Die üblichen Listen zu diesem Thema enthalten zwanzig Punkte, von denen fünfzehn kaum etwas ändern. Am Ende steht die Empfehlung für ein Sicherheits-Plugin, das selbst eine zusätzliche Angriffsfläche ist und die Seite verlangsamt.
Sechs Maßnahmen decken den größten Teil des Risikos ab, und die wichtigste ist unspektakulär: zeitnah aktualisieren. Nahezu alle erfolgreichen Übernahmen von WordPress-Seiten laufen über bekannte Lücken in veralteten Erweiterungen. Wer nur diesen einen Punkt konsequent erledigt, hat mehr erreicht als mit jedem Plugin.
1. Aktualisieren, und zwar zeitnah
Wenn eine Sicherheitslücke veröffentlicht wird, tauchen die zugehörigen automatisierten Versuche innerhalb von Stunden im Netz auf. Das Zeitfenster zwischen Veröffentlichung und Ausnutzung ist kurz.
Praktisch umgesetzt: Automatische Aktualisierung für den Kern und für Sicherheitsfreigaben einschalten. Für größere Sprünge bei Erweiterungen einen festen Termin pro Woche, mit vorheriger Sicherung. Und einen Weg, kritische Meldungen mitzubekommen, statt sie im Verwaltungsbereich zu entdecken.
2. Weniger Erweiterungen
Jede Erweiterung ist zusätzlicher fremder Code mit vollem Zugriff. Zwanzig Erweiterungen sind zwanzig Quellen für Lücken, und die Qualität schwankt erheblich.
Praktisch umgesetzt: Alles, was nicht benutzt wird, löschen statt deaktivieren. Deaktivierte Erweiterungen sind teilweise weiterhin erreichbar. Vor jeder Installation prüfen: Wann zuletzt aktualisiert, wie viele aktive Installationen, wird auf Anfragen im Forum geantwortet? Eine Erweiterung ohne Aktualisierung seit zwei Jahren ist ein Risiko, unabhängig davon, wie gut sie funktioniert.
3. Konten und Anmeldung
Drei Punkte, die zusammengehören:
- Individuelle Konten. Ein gemeinsames Konto für vier Personen lässt sich weder nachvollziehen noch einzeln entziehen.
- Rollen sparsam vergeben. Wer Texte pflegt, braucht keine Verwaltungsrechte. Ein übernommenes Redakteurskonto richtet deutlich weniger Schaden an.
- Zweiter Faktor für alle Konten mit Verwaltungsrechten. Die wirksamste Einzelmaßnahme gegen ausprobierte Passwörter, und sie kostet nichts.
Dazu eine Sperre nach mehreren Fehlversuchen. Die verhindert nicht das Ausprobieren, macht es aber unwirtschaftlich.
4. Sicherungen mit Wiederherstellungstest
Sie verhindern nichts. Sie begrenzen den Schaden, und zwar erheblich. Bei einer Übernahme ist der schnellste saubere Weg oft der Rückgriff auf einen Stand, der sicher unbelastet war.
Wichtig sind dabei zwei Punkte: Die Sicherungen dürfen nicht ausschließlich auf demselben Server liegen, und sie müssen weit genug zurückreichen. Eine Übernahme fällt manchmal erst nach Wochen auf, und dann helfen drei Tagessicherungen nicht.
5. Dateirechte und Schreibzugriff
WordPress muss nicht überall schreiben dürfen. Die Konfigurationsdatei braucht keine Schreibrechte für den Webserver, und die Ausführung von PHP im Uploadverzeichnis lässt sich abschalten.
Der zweite Punkt ist wirkungsvoll: Ein häufiger Weg nach einer Übernahme führt über eine hochgeladene Datei im Uploadverzeichnis, die dann ausgeführt wird. Wer die Ausführung dort unterbindet, schließt diesen Weg.
6. Die Verwaltungsoberfläche einschränken
Wenn nur wenige Personen aus bekannten Netzen zugreifen, lässt sich der Zugang auf diese begrenzen. Damit entfällt die Angriffsfläche vollständig.
Wo das nicht praktikabel ist, weil von unterwegs gearbeitet wird, bleibt es beim zweiten Faktor und der Sperre nach Fehlversuchen. Beides zusammen ist ausreichend.
Was wenig bringt
| Verbreiteter Ratschlag | Warum er kaum wirkt |
|---|---|
| Anmeldeadresse umbenennen | Hält einfache Programme auf, wird von den meisten gefunden. Als einzige Maßnahme eine Beruhigung. |
| Versionsnummer verstecken | Die Lücke wird ohnehin ausprobiert, unabhängig von der angezeigten Version. |
| Umfangreiche Sicherheits-Plugins | Zusätzlicher Code mit vollem Zugriff, spürbare Last, und sie ersetzen die Aktualisierung nicht. |
| Dateibearbeitung im Verwaltungsbereich abschalten | Sinnvoll, aber wirkt erst, wenn jemand bereits Zugriff hat. |
| Schnittstelle für Fernzugriff sperren | Richtig, wenn sie nicht gebraucht wird. Betrifft aber nur einen von vielen Wegen. |
Keiner dieser Punkte ist falsch. Sie stehen nur in Listen ganz oben, obwohl sie deutlich weniger bewirken als eine zeitnahe Aktualisierung.
Was im Ernstfall zu tun ist
- Nicht sofort löschen. Erst eine Sicherung des befallenen Zustands anlegen, sonst fehlt später die Grundlage zur Ursachenklärung.
- Alle Zugänge wechseln. Verwaltung, Datenbank, Hosting, Dateizugang. Auch die, von denen man annimmt, sie seien nicht betroffen.
- Auf einen sicher unbelasteten Stand zurückgehen, nicht auf den von gestern.
- Danach aktualisieren, bevor die Seite wieder erreichbar ist. Sonst führt derselbe Weg erneut hinein.
- In der Search Console prüfen, ob fremde Seiten aufgetaucht sind, und gegebenenfalls eine erneute Überprüfung beantragen.
Wie wir das machen
Wir halten die Zahl der Erweiterungen klein, aktualisieren zeitnah mit vorheriger Sicherung, und sichern die Anmeldung mit zweitem Faktor ab. Ein zusätzliches Sicherheits-Plugin setzen wir bewusst nicht ein, weil es die Aktualisierung nicht ersetzt und selbst eine Angriffsfläche wäre. Mehr dazu unter Managed Hosting und WordPress-Betrieb.
Was ist die wichtigste Sicherheitsmaßnahme für WordPress?
Zeitnahe Aktualisierung von Kern, Theme und Erweiterungen. Nahezu alle erfolgreichen Übernahmen laufen über bekannte Lücken in veralteter Software, und das Zeitfenster nach einer Veröffentlichung beträgt oft nur Stunden.
Brauche ich ein Sicherheits-Plugin?
Nicht zwingend. Solche Erweiterungen sind zusätzlicher Code mit vollem Zugriff, kosten Leistung und ersetzen die Aktualisierung nicht. Die Kernmaßnahmen wirken ohne sie.
Hilft es, die Anmeldeadresse umzubenennen?
Nur begrenzt. Es hält einfache Programme auf und wird von den meisten gefunden. Als einzige Maßnahme ist es eine Beruhigung, kein Schutz. Wirksam sind zweiter Faktor und eine Sperre nach Fehlversuchen.
Was ist bei einer gehackten WordPress-Seite zu tun?
Zuerst den befallenen Zustand sichern, dann alle Zugänge wechseln, auf einen sicher unbelasteten Stand zurückgehen, vor der Wiederfreigabe vollständig aktualisieren und anschließend die Search Console auf fremde Seiten prüfen.
