An einem Montagabend im November kam um 20 Uhr eine Mail von Wordfence: Die Firewall einer Kundenseite hatte in zehn Minuten 110 Angriffe blockiert. Alle kamen von derselben IP-Adresse, alle mit einem bekannten Schad-User-Agent. Es war nicht die erste Mail dieser Art. Seit Ende September habe ich für diese eine Website über 30 Warnungen bekommen: erhöhte Angriffsraten, fehlgeschlagene Logins mit erfundenen Benutzernamen und ein Scan-Treffer, weil Elementor Pro zwei Versionen hinterherhing.
Passiert ist nichts. Die Website lief die ganze Zeit normal weiter. Genau darum geht es in diesem Artikel: Ich zeige dir, wie du deine WordPress-Website schützt, welche Plugins ich installiere, was dein Hoster mitbringt und wie ich die Sicherheit für alle Kundenseiten mit WP Umbrella und KI im Blick behalte.
Die Kurzfassung: Angriffe auf WordPress sind automatisiert und treffen jede Website, auch kleine. Der wichtigste Schutz sind regelmäßige Updates mit einem Backup davor. Dazu kommen ein Sicherheits-Plugin mit Firewall (zum Beispiel Wordfence), ein abgesicherter Login mit Zwei-Faktor-Anmeldung und ein Hoster, der Malware-Scan, Firewall und tägliche Backups mitbringt. Wer mehrere Websites betreut, braucht zusätzlich ein zentrales Werkzeug wie WP Umbrella, damit keine Seite durchrutscht.
Das Wichtigste in Kürze
- Jede WordPress-Website wird angegriffen, meist von Bots, die bekannte Lücken und schwache Passwörter durchprobieren.
- Updates sind der wichtigste Schutz: Die meisten gehackten Websites hatten ein veraltetes Plugin.
- Ein Sicherheits-Plugin wie Wordfence blockiert Angriffe, bevor sie WordPress erreichen.
- Zwei-Faktor-Anmeldung und begrenzte Login-Versuche machen Brute-Force-Angriffe nutzlos.
- Hostinger bringt Malware-Scanner, Firewall und Backups mit. Tägliche Backups lohnen sich immer.
- Für mehrere Websites nutze ich WP Umbrella und frage den Status per KI über das WP Umbrella MCP ab.
Was eine Wordfence-Warnung wirklich bedeutet
Wenn Wordfence „Erhöhte Angriffsrate“ meldet, heißt das: Die Firewall hat in kurzer Zeit mehr Anfragen blockiert als üblich. Die Angriffe sind also nicht durchgekommen. Die Mail ist ein Hinweis, kein Alarm.
In meinen Kundenmails tauchen vor allem vier Arten von Warnungen auf:
- Erhöhte Angriffsrate: Ein Bot feuert in Minuten dutzende bis hunderte Anfragen ab, zum Beispiel auf bekannte Plugin-Lücken. Wordfence blockiert sie.
- Benutzer kann sich nicht anmelden: Jemand probiert Logins mit Namen wie „admin“ oder dem Domainnamen. Nach einigen Fehlversuchen sperrt Wordfence die IP.
- Admin Login: Ein Administrator hat sich angemeldet. Das bist meistens du selbst oder dein Webdesigner. Wenn nicht, musst du sofort handeln.
- Problems found: Der Scan hat etwas gefunden, sehr oft ein veraltetes Plugin. In meinem Beispiel stand Elementor Pro auf 4.2.3, aktuell war 4.3.2.
Die ersten beiden Warnungen zeigen, dass der Schutz arbeitet. Die letzten beiden verlangen, dass du etwas tust: prüfen, wer sich angemeldet hat, und das Update einspielen.
Wer deine Website angreift und warum
Viele Betreiber denken: „Meine Seite ist zu klein, die greift doch keiner an.“ Das stimmt leider nicht. Fast kein Angriff richtet sich gezielt gegen dich. Bots durchsuchen rund um die Uhr das ganze Internet nach WordPress-Websites und probieren dabei immer dieselben Dinge aus:
- Bekannte Lücken in Plugins und Themes: Sobald eine Sicherheitslücke veröffentlicht ist, testen Bots innerhalb von Stunden Millionen Websites darauf.
- Brute Force auf den Login: Tausende Kombinationen aus Benutzername und Passwort auf
wp-login.phpundxmlrpc.php. - Schwachstellen-Suche: Anfragen nach Backup-Dateien, Konfigurationsdateien oder alten Installationsskripten.
Das Ziel ist selten deine Website selbst. Angreifer wollen Server für Spam-Versand, versteckte Links für fremde Websites (SEO-Spam) oder Weiterleitungen auf betrügerische Seiten. Für dich bedeutet ein erfolgreicher Angriff trotzdem viel Ärger: Google warnt Besucher vor deiner Seite, Rankings brechen ein, und die Reinigung kostet Zeit und Geld.
Updates: der wichtigste Schutz überhaupt
Wenn du aus diesem Artikel nur eine Sache mitnimmst, dann diese: Halte WordPress, Plugins und Theme aktuell. Die meisten gehackten Websites, die ich in den letzten Jahren gesehen habe, hatten ein veraltetes Plugin mit einer längst bekannten und längst geschlossenen Lücke.
