Über 40 % aller Websites laufen auf WordPress – entsprechend gezielt suchen Bots nach Schwachstellen. Mit den richtigen Maßnahmen wird dein Login zum harten Ziel. Hier die konkrete Checkliste plus, wenn gewünscht, die Absicherung durch uns.
Eine WordPress-Seite wird sicher durch starke Passwörter mit 2FA, zeitnahe Updates von Core, Themes und Plugins, gehärteten Login, getestete Backups sowie HTTPS und Monitoring. Forge12 bietet WordPress-Härtung und laufende Wartung – Updates, Backups, Monitoring und Security ab 59 €/Monat – plus Notfall-Bereinigung bei einem Hack.
Die meisten gehackten WordPress-Seiten werden nicht gezielt angegriffen, sondern von automatisierten Bots erwischt, die rund um die Uhr bekannte Lücken, schwache Passwörter und veraltete Plugins durchprobieren.
Gute Nachricht: Genau deshalb bringt Basis-Härtung überproportional viel. Wer Login, Updates, Backups und Monitoring im Griff hat, fällt aus dem Beuteschema der Massen-Angriffe heraus – ganz ohne teure Speziallösung.
Die acht Hebel mit dem besten Verhältnis von Aufwand zu Wirkung – in dieser Reihenfolge.
Für jedes Konto ein eigenes Zufallspasswort (mit unserem Passwort-Generator) und Zwei-Faktor-Authentifizierung für alle Admin-Logins. Kein „admin" als Benutzername.
WordPress-Core, Themes und Plugins zeitnah aktualisieren – veraltete Erweiterungen sind das häufigste Einfallstor.
Ungenutzte Plugins und Themes vollständig entfernen (nicht nur deaktivieren). Jede Erweiterung ist zusätzliche Angriffsfläche.
Login-Versuche begrenzen, /wp-admin und wp-login.php schützen, XML-RPC einschränken – so laufen Brute-Force- und Bot-Angriffe ins Leere.
Automatische Backups an einen externen Ort – und regelmäßig testen, ob die Wiederherstellung wirklich funktioniert. Ein Backup, das man nie zurückgespielt hat, ist keins.
Durchgängiges HTTPS, sinnvolle Security-Header und eine Web Application Firewall (WAF) filtern einen Großteil des Schadverkehrs schon vor WordPress ab.
Datei-Integrität, Malware-Scan und Uptime überwachen – damit du von einem Problem erfährst, bevor es deine Besucher (oder Google) tun.
Aktuelle PHP-Version, seriöses Hosting und korrekte Dateirechte (least privilege). Die stabilste WordPress-Härtung nützt wenig auf einem unsicheren Fundament.
Schon gehackt?
Wenn deine Seite bereits kompromittiert ist, geht es zuerst um schnelle Bereinigung – nicht um Härtung.
Wer sich nicht selbst darum kümmern will: Wir übernehmen Updates, Backups, Monitoring, Malware-Schutz und Härtung als laufende WordPress-Wartung – mit festem Ansprechpartner und schneller Hilfe im Ernstfall.
Fast alle Angriffe laufen automatisiert über bekannte Schwachstellen. Wer die Angriffsflächen kennt, kann sie gezielt schließen — genau das leistet die Checkliste oben.
Bots probieren rund um die Uhr tausende Passwörter auf wp-login.php durch. Ohne Login-Limit und 2FA ist ein schwaches Passwort in Minuten geknackt.
Die mit Abstand häufigste Lücke: bekannte Schwachstellen in nicht aktualisierten Erweiterungen — öffentlich dokumentiert und massenhaft ausgenutzt.
Aus Daten-Leaks bekannt oder leicht zu raten. Ohne zweiten Faktor genügt ein einziges geleaktes Passwort für die Übernahme.
Selten genutzte, oft aktive Schnittstellen werden für Brute-Force-Verstärkung und DDoS missbraucht. Was nicht gebraucht wird, gehört abgeschaltet.
Veraltete Server-Software oder infizierte Nachbar-Seiten im selben Account. Ein schwaches Hosting untergräbt jede WordPress-Härtung.
Kein Sicherheitsnetz, wenn es kracht — und jede offene Lücke bleibt offen. Der lautloseste Fehler, mit dem größten Schaden im Ernstfall.
Die Begriffe, die bei WordPress-Sicherheit immer wieder fallen — in einem Satz erklärt.
Zweiter Faktor beim Login zusätzlich zum Passwort (App-Code, Hardware-Key). Macht geleakte Passwörter praktisch wertlos.
Filtert bösartige Anfragen, bevor sie WordPress erreichen — blockt automatisierte Angriffe, Brute-Force und bekannte Exploits.
Automatisiertes Durchprobieren tausender Passwörter, bis eines passt. Gegenmittel: Login-Limit, starke Passwörter, 2FA.
