WordPress-Sicherheit: Warum Updates keine Kür mehr sind

Ein typischer Fall: Der Hoster sperrt eine Website. Die Begründung: Vom Webspace gehen seit Tagen massenhaft Spam-Mails raus. Der Betreiber hat davon nichts bemerkt. Die Website sieht aus wie immer.

Die Ursache ist schnell gefunden. Ein Kontaktformular-Plugin hat seit über einem Jahr kein Update bekommen. Über eine bekannte Lücke darin hat sich jemand Zugriff verschafft und den Webspace als Spam-Schleuder genutzt.

Ein Einzelfall ist das nicht. So etwas passiert regelmäßig bei Websites, die man einfach „laufen lässt“.

1. Updates sind Instandhaltung

Viele Betreiber behandeln WordPress wie eine Lampe. Einmal angeschlossen, brennt sie.

WordPress ist eher ein Auto. Es braucht Wartung, auch wenn es fährt. Viele Updates schließen Sicherheitslücken, die vorher öffentlich gemeldet wurden. Genau da liegt das Problem: Sobald eine Lücke bekannt und behoben ist, wissen auch Angreifer, wo sie suchen müssen. Wer nicht aktualisiert, lässt die Tür offen und hängt noch ein Schild dran.

Das betrifft drei Bereiche einer WordPress-Website.

Der WordPress-Core ist das Grundsystem selbst. Hier kommen die wichtigsten Sicherheitsupdates.

Plugins sind Erweiterungen, etwa für Kontaktformulare, Cookie-Banner oder Page-Builder. Besonders anfällig sind Plugins, die direkt mit Eingaben von Besuchern arbeiten, also vor allem Formulare.

Das Theme ist das Design-Gerüst. Es ist seltener betroffen, aber nicht ausgenommen.

Daraus folgt eine einfache Regel: Jedes Plugin ist eine weitere Tür, die gepflegt werden muss. Auf vielen Websites liegen Plugins, die niemand mehr nutzt. Ein Slider von der alten Startseite, ein Formular, das längst ersetzt wurde. Auch deaktivierte Plugins bleiben auf dem Server und können angreifbar sein. Was Sie nicht brauchen, löschen Sie deshalb besser ganz.

Ein Update, das vier Monate liegen bleibt, ist kein kleiner Rückstand. Es ist ein offenes Zeitfenster. Niemand sucht gezielt Ihre Website heraus. Bots prüfen tausende Websites gleichzeitig auf bekannte Lücken. Wen es trifft, den trifft es zufällig. Aber dann richtig.

2. Cookie- und DSGVO-Plugins genauer anschauen

Cookie-Banner und Consent-Tools nutzen inzwischen fast alle KMU und Vereine. Das sind Werkzeuge, die die Einwilligung der Besucher abfragen und speichern. Verbreitet sind zum Beispiel Borlabs Cookie, Complianz oder Real Cookie Banner.

Diese Plugins bekommen häufig Updates, weil sich die Rechtslage und die Vorgaben der Aufsichtsbehörden ändern. Ist ein solches Plugin veraltet, haben Sie im schlechtesten Fall zwei Probleme auf einmal: eine Sicherheitslücke und eine Einwilligung, die nicht mehr sauber erfasst wird. Unangenehm doppelt.

Mein Rat: Prüfen Sie diese Plugins nicht nur technisch. Schauen Sie auch, ob die Konfiguration noch zur aktuellen Rechtslage passt.

3. Backups sind die Rückversicherung

Ein Update kann schiefgehen. Selten, aber es kommt vor. Zwei Plugins vertragen sich nicht, oder eine neue Core-Version kommt mit einer alten Funktion nicht klar.

Ohne Backup ist die Website dann weg, bis jemand sie mühsam wieder zusammensetzt. Mit Backup spielen Sie den alten Stand zurück und haben ein paar Minuten verloren.

Das ist der Unterschied zwischen einem Ärgernis und einem Totalausfall.

Für die Praxis heißt das:

• Automatische Backups, mindestens wöchentlich, bei aktiven Websites besser täglich.
• Backups außerhalb des eigenen Servers speichern. Wird der Server selbst kompromittiert, ist ein Backup auf demselben Server wertlos.
• Ab und zu testen, ob sich ein Backup wirklich einspielen lässt. Ein Backup, das nie zurückgespielt wurde, ist eine Vermutung und kein Sicherheitsnetz.

4. Den Login absichern

Viele Angriffe auf WordPress-Websites brauchen keine komplizierte Sicherheitslücke. Sie probieren einfach den Login.

Benutzername „admin“, Passwort der Vereinsname mit einer Jahreszahl dahinter. Das ist nicht übertrieben, das sehe ich immer wieder.

Schon wenige Maßnahmen helfen deutlich.

Bei der Zwei-Faktor-Authentifizierung brauchen Sie neben dem Passwort einen zusätzlichen Code, meist aus einer App auf dem Smartphone. Ein gestohlenes Passwort allein reicht dann nicht mehr.

Wenn Sie die Login-Versuche begrenzen, sperrt die Website die IP-Adresse nach einigen Fehlversuchen für eine Weile. Das automatische Durchprobieren von Passwörtern läuft damit ins Leere.

Verzichten Sie außerdem auf Standard-Benutzernamen. „admin“ oder der Firmenname sind die ersten Namen, die solche Angriffe ausprobieren.

Der Aufwand ist überschaubar. Die Einrichtung dauert etwa eine halbe Stunde, die Wirkung hält über Jahre.

Was das für Sie konkret heißt

Sie brauchen keinen Komplettumbau. Sie brauchen eine feste Routine.

Aktualisieren Sie einmal im Monat Core, Theme und Plugins. Machen Sie vorher ein Backup und prüfen Sie danach kurz, ob die Seite noch aussieht und funktioniert wie vorher. Bei Formularen und Cookie-Plugins lohnt sich ein genauerer Blick, weil dort Daten Ihrer Besucher im Spiel sind.

Mit Technik-Basteln hat das wenig zu tun. Es ist Routine, so wie der Ölwechsel beim Auto.

Bei Websites, die seit Jahren niemand angefasst hat, reicht das allerdings nicht. Dort steht zuerst ein gründlicher Check an, danach geht es in den monatlichen Rhythmus. Dass so etwas liegen bleibt, ist nachvollziehbar. Gerade bei Vereinen wechselt der Vorstand, und die Website fällt zwischen die Stühle. Im Ernstfall wird es trotzdem teuer.

Sie wissen nicht genau, wie aktuell Ihre WordPress-Installation ist oder ob Ihr Backup im Ernstfall funktioniert? Das lässt sich in einem kurzen Gespräch klären. Ich schaue mir das für Sie an, nüchtern und ohne Panikmache.

Dieser Beitrag ersetzt keine Rechtsberatung.