So gehe ich bei Updates vor:
- Backup vorher. Immer. Wenn ein Update etwas kaputt macht, bist du in fünf Minuten wieder auf dem alten Stand.
- Sicherheitsupdates sofort, normale Updates mindestens einmal im Monat.
- In der richtigen Reihenfolge: erst WordPress, dann die großen Plugins (bei Elementor-Seiten erst Elementor, dann Elementor Pro), dann Theme und kleinere Plugins.
- Kurze Sichtprüfung nach dem Update: Startseite, ein Formular, eine Unterseite.
Automatische Updates sind für kleine Plugins und WordPress-Wartungsversionen in Ordnung, wenn täglich ein Backup läuft. Große Versionssprünge spiele ich lieber kontrolliert ein. Wie das bei Elementor im Detail aussieht, habe ich in meinem Artikel zur Elementor-Wartung beschrieben.
Ein Punkt, der oft vergessen wird: Abgelaufene Lizenzen. Läuft die Lizenz eines Premium-Plugins wie Elementor Pro ab, funktioniert alles weiter, aber es kommen keine Updates mehr. Jede neue Lücke bleibt dann dauerhaft offen. Dasselbe gilt für Plugins, die du nicht mehr nutzt: Lösche sie, statt sie nur zu deaktivieren.
„Eine Wordfence-Warnung ist kein Grund zur Panik, sondern der Beweis, dass der Schutz funktioniert. Gefährlich wird es erst, wenn niemand die Updates einspielt.“
Thomas Gress, WordPress- und Elementor-Experte
Sicherheits-Plugins: Was ich installiere
Ein Sicherheits-Plugin ist die zweite Verteidigungslinie. Es blockiert Angriffe, bevor sie WordPress erreichen, und schlägt Alarm, wenn sich Dateien verändern. Bei den meisten Kundenseiten setze ich auf Wordfence.
Wordfence kostenlos oder Premium
Die kostenlose Version reicht für viele Websites aus. Sie enthält:
- eine Web Application Firewall, die bekannte Angriffsmuster blockiert,
- einen Malware-Scanner, der Dateien mit den Originalversionen vergleicht,
- Login-Schutz mit Sperre nach Fehlversuchen und Zwei-Faktor-Anmeldung,
- E-Mail-Warnungen wie die oben beschriebenen.
Die Premium-Version bekommt neue Firewall-Regeln in Echtzeit, die kostenlose Version erst mit Verzögerung. Dazu kommen eine Sperrliste bekannter Angreifer-IPs und die Sperre ganzer Länder. Für Online-Shops und Websites, auf denen viele Benutzer angemeldet sind, lohnt sich das. Für eine typische Unternehmenswebsite reicht meist die kostenlose Version, wenn die Updates stimmen.
Alternativen und die wichtigste Regel
Gute Alternativen sind Solid Security, All-In-One Security (AIOS) und Sucuri. Die wichtigste Regel: Nutze nur ein Sicherheits-Plugin. Zwei Firewalls gleichzeitig bremsen die Website, blockieren sich gegenseitig und sperren im schlimmsten Fall dich selbst aus.
Ein Tipp aus der Praxis: Stell die E-Mail-Warnungen so ein, dass du nur Wichtiges bekommst, zum Beispiel Scan-Funde und Admin-Logins. Wer jeden Tag zehn Mails bekommt, liest irgendwann keine mehr, auch nicht die eine, die zählt.
Den Login absichern
Brute-Force-Angriffe auf den Login sind die häufigste Angriffsart, die ich in den Wordfence-Mails sehe. Mit ein paar Einstellungen werden sie nutzlos:
- Zwei-Faktor-Anmeldung (2FA) für alle Administratoren. Selbst wenn ein Passwort bekannt wird, kommt ohne den Code vom Handy niemand rein. Wordfence bringt das kostenlos mit.
- Kein Benutzer namens „admin“ und kein Benutzername, der dem Domainnamen entspricht. Genau diese Namen probieren die Bots zuerst.
- Login-Versuche begrenzen: Nach wenigen Fehlversuchen wird die IP gesperrt.
- Starke, einzigartige Passwörter aus einem Passwort-Manager, für jede Website ein eigenes.
- So wenige Administratoren wie möglich. Redakteure brauchen keine Admin-Rechte. Ehemalige Mitarbeiter und Dienstleister entfernst du sofort.
- XML-RPC deaktivieren, wenn du es nicht brauchst (zum Beispiel für die WordPress-App oder Jetpack). Es ist ein beliebtes Ziel für Brute-Force-Angriffe.
Länder zu sperren klingt verlockend, hat aber eine Kehrseite. Ich habe es selbst erlebt: Ein Kunde hatte Login-Versuche aus dem Ausland gesperrt, und ich kam aus Spanien nicht mehr in sein WordPress. Wenn du Länder sperrst, dann nur für den Login und mit einer Ausnahme für deine Dienstleister.
