüsselung ist nicht mehr optional. Sie schützt Daten während der Übertragung zwischen Ihren Besuchern und Ihrem Server, verhindert Man-in-the-Middle-Angriffe und ist ein bestätigter Google-Rankingfaktor. Jede WordPress-Seite sollte auf HTTPS mit einem ordnungsgemäß konfigurierten SSL-Zertifikat laufen.

Implementierungsschritte

• Ein SSL-Zertifikat erwerben (Let's Encrypt bietet kostenlose Zertifikate an oder nutzen Sie die Option Ihres Hosting-Anbieters)
• WordPress-URL-Einstellungen aktualisieren, um https:// zu verwenden
• 301-Weiterleitungen von HTTP zu HTTPS einrichten
• Alle internen Links und eingebetteten Ressourcen auf HTTPS aktualisieren
• HSTS (HTTP Strict Transport Security) Header aktivieren
• Mit SSL Labs testen (streben Sie eine A+-Bewertung an)

Moderne TLS-Konfigurationen sollten TLS 1.0 und 1.1 deaktivieren (beide sind veraltet), TLS 1.2 als Minimum verwenden und TLS 1.3 für verbesserte Leistung und Sicherheit bevorzugen. Konfigurieren Sie Ihre Cipher-Suites, um Algorithmen mit Vorwärtsgeheimnis zu priorisieren.

Webanwendungsfirewall (WAF) Konfiguration

Eine Webanwendungsfirewall untersucht eingehende HTTP-Anfragen und blockiert diejenigen, die bekannten Angriffsmustern entsprechen. WAFs schützen vor SQL-Injection, XSS, Datei-Inklusion und vielen anderen Angriffsarten, ohne Änderungen am Anwendungscode vorzunehmen.

WAF-Typen

• Endpunktbasierte WAF (z.B. Wordfence): Läuft auf Ihrem Server als WordPress-Plugin. Kann die vollständige Anfrage einschließlich POST-Daten untersuchen und hat Zugriff auf den WordPress-Kontext für intelligentere Entscheidungen. Kann nicht über direkten IP-Zugriff umgangen werden.
• Cloud-basierte WAF (z.B. Cloudflare, Sucuri): Arbeitet als Reverse-Proxy. Filtert den Datenverkehr, bevor er Ihren Server erreicht. Fügt DDoS-Schutz und CDN-Funktionen hinzu. Kann umgangen werden, wenn Ihre Ursprungs-IP exponiert ist.
• Server-level WAF (z.B. ModSecurity): Läuft auf der Ebene des Webservers (Apache/Nginx). Bietet umfassenden Schutz unabhängig von der Anwendung. Erfordert Serveradministrationszugriff zur Konfiguration.

Für umfassenden Schutz kombinieren Sie eine cloud-basierte WAF (für DDoS-Minderung und Edge-Caching) mit einer endpunktbasierten WAF (für tiefgehende Anwendungsinspektion). Dieser mehrschichtige Ansatz stellt sicher, dass Angriffe mehrere Inspektionspunkte passieren müssen.

Zwei-Faktor-Authentifizierung (2FA)

Die Zwei-Faktor-Authentifizierung fügt einen zweiten Verifizierungsschritt über Ihr Passwort hinaus hinzu. Selbst wenn ein Angreifer Ihr Passwort durch Phishing, einen Datenleck oder Brute-Force erhält, kann er nicht auf Ihr Konto zugreifen, ohne den zweiten Faktor. Für WordPress-Administratoren sollte 2FA als obligatorisch und nicht optional betrachtet werden.

2FA-Methoden nach Sicherheit eingestuft

• Hardware-Sicherheitsschlüssel (YubiKey, Titan): Stärkste Option, phishing-resistent, erfordert physisches Gerät
• Authenticator-Apps (Google Authenticator, Authy): Zeitbasierte Codes, die auf Ihrem Telefon generiert werden, weit verbreitet unterstützt
• Push-Benachrichtigungen: Genehmigen oder verweigern Sie den Login von Ihrem Telefon, praktisch, erfordert jedoch Internet
• SMS-Codes: Schwächste 2FA-Methode aufgrund von SIM-Swap-Angriffen, aber immer noch erheblich stärker als nur ein Passwort

Aktivieren Sie 2FA für alle Administrator- und Redakteurskonten mindestens. Für E-Commerce-Websites, die Zahlungsdaten von Kunden verarbeiten, sollten Sie in Betracht ziehen, 2FA für alle Benutzerrollen mit Backend-Zugriff zu verlangen.

