WordPress-Sicherheit: So schützen Sie Ihre WordPress-Website

Die Sicherheit einer WordPress-Website ist entscheidend, um Datenverlust, Hacking und Reputationsschäden zu vermeiden. Trotz seiner Popularität weist das Content-Management-System in der Standardinstallation einige Schwachstellen auf. Durch gezielte Maßnahmen wie regelmäßige Updates, Verschlüsselung und strenge Zugangskontrollen lässt sich das Risiko minimieren.

Es besteht durchaus die Möglichkeit, dass Sie den Schaden erst bemerken, wenn Google Sie aus dem Index entfernt hat. Lassen Sie es dazu gar nicht erst kommen und beherzigen Sie meine heutigen Tipps zur WordPress-Sicherheit.

Es existieren viele Möglichkeiten, seine auf WordPress basierende Website davor zu schützen, gehackt zu werden. Als einen wichtigen Teil einer vernünftigen Sicherheitsstrategie kann die Optimierung der wp-config.php Datei angesehen werden. Natürlich ist die Website im Anschluss nicht die Bank von England, jedoch hat man es den Hackern wieder ein wenig erschwert.

Um die wp-config.php zu optimieren, werden sogenannte Konstanten genutzt. WordPress verfügt über sehr viele Konstanten, die genutzt werden können. Doch was ist eigentlich eine Konstante? PHP.net beschreibt die Konstanten folgendermaßen:

Eine Konstante ist ein Bezeichner (Name) für einen einfachen Wert. Wie der Name bereits nahelegt, kann der Wert einer Konstanten zur Laufzeit des Skripts nicht verändert werden (ausgenommen die Magischen Konstanten, die aber keine wirklichen Konstanten sind.) Eine Konstante unterscheidet standardmäßig zwischen Groß- und Kleinschreinbung (case-sensitive). Nach gängiger Konvention werden Konstanten immer in Großbuchstaben geschrieben.

Konstanten sind in die define() Funktion eingebettet und sehen so aus: define('NAME_DER_KONSTANTE', value);

Die wp-config.php ist die Steuerungsdatei für WordPress. Sie wird vor allen anderen Dateien geladen, allein schon deshalb, weil WordPress eine Datenbankverbindung herstellen muss. Die dazu nötigen Angaben finden sich in der Config-Datei. Wenn Sie den Wert einer Konstante ändern, eine neue Konstante hinzufügen oder den Wert einer bestehenden Konstante modifizieren, verändert sich dadurch auch das Verhalten von WordPress.

Wie und wo wird WordPress gehackt und was kann man dagegen tun?

Ein paar grundlegende Ratschläge reichen bereits aus, um die gravierendsten Sicherheitslücken jeder WordPress-Installation zu minimieren. Dazu gehören offensichtliche Maßnahmen wie zeitgerechte Updates bei neuen WordPress-Versionen oder eine effektive Backup-Strategie, um im Ernstfall nicht alles zu verlieren. Aber auch weniger offensichtliche Tipps, wie der Schutz des Verzeichnisses wp-admin oder die Vermeidung des Benutzernamens admin, sind Teil dieser Empfehlungen.

Es wird schnell klar, dass schwache Passwörter nicht das Hauptproblem bei der Verwaltung einer WordPress-Seite darstellen - sie sind nur für 8 Prozent aller Hacks verantwortlich. Viel relevanter sind WordPress Plugins und WordPress Themes, die für über 50 Prozent aller Hacks verantwortlich sind. Dabei haben die Themes mit 29 Prozent einen höheren Anteil als die Plugins.

Die größte Einzelschwachstelle stellt jedoch das WordPress Hosting dar, das für 41 Prozent der Sicherheitsprobleme verantwortlich ist. Hierbei geht es um Aspekte wie Datenbanksicherheit, sorgfältige Dateiberechtigungen, das Verbergen von Dateien und Verzeichnissen, Netzwerksicherheit auf Protokollebene und mehr.

Bei diesen Aspekten wird der durchschnittliche Seitenbetreiber regelmäßig professionelle Hilfe benötigen und sollte diese auch in Anspruch nehmen.

Vor der Arbeit: Bitte ein Backup anfertigen

Erstens: Erstellen Sie vor der Bearbeitung der wp-config.php ein Backup dieser Datei. Bei falschen oder fehlenden Einträgen wird Ihre Website nicht mehr funktionieren.

Zweitens: Fügen Sie alle benutzerdefinierten Angaben oberhalb des im folgenden Screenshot markierten Bereichs ein.

Wichtig: WordPress und Plugins immer sofort updaten

Sie haben es sicherlich schon mehrmals gehört, aber dieser Punkt verdient ständige Wiederholung. Websites werden immer wieder gehackt, weil WordPress oder die Plugins veraltet sind. Updates stellen die effektivste Absicherung gegen Hacking dar!

Die Vorbereitung:

Für alle nun folgenden Arbeiten benötigst du ein FTP-Programm und einen HTML-Editor. Die wp-config.php wird auf den Desktop heruntergeladen, im HTML-Editor bearbeitet und im Anschluss wieder auf den Server geladen.

Nutze die Sicherheitsschlüssel

Die Sicherheitsschlüssel in WordPress dienen beispielsweise der Verschlüsselung der Anmeldeinformationen in Cookies und sind daher äußerst relevant. Selbst wenn Ihre wp-config.php bereits Sicherheitsschlüssel enthält, ist es sinnvoll, diese erneut zu ändern. Durch die Änderung der Schlüssel werden alle aktiven Anmeldungen Ihrer Benutzer beendet. Danach können Sie sich wie gewohnt mit Ihrem Benutzernamen und dem festgelegten Passwort wieder anmelden.

Falls Ihre Website bereits kompromittiert wurde, ist der erste Schritt, den Schadcode zu entfernen. Eine detaillierte Anleitung dazu finden Sie in den weiterführenden Informationen zu diesem Thema. Anschließend besuchen Sie den WordPress Generator für Sicherheitsschlüssel und kopieren sich einen neuen Satz Schlüssel. Ersetzen Sie den alten Abschnitt durch den neuen, wie im Screenshot dargestellt.

WordPress-Sicherheit: Erzwingen Sie die Verwendung von HTTPS

Ein SSL-Zertifikat verschlüsselt die Verbindung zwischen Ihrer Website und dem Browser Ihrer Besucher. Durch die Verwendung von HTTPS wird es Angreifern erschwert, persönliche Daten abzufangen und zu entwenden. Falls Sie bereits ein SSL-Zertifikat für Ihre Website haben, können Sie die Verwendung von HTTPS statt HTTP erzwingen. Dies erhöht die Sicherheit Ihrer Website erheblich. Falls Sie noch kein SSL-Zertifikat haben, sollten Sie ernsthaft in Erwägung ziehen, eines zu implementieren.

Sie müssen sich keine Sorgen um hohe Kosten machen, da es mittlerweile auch kostenlose SSL-Zertifikate gibt.

Falls Ihre Website bereits SSL verwendet, sollten Sie die folgenden Einträge nutzen. Der erste Eintrag dient dem sicheren Einloggen, während der zweite Teil den Browser dazu anhält, den Adminbereich von WordPress ausschließlich mit SSL zu verwenden.

// Forciere das Anmelden mit SSL
define('FORCE_SSL_LOGIN', true);

// Adminbereich nur Nutzbar mit SSL
define('FORCE_SSL_ADMIN', true);

Ändern Sie das Datenbank-Präfix

Das Datenbank-Präfix, auch als Tabellenpräfix bekannt, wird vor jede von WordPress generierte Datenbank-Tabelle gesetzt. Der Standardwert ist wp_. Dieser sollte durch einen anderen Wert ersetzt werden. Je komplizierter der Wert, desto besser. Sie müssen sich keine Sorgen machen, diesen Wert zu vergessen, da er nur einmal eingestellt wird.

Die Wahrscheinlichkeit einer SQL-Injektion ist zwar gering, aber dennoch vorhanden. Ändern Sie daher den Wert, bevor Sie WordPress installieren. Verwenden Sie beispielsweise etwas wie hdr7rf_.

Achtung: Wenn Sie den Wert in einer bereits bestehenden WordPress-Installation ändern, wird die Website unzugänglich!

Deaktivieren Sie den Plugin- und Theme-Editor

In jeder WordPress-Installation besteht die Möglichkeit, Theme- und Plugin-Dateien direkt im Adminbereich zu bearbeiten. Unter den Menüpunkten "Design" und "Plugins" finden Sie jeweils den Editor für die entsprechenden Dateien. Dieser Editor stellt ein hohes Risiko dar, falls er in die Hände eines Hackers gerät. Dateien könnten beschädigt und Malware wie Viren, Trojaner oder Spam hinzugefügt werden. Aber auch für Sie als Administrator Ihrer Website ist der Editor riskant. Ein einziger Fehler, etwa ein vergessenes Semikolon, kann die berüchtigten weißen Seiten hervorrufen, und dann ist die Website unzugänglich.

Änderungen an Theme- oder Plugin-Dateien sollten ausschließlich über (S)FTP vorgenommen werden, da dies wesentlich sicherer ist. Daher sollten die Editoren deaktiviert werden. Eine einzige Zeile in der wp-config.php reicht aus, um beide Editoren sicher zu deaktivieren.

//Schaltet die Theme- und Plugin-Editoren ab
define('DISALLOW_FILE_EDIT', true);

Verschieben Sie die wp-config.php

Die wp-config.php ist das Herzstück Ihrer Website. Sie enthält alle relevanten Daten, einschließlich der Passwörter für die Datenbank. Daher ist es entscheidend, diese Datei so sicher wie möglich zu gestalten. Es gibt zwei Hauptansätze, um dies zu erreichen. Der erste Ansatz besteht darin, den Zugriff über die .htaccess-Datei zu sperren. Der zweite Ansatz sieht vor, die Datei an einen unerwarteten Ort zu verschieben, den ein Hacker nicht leicht finden würde.

Das Verschieben kann problematisch sein, wenn Ihre Website in einem Unterverzeichnis liegt oder Sie ein kostengünstiges Shared-Hosting verwenden. Auch wenn Sie viele Websites in eigenen Verzeichnissen haben, kann das Verschieben kompliziert werden. Wenn jedoch keiner dieser Fälle zutrifft, steht dem Verschieben der Datei nichts im Weg.

// Die wp-config.php an einen anderen Ort verschieben.
// Achtung: Der Pfad muss angepasst werden
define'ABSPATH', dirname__FILE__ ;
require_once ABSPATH '../path/to/wp-config.php';

Wenn Sie den Pfad zur wp-config.php richtig angepasst haben, sollte Ihre Website danach einwandfrei laufen.

Erzwingen Sie die Verwendung von FTPS

Falls Ihr Webhoster das File Transfer Protocol Secure (FTPS) unterstützt, haben Sie die Möglichkeit, die Nutzung von FTPS für die Dateiübertragung zu erzwingen. Dies verschlüsselt die Verbindung zwischen dem Benutzer und Ihrem Server. Der Zugriff auf Serverdaten über das unsichere FTP-Protokoll ist dann nicht mehr möglich. FTP gilt als unsicher, da die Zugangsdaten unverschlüsselt und im Klartext an den Server übermittelt werden. Verwenden Sie daher, wenn möglich, ausschließlich die sichere Verbindung über FTPS. Ihr Webhoster kann Ihnen mitteilen, ob eine FTPS-Verbindung verfügbar ist.

define('FTP_SSL', true);

Weiterführende Informationen:
Wikipedia: FTP über SSL

Erzwingen Sie die Verwendung von SFTP

Einige Hosting-Anbieter unterstützen statt des FTPS-Protokolls das SFTP-Protokoll für die Datenübertragung. Auch in diesem Fall erfolgt eine verschlüsselte Verbindung zwischen dem FTP-Programm des Benutzers und dem Server. Die Nutzung von SFTP lässt sich mit der folgenden Code-Zeile erzwingen:

define('FTP_SSL', true);

Weiterführende Informationen:

Wikipedia: SSH File Transfer Protocol

Debug-Modus deaktivieren

Falls Sie den Debug-Modus von WordPress für Entwicklungszwecke aktiviert haben, ist es entscheidend, diesen wieder zu deaktivieren. Mit aktiviertem Debug-Modus könnten sensible Daten preisgegeben werden, die Hackern bei ihren Angriffen behilflich sein könnten. Auf einem Live-System stellt ein aktivierter Debug-Modus ein erhebliches Sicherheitsrisiko dar.