Was Hostinger mitbringt und was sich zu kaufen lohnt
Ein guter Teil der Sicherheit liegt beim Hoster. Die meisten meiner Kundenseiten laufen bei Hostinger. Dort ist bereits einiges eingebaut, ohne dass du etwas einrichten musst:
- Malware-Scanner (mit Monarx): durchsucht im Hintergrund die Dateien nach Schadcode wie Backdoors und Webshells. Du findest ihn im hPanel im Website-Dashboard unter „Malware Scanner“.
- Firewall und DDoS-Schutz: Eine Web Application Firewall und ein Traffic-Filter blockieren Angriffe schon auf Server-Ebene.
- Kostenloses SSL-Zertifikat mit automatischer Verlängerung.
- Automatische Backups: je nach Tarif wöchentlich oder täglich.
- WordPress-Werkzeuge: automatische Updates mit Backup davor und Hinweise auf verwundbare Plugins direkt im hPanel.
Was ich zusätzlich empfehle
Tägliche Backups. Wöchentliche Backups sind für eine aktive Website zu wenig. Wird deine Seite am Freitag gehackt und das letzte Backup ist vom Montag, sind alle Änderungen, Bestellungen und Formulareingaben dazwischen weg. Deshalb empfehle ich mindestens den Business-Tarif, der tägliche Backups enthält. Wer auf einem kleineren Tarif bleibt, sollte die täglichen Backups im hPanel dazubuchen.
Das CDN. Das hauseigene CDN von Hostinger ist im Business-Tarif und in den Cloud-Tarifen enthalten. Es macht die Website schneller und fängt Bot-Traffic ab, bevor er deinen Server erreicht.
Die Malware-Reinigung ist eine kostenpflichtige Einmal-Leistung, falls doch etwas passiert. Den Preis zeigt das hPanel im Malware Scanner an. Besser ist natürlich, es gar nicht so weit kommen zu lassen.
Wichtig: Der Schutz des Hosters ersetzt kein Sicherheits-Plugin und keine Updates. Er ist eine zusätzliche Schicht. Wenn du gerade neu startest, findest du in meinem Leitfaden zu Hostinger Business und Elementor Pro die Einrichtung Schritt für Schritt.
So halte ich die Websites meiner Kunden sicher: WP Umbrella
Eine Website im Blick zu behalten ist einfach. Bei zehn oder zwanzig Websites wird es ohne Werkzeug unübersichtlich: Welche Seite hat offene Updates? Wo ist ein Plugin verwundbar? Lief das Backup heute Nacht? Dafür nutze ich WP Umbrella.
WP Umbrella ist ein Dashboard, in dem alle Kundenseiten zusammenlaufen. Für jede Website sehe ich auf einen Blick:
- Updates: offene Updates für WordPress, Plugins und Themes, die ich gesammelt einspielen kann.
- Sicherheitslücken: Plugins mit bekannten Schwachstellen werden markiert, bevor der erste Bot sie findet.
- Backups: automatische Backups außerhalb des Hosters, also auch dann verfügbar, wenn der Server selbst ein Problem hat.
- Uptime-Überwachung: Fällt eine Website aus, bekomme ich sofort eine Nachricht, meistens bevor der Kunde es merkt.
- Performance und PHP-Fehler: damit Probleme auffallen, bevor Besucher sie sehen.
Der Vorteil für meine Kunden: Sie müssen sich um nichts kümmern und bekommen trotzdem regelmäßig einen Bericht, was gemacht wurde.
Neu mit KI: WP Umbrella MCP und Elementor MCP
Seit Kurzem arbeite ich zusätzlich mit KI. Möglich macht das das Model Context Protocol (MCP): ein offener Standard, über den KI-Assistenten wie Claude direkt mit anderen Werkzeugen sprechen können.
WP Umbrella MCP
Über das WP Umbrella MCP ist Claude mit meinem WP-Umbrella-Konto verbunden. Statt mich durch das Dashboard zu klicken, frage ich einfach: „Welche Kundenseiten haben offene Sicherheitsupdates?“ oder „Bei welcher Website ist das letzte Backup älter als zwei Tage?“ Die Antwort kommt aus den Live-Daten von WP Umbrella, mit Updates, Schwachstellen, Backups, Uptime und Wartungsverlauf.
Wichtig für die Sicherheit: Das MCP ist standardmäßig nur lesend. Schreibzugriff, also zum Beispiel Updates anstoßen, muss ich ausdrücklich freischalten, und zwar pro Website und pro Aktion. Jede Aktion der KI landet in einem eigenen Aktivitätsprotokoll. Die Anmeldung läuft über das WP-Umbrella-Konto, ohne API-Schlüssel, der irgendwo herumliegt.
Elementor MCP
Das Elementor MCP nutze ich vor allem zum Bauen und Pflegen von Seiten. Wie das funktioniert, habe ich ausführlich in meinem Artikel über Websites mit Elementor MCP und Claude Code beschrieben. Für die Sicherheit ist es auf andere Weise nützlich: Nach einem Update kann ich prüfen lassen, ob Seiten und Vorlagen noch korrