Wenn Sie in Bydgoszcz ein Unternehmen führen und eine Website oder einen Shop auf WordPress betreiben, ist die Sicherheit von WordPress-Websites kein Thema nur für Konzerne. Die Angriffe laufen weitgehend automatisiert ab: Bots durchsuchen das gesamte Internet nach bekannten Schwachstellen, und es interessiert sie nicht, ob die Website einem Salon in Śródmieście oder einem großen Unternehmen gehört. Ein kleines Unternehmen ist also genauso „im Visier“ wie ein großes, in der Regel aber schlechter geschützt.
Der Ratgeber zeigt, was Sie riskieren und was zu tun ist: von Updates und Backups über die Härtung der Konfiguration bis zu einem Plan für den Fall eines Einbruchs. Wir versprechen keine „100 % Sicherheit“, denn die gibt es nicht; das Ziel ist ein Angriff, der schwierig ist, schnell entdeckt wird und folgenlos bleibt. Wenn Sie lieber mit einer Diagnose beginnen, nutzen Sie den kostenlosen WordPress-Sicherheitstest.
Was Sie riskieren, wenn die Website eines Unternehmens aus Bydgoszcz gehackt wird
Ein Einbruch bedeutet selten den Austausch der Startseite; häufiger nutzt der Angreifer Ihre Website unbemerkt für eigene Zwecke. Typische Folgen:
- SEO-Spam und Weiterleitungen – versteckte Links oder Unterseiten, die fremde Leistungen bewerben, während Besucher aus Google auf fremde Websites geraten.
- Schadsoftware – Browser oder Google können Besucher vor dem Betreten der Website warnen, was Sie von Ihren Kunden abschneidet.
- Datenabfluss – Anfragen aus Formularen, Kundenkonten, Bestellungen im Shop.
- Ausfall – für einen Shop bedeutet jede Stunde Nichtverfügbarkeit entgangene Bestellungen.
Die häufigsten Angriffswege auf WordPress-Websites
Veraltete Plugins und Themes
Das ist die häufigste Ursache für Einbrüche. Wird in einem Plugin eine Schwachstelle entdeckt, veröffentlicht der Autor einen Patch, und die Information über die Lücke wird öffentlich. Ab diesem Moment suchen Bots nach Websites, die das Update noch nicht installiert haben. Besonders gefährlich ist ein vom Autor aufgegebenes Plugin.
Nulled- und Raubkopie-Plugins
Die „kostenlose“ Version eines kostenpflichtigen Themes oder Plugins von einer inoffiziellen Seite enthält sehr oft eine versteckte Backdoor. Die Regel ist einfach: Plugins und Themes laden wir nur aus dem Verzeichnis WordPress.org oder direkt vom Autor mit gültiger Lizenz herunter.
Schwache Passwörter und fehlende 2FA
Wiederverwendete Passwörter, der Login „admin“ und Konten ehemaliger Mitarbeiter sind der einfache Weg zur Übernahme des Panels. Die Zwei-Faktor-Authentifizierung (2FA) erschwert das erheblich.
Brute Force auf wp-login und XML-RPC
Bots versuchen ununterbrochen, Passwörter auf der Anmeldeseite und über die Datei xmlrpc.php zu erraten, die das Prüfen vieler Passwörter in einer einzigen Anfrage erlaubt. Wenn Sie sie nicht brauchen, deaktivieren oder beschränken Sie sie und begrenzen Sie die Anmeldeversuche.
Verwundbare Formulare und Uploads
Jede Stelle, an der ein Nutzer etwas senden kann (Kontaktformular, Dateiupload, Kommentare), muss Daten und Dateitypen validieren. Ein schlecht gemachter Upload ist der klassische Weg, ein Schadskript einzuschleusen. Bei individuellen WordPress-Plugins ist die Datenvalidierung die Grundlage.
Updates und Plugin-Richtlinie
Der wirksamste Schutz ist langweilig: regelmäßige Updates. Legen Sie einen Rhythmus fest, z. B. eine wöchentliche Durchsicht, und installieren Sie Sicherheitskorrekturen schneller. Größere Änderungen testen Sie zuerst auf der Staging-Umgebung.
- Je weniger Plugins, desto kleiner die Angriffsfläche. Entfernen Sie alles, was Sie nicht nutzen (nicht nur deaktivieren).
- Prüfen Sie die Quelle – Datum des letzten Updates, Kompatibilität mit der aktuellen WordPress-Version, Zahl der aktiven Installationen, zuverlässige Bearbeitung von Support-Anfragen.
- Planen Sie den Ersatz aufgegebener Zusätze – wenn ein Plugin nicht mehr weiterentwickelt wird, ersetzen Sie es.
Achten Sie auch auf die PHP-Version: Ältere erhalten keine Korrekturen mehr. Beim Aufräumen der Plugins lohnt ein Blick in den Ratgeber zur Geschwindigkeit von WordPress-Websites: Weniger Zusätze bedeuten eine schnellere und sicherere Website.
Hardening, also die Härtung der WordPress-Konfiguration
Hardening ist ein Satz von Einstellungen, die die Chancen eines Angreifers verringern, selbst wenn irgendwo eine Lücke auftaucht.
Einstellungen in WordPress
- Deaktivieren Sie den Dateieditor im Panel – die Konstante
DISALLOW_FILE_EDITinwp-config.phpverhindert die Bearbeitung von Theme- und Plugin-Code aus dem Panel heraus. - Begrenzen Sie die Zahl der Administratoren – die meisten Personen brauchen die Rolle Redakteur oder Autor. Das Prinzip der geringsten Rechte erspart Ärger.
- Verbergen Sie die WordPress-Version – es gibt keinen Grund, Bots die verwendete Version mitzuteilen.
Server und Dateiberechtigungen
Typischerweise sollten Verzeichnisse die Berechtigung 755 haben, Dateien 644, und die Datei wp-config.php noch restriktivere (z. B. 600 oder 640, je nach Serverkonfiguration). Es lohnt sich, die Ausführung von PHP im Upload-Verzeichnis zu sperren und die Verzeichnisauflistung zu deaktivieren. Die Werte hängen vom Hosting ab.
Sicherheits-Header, HTTPS und HSTS
Ein SSL-Zertifikat und die Weiterleitung der gesamten Website auf HTTPS sind heute das absolute Minimum. Der nächste Schritt ist der HSTS-Header, der den Browser anweist, sich stets verschlüsselt mit der Website zu verbinden. Sinnvoll ist auch das Setzen der Header X-Content-Type-Options, X-Frame-Options (oder einer entsprechenden Regel in der Content-Security-Policy) sowie Referrer-Policy. Allgemeine Hinweise finden Sie in der offiziellen WordPress-Dokumentation.
Backups: die 3-2-1-Regel und Wiederherstellungstest
Das Backup ist Ihre letzte Verteidigungslinie. Bewährt hat sich die 3-2-1-Regel:
- 3 Kopien der Daten (Produktivsystem plus zwei Kopien),
- auf 2 verschiedenen Medien oder in zwei verschiedenen Diensten,
- mit 1 Kopie außerhalb des Servers, auf dem die Website läuft.
Eine Kopie auf demselben Hosting-Konto schützt Sie nicht vor der Übernahme des Kontos. Bewahren Sie mehrere Zeitpunkte auf, denn das letzte Backup kann bereits „infiziert“ sein.
Der am häufigsten übersprungene Schritt ist der Wiederherstellungstest. Ein Backup, das Sie nie zurückgespielt haben, ist nur eine Annahme. Prüfen Sie einmal auf der Staging-Umgebung, ob sich aus dem Backup eine vollständige Website mit Datenbank und Dateien starten lässt.
WAF, Rate Limiting, Monitoring und Logs
Eine Web Application Firewall (WAF) filtert den Datenverkehr, bevor er WordPress erreicht: Sie blockiert bekannte Angriffsmuster und bösartige Bots. Sie arbeitet vor dem Server (z. B. in einem CDN-Netzwerk) oder als Plugin. Ergänzt wird sie durch Rate Limiting, also ein Limit für Anfragen und Anmeldeversuche von einer Adresse in einem bestimmten Zeitraum, was Brute Force abschwächt.
Ein Angriff, von dem Sie nichts wissen, dauert länger. Richten Sie ein:
- Verfügbarkeitsmonitoring – Benachrichtigung, wenn die Website nicht mehr antwortet,
- Überwachung von Dateiänderungen – Alarm, wenn in den WordPress-Dateien eine unerwartete Änderung auftaucht,
- Logs von Anmeldungen und Administratoraktionen – sie erlauben festzustellen, wer wann welche Handlung ausgeführt hat,
- Google Search Console – informiert unter anderem über erkannte Sicherheitsprobleme.
Hosting und Staging-Umgebung
Das Hosting beeinflusst die Sicherheit stärker, als man denkt. Achten Sie auf die Isolierung der Konten, aktuelle PHP-Versionen, automatische Backups, Zugriff über SFTP/SSH statt einfachem FTP und 2FA im Panel. Es zählen die Qualität des Dienstes und die schnelle Reaktion des technischen Supports.
Die zweite Säule ist das Staging, also eine Kopie der Website zum Testen. Updates, neue Plugins und Codeänderungen prüft man zuerst dort.
Sicherheit des WooCommerce-Shops und der Zahlungen
Ein Shop bringt neue Risikovektoren mit: Kundenkonten, Bestelldaten und Zahlungs-Gateways. Bewährte Praktiken:
- Speichern Sie keine Kartendaten. Zahlungen sollte ein externes Gateway abwickeln (z. B. Przelewy24, Stripe, BLIK). In unseren WooCommerce-Projekten speichern wir keine Kartendaten auf der Website des Kunden.
- Prüfen Sie Zahlungs- und Versand-Plugins – aktualisieren Sie sie besonders sorgfältig, zuerst auf der Staging-Umgebung.
- Schützen Sie Kundenkonten – Limit für Anmeldeversuche, starke Passwörter, Schutz vor Bots bei Registrierung und im Warenkorb.
Ausführlicher zum Shop-Betrieb schreiben wir im Artikel über die Nutzung von WooCommerce in Onlineshops, und den Zustand Ihres eigenen Shops prüfen Sie im kostenlosen Gesundheitscheck für Shops.
DSGVO und Verletzung des Schutzes personenbezogener Daten
Wenn Sie auf der Website personenbezogene Daten erheben (Formulare, Bestellungen, Buchungen, Newsletter), kann ein Einbruch eine Verletzung des Schutzes personenbezogener Daten bedeuten. Der Verantwortliche sollte sie grundsätzlich der Aufsichtsbehörde melden (in Polen ist das das Urząd Ochrony Danych Osobowych (UODO, polnische Datenschutzbehörde)), und zwar unverzüglich und möglichst binnen 72 Stunden nach Feststellung der Verletzung, sofern ein Risiko für die Rechte oder Freiheiten der betroffenen Personen besteht.
Das ist ein allgemeiner Überblick; konsultieren Sie im Vorfall einen Datenschutzbeauftragten oder Juristen. Amtliche Informationen finden Sie auf der Seite des Urząd Ochrony Danych Osobowych (polnische Datenschutzbehörde). Wie es um den aktuellen Konformitätsstand Ihrer Website steht (Cookies, Datenschutzerklärung), prüfen Sie im DSGVO- (RODO-) und Cookie-Test.
Was nach einem Einbruch zu tun ist: Plan Schritt für Schritt
- Beweise sichern. Erstellen Sie eine Kopie des aktuellen Zustands (Dateien, Datenbank, Logs).
- Website isolieren. Aktivieren Sie den Wartungsmodus oder schalten Sie sie vorübergehend ab, wenn sie Schadinhalte verbreitet.
- Alle Passwörter ändern: WordPress-Panel, Hosting, Datenbank, FTP/SFTP, E-Mail, API-Schlüssel sowie die Schlüssel (Salts) in
wp-config.php. - Einstieg und Folgen finden. Prüfen Sie neue Nutzer, geänderte Dateien, unbekannte Plugins und Cron-Aufgaben. Das bloße Entfernen des Symptoms genügt nicht.
- Saubere Kopie einspielen oder Website neu aufbauen, indem Sie Core, Theme und Plugins aus offiziellen Quellen neu installieren.
- Ursache schließen – Updates, Entfernen des verwundbaren Plugins, Verstärkung des Zugangs.
- Folgen für personenbezogene Daten bewerten und über eine Meldung gemäß DSGVO (RODO) entscheiden (siehe oben).
- Problem in der Google Search Console melden, falls die Website als gefährlich markiert wurde, und sie in den folgenden Wochen überwachen.
Risiko, Folge, Vorbeugung: Tabelle
| Risiko | Folge | Vorbeugung |
|---|---|---|
| Veraltete Plugins und Themes | Übernahme der Website über eine bekannte Lücke | Regelmäßige Updates, Entfernen ungenutzter Zusätze, Staging |
| Nulled- / Raubkopie-Plugins | Versteckte Backdoor, Spam, Datendiebstahl | Nur offizielle Quellen und gültige Lizenzen |
| Schwache Passwörter, keine 2FA | Übernahme des Administratorkontos | Passwortmanager, 2FA, minimale Berechtigungen |
| Brute Force (wp-login, XML-RPC) | Serverlast, erratenes Passwort | Versuchslimit, Rate Limiting, Deaktivierung von XML-RPC |
| Verwundbare Formulare und Uploads | Einschleusen eines Schadskripts | Validierung, Einschränkung der Dateitypen, PHP-Sperre in Uploads |
| Fehlende Backups | Verlust der Website oder von Bestellungen | 3-2-1-Regel und Wiederherstellungstest |
10 Schritte für den Anfang
- Aktualisieren Sie WordPress, Theme und Plugins und entfernen Sie Ungenutztes.
- Entfernen Sie Plugins aus inoffiziellen Quellen.
- Aktivieren Sie 2FA und einzigartige, lange Passwörter für alle Administratoren.
- Begrenzen Sie die Zahl der Administratorkonten und löschen Sie Konten ehemaliger Mitarbeiter.
- Aktivieren Sie HTTPS auf der gesamten Website sowie HSTS.
- Fügen Sie
DISALLOW_FILE_EDIThinzu und prüfen Sie die Dateiberechtigungen. - Begrenzen Sie Anmeldeversuche und sperren oder beschränken Sie XML-RPC.
- Richten Sie automatische 3-2-1-Backups ein und testen Sie einmal die Wiederherstellung.
- Aktivieren Sie das Monitoring von Verfügbarkeit und Dateiänderungen.
- Halten Sie einen einfachen Reaktionsplan fest: wer was in welcher Reihenfolge nach einem Vorfall tut.
Um Mängel aufzudecken, starten Sie den kostenlosen WordPress-Sicherheitstest. Ein umfassenderes Bild (SEO, Sicherheit, DSGVO (RODO), Performance, Barrierefreiheit, KI-Bereitschaft) liefert der Vollständige Website-Audit für 150 PLN, mit Ergebnis in wenigen Minuten und einer priorisierten Maßnahmenliste.
Häufige Fragen
Kann meine kleine Firmenwebsite in Bydgoszcz wirklich angegriffen werden?
Ja. Die meisten Angriffe sind automatisiert und wählen ihre Ziele nicht nach der Größe des Unternehmens. Bots suchen nach bekannten Lücken, daher ist jede Website mit veralteten Zusätzen oder schwachen Passwörtern gefährdet.
Genügt ein einziges Sicherheits-Plugin?
Nein. Ein Sicherheits-Plugin hilft (Firewall, Scans, Anmeldelimits), ersetzt aber weder Updates noch starke Passwörter, Backups oder eine gute Serverkonfiguration.
Wie oft sollte ich Backups erstellen?
Das hängt davon ab, wie oft sich die Website ändert. Eine Visitenkarten-Website kann z. B. einmal täglich gesichert werden, ein Shop mit laufenden Bestellungen erfordert häufigere Datenbank-Backups.
Muss ich einen Einbruch beim UODO melden?
Das hängt von den Umständen ab. Ist es zu einer Verletzung des Schutzes personenbezogener Daten gekommen, die ein Risiko für die Rechte oder Freiheiten von Personen birgt, ist die Meldung grundsätzlich unverzüglich, möglichst binnen 72 Stunden, an das UODO (polnische Datenschutzbehörde) zu senden. Die Situation sollten Sie mit einem Datenschutzbeauftragten oder Juristen besprechen.
Was kostet die Absicherung einer WordPress-Website?
Die Kosten hängen von der Größe der Website, dem Hosting und dem Arbeitsumfang ab, daher nennen wir keinen einzelnen Betrag. Zum Einstieg können Sie den kostenlosen Test oder den Vollständigen Website-Audit für 150 PLN nutzen, und nach dem ersten, kostenlosen Gespräch erstellen wir ein Pauschalangebot.
Sichern Sie Ihre Website gemeinsam mit uns in Bydgoszcz ab
Sie sind unsicher, wie gut Ihre Website oder Ihr Shop gesichert ist? Vereinbaren Sie ein kostenloses Gespräch (30–60 Minuten). Danach erstellen wir ein Pauschalangebot, und der erste Monat Support nach der Umsetzung (Updates, Monitoring) ist im Preis enthalten. Sehen Sie sich Leistungen und Referenzen an, schreiben Sie über das Kontaktformular oder kontaktieren Sie uns direkt:
Kreatywna Agencja (Canpol Bis Sp. z o.o.)
ul. Gimnazjalna 2/M501, 85-007 Bydgoszcz
Tel. +48 502 811 949
E-Mail: biuro@kreatywnaagencja.com.pl
kreatywnaagencja.com.pl
