WordPress-Website-Betreiber stellen häufig fest, dass ihre Websites kompromittiert wurden. Aufgrund seiner Beliebtheit als CMS ist WordPress die am häufigsten von Hackern angegriffene Plattform und gilt daher als unsicher.
Aber das ist nicht wirklich der Fall.
Die Open-Source-Natur von WordPress bedeutet, dass es jeder nutzen kann, und die große Mehrheit der Nutzer ist mit grundlegenden Cybersicherheitspraktiken nicht ausreichend vertraut. Dadurch entsteht der Eindruck, WordPress sei irgendwie weniger sicher als andere Website-Baukästen.
Wer solide Sicherheitsmaßnahmen anwendet, hat selten Probleme mit gehackten Websites. Was macht eine WordPress-Website also sicher?
Sicherung Ihrer WordPress-Website
Hier sind 10 Dinge, die Sie beim Sichern Ihrer WordPress-Website beachten sollten.
Verwenden Sie einen sicheren Host
Wenn Sie aus diesem Beitrag nichts anderes mitnehmen, schenken Sie diesem zumindest Aufmerksamkeit. Ihre WordPress-Website ist nur so sicher wie der Server, auf dem sie sich befindet.
Die meisten WordPress-Websites basieren auf Shared Hosting, d. h. Ihre Website befindet sich auf demselben Server wie die Websites anderer Kunden. Wählen Sie einen Hosting-Anbieter, der die Kontoberechtigungen auf seinen Servern sorgfältig regelt.
Check this out: Die besten WordPress-Hosting-Dienste im Vergleich
Es kommt häufig vor, dass eine kompromittierte Website andere Websites auf demselben Server infiziert. Durch die Wahl eines Hosting-Anbieters, bei dem die Berechtigungen für jedes Konto ordnungsgemäß getrennt sind, wird das Risiko einer seitenübergreifenden Infektion minimiert.
Entgegen der landläufigen Meinung VPS-Hosting ist auch anfällig für die Verbreitung von Malware. VMescape-Angriffe, bei denen Malware Schwachstellen in Virtualisierungsplattformen ausnutzt, können es der Malware ermöglichen, von einem VPS zu entkommen und auf einen anderen VPS zu gelangen, der auf derselben physischen Hardware läuft.
Sichere Hosts verfügen zudem über weitere Schutzmaßnahmen. Dazu gehören die Nutzung von Mod-Security in der Webserverkonfiguration, Anti-Malware-Pakete wie Imunify360 und DDoS-Schutz, um zu verhindern, dass Websites von Bots überlastet werden.
Halten Sie Ihren Kern, Ihre Designs und Plugins auf dem neuesten Stand
Die meisten WordPress-Websites werden gehackt, weil ihr Code veraltet ist. Das ist keine Meinung, sondern eine belegte Tatsache.
Sicherheitsforscher, die forensische Analysen an Tausenden gehackten WordPress-Websites durchführen, haben zweifelsfrei festgestellt, dass für über 80 % davon veraltete Plugins und Designs verantwortlich sind.
Stellen Sie sich vor: Allein durch das Aktualisieren Ihrer Themes und Plugins können Sie 80 % des Risikos eines Website-Angriffs ausschließen. Das ist ein wichtiger Aspekt für die Sicherheit von WordPress, den Sie sich merken sollten.
Aktivieren Sie die 2-Faktor-Authentifizierung
Während veraltete Designs und Plug-Ins für die große Mehrheit der gehackten WordPress-Websites verantwortlich sind, sind Brute-Force-Angriffe auf Benutzernamen und Passwörter die gängigsten Methoden, um unbefugten Zugriff auf Websites zu erlangen.
Auch wenn die Erfolgsquote in der Regel niedrig ist, wurden dennoch etwa 8 % der gehackten Websites durch einfaches Erraten des Benutzerpassworts gehackt.
Eine Möglichkeit, Ihre Website zu schützen, ist die Aktivierung der Zwei-Faktor-Authentifizierung (2FA). Zusätzlich zu Ihrem Benutzernamen und Passwort benötigen Sie für 2FA einen Einmalpasswortcode von Ihrem Mobilgerät oder aus einer E-Mail.
Wenn ein Hacker Ihren Benutzernamen und Ihr Passwort für Ihre Website kennt, aber keinen Zugriff auf Ihr Telefon oder Ihre E-Mails hat, kann er sich nicht einloggen.