Sicherheitsheader

HTTP-Sicherheitsheader weisen Browser an, integrierte Sicherheitsfunktionen zu aktivieren, die Ihre Besucher schützen. Diese Header werden auf Serverebene (Nginx/Apache) oder über ein Sicherheits-Plugin konfiguriert und bieten erheblichen Schutz mit minimalen Auswirkungen auf die Leistung.

Testen Sie Ihre Sicherheitsheader auf SecurityHeaders.com und streben Sie eine A- oder A+-Note an. Content-Security-Policy ist die stärkste, aber auch die komplexeste zu konfigurieren. Beginnen Sie mit einem nur Bericht-Modus, um Probleme zu identifizieren, bevor Sie durchsetzen.

Backup-Strategie: Ihr Sicherheitsnetz

Keine Sicherheitskonfiguration ist unfehlbar. Eine robuste Backup-Strategie ist Ihre Versicherung gegen erfolgreiche Angriffe, Serverausfälle und menschliche Fehler. Befolgen Sie die 3-2-1 Backup-Regel: Halten Sie mindestens 3 Kopien Ihrer Daten, auf 2 verschiedenen Speichertypen, mit 1 Kopie, die außerhalb gespeichert wird.

Backup-Komponenten

• Datenbank: Alle Ihre Inhalte, Einstellungen, Benutzerdaten und Bestellungen. Mindestens täglich sichern, stündlich für aktive E-Commerce-Seiten.
• Dateien: WordPress-Kern, Themes, Plugins und Uploads. Wöchentlich oder nach jeder wesentlichen Änderung sichern.
• Konfiguration: Serverkonfigurationen, .htaccess, wp-config.php. Nach jeder Änderung sichern.

Verwenden Sie UpdraftPlus Premium für automatisierte geplante Backups mit Cloud-Speicherintegration. Speichern Sie Backups an mindestens zwei Standorten wie Amazon S3 und Google Drive. Testen Sie Ihren Wiederherstellungsprozess vierteljährlich, um sicherzustellen, dass Backups funktionsfähig sind. Für eine tiefere Analyse siehe unseren WordPress Backup-Leitfaden.

Malware-Erkennung und -Entfernung

Selbst mit starken Präventionsmaßnahmen sollten Sie einen Plan zur Erkennung und Entfernung von Malware haben. Frühe Erkennung minimiert Schäden und beschleunigt die Wiederherstellung.

Anzeichen einer Infektion

• Unerwartete Weiterleitungen zu unbekannten Websites
• Neue Administratorbenutzer, die Sie nicht erstellt haben
• Modifizierte Dateien mit aktuellen Zeitstempeln, die Sie nicht erklären können
• Plötzlicher Rückgang der Suchrankings oder Google-Warnungen
• Spitzen im Ressourcenverbrauch des Servers (CPU, Speicher, Bandbreite)
• Spam-Inhalte, die in den Suchergebnissen Ihrer Domain erscheinen
• Kundenbeschwerden über verdächtiges Verhalten auf Ihrer Seite

Malware-Entfernungsprozess

1. Isolieren: Nehmen Sie die Seite offline oder versetzen Sie sie in den Wartungsmodus, um weiteren Schaden zu verhindern und Besucher zu schützen
2. Scannen: Führen Sie einen gründlichen Malware-Scan mit Wordfence oder Sucuri SiteCheck durch, um alle infizierten Dateien zu identifizieren
3. Dokumentieren: Halten Sie alle Erkenntnisse fest, einschließlich Dateipfade, Änderungsdaten und Malware-Typen
4. Bereinigen: Ersetzen Sie die WordPress-Kerndateien durch frische Kopien, entfernen Sie verdächtige Dateien aus Plugins/Themes/Uploads
5. Aktualisieren: Aktualisieren Sie alle Plugins, Themes und
6. Aktualisieren: WordPress-Kern auf die neuesten Versionen
7. Absichern: Alle Passwörter zurücksetzen, Sicherheitskeys regenerieren, Benutzerkonten überprüfen, Dateiberechtigungen prüfen
8. Überwachen: Echtzeit-Dateiüberwachung für mindestens 30 Tage nach der Bereinigung aktivieren
9. Überprüfung anfordern: Wenn auf der Blacklist von Google, eine Überprüfungsanfrage über die Search Console einreichen

Notfallreaktionsplan

Jede WordPress-Website sollte einen dokumentierten Notfallreaktionsplan haben, bevor ein Angriff erfolgt. Wenn Ihre Website kompromittiert ist, müssen Sie schnell und methodisch handeln. Panik führt zu Fehlern, die die Situation verschlimmern können.

Reaktionsphasen

1. Erkennung: Den Sicherheitsvorfall durch Überwachungswarnungen, Besucherberichte oder Ergebnisse von Sicherheitsüberprüfungen identifizieren
2. Eindämmung: Weitere Schäden verhindern — alle Passwörter ändern, verdächtige IPs blockieren, die Website bei Bedarf isolieren
3. Untersuchung: Den Angriffsvektor, den Umfang des Kompromisses und die betroffenen Daten bestimmen. Zugriffsprotokolle, Dateimodifikationszeiten und Datenbankänderungen überprüfen
4. Beseitigung: Alle Malware, Hintertüren und unautorisierte Änderungen entfernen. Wenn verfügbar, aus einem bekannten sauberen Backup wiederherstellen
5. Wiederherstellung: Die Website mit verbesserten Sicherheitsmaßnahmen wieder online bringen. Engmaschig auf eine erneute Infektion überwachen
6. Erfahrungen sammeln: Den Vorfall dokumentieren, Ihre Sicherheitsverfahren aktualisieren und zusätzliche Kontrollen implementieren, um Wiederholungen zu verhindern

Sicherheitsaudit-Checkliste

Verwenden Sie diese Checkliste, um regelmäßig ein Sicherheitsaudit Ihrer WordPress-Installation durchzuführen. Wir empfehlen, diese Liste monatlich für Geschäftssites und vierteljährlich für persönliche Blogs durchzugehen.

Die Wahl der richtigen Hosting-Umgebung ist eine grundlegende Sicherheitsentscheidung. Ein gut konfigurierter Server bietet Sicherheitsvorteile, die kein Plugin replizieren kann. Lesen Sie unseren WordPress Hosting Guide für detaillierte Empfehlungen. Und für eine vollständige Liste empfohlener Sicherheits- und Dienstprogramme-Plugins, überprüfen Sie unseren WordPress-Plugins-Guide.

Häufig gestellte Fragen

Ist WordPress von Natur aus unsicher?

Nein. Der WordPress-Kern wird von einem engagierten Sicherheitsteam entwickelt und erhält regelmäßige Patches. Die Mehrheit der Sicherheitsvorfälle bei WordPress wird durch veraltete Plugins, schwache Passwörter und schlechte Hosting-Konfigurationen verursacht — nicht durch Schwachstellen in WordPress selbst. Wenn es richtig gewartet und abgesichert wird, ist WordPress eine sichere Plattform, die von großen Unternehmen, Regierungen und Nachrichtenorganisationen weltweit genutzt wird.

Wie oft sollte ich meine Plugins und Themes aktualisieren?

Überprüfen Sie mindestens wöchentlich auf Updates und wenden Sie Sicherheits-Patches innerhalb von 24 Stunden an. Hauptversionsupdates können ein paar Tage warten, um die Kompatibilität sicherzustellen, aber Sicherheitsupdates sollten sofort angewendet werden. Aktivieren Sie automatische Updates für Plugins, denen Sie vertrauen, und halten Sie immer ein aktuelles Backup bereit, bevor Sie aktualisieren.

Brauche ich ein Sicherheitsplugin, wenn ich ein WAF von meinem Host habe?

Ja. Hosting-Level-WAFs und WordPress-Sicherheitsplugins erfüllen komplementäre Funktionen. Eine WAF auf Host-Ebene filtert den Datenverkehr auf Netzwerkebene, während ein Plugin wie Wordfence Anwendungsschutz bietet, einschließlich Malware-Scanning, Login-Sicherheit und Datei-Integritätsüberwachung. Die Kombination schafft eine mehrschichtige Verteidigung, die deutlich stärker ist als jede Lösung für sich allein.

Ist das Ändern der Login-URL effektiv für die Sicherheit?

Das Ändern der Login-URL ist eine nützliche sekundäre Maßnahme, die automatisierten Brute-Force-Lärm reduziert. Es sollte jedoch niemals Ihr einziger Schutz gegen Brute-Force-Angriffe sein. Kombinieren Sie es immer mit der Begrenzung von Login-Versuchen, starken Passwörtern und Zwei-Faktor-Authentifizierung. Entschlossene Angreifer können dennoch benutzerdefinierte Login-URLs durch verschiedene Enumerationsmethoden entdecken.

Wie erkenne ich, ob meine WordPress-Website gehackt wurde?

Häufige Indikatoren sind unerwartete Administratorbenutzer, modifizierte Dateien, verdächtige Weiterleitungen, Spam-Inhalte in den Suchergebnissen, Google-Blacklist-Warnungen, ungewöhnliche Serverressourcennutzung und neue Dateien in Ihren Upload- oder Plugin-Verzeichnissen. Regelmäßige Malware-Scans und Datei-Integritätsüberwachung helfen, Kompromisse frühzeitig zu erkennen, bevor sie erheblichen Schaden anrichten.

Was sollte ich sofort nach der Entdeckung eines Hacks tun?

Ändern Sie zuerst alle Passwörter (WordPress-Admin, Datenbank, FTP, Hosting-Panel). Zweitens, nehmen Sie die Website offline oder in den Wartungsmodus. Drittens, scannen Sie nach und entfernen Sie Malware. Viertens, aktualisieren Sie alle Software. Fünftens, überprüfen Sie Ihre Dateien und Datenbank auf Hintertüren. Schließlich, stellen Sie aus einem sauberen Backup wieder her, wenn die Infektion umfangreich ist. Dokumentieren Sie alles für Ihre Notfallreaktionsunterlagen.

Reichen kostenlose Sicherheitsplugins für den Schutz aus?

Kostenlose Sicherheitsplugins bieten ein grundlegendes Schutzniveau, einschließlich grundlegender Firewalls, Login-Begrenzungen und regelmäßiger Malware-Scans. Premium-Versionen bieten jedoch Echtzeit-Bedrohungsinformationen, erweiterte Scanfunktionen, priorisierten Support und Funktionen wie Ländersperren und Echtzeit-IP-Blacklists, die Ihre Sicherheitslage erheblich verbessern. Für Geschäfts- und E-Commerce-Websites ist die Investition in Premium-Versionen gut gerechtfertigt.

Wie hilft SSL/TLS bei der Sicherheit?

SSL/TLS verschlüsselt alle Daten, die zwischen den Browsern Ihrer Besucher und Ihrem Server übertragen werden. Dies verhindert, dass Angreifer sensible Informationen wie Anmeldedaten, Zahlungsdetails und persönliche Daten durch Man-in-the-Middle-Angriffe abfangen. HTTPS verifiziert auch die Identität Ihres Servers und verhindert DNS-Spoofing-Angriffe, die Besucher auf gefälschte Versionen Ihrer Website umleiten.

Was sind die wichtigsten Sicherheits Einstellungen in wp-config.php?

Die kritischen Einstellungen umfassen: das Deaktivieren der Datei-Bearbeitung (DISALLOW_FILE_EDIT), die Verwendung einzigartiger Authentifizierungsschlüssel und Salze, das Festlegen eines benutzerdefinierten Datenbanktabellen-Präfixes, das Erzwingen von SSL für Administratoren, das Definieren expliziter Datenbankanmeldeinformationen mit den minimal erforderlichen Berechtigungen und das Festlegen geeigneter Debug- und Fehleranzeigeeinstellungen für die Produktion (WP_DEBUG false, display_errors off).

Wie oft sollte ich ein vollständiges Sicherheitsaudit durchführen?

Für Geschäftswebsites und Online-Shops sollten Sie monatlich ein umfassendes Sicherheitsaudit durchführen. Für persönliche Blogs und Websites mit geringem Traffic sind vierteljährliche Audits ausreichend. Neben den geplanten Audits sollten Sie nach jedem Sicherheitsvorfall, größeren Updates oder wesentlichen Änderungen an Ihrer Website ad-hoc Überprüfungen durchführen. Automatisierte Überwachungstools können kontinuierliche Aufsicht zwischen manuellen Audits bieten.