HTTP-Header (z. B. HSTS, CSP, X-Frame-Options), die den Browser anweisen, bestimmte Angriffe wie Clickjacking und XSS zu blockieren.
Verschlüsselt die Übertragung zwischen Browser und Server. Schützt Logins und Daten unterwegs — Pflicht, aber kein Hack-Schutz für sich.
Zufallswerte in der wp-config.php, die Login-Cookies absichern. Regelmäßig erneuern, besonders nach einem Verdachtsfall.
Die wirksamsten Schritte: starke, einzigartige Passwörter plus 2FA, Core/Themes/Plugins aktuell halten, ungenutzte Erweiterungen entfernen, den Login härten (Login-Limit, wp-admin schützen), regelmäßige getestete Backups sowie HTTPS, Security-Header und Monitoring. Die vollständige Reihenfolge steht in der Checkliste oben.
Ein Security-Plugin hilft, ersetzt aber keine saubere Grundhärtung. Aktuelle Updates, starke Passwörter, getestete Backups und ein sicheres Hosting sind wichtiger als jedes einzelne Plugin. Am besten kombiniert man beides.
Sicherheit ist kein einmaliges Projekt, sondern laufender Betrieb: Updates und Backups sollten mindestens wöchentlich laufen, Monitoring dauerhaft. Genau dafür gibt es unsere WordPress-Wartung.
Typische Anzeichen: unbekannte Admin-Konten, fremde Weiterleitungen, Spam-Inhalte, Warnungen von Google/Browser, plötzlicher Performance-Einbruch. Im Verdachtsfall hilft unsere WordPress-Notfallhilfe bei der schnellen Bereinigung.
Ja. Im Rahmen der WordPress-Wartung härten wir die Seite, halten sie aktuell, überwachen sie und sind im Ernstfall erreichbar – senior-geführt, mit festem Ansprechpartner.
Der WordPress-Core selbst ist solide und wird aktiv gepflegt. Die allermeisten Hacks laufen nicht über den Core, sondern über veraltete Plugins/Themes, schwache Passwörter und fehlende Updates. Sprich: WordPress ist so sicher, wie es gewartet wird — mit den Maßnahmen aus der Checkliste oben wird es zu einem harten Ziel.
Eine Web Application Firewall filtert bösartige Anfragen, bevor sie WordPress erreichen — sie blockt einen Großteil automatisierter Angriffe und Brute-Force-Versuche. Sinnvoll ja, aber kein Ersatz für Updates, starke Passwörter und Backups. Am wirksamsten ist die Kombination.
2FA verlangt beim Login zusätzlich zum Passwort einen zweiten Faktor (z. B. einen Code aus einer App). Selbst wenn dein Passwort geleakt ist, kommt der Angreifer damit nicht rein. 2FA ist der wirksamste Einzelschutz gegen Login-Angriffe — für jeden Admin-Account dringend zu empfehlen.
Nur teilweise. HTTPS verschlüsselt die Übertragung zwischen Browser und Server (wichtig für Logins und Daten), verhindert aber keinen Hack über eine Plugin-Lücke oder ein schwaches Passwort. HTTPS ist Pflicht — aber ein Baustein, kein Rundumschutz.
Baukästen nehmen dir Updates ab, schränken dich aber stark ein und du gibst die Kontrolle über deine Daten ab. Ein gewartetes WordPress ist ebenso sicher — bei voller Flexibilität. Der Unterschied ist nicht »sicher vs. unsicher«, sondern »wird gewartet vs. wird nicht gewartet«.
Die einmalige professionelle Härtung (Security-Setup) startet bei 490 € — inkl. Login-Schutz, 2FA, Firewall, Backup-Strategie und Security-Report. Laufender Schutz (Updates, Monitoring, getestete Backups) läuft über die WordPress-Wartung ab 59 €/Monat. Details im Preis-Abschnitt unten.
Einmalige, gründliche Härtung deiner Installation. Die Basis ist danach sicher — für dauerhaften Schutz kommt ein Care-Plan obendrauf.
Über 90 % der Hacks laufen automatisiert über veraltete Plugins. Für dauerhaften Schutz empfehlen wir nach dem Setup einen laufenden Care-Plan (Updates, Monitoring, getestete Backups).
Aufwand über den Festpreis hinaus stimmen wir vorab ab — nie eine Überraschungsrechnung. Fremdkosten (Hosting, kostenpflichtige Plugin-/Theme-Lizenzen) trägt der Kunde.
Seite schon kompromittiert? Manuelle Notfall-Bereinigung zum Festpreis — Schadcode raus, Einfallstor zu.
Geprüfte Updates, Monitoring und getestete Backups im Paket — Sicherheit als Dauerbetrieb statt Einmal-Aktion.
Weiße Seite, Login-Probleme, kaputtes Update? Wir bringen deine Seite schnell wieder zum Laufen.