Auch ich habe schon den Fehler gemacht, diesen Modus aktiviert zu lassen; es ist leicht, das zu vergessen. Werfen Sie daher noch einmal einen prüfenden Blick darauf. Der Debug-Modus wird wie folgt deaktiviert:

define('WP_DEBUG', false);

Deaktivieren Sie die Anzeige von PHP-Fehlern

Falls Sie den Debug-Modus von WordPress aus einem bestimmten Grund unbedingt aktiviert lassen müssen, rate ich Ihnen, die öffentliche Anzeige von Fehlermeldungen zu deaktivieren. Die für Sie relevanten Fehlermeldungen können stattdessen in ein nicht öffentlich zugängliches Log geschrieben werden. Dies ist die sicherere und elegantere Lösung.

Um den Debug-Modus in WordPress aktiviert zu lassen und lediglich die öffentliche Fehlerausgabe zu unterdrücken, verwenden Sie folgende Konstante:

define('WP_DEBUG_DISPLAY', false);

Aktivieren Sie die automatischen Updates

Wie ich bereits zuvor im Beitrag hervorgehoben habe, ist das zeitnahe Aktualisieren des WordPress-Kerns und aller Plugins entscheidend für die Systemsicherheit. Sobald eine neue WordPress-Version veröffentlicht wird, werden auch die Sicherheitslücken der vorherigen Version bekannt. Das bietet Hackern eine solide Grundlage, um Ihre Website zu kompromittieren. Diese Schwachstellen sollten daher so schnell wie möglich behoben werden.

Seit der WordPress-Version 3.7 werden kleinere Sicherheitsupdates automatisch durchgeführt. Dies gilt jedoch nicht für Hauptversionen der Core-Updates. Diese müssen weiterhin manuell aktualisiert werden, und zwar wie folgt:

define( 'WP_AUTO_UPDATE_CORE', minor );

Doch man kann die automatischen Updates für alle Versionen von WP ganz leicht einschalten:

define ('WP_AUTO_UPDATE_CORE', true);

Übrigens lässt sich auch die automatische Aktualisierung der Plugins einrichten. Verwenden Sie dazu das folgende PHP-Snippet in der wp-config.php:

add_filter( 'auto_update_plugin', '__return_true' );

Genauso können Sie auch die Themes automatisch aktualisieren lassen. Fügen Sie dazu in der  wp-config.php folgende Zeile hinzu:

add_filter( 'auto_update_theme', '__return_true' );

Bitte informieren Sie sich vorab im Codex über diese automatischen Updates und verwenden Sie den Code nur, wenn Sie genau verstehen, was Sie tun. Es sollte klar sein, dass die beiden Filter nur Plugins und Themes aktuell halten können, die entweder aus dem offiziellen WordPress-Verzeichnis stammen oder für die eine aktive Subscription vorliegt.

Weiterführende Informationen:

WordPress Codex: Must Use Plugins

So schützen Sie Ihre Website vor Hackern

Das weitverbreitete Content-Management-System WordPress ist in einer Standardinstallation leider nicht besonders sicher. Für Hacker ist es relativ einfach, in die Website einzudringen, sie mit Malware zu infizieren, für Spam-Zwecke zu missbrauchen oder Ähnliches.

Die Sicherheitslücken beginnen schon damit, dass WordPress den Benutzernamen als Klasse verwendet. Dadurch müssen potenzielle Angreifer lediglich das Passwort ermitteln, um die Kontrolle über die betreffende Website zu erlangen.

Vorab: Kann es überhaupt absolute Sicherheit geben?

Der Begriff Sicherheit bezieht sich auf ein bestimmtes Szenario und ist dort binär: Entweder ein System ist gegenüber genau diesem Szenario sicher oder eben nicht. Soll heißen: wenn jemand über mehr als eine Methode, sehr viel Erfahrung und beste Software verfügt, wird er es schaffen, Ihre Webseite zu hacken.

Die gute Nachricht ist jedoch, dass die meisten Angriffe gegen WordPress-Webseiten nicht von erfahrenen Hackern, sondern von Bots oder sogenannten Script-Kiddies durchgeführt werden. Und je mehr Maßnahmen Sie gegen das Gehacktwerden ergreifen, desto geringer werden die Chancen, dass die Hacker oder Bots erfolgreich sind.

