Sicherheitscheckliste für WordPress-Websites für Entwickler und Einrichtung von All In One WP Security

WordPress ist die beliebteste Plattform zum Erstellen von Websites und daher ein vorrangiges Ziel für Hacker. WordPress einfach zu installieren und Inhalte hinzuzufügen, reicht nicht aus, um Ihre Website vor Angriffen zu schützen. Website-Sicherheit ist ein umfassender Prozess, der die Konfiguration von Plugins, Code-Reviews, eine korrekte Administration und regelmäßige Updates umfasst.

In diesem Artikel stelle ich eine detaillierte WordPress-Sicherheitscheckliste bereit. Rund 90 % der Aufgaben auf dieser Liste lassen sich mit einem einzigen Plugin erledigen: All In One WP Security.

1. Updates

Ein aktuelles System zu betreiben, ist einer der wichtigsten Aspekte der Sicherheit. Mit den folgenden Schritten stellen Sie regelmäßige Updates sicher:

Aktualisieren Sie den WordPress-Core. Verwenden Sie stets die neueste WordPress-Version, um sich vor Sicherheitslücken zu schützen.
Aktualisieren Sie Plugins und Themes. Veraltete Plugins und Themes können Sicherheitslücken enthalten, die Hacker leicht ausnutzen können.
Entfernen Sie ungenutzte Plugins und Themes. Selbst inaktive Elemente stellen ein Risiko dar.
Halten Sie PHP aktuell. Stellen Sie sicher, dass Ihre Website mit der neuesten PHP-Version läuft.

2. Konten und Passwörter

Konten sind ebenso wichtig, da sie den Zugang zur Website-Verwaltung darstellen:

Ändern Sie den Standardbenutzernamen „admin“. Verwenden Sie einen eindeutigen Anmeldenamen, um Brute-Force-Angriffe zu erschweren.
Verwenden Sie starke Passwörter. Nutzen Sie komplexe Passwörter für alle Konten, einschließlich Administrator, FTP, Datenbanken und Hosting.
Aktivieren Sie die Zwei-Faktor-Authentifizierung (2FA). Fügen Sie dem Anmeldeprozess eine zweite Sicherheitsebene hinzu.
Begrenzen Sie Anmeldeversuche. Dies hilft, Brute-Force-Angriffe zu verhindern.
Überprüfen Sie regelmäßig Rollen und Berechtigungen. Prüfen Sie die Benutzerzugriffsebenen kontinuierlich und passen Sie sie bei Bedarf an.

3. Datei- und Datenbanksicherheit

Ihre Dateien und Datenbanken benötigen zusätzlichen Schutz:

Schützen Sie wp-config.php. Verschieben Sie diese Datei aus dem öffentlichen Verzeichnis und beschränken Sie den Zugriff darauf über .htaccess.
Legen Sie korrekte Datei- und Ordnerberechtigungen fest. Verwenden Sie 644 für Dateien und 755 für Ordner.
Ändern Sie das Präfix der Datenbanktabellen. Das Standardpräfix wp_ ist leicht zu erraten. Ändern Sie es in ein eindeutiges Präfix.
Verwenden Sie ein starkes Datenbankpasswort. Stellen Sie wie bei Kontopasswörtern sicher, dass Ihr Datenbankpasswort stark ist.
Erstellen Sie regelmäßige Backups. Bewahren Sie stets aktuelle Sicherungskopien Ihrer Website und Datenbank auf.

4. SSL und Verschlüsselung

SSL-Zertifikate verschlüsseln Daten, die zwischen Benutzern und dem Server übertragen werden:

Installieren Sie ein SSL-Zertifikat. Stellen Sie sicher, dass Ihre Website über HTTPS läuft, um die personenbezogenen Daten der Benutzer zu schützen.
Leiten Sie HTTP auf HTTPS um. Richten Sie mithilfe von .htaccess eine automatische Weiterleitung aller HTTP-Anfragen auf HTTPS ein.

5. Server- und Netzwerksicherheit

Der Schutz Ihres Servers und Netzwerks ist entscheidend, um externe Angriffe zu verhindern:

Verwenden Sie eine Web Application Firewall (WAF). Dies fügt eine zusätzliche Sicherheitsebene gegen Hacks hinzu.
Beschränken Sie den Admin-Zugriff nach IP. Begrenzen Sie den Zugriff auf das Admin-Panel auf bestimmte IP-Adressen.
Deaktivieren Sie FTP. Verwenden Sie SFTP oder SSH anstelle des unsicheren FTP.

6. WordPress-Einstellungen

Bestimmte WordPress-Einstellungen können die Sicherheit ebenfalls erheblich verbessern:

Ändern Sie die Admin-Anmelde-URL. Dies erschwert automatisierte Angriffe auf Standard-URLs.
Deaktivieren Sie den Dateieditor. Das Aktivieren der Option DISALLOW_FILE_EDIT verringert das Risiko von Dateiänderungen direkt über das Admin-Panel.
Verbergen Sie die WordPress-Version. Das Verbergen Ihrer WordPress-Version erschwert gezielte Angriffe.
Deaktivieren Sie XML-RPC. Deaktivieren Sie diese Funktion, wenn sie nicht verwendet wird.
Deaktivieren Sie die Verzeichnisindexierung. Konfigurieren Sie .htaccess, um den Zugriff auf Dateilisten zu verhindern.

7. Sicherheit von Plugins und Themes

Auch die Verwaltung von Plugins und Themes ist ein wichtiger Sicherheitsaspekt:

Verwenden Sie nur vertrauenswürdige Quellen. Laden Sie Plugins und Themes nur aus offiziellen oder seriösen Quellen herunter.
Vermeiden Sie „nulled“-Versionen. Raubkopierte Versionen enthalten häufig Schadcode.
Installieren Sie ein geprüftes Sicherheits-Plugin. Sicherheits-Plugins helfen dabei, Ihre Website vor Angriffen zu schützen.
Überprüfen Sie den Theme-Code. Prüfen Sie den Theme-Code regelmäßig, insbesondere bei Themes, die Benutzereingaben verarbeiten.

8. Überwachung und Auditing

Die regelmäßige Überwachung der Website-Aktivitäten hilft, potenzielle Bedrohungen rechtzeitig zu erkennen:

Aktivieren Sie die Überwachung der Benutzeraktivitäten. Dies hilft dabei, an der Website vorgenommene Änderungen nachzuverfolgen.
Richten Sie Warnmeldungen bei verdächtigen Aktivitäten ein. Erhalten Sie Benachrichtigungen über potenzielle Bedrohungen.
Analysieren Sie Serverprotokolle. Prüfen Sie die Serverprotokolle regelmäßig und beheben Sie alle Fehler.

9. Schutz vor Spam und Bots

Spam und Bots können die Website-Performance negativ beeinträchtigen:

Installieren Sie CAPTCHA. Fügen Sie CAPTCHA zu Anmelde- und Registrierungsformularen hinzu.
Verwenden Sie Anti-Spam-Plugins. Diese Plugins helfen, Spam in Kommentaren und Formularen herauszufiltern.

10. Schulung und Sensibilisierung

Wissen ist der Schlüssel zur Aufrechterhaltung der Sicherheit:

Schulen Sie Benutzer und Administratoren. Alle am System Beteiligten sollten über grundlegende Sicherheitsmaßnahmen informiert sein.
Bleiben Sie bei Sicherheitsupdates auf dem Laufenden. Verfolgen Sie die neuesten Sicherheitslücken und Bedrohungen.

11. Zusätzliche Maßnahmen

Zusätzliche Schritte können den Schutz weiter verbessern:

Schwachstellentests. Führen Sie regelmäßig Sicherheitstests durch und beheben Sie alle entdeckten Probleme.
Konfigurieren Sie HTTP-Sicherheitsheader. Verwenden Sie Content Security Policy und andere Header, um die Sicherheit zu verbessern.
Verwenden Sie ein CDN mit Sicherheitsfunktionen. Dienste wie Cloudflare bieten eine zusätzliche Schutzebene.

Was Sie nicht kontrollieren können

Selbst wenn alle Sicherheitsmaßnahmen umgesetzt sind, gibt es Faktoren, auf die Sie keinen direkten Einfluss haben:

Shared Hosting. Wenn Ihre Website auf einem Shared Server gehostet wird, kann sie unter Angriffen auf benachbarte Websites leiden. Es ist entscheidend, zuverlässige Hosting-Anbieter mit einem hohen Sicherheitsniveau zu wählen.
DDoS-Angriffe können die Performance Ihrer Website erheblich beeinträchtigen. Überlassen Sie diese komplexen Probleme am besten den Fachleuten Ihres Hosting-Anbieters, die zuverlässigen Schutz und einen stabilen Betrieb gewährleisten können. Häufig richtet sich der Angriff gegen eine bestimmte IP-Adresse und nicht unbedingt gegen Ihre Website.
Zero-Day-Schwachstellen. Dabei handelt es sich um Sicherheitslücken, die Entwicklern noch nicht gemeldet oder noch nicht behoben wurden. In solchen Fällen ist es wichtig, informiert zu bleiben und Ihre Website zeitnah zu aktualisieren.

