Ratgeber · Websites
WordPress ist nicht unsicher. Vernachlässigte WordPress-Installationen sind unsicher. Der Unterschied liegt in wenigen Gewohnheiten – hier stehen sie.
Die drei Fehler, die fast alle Fälle gemeinsam haben
1. Seit Jahren keine Updates. Die allermeisten erfolgreichen Angriffe nutzen bekannte Lücken in veralteten Plugins. Bekannt heißt: Es gibt längst eine Aktualisierung, sie wurde nur nicht eingespielt.
2. Plugins, die niemand mehr braucht. Jedes installierte Plugin ist Angriffsfläche – auch ein deaktiviertes. Wer über die Jahre zwanzig Erweiterungen ausprobiert hat, hat zwanzig Türen, von denen er fünfzehn vergessen hat.
3. Ein Backup, das noch nie zurückgespielt wurde. Ein Backup, dessen Wiederherstellung nie getestet wurde, ist eine Hoffnung, kein Sicherheitsnetz.
Was regelmäßig zu tun ist
WordPress, Theme und Plugins aktuell halten. Am besten monatlich, mit anschließender Sichtprüfung der Seite – Updates können auch etwas kaputt machen.
Nicht genutzte Plugins und Themes löschen. Deaktivieren reicht nicht. Was du nicht brauchst, gehört weg.
Backups automatisieren und testen. Datenbank und Dateien, gespeichert außerhalb des Servers – und einmal im Jahr eine Testwiederherstellung.
PHP-Version aktuell halten. Alte PHP-Versionen bekommen keine Sicherheitsupdates mehr, auch wenn die Seite noch läuft.
Anmeldung absichern. Starke, einzigartige Passwörter, Zwei-Faktor-Anmeldung und eine Begrenzung fehlgeschlagener Anmeldeversuche.
Benutzerkonten aufräumen. Ehemalige Mitarbeiter, alte Agenturzugänge, Testkonten – alles, was niemand mehr braucht, gehört gelöscht.
Wem die Zugänge gehören sollten
Domain, Hosting und der Administrator-Zugang zu WordPress gehören dir – nicht deiner Agentur, nicht deinem Neffen, nicht dem Anbieter. Das ist kein Misstrauen, sondern Vorsorge: Wenn eine Zusammenarbeit endet oder jemand nicht mehr erreichbar ist, entscheidet genau das darüber, ob du weiterarbeiten kannst oder von vorne anfängst.
Prüf das am besten heute. Auf wen ist die Domain registriert? Wer bekommt die Hosting-Rechnung? Hast du selbst einen Administrator-Zugang, den du gerade testen könntest?
Und wenn doch etwas passiert ist
Anzeichen sind fremde Beiträge, Weiterleitungen auf unbekannte Seiten, Warnungen in der Google-Suche oder ein Anruf von Kunden, bei denen der Virenscanner anschlägt.
Dann gilt: Seite offline nehmen, Passwörter ändern, aus einem Backup wiederherstellen, das nachweislich vor dem Vorfall liegt, danach alles aktualisieren – und erst dann wieder online gehen. Wer nur das Sichtbare entfernt, ist in zwei Wochen wieder dort, wo er war.
Ähnliches Vorhaben?
Wenn du das nicht selbst machen willst: Genau diese Punkte übernehme ich in der laufenden Betreuung. Monatliche Updates, Backup-Kontrolle, Sicherheitsprüfung und ein Ansprechpartner, der deine Seite kennt.