Zugriff von außen auf die wp-config.php verbieten

Damit erst gar nicht die Chance für Hacker entstehen kann, auf diese wirklich wichtige Datei zugreifen zu können, verbieten wir jetzt per .htaccess den Zugriff von außen.

# Zugriff auf wp-config.php verbieten
<files wp-config.php>
Order deny,allow
deny from all
</files>

Übrigens müssen sich .htaccess und wp-config.php im selben Verzeichnis befinden.

Standard-Administrator löschen

Als nächstes sollten Sie den Standard-Administrator admin, der von WordPress bei der Installation angelegt wird, löschen. Denn vom Standard-Admin mit der von WordPress zugewiesenen ID #1 gehen auch die Bösewichter und Bots aus. Die müssten dann also nur noch Ihr Passwort erraten und dann…
Legen Sie als erstes über Benutzer => Neu hinzufügen einen neuen Administrator an, der nicht Admin oder Administrator heißt. Dann loggen Sie sich aus. Anschließend loggen Sie sich mit den neuen Daten wieder ein und löschen den alten Account.

Wählen Sie ein sicheres Passwort

Je populärer die Webseite ist, desto größer stehen die Chancen, gehackt zu werden. Wenn Sie ein schwaches Passwort wählen, machen Sie es den bösen Buben nur noch leichter.

Das Passwort sollte mindestens 7 Zeichen lang sein. Um es sicherer zu machen, verwenden Sie Groß-/Kleinschreibung, Ziffern und Symbole wie ! ” ? $ % ^ & ).

Ich persönlich bin etwas paranoider, meine Passwörter sind 25 Zeichen lang.

Die Autor CSS-Klasse aus den Kommentaren entfernen

Standardmäßig fügt WordPress den Loginnamen als Klasse zu den Kommentaren hinzu (siehe Bild ganz oben). Um das zu verhindern, fügen Sie einfach folgenden Code in Ihre functions.php ein:

// Security: Hide Usernames from Classes
function andys_remove_comment_author_class( $classes ) {
  foreach( $classes as $key => $class ) {
    if(strstr($class, "comment-author-")) {
      unset( $classes[$key] );
      }
    }
  return $classes;
  }
add_filter( 'comment_class' , 'andys_remove_comment_author_class' );

Als nächstes sollte noch die WordPress-Version aus dem Headbereich des HTML-Quelltextes entfernt werden, da anhand der Versionsnummer Sicherheitslücken herausgefunden werden können. Folgenden Codeschnipsel schreiben Sie dazu ebenfalls in die functions.php.

// Security: Hide WordPress Version in Sourcecode Head
remove_action('wp_head','wp_generator');

2. WordPress-Installation und Plugins immer zeitnah updaten

Mit der Veröffentlichung einer neuen WordPress-Version steigen auch die Chancen, dass ältere Versionen gehackt werden. Denn mit jedem neuen Release werden die Schwachstellen beschrieben, die mit eben diesem Release gefixt wurden.

Auch Plugins sind immer wieder das Einfalltor für Angriffe. Deswegen achten Sie bitte darauf, WordPress und alle Plugins immer auf den neuesten Stand zu bringen.

Das Script TimThumb.php zur Bildverkleinerung

Das wirklich nutzbringende Script timthumb.php hatte in letzter Zeit einige Sicherheitslücken, die von Hackern brutal ausgenutzt wurden. Aus diesem Grund ist es extrem wichtig, dieses Script immer auf dem neuesten Stand zu halten. Viele kommerzielle und auch nichtkommerzielle Themes nutzen dieses hervorragende Script. Das ist jedoch dem stolzen Besitzer einer WordPress-getriebenen Webseite meist nicht bewusst. Um herauszufinden, ob auch Ihre Webseite dieses Script nutzt, sollten Sie sich das Plugin Timthumb Vulnerability Scanner installieren. Die jeweils neueste Version von TimThumb.php können Sie sich via Googlecode herunterladen.

3. Sichern Sie den Adminbereich ab

Der Adminbereich ist das Herz einer WordPress-Installation. Ist diese Hürde erst einmal genommen, kann ein Hacker alles mit der Webseite anstellen, was er will. Zum Beispiel alles löschen…

Erst vor kurzem wurde der Premium WordPress-Theme Provider woothemes.com gehackt. Die komplette Datenbank sowie alle Backups wurden von den Hackern auf dem Server gelöscht. Lesen Sie hier, wie es woothemes ergangen ist.

Um eine solche Katastrophe zu verhindern, sind nur einige kleine Schritte notwendig.

Nutzen Sie das Plugin "Limit Login Attempts"

Das Plugin Limit Login Attempts bietet Ihnen gleich mehrere Vorteile. Erstens reduziert es die Anzahl der möglichen Login-Versuche, zweitens ändert es die überdetaillierten Fehlermeldungen (bei nicht-erfolgreichen Loginversuchen) von WordPress ab.

Standardmäßig bietet WordPress Ihnen so viele Loginversuche an, wie Sie benötigen. Bei einem Login-Fehler zeigt es Ihnen akribisch auf, ob Benutzername oder Passwort falsch waren. Limit Login Attempts ändert die Fehlermeldung dahingehend, dass nur noch anzeigt wird, dass die Eingabe fehlerhaft war. Es wird jedoch nicht mehr deutlich, was genau der Fehler war.

Ein weiterer Vorteil ist, dass das Plugin jeden Hackversuch mit der IP-Adresse, von der der Angriff ausging, protokolliert. Dies kann man anschließend nutzen, um die betreffenden IP-Adressen per .htaccess zu sperren.

Einen fehlerhaften Loginversuch stellt das Plugin nun wie folgt dar:

Schützen Sie den Adminbereich doppelt

Der Adminbereich einer WordPress-Webseite ist das schwächste Glied in der Kette. Wer diese Hürde nimmt, ist in Ihrer Webseite und kann alles damit anstellen, was er will…
Die Idee ist, den Adminbereich mittels eines vorgeschalteten Passwortes bereits zu schützen, bevor er aufgerufen werden kann.

Die Einrichtung eines solchen, zusätzlichen Schutzes geht relativ leicht vonstatten.

Als erstes gilt es eine leere .htpasswd Datei zu erzeugen. Hierzu erstellt man mit einem reinen Texteditor eine leere Datei, nennt sie .htpasswd.txt und lädt sie in das Hauptverzeichnis des Servers. Im Anschluss benennt man sie auf dem Server in .htpasswd um und lädt sie auf den heimischen Rechner runter. Nun erzeugen wir mit dem Htpasswd Generator eine Kombination aus Benutzername und Passwort und speichern sie in die .htpasswd. Sie lässt sich mit dem Editor öffnen und speichern. Diese Datei wird nun in das Hauptverzeichnis des Servers zurück geladen.

Nun ergänzen wir die .htaccess Datei, die ebenfalls im Hauptverzeichnis des Servers liegt, mit einigen wenigen Zeilen Code.

<Files wp-login.php>
  AuthName "Admin-Bereich"
  AuthType Basic
  AuthUserFile /pfad/zu/.htpasswd
  require valid-user
</Files>
<FilesMatch "(.htaccess|.htpasswd|wp-config.php|liesmich.html|readme.html)">
  order deny,allow
  deny from all
</FilesMatch>

Wichtig ist, bei dem obigen Code darauf zu achten, dass der korrekte Pfad zur .htpasswd angegeben wird. Nun ist der Administrationsbereich doppelt gut geschützt.

Zusammenfassung

Durch die Kombination aller oben aufgeführten Maßnahmen haben wir nun eine recht hohe Sicherheitsschwelle erreicht. Ein Eindringen in die WordPress-Webseite wird nur noch wirklichen Könnern und Spezialisten gelingen. Ich hoffe, durch diesen Artikel meinen Beitrag zu einer verbesserten Sicherheits-Philosophie geleistet zu haben.

Fazit

All diese Punkte zusammengenommen steigern die Sicherheit deines WordPress bereits sehr und sollten ein Teil einer guten Sicherheitsstrategie sein. Denn der Umstand, dass WordPress das beliebteste Content Management System der Welt ist, zieht natürlich auch Hacker an. Die Situation ist durchaus vergleichbar mit dem PC-Betriebssystem Windows. Unter Windows installiert man eine Antiviren-Software, unter WordPress ist zumeist Handarbeit angesagt. Doch der Zugewinn an Sicherheit rechtfertigt diesen kleinen Arbeitsaufwand.

Dieser Beitrag wurde 2016 von Andreas Hecht geschrieben und in 2023 komplett überarbeitet und aktualisiert.