Theme-Code-Review: Worauf Sie achten sollten

Ein WordPress-Theme kann viele Sicherheitslücken enthalten, insbesondere wenn es Eingabefelder oder andere Formulare für Benutzerinteraktionen umfasst. Die Überprüfung des Theme-Codes ist ein entscheidender Schritt zur Gewährleistung der Sicherheit Ihrer Website.

Wichtige Punkte, die Sie im Theme-Code prüfen sollten:

Datenvalidierung und -bereinigung. Alle Benutzereingaben sollten validiert und bereinigt werden. Verwenden Sie die integrierten WordPress-Funktionen zur Datenverarbeitung, etwa esc_html(), esc_sql() und andere Methoden.
Schutz vor SQL-Injection. Verwenden Sie stets sichere APIs für die Interaktion mit der Datenbank, etwa wpdb->prepare().
Verhinderung von XSS-Angriffen. Stellen Sie sicher, dass alle Benutzereingaben vor der Ausgabe ordnungsgemäß maskiert und bereinigt werden.
Entfernen ungenutzten Codes. Das Theme kann ungenutzten Code enthalten, der Sicherheitslücken aufweisen könnte. Entfernen Sie solche Elemente.
Direkte Dateibearbeitung unterbinden. Themes sollten Benutzern nicht erlauben, kritische Dateien über das Admin-Panel zu bearbeiten.
Regelmäßige Protokollüberwachung. Mithilfe des Plugins Error Log Monitor können Sie Fehler direkt über das Admin-Panel der Website überwachen. Beheben Sie alle Fehler umgehend. Treten Fehler in nicht mehr gepflegten Plugins auf, ersetzen Sie das Plugin oder beheben Sie den Code.

Website-Zustand – integrierte Website-Überwachung

WordPress bietet seit Langem eine praktische Oberfläche zur Überwachung des Zustands Ihrer Website: Website-Zustand.

Rufen Sie /wp-admin/site-health.php auf und prüfen Sie die sicherheitsrelevanten Bereiche.

Bewerten Sie kritische Warnungen und aktualisieren Sie veraltete Plugins und Themes.
Achten Sie auf den SSL-Status und automatische Updates.
Konfigurieren Sie den Schutz des Dateisystems und prüfen Sie, ob automatische Backups aktiv sind.

Die ordnungsgemäße Überwachung des Zustands Ihrer Website mit Website-Zustand und rechtzeitige Maßnahmen zur Behebung von Problemen helfen dabei, Ihre Website vor potenziellen Angriffen und Sicherheitslücken zu schützen.

Detaillierte Anleitung zur Konfiguration des Plugins All In One WP Security

Das Plugin All In One WP Security ist eine der besten Lösungen zum Absichern Ihrer WordPress-Website. Es enthält viele nützliche Funktionen, um Ihre Website vor verschiedenen Bedrohungen zu schützen. Hier finden Sie eine detaillierte Anleitung zur Konfiguration des Plugins für maximalen Schutz.

Schritt 1: Installation des Plugins

Öffnen Sie Ihr WordPress-Admin-Panel.
Wählen Sie im linken Menü Plugins > Installieren.
Geben Sie in der Suchleiste All In One WP Security ein.
Suchen Sie das Plugin in den Suchergebnissen und klicken Sie auf Installieren.
Klicken Sie nach der Installation auf Aktivieren.

Das Plugin ist nun aktiviert und Sie können mit der Konfiguration beginnen.

Schritt 2: Grundlegende Sicherheitseinstellungen

Im WordPress-Admin-Menü wird ein neuer Bereich namens WP Security angezeigt. Öffnen Sie diesen Bereich.

Die Registerkarte Dashboard zeigt allgemeine Informationen zum aktuellen Sicherheitsstatus Ihrer Website an. Dort finden Sie auch Sicherheitspunkte, die aktualisiert werden, wenn Sie verschiedene Sicherheitsmaßnahmen umsetzen.

Schritt 3: Grundlegende Funktionen einrichten

3.1 Sicherheit von Benutzerkonten

Öffnen Sie den Bereich User Accounts.
Aktivieren Sie die Prüfung Admin Username. Das Plugin prüft, ob ein Benutzer mit dem Benutzernamen „admin“ vorhanden ist, und schlägt dessen Änderung vor, da dieser ein häufiges Ziel für Hacker ist.
Prüfen Sie im Bereich Password Strength Tool die Stärke aller Benutzerpasswörter. Erzwingen Sie zur Verbesserung der Sicherheit die Verwendung starker Passwörter.

3.2 Anmeldesicherheit

Öffnen Sie den Bereich Login Lockdown.
Aktivieren Sie die Anmeldesperre nach mehreren fehlgeschlagenen Anmeldeversuchen. Sie können beispielsweise eine Sperre nach 3 fehlgeschlagenen Versuchen für 20 Minuten festlegen.
Aktivieren Sie Benachrichtigungen über Sperren. So erhalten Sie Warnmeldungen, wenn jemand versucht, auf Ihre Website zuzugreifen.

3.3 Brute-Force-Schutz

Aktivieren Sie im Bereich Brute Force die Option Rename Login Page. Dadurch wird die Standard-Anmelde-URL (wp-login.php) geändert, was automatisierte Angriffe erschwert.
Aktivieren Sie die Option Login Honeypot, um dem Anmeldeformular zusätzlichen Schutz hinzuzufügen.

Schritt 4: Datei- und Datenbankschutz

4.1 Dateisystemsicherheit

Gehen Sie zum Bereich Dateisystemsicherheit.
Das Plugin prüft die Dateiberechtigungen wichtiger Dateien und schlägt Änderungen vor, wenn die aktuellen Einstellungen unsicher sind.
Aktivieren Sie die Option, um die Dateibearbeitung über das WordPress-Admin-Panel zu verhindern. Dadurch werden direkte Codeänderungen über die Administrationsoberfläche der Website verhindert.

4.2 Datenbanksicherheit

Gehen Sie zum Bereich Datenbanksicherheit.
Ändern Sie das Standardpräfix der Datenbanktabellen. Standardmäßig verwendet WordPress das Präfix wp_, was die Website anfälliger für Angriffe macht. Das Plugin bietet an, ein eindeutiges Präfix zu generieren.
Aktivieren Sie automatische Datenbanksicherungen. Wählen Sie ein geeignetes Intervall, beispielsweise wöchentlich, und legen Sie fest, wo die Sicherungen gespeichert werden.

Schritt 5: Absicherung der Dateien .htaccess und wp-config.php

Gehen Sie zum Bereich Firewall und aktivieren Sie den grundlegenden Firewall-Schutz.
Aktivieren Sie die Option Protect System Files, um die Dateien wp-config.php und .htaccess abzusichern.
Aktivieren Sie im Bereich 6G Blacklist Firewall Rules erweiterte Firewall-Regeln, um sich vor bösartigen Anfragen zu schützen.

Schritt 6: Malware-Erkennung und -Schutz

Gehen Sie zum Bereich Scanner und aktivieren Sie die Prüfung von Dateien auf Malware und Änderungen.
Richten Sie regelmäßige Scans der Dateien Ihrer Website ein und konfigurieren Sie E-Mail-Benachrichtigungen, wenn verdächtige Änderungen erkannt werden.

Schritt 7: Zusätzliche Sicherheitsmaßnahmen

Aktivieren Sie im Bereich Spam Prevention den Schutz vor Spam-Bots mithilfe von CAPTCHA für Kommentare und Registrierungsformulare.
Aktivieren Sie Prevent Hotlinks, um Ihre Inhalte vor direkter Verlinkung von anderen Websites zu schützen.

Das Plugin All In One WP Security bietet umfassenden Schutz für Ihre Website und kombiniert eine einfache Einrichtung mit leistungsstarken Sicherheitsfunktionen. Wenn Sie dieser Anleitung folgen, können Sie die Sicherheit Ihrer Website erheblich stärken und die Risiken von Hacks und Datenverlust minimieren.

Fazit

Die Absicherung einer WordPress-Website ist ein fortlaufender Prozess, der Aufmerksamkeit für alle Sicherheitsaspekte erfordert. Die Verwendung des Plugins All In One WP Security, die Überprüfung des Theme-Codes und regelmäßige Updates helfen Ihnen dabei, Angriffsrisiken zu verringern und einen robusten Schutz Ihrer Website zu gewährleisten. Folgen Sie dieser Checkliste, um ein leistungsstarkes Sicherheitssystem zu schaffen, das Ihre Website vor den meisten Bedrohungen schützt.