Es gibt verschiedene Plugins, die Ihrer Website eine Zwei-Faktor-Authentifizierung hinzufügen, und viele umfassende Sicherheits-Plugins, die wir im nächsten Abschnitt besprechen werden, bieten diese Funktion ebenfalls als Teil ihres umfangreichen Funktionsumfangs an.
Installieren Sie ein Sicherheits-Plugin
Es gibt Leute, die sagen, dass die gesamte Sicherheit vom Hoster übernommen werden sollte, aber in der Welt der Cybersicherheit glauben wir, dass Sicherheit in mehreren Schichten geschieht. Ein Sicherheits-Plugin für Ihr WordPress Die Website ist nur eine weitere dieser Ebenen.
Es gibt eine große Auswahl an Sicherheits-Plugins. Hier sind einige der beliebtesten. Testen Sie sie und finden Sie heraus, welches Ihren Anforderungen am besten entspricht.
Wordfence
Dieser Beitrag wird zwar nicht darauf eingehen, welches Sicherheits-Plugin das beste ist, aber das beliebteste ist Wordfence – und dafür gibt es gute Gründe.
Zum einen ist Wordfence ein auf Sicherheit spezialisiertes Unternehmen, das sich ausschließlich mit diesem Thema beschäftigt. Sie sind nicht einfach nur ein WordPress-Plugin-Entwickler, der zufällig auch ein Sicherheits-Plugin im Portfolio hat. Sie leben und atmen Sicherheit.
Das Wordfence-Plugin enthält eine kostenlose Web Application Firewall, die jede Anfrage mit einer Liste bekannter Exploits abgleicht und bei Übereinstimmung blockiert. Ein Malware-Scanner sucht außerdem nach Anzeichen für schädliche Aktivitäten und Dateien. Ein weiteres großartiges Feature ist die Möglichkeit, alle Theme- und Plugin-Dateien mit denen im WordPress.org-Repository abzugleichen und so eine Übereinstimmung sicherzustellen.
Wordfence protokolliert standardmäßig alle sicherheitsrelevanten Aktivitäten, sodass Sie diese überprüfen und sicherstellen können, dass Ihre Site sicher ist.
Ein weiteres nützliches Feature von Wordfence ist das Zwei-Faktor-Authentifizierungsmodul. Empfehlung Nr. 2 in diesem Beitrag lässt sich also problemlos umsetzen. Zusätzlich bietet Wordfence einen Brute-Force-Schutz, der IP-Adressen sperrt, die mehrfach versuchen, sich anzumelden. So werden Bots effektiv gestoppt.
Sucuri
Sucuri ist ein weiteres hervorragendes Sicherheits-Plugin, das Ihre WordPress-Website schützen kann. Es bietet viele der gleichen großartigen Funktionen wie Wordfence, mit einer wichtigen Ausnahme: Es gibt keine kostenlose Firewall – diese ist nur in einem kostenpflichtigen Premium-Tarif enthalten.
Wichtig zu wissen ist, dass das Sucuri-Plugin kürzlich von GoDaddy übernommen wurde. Daher muss sich erst noch zeigen, ob GoDaddy den Support ordnungsgemäß gewährleisten kann. GoDaddy genießt in der Webhosting-Branche keinen guten Ruf. Ob sich dieser Ruf auch auf Sucuri auswirkt oder ob das Unternehmen die Herausforderung meistern kann, wird sich erst mit der Zeit zeigen.
Sucuri verfügt außerdem über ein Prüfprotokoll, sodass Sie sicherheitsrelevante Aktivitäten auf Ihrer Website, beispielsweise fehlgeschlagene Anmeldungen, überprüfen können.
Alles in einem WP Security & Firewall
Alles in einem WP Security & Firewall ist das einzige Plugin, das in Sachen Popularität an Wordfence heranreicht. Es bietet viele der gleichen Vorteile, darunter eine kostenlose Firewall basierend auf .htaccess-Regeln, Brute-Force-Schutz und einen Sicherheitsscanner.
Eine Funktion, die nicht enthalten ist, ist ein Modul zur Zwei-Faktor-Authentifizierung. Daher müssen Sie ein separates Plugin für diese Funktionalität hinzufügen.
