WordPress härten ohne Plugin: 10 manuelle Schritte, die jeder Administrator kennen muss

Zusammenfassung

Viele WordPress-Seitenbetreiber verlassen sich auf Sicherheits-Plugins als einzige Verteidigung, aber das kann ein trügerisches Sicherheitsgefühl erzeugen. Eine wirklich gehärtete WordPress-Installation erfordert manuelle Konfigurationen, die kein Plugin ersetzen kann. Dieser Artikel bietet 10 konkrete, schrittweise Härtungsmaßnahmen, die Sie sofort ohne Plugin umsetzen können. Vom Setzen korrekter Dateiberechtigungen bis zur Deaktivierung von XML-RPC adressiert jeder Schritt eine spezifische Schwachstelle. Sie erfahren, wie Sie Ihre wp-config.php absichern, das Directory Browsing entfernen und mehr. Die Befolgung dieser Schritte reduziert Ihre Angriffsfläche erheblich, auch wenn Sie weiterhin Sicherheits-Plugins als zusätzliche Ebene verwenden. Am Ende haben Sie eine manuell gehärtete WordPress-Seite, die weitaus widerstandsfähiger gegen gängige Angriffe ist.

Einleitung

Sie haben ein beliebtes Sicherheits-Plugin installiert, die Firewall konfiguriert und regelmäßige Scans durchgeführt. Dennoch könnte Ihre WordPress-Seite immer noch verwundbar sein. Sicherheits-Plugins sind wertvoll, aber sie übersehen oft die einfachen Angriffspunkte, die manuelle Härtung abfängt. Sich ausschließlich auf Plugins zu verlassen ist, als würde man die Haustür abschließen, aber die Fenster offen lassen. In diesem Artikel erfahren Sie 10 manuelle Härtungsschritte, die jeder WordPress-Admin durchführen sollte, unabhängig davon, welche Plugins er verwendet. Diese Schritte erfordern keine Programmierkenntnisse und sind in weniger als einer Stunde erledigt. Beginnen wir mit der Sicherung Ihrer Seite von Grund auf.

1. Korrekte Dateiberechtigungen setzen

Eine der häufigsten Fehlkonfigurationen sind zu großzügige Datei- und Verzeichnisberechtigungen. Idealerweise sollten alle Dateien 644 und Verzeichnisse 755 haben. Die Datei wp-config.php ist besonders sensibel – setzen Sie sie nach der Installation auf 440 oder 400. Verwenden Sie einen FTP-Client oder den Dateimanager Ihres Hosters, um die Berechtigungen anzupassen. Wenn Sie sich über Ihre aktuellen Einstellungen unsicher sind, führen Sie eine schnelle Prüfung mit einem Skript oder über die Kommandozeile durch: find /path -type f -exec chmod 644 {} \; und find /path -type d -exec chmod 755 {} \;. Diese einfache Änderung verhindert, dass Unbefugte kritische Dateien lesen oder ändern.

2. Dateibearbeitung im Dashboard deaktivieren

Standardmäßig erlaubt WordPress Administratoren, Theme- und Plugin-Dateien direkt über das Admin-Panel zu bearbeiten. Wenn ein Angreifer Zugriff auf ein Admin-Konto erhält, kann er schädlichen Code einfügen. Deaktivieren Sie diese Funktion, indem Sie die folgende Zeile zu Ihrer wp-config.php-Datei hinzufügen:

define('DISALLOW_FILE_EDIT', true);

Dies hat keine Auswirkung auf Ihre Fähigkeit, Themes oder Plugins hochzuladen – es entfernt lediglich den Inline-Editor. Verwenden Sie eine IDE oder FTP für legitime Bearbeitungen.

3. Directory Browsing deaktivieren

Wenn das Directory Browsing aktiviert ist, kann jeder alle Dateien in Ihrem wp-content/uploads-Ordner auflisten und möglicherweise private Daten preisgeben. Verhindern Sie dies, indem Sie diese Zeile zu Ihrer .htaccess-Datei (Apache) oder entsprechenden Konfiguration hinzufügen:

Options -Indexes

Für Nginx fügen Sie autoindex off; im Server-Block hinzu. Testen Sie es, indem Sie eine Verzeichnis-URL aufrufen; Sie sollten einen 403 Forbidden-Fehler anstelle einer Dateiliste sehen.

4. XML-RPC deaktivieren

XML-RPC ist ein altes Protokoll, das für Remote-Veröffentlichungen und Trackbacks verwendet wird. Es ist ein häufiger Angriffspunkt für Brute-Force-Angriffe und DDoS-Verstärkung. Wenn Sie es nicht unbedingt benötigen (z. B. für das Jetpack-Plugin oder die mobile App), deaktivieren Sie es vollständig. Fügen Sie dies zu Ihrer .htaccess hinzu:

# Block WordPress xmlrpc.php requests
<Files xmlrpc.php>
order deny,allow
deny from all
</Files>

Alternativ verwenden Sie ein Plugin oder die Firewall Ihres Hosters, um den Zugriff zu blockieren. Testen Sie nach der Deaktivierung, ob Ihre Seite noch funktioniert – die meisten modernen Plugins verlassen sich nicht mehr auf XML-RPC.

