Website-Sicherheit
WordPress-Sicherheit:
Ihre Website professionell absichern
Die meisten Betreiber halten ihre Website für zu klein, um interessant zu sein. Das ist ein Missverständnis darüber, wie Angriffe funktionieren. Niemand sucht sich Ihr Unternehmen aus – automatisierte Scanner durchsuchen das Netz nach bekannten Schwachstellen und nehmen mit, was sie finden. Ihre Größe spielt dabei keine Rolle, Ihre WordPress-Version schon.
Was tatsächlich passiert, wenn eine Website kompromittiert wird
Der Ernstfall sieht selten aus wie im Film. Häufiger ist er unauffällig – und deshalb teuer:
Fremde Inhalte unter Ihrer Domain. Angreifer legen hunderte Unterseiten mit Werbung für dubiose Angebote an. Diese Seiten profitieren vom Vertrauen, das Ihre Domain bei Google aufgebaut hat. Sie merken es oft erst, wenn Ihre eigenen Rankings einbrechen. Die Aufräumarbeit dauert Wochen.
Ihre Domain wird zum Spam-Absender. Über Ihren Server werden Massenmails verschickt. Ergebnis: Ihre Domain landet auf Sperrlisten, und plötzlich kommen auch Ihre normalen Geschäftsmails nicht mehr an.
Google warnt Ihre Besucher. Statt Ihrer Startseite sehen Interessenten eine rote Warnseite. Der Vertrauensschaden überlebt die technische Bereinigung um Monate.
Datenabfluss. Kontaktformulardaten, Kundendaten, Zugangsdaten. Ab hier ist es nicht mehr nur ein technisches, sondern ein datenschutzrechtliches Problem mit Meldepflicht.
Unser Sicherheitscheck
Am Anfang steht eine Bestandsaufnahme. Wir prüfen:
Aktualität und Angriffsfläche
Welche Versionen laufen, welche bekannten Lücken betreffen Sie, welche Plugins sind verwaist oder werden nicht mehr gepflegt? Jedes ungenutzte Plugin ist eine unnötige Tür.
Zugänge und Benutzerkonten
Wer hat Administratorrechte – und braucht das wirklich jeder? Gibt es alte Konten ausgeschiedener Mitarbeiter oder früherer Dienstleister? Werden Anwendungspasswörter genutzt, die niemand mehr überblickt?
Serverseitige Konfiguration
Dateirechte, Verzeichnisschutz, PHP-Ausführung in Upload-Ordnern, Zugriff auf sensible Systemdateien.
Externe Sichtbarkeit
Wir prüfen, was Google unter Ihrer Domain kennt. Unbekannte Unterseiten im Index sind eines der zuverlässigsten Frühwarnzeichen – und einer der am häufigsten übersehenen.
E-Mail-Absicherung
SPF, DKIM und DMARC. Ohne diese Einträge kann jeder in Ihrem Namen Mails verschicken. Das ist kein Website-Thema im engeren Sinn, gehört aber untrennbar dazu. Sie erhalten einen verständlichen Bericht mit Befunden, Risikoeinschätzung und priorisierten Maßnahmen. Was Sie damit tun, entscheiden Sie.
Härtung – was wir umsetzen
Zwei-Faktor-Anmeldung für alle Konten mit erweiterten Rechten. Die wirksamste Einzelmaßnahme überhaupt, weil sie gestohlene Passwörter wertlos macht. Anmeldebereich schützen, Anmeldeversuche begrenzen, automatisierte Zugriffe ausbremsen. Nicht benötigte Schnittstellen deaktivieren – etwa XML-RPC und Anwendungspasswörter, wenn sie nicht gebraucht werden. Beide sind beliebte Einstiegspunkte und in fast keiner Standardinstallation abgeschaltet. Dateibearbeitung im Backend sperren, damit ein übernommenes Konto nicht direkt Code ausführen kann. Rechte reduzieren: Redakteure brauchen keine Administratorrechte. Sicherheitsrelevante Header setzen und Systemdateien vor direktem Zugriff schützen.
Laufende Überwachung
Einmalige Härtung ist ein Zustand, kein Schutz. Neue Lücken entstehen laufend. Deshalb gehört Sicherheit in den Dauerbetrieb: Dateiänderungen überwachen, Anmeldeversuche protokollieren, den Index beobachten und Sicherheitsmeldungen zu den eingesetzten Plugins verfolgen.
Das ist Bestandteil unserer Wartungspakete.
Warum wir das ernst nehmen
Wir haben einen groß angelegten Missbrauchsfall dieser Art selbst bearbeitet – von der forensischen Analyse über die Bereinigung bis zur Wiederherstellung der Sichtbarkeit bei Google. Diese Erfahrung fließt in jede Installation ein, die wir betreiben. Absicherung ist bei uns kein Aufpreis-Modul, sondern Grundausstattung.
Häufige Fragen zur Sicherheit
Wissen, wo Sie stehen
Die meisten Betreiber können die Frage nicht beantworten, ob ihre Website sicher ist – weil niemand nachgesehen hat. Genau das machen wir im Sicherheitscheck.
Sie erhalten danach einen verständlichen Bericht: welche Schwachstellen tatsächlich vorhanden sind, wie kritisch jede einzelne ist und in welcher Reihenfolge sie behoben werden sollten. Keine Liste mit 200 Warnmeldungen aus einem Scanner, sondern eine Einschätzung, mit der Sie etwas anfangen können.
Was Sie mit dem Bericht tun, entscheiden Sie. Sie können uns beauftragen, die Punkte abzuarbeiten – oder ihn Ihrem bisherigen Dienstleister geben.