Man könnte argumentieren, dass All in One WP Security & Firewall die robusteste Firewall aller Sicherheits-Plugins bietet. Da die Firewall auf der .htaccess-Datei basiert, wird sie vor der Ausführung von Skripten verarbeitet, was sie sehr zuverlässig macht.
All in One WP Security & Firewall bietet außerdem eine nützliche Funktion zum Schutz vor automatisiertem Kommentar-Spam. Alternativ können Sie das Standard-Kommentarsystem von WordPress ersetzen durch Deeper Kommentare für zusätzliche Funktionen und Schutz.
Verwenden Sie Cloudflare
Cloudflare erfreut sich bei WordPress-Nutzern großer Beliebtheit, da der hervorragende (und kostenlose) CDN-Dienst zur Beschleunigung Ihrer Website beiträgt. Cloudflare bietet außerdem zahlreiche kostenlose Tools, die Ihre Website gegen Angriffe schützen.
Wenn Sie Ihre Nameserver auf Cloudflare ausrichten, profitieren Sie zum einen von einem der schnellsten und sichersten verfügbaren DNS-Dienste und kostenlosen SSL-Zertifikaten.
Die Server von Cloudflare prüfen den gesamten Datenverkehr auf DDoS-Angriffe, bevor er überhaupt Ihren Server erreicht. Die Firewall ist selbst in der kostenlosen Version (mit einer begrenzten Anzahl von Regeln) hochgradig konfigurierbar und ermöglicht es Ihnen, den Datenverkehr nach Land, ASN oder sogar URL oder Abfragezeichenfolge zu filtern.
Wenn Sie sich beispielsweise immer nur von einer einzigen IP-Adresse oder einer kleinen Anzahl fester IP-Adressen auf Ihrer Website anmelden, könnten Sie in Cloudflare eine Regel erstellen, die alle anderen IPs daran hindert, überhaupt auf wp-admin oder wp-login.php zuzugreifen. Das würde alle Bots blockieren, die versuchen, die Brute-Force-Angriffe durchzuführen, über die wir in Abschnitt 3 gesprochen haben. Sie können auch Beschränken Sie den Zugriff auf wp-admin mithilfe Ihrer .htaccess-Datei anstelle von Cloudflare. Sie können beide implementieren, wenn Sie mehrere Schutzebenen wünschen (dringend empfohlen).
Verwenden Sie keine gecrackten Themes oder Plugins.
Hättest du gern ein Premium-Theme, willst aber nicht dafür bezahlen? Nun, wenn du es von einer dieser dubiosen Seiten beziehst, die gecrackte Themes und Plugins anbieten, bekommst du es kostenlos. Aber auch hier gibt es einen Preis…
Wenn Sie ein gecracktes Theme oder Plugin verwenden, verlieren Sie die Garantie, dass das Produkt mit dem Angebot des offiziellen Anbieters identisch ist. Das bedeutet, dass die Integrität des Quellcodes verloren geht.
Auf Null gesetzte Designs und Plug-Ins sind eine bedeutende Quelle für Malware, da derjenige, der das Plug-In auf Null gesetzt hat, manchmal seine eigene Malware hineinfügt, um Ihre Site zu übernehmen oder andere böswillige Aktionen auszuführen, wie etwa den Diebstahl Ihrer Ressourcen für das Krypto-Mining.
Gekürzte Themes und Plugins sind Schadsoftware, die Sie unwissentlich auf Ihrer eigenen Website installieren. Nur um ein paar Euro zu sparen? Das lohnt sich nicht. Wenn Sie eine Premium-Funktion benötigen, bezahlen Sie einen seriösen Entwickler dafür.
Deaktivieren Sie die Dateibearbeitung
Das WordPress-Admin-Dashboard verfügt über einen sehr praktischen integrierten Editor, mit dem Sie den Inhalt Ihrer Theme- und Plugin-Dateien ändern können. Leider macht dieser Editor es Hackern auch leicht, den Code Ihrer Website zu ändern, wenn sie in Ihr Konto eindringen.
Die Realität ist, dass du fast niemals Ich werde diese Funktion nutzen. Wenn Sie jemals eine Core-Datei bearbeiten, werden Sie dies wahrscheinlich direkt über den Dateimanager Ihres Hosts oder mithilfe eines FTP-Clients tun.
Sie können die Möglichkeit zum Bearbeiten von Dateien über das Admin-Dashboard deaktivieren, indem Sie Ihrer Datei wp-config.php diese Zeile hinzufügen:
definieren('DISALLOW_FILE_EDIT', true);
Sobald Sie diese Zeile hinzufügen, sind die Bearbeitungsmenüs für Plugin- und Designdateien im WordPress-Admin-Dashboard nicht mehr verfügbar.
Verschieben und benennen Sie Ihre wp-config.php-Datei
Wo wir gerade von der wp-config.php-Datei sprechen: Viele wissen bereits, dass man diese einfach in ein übergeordnetes Verzeichnis der WordPress-Installation verschieben kann und die Website trotzdem einwandfrei funktioniert. Aber gehen wir noch einen Schritt weiter.
Wussten Sie, dass Sie die Datei wp-config.php beliebig umbenennen und komplett aus Ihrer WordPress-Installation in einen nicht-öffentlichen Ordner verschieben können? Das ist zwar etwas aufwendiger, lohnt sich aber.
Während die Datei selbst beim Aufruf in einem Webbrowser im Allgemeinen eine leere Seite zurückgibt, kann in seltenen Fällen, wenn der PHP-Handler fehlschlägt, der gesamte Inhalt der Datei als einfacher Text direkt in einem Webbrowser sichtbar sein.
Die Datei wp-config.php enthält vertrauliche Informationen über Ihre Website, einschließlich des Datenbankbenutzernamens und des Passworts. In den falschen Händen könnten diese Informationen verheerende Folgen haben. Durch die Umbenennung der Datei in einen beliebigen Namen können Sie sie vor Bots und Hackern schützen.
By Verschieben von wp-config.php in einen nicht öffentlichen Ordner, verhindern Sie, dass jemand bei einem PHP-Handler-Fehler die Informationen über einen Browser abruft.
Überprüfen Sie die Aktivität auf Ihrer Site
Wenn Sie nicht im Blick behalten, was auf Ihrer Website passiert, entgehen Ihnen möglicherweise wichtige Informationen, die Sie auf versuchte schädliche Aktivitäten aufmerksam machen könnten, oder Sie könnten sogar schädliche Aktivitäten entdecken, falls Ihre Website bereits kompromittiert wurde.
Neben den Sicherheitsvorteilen bietet ein gutes Audit-Plugin auf Websites mit mehreren Nutzern auch die Möglichkeit, legitime Aktivitäten nachzuverfolgen. Für Agenturen ist es ein hervorragendes Werkzeug, um festzustellen, ob ein Kunde möglicherweise einen Fehler gemacht hat, selbst wenn er dies bestreitet.
Es gibt mehrere gute Plugins zur Überwachung der Website-Aktivität. Einige der zuvor genannten Sicherheits-Plugins verfügen über eine gewisse Protokollierungsfunktion, die folgenden Plugins gehen jedoch noch einen Schritt weiter und überwachen sämtliche Benutzeraktivitäten und nicht nur sicherheitsrelevante Ereignisse. Hier sind die Top 3.
Simple History – Benutzeraktivitätsprotokoll, Audit-Tool
einfache Geschichte ist das beliebteste Plugin für Auditing und eignet sich hervorragend für erste Tests. Es protokolliert alle erwartbaren Vorgänge wie Inhaltsaktualisierungen, Plugin-Installationen und -Aktivierungen sowie praktisch jede andere Art von Benutzeraktivität.
Das Plugin hat eine 5-Sterne-Bewertung und das Entwicklerteam ist in den Support-Foren recht aktiv und beantwortet dort regelmäßig Support-Fragen in einem angemessenen Zeitrahmen.
WP-Aktivitätsprotokoll
Das WP-Aktivitätsprotokoll Das Plugin ist eine weitere großartige Option für Ihre Website. Es bietet im Vergleich zum vorherigen Plugin einige mehr konfigurierbare Optionen, z. B. die Möglichkeit, die Überwachung bestimmter Ereignisse zu aktivieren und zu deaktivieren, und eine konfigurierbare Aufbewahrungsdauer für die Protokollierung. Es bietet außerdem zahlreiche Add-ons, um die Überwachung auf spezielle Plugins wie WooCommerce und WPForms auszuweiten.
Das Plugin hat eine 4.5-Sterne-Bewertung und der leitende Entwickler beantwortet praktisch jede einzelne Frage im Support-Forum persönlich.
Wenn Sie eine Agentur leiten, lässt sich WP Activity Log problemlos in das beliebte Verwaltungstool MainWP integrieren, sodass Sie die Audit-Protokolle aller Ihrer Kundenseiten in einer einzigen Oberfläche einsehen können. Unter Agenturen ist WP Activity Log die erste Wahl für die Audit-Protokollierung.
Activity Log
Eine weitere beliebte Option mit einer 4.5-Sterne-Bewertung. Activity Log Erfasst alles, was man erwarten würde, und verfügt über eine gute Anzahl aktiver Installationen.
Leider reagiert der Entwickler in den Foren nicht oft auf Supportanfragen, sodass die meisten Supportfragen auf unbestimmte Zeit unbeantwortet bleiben.
Nutzen Sie das Prinzip der geringsten Privilegien
In der Welt der Cybersicherheit ist das Prinzip der geringsten Privilegien ein Konzept, bei dem ein Benutzer nur über die Berechtigungen verfügt, die er zur Ausführung seiner Arbeit benötigt.
Dies ist eine der grundlegendsten Regeln, die in einem Bootcamp zur CybersicherheitDennoch bleibt es eine der am meisten übersehenen Praktiken unter WordPress-Website-Betreibern.
In der WordPress-Welt ist es nicht ungewöhnlich, dass ein Unternehmen zehn Benutzer mit Administratorrechten hat. Für diese Zugriffsebene mag es legitime Gründe geben, doch benötigt man selten mehr als ein oder zwei Konten mit solch weitreichenden Berechtigungen.
Sie können nicht kontrollieren, was Ihre Nutzer tun, wenn sie nicht aktiv auf Ihrer WordPress-Website arbeiten. Das bedeutet: Wenn sie ihre eigenen Daten nicht vor Hackern schützen, ist die Wahrscheinlichkeit hoch, dass sich diese Nachlässigkeit auch auf Ihre Website auswirkt.
Durch die Beschränkung des Zugriffs können Sie Schäden minimieren, die ein Benutzer unbeabsichtigt verursachen könnte, beispielsweise durch das Anklicken eines schädlichen Links, während er noch auf Ihrer Website angemeldet ist. Selbst als Website-Administrator sollten Sie ein separates Redaktionskonto mit eingeschränkten Berechtigungen verwenden, wenn Sie keine anspruchsvollen administrativen Aufgaben ausführen.
Ist das mühsam? Sicher. Aber es ist weitaus weniger mühsam als die Bereinigung einer infizierten Website.
Bonus: Machen Sie regelmäßig Backups
Im schlimmsten Fall, wenn Ihre Website kompromittiert wurde, besteht die einzige Möglichkeit manchmal darin, sie aus einem sauberen Backup wiederherzustellen, das vor der Infektion erstellt wurde. Die meisten seriösen Webhosting-Anbieter sichern Ihre Website einmal täglich, bewahren diese Backups aber in der Regel nur ein paar Wochen lang auf.
Dies ist problematisch, wenn eine Infektion eine Zeit lang unbemerkt blieb. Viele Infektionen verbergen sich effektiv vor angemeldeten Administratoren, um so möglichst lange nicht entdeckt zu werden.
Da Sie jetzt wissen, dass Sicherheit in mehreren Schichten am besten gelingt, können Sie dasselbe Konzept auf Ihre Backups anwenden, indem Sie zusätzlich zu denen Ihres Webhosts Ihre eigenen Backups erstellen.
Es gibt einige großartige kostenlose Backup-Plugins, darunter UpdraftPlus, BackWPup und All-in-One-WP-MigrationJede dieser Lösungen hat ihre Stärken und Schwächen, aber alle sind sehr zuverlässig und ermöglichen regelmäßige Backups Ihrer Website. In manchen Fällen können Sie sogar automatische Backups in externen Cloud-Speichern wie Dropbox oder OneDrive erstellen.
Fazit
WordPress-Sicherheit ist ein wichtiger Bestandteil des Website-Betriebs. Sie kann jedoch zeit- und ressourcenintensiv sein, wenn sie nicht korrekt umgesetzt oder vernachlässigt wird. Mit den Tipps in diesem Beitrag können Sie Ihre Sicherheitsmaßnahmen weitgehend automatisieren und sich so auf das Wesentliche konzentrieren: Ihr Geschäft.