5. Ungenutzte Themes und Plugins entfernen

Jedes zusätzliche Theme oder Plugin vergrößert Ihre Angriffsfläche. Selbst wenn deaktiviert, kann veralteter Code immer noch ausgenutzt werden. Löschen Sie alle Themes, die Sie nicht aktiv verwenden, und entfernen Sie Plugins, die nicht mehr benötigt werden. Dies ist besonders wichtig für verwaiste Plugins, die keine Updates mehr erhalten. Eine Schritt-für-Schritt-Anleitung zur Bereinigung finden Sie in unserem Artikel über die versteckte Gefahr verwaister WordPress-Plugins.

6. Datenbank-Tabellenpräfix ändern

Standardmäßig verwendet WordPress wp_ als Tabellenpräfix in der Datenbank. Dies ist weithin bekannt und erleichtert SQL-Injection-Angriffe. Ändern Sie das Präfix während der Installation in etwas Einzigartiges. Wenn Ihre Seite bereits live ist, können Sie es trotzdem ändern – das erfordert jedoch mehr Aufwand. Verwenden Sie ein Plugin wie "Change Table Prefix" oder machen Sie es manuell über phpMyAdmin:

1. Exportieren Sie Ihre Datenbank.
2. Benennen Sie alle Tabellen mit einem neuen Präfix um (z. B. mysec_).
3. Aktualisieren Sie die wp-config.php mit dem neuen Präfix.
4. Aktualisieren Sie die Tabellen options und usermeta, in denen das alte Präfix verwendet wird.

Erstellen Sie immer ein Backup, bevor Sie dies versuchen.

7. Anmeldeversuche begrenzen

Brute-Force-Angriffe sind die häufigste Methode, mit der Angreifer Zugang erhalten. WordPress hat keine integrierte Begrenzung der Anmeldeversuche. Implementieren Sie dies manuell, indem Sie Code in die functions.php Ihres Themes einfügen oder besser ein Must-Use-Plugin verwenden. Alternativ bietet Ihr Hosting-Anbieter dies möglicherweise über das Kontrollpanel an. Wenn Sie ein Plugin bevorzugen, wählen Sie eines, das leichtgewichtig und gut programmiert ist. Eine umfassendere Strategie zur Reaktion auf Sicherheitsverletzungen finden Sie in unserem WordPress-Sicherheits-Workflow.

8. Admin-Benutzernamen ändern

Verwenden Sie niemals "admin" als Benutzernamen – es ist die erste Vermutung bei jedem Brute-Force-Angriff. Wenn Sie bereits ein Konto mit diesem Benutzernamen haben, erstellen Sie ein neues Administratorkonto mit einem eindeutigen Namen und löschen Sie dann das alte. Erwägen Sie auch, sich mit einer E-Mail-Adresse statt mit einem Benutzernamen anzumelden.

9. Datenbank-Salts und -Keys stärken

WordPress verwendet Salts und Keys, um Benutzersitzungen und Cookies zu verschlüsseln. Wenn diese kompromittiert werden, können Angreifer Sitzungen fälschen. Generieren Sie neue, starke Salts mit dem WordPress Salt Generator. Kopieren Sie die Ausgabe und ersetzen Sie die entsprechenden Zeilen in Ihrer wp-config.php. Tun Sie dies regelmäßig, insbesondere nach einem Sicherheitsvorfall.

10. Automatische Updates für den Core aktivieren

Den WordPress-Core aktuell zu halten ist entscheidend. Aktivieren Sie automatische Updates für Neben- und Hauptversionen, indem Sie dies zu Ihrer wp-config.php hinzufügen:

define('WP_AUTO_UPDATE_CORE', true);

Bei Hauptversionen sollten Sie zuerst auf einer Staging-Seite testen, aber Sicherheitsupdates nicht verzögern. Kombinieren Sie dies mit regelmäßigen manuellen Überprüfungen von Plugin- und Theme-Updates.

Fazit

Manuelle Härtung ist die Grundlage einer sicheren WordPress-Seite. Diese 10 Schritte adressieren häufige Schwachstellen, die Scanner und Plugins oft übersehen. Durch ihre Umsetzung reduzieren Sie Ihre Angriffsfläche und gewinnen Seelenfrieden. Denken Sie daran, dass Sicherheit ein kontinuierlicher Prozess ist – überprüfen Sie diese Konfigurationen regelmäßig. Für einen umfassenden Ansatz lesen Sie unseren Leitfaden zur proaktiven WordPress-Sicherheitsprüfung. Beginnen Sie heute mit einem Schritt und bauen Sie darauf auf. Die Sicherheit Ihrer Seite hängt von den Maßnahmen ab, die Sie jetzt ergreifen.