Eine Unternehmenswebsite ist häufig Kontaktpunkt, Vertriebswerkzeug und Datenquelle zugleich. WordPress kann dafür eine verlässliche Grundlage sein – wenn Updates, Zugriffsrechte, Backups und Überwachung als laufender Prozess verstanden werden. Absolute Sicherheit gibt es nicht. Ziel ist es, Risiken zu reduzieren und nach einem Vorfall schnell handlungsfähig zu bleiben.
1. WordPress, Themes und Plugins aktuell halten
Veraltete Komponenten gehören zu den häufigsten vermeidbaren Risiken. Sicherheitsupdates sollten zeitnah eingespielt werden. Vor größeren Aktualisierungen empfiehlt sich ein vollständiges Backup; bei geschäftskritischen Websites ist zusätzlich ein Test in einer Staging-Umgebung sinnvoll.
Installieren Sie Themes und Plugins nur aus vertrauenswürdigen Quellen. Nicht mehr benötigte Erweiterungen sollten nicht lediglich deaktiviert, sondern nach Prüfung entfernt werden. Weniger Komponenten bedeuten weniger mögliche Fehlerquellen und meist auch eine bessere Wartbarkeit.
2. Konten nach dem Prinzip der geringsten Rechte vergeben
Nicht jede Person, die Inhalte bearbeitet, benötigt Administratorrechte. Redakteure, Autoren und Shop-Mitarbeitende sollten nur die Berechtigungen erhalten, die sie für ihre Aufgabe tatsächlich brauchen. Scheidet eine Person aus dem Unternehmen aus, müssen Zugänge zeitnah deaktiviert oder übertragen werden.
Starke, einzigartige Passwörter und eine Zwei-Faktor-Authentifizierung erschweren die Übernahme eines Kontos deutlich. Geteilte Sammelkonten sind zu vermeiden, weil spätere Änderungen und Zugriffe sonst kaum nachvollziehbar bleiben.
3. Backups müssen wiederherstellbar sein
Ein Backup ist erst dann wertvoll, wenn es vollständig, aktuell und tatsächlich wiederherstellbar ist. Gesichert werden müssen sowohl die Dateien als auch die Datenbank. Mindestens eine Sicherungskopie sollte getrennt vom Webserver aufbewahrt werden, damit ein Serverproblem oder kompromittierter Zugang nicht gleichzeitig Website und Backup betrifft.
- automatische Sicherungen in einem zum Änderungsumfang passenden Rhythmus
- mehrere Aufbewahrungsstände statt nur einer überschriebenen Kopie
- regelmäßige Wiederherstellungstests
- dokumentierte Zuständigkeit und ein klarer Notfallweg
4. Hosting, HTTPS und Dateirechte einbeziehen
WordPress-Sicherheit endet nicht im Dashboard. Unterstützte PHP- und Datenbankversionen, eine saubere Serverkonfiguration, HTTPS sowie angemessene Datei- und Verzeichnisrechte gehören zur technischen Basis. Auch das lokale Endgerät, über das die Website verwaltet wird, muss aktuell und frei von Schadsoftware sein.
Der integrierte Theme- und Plugin-Dateieditor kann auf vielen Unternehmensseiten deaktiviert werden. Dadurch lässt sich zumindest verhindern, dass ein kompromittiertes Administratorkonto unmittelbar über diesen Weg PHP-Dateien verändert.
5. Formulare und personenbezogene Daten minimieren
Kontakt- und Bewerbungsformulare sollten nur Daten abfragen, die für den jeweiligen Zweck erforderlich sind. Übertragungen müssen verschlüsselt erfolgen. Speicherfristen, Empfänger und eingesetzte Dienste gehören in ein nachvollziehbares Datenschutzkonzept.
Zusätzlich sind Spam- und Missbrauchsschutz wichtig. Dabei sollte nicht einfach jeder externe Dienst eingebunden werden: Datenschutz, Einwilligung, Ladezeit und Zugänglichkeit müssen gemeinsam betrachtet werden.
6. Protokollierung und Monitoring vorbereiten
Uptime-Monitoring erkennt Ausfälle, ein Sicherheitsprotokoll auffällige Anmelde- oder Dateiänderungen. Beides sollte so konfiguriert sein, dass relevante Warnungen tatsächlich bei einer verantwortlichen Person ankommen. Eine große Zahl ungefilterter Meldungen führt dagegen schnell dazu, dass wichtige Hinweise übersehen werden.
Für den Ernstfall braucht es einen kurzen Ablaufplan: Website bei Bedarf in einen sicheren Zustand versetzen, Zugangsdaten ändern, Ursache ermitteln, saubere Sicherung wiederherstellen, betroffene Systeme aktualisieren und mögliche Meldepflichten prüfen.
Eine praxistaugliche monatliche Routine
- verfügbare Updates und bekannte Sicherheitsmeldungen prüfen
- Backup-Status und letzte Wiederherstellungskontrolle ansehen
- Benutzerkonten und Administratorrechte kontrollieren
- Formulare, Bestell- und Kontaktwege testen
- Verfügbarkeit, Ladezeit und auffällige Protokolle auswerten
Die offizielle WordPress-Dokumentation beschreibt Sicherheit ausdrücklich als Risikoreduktion und empfiehlt unter anderem aktuelle Software, starke Zugangsdaten, Zwei-Faktor-Authentifizierung, Backups und Monitoring. Weiterführende Primärquellen: Hardening WordPress und Updating WordPress.
DP Webdesign & Mediengestaltung unterstützt Unternehmen bei Wartung, technischer Pflege und der strukturierten Weiterentwicklung von WordPress-Websites. Zum Anbieterprofil von DP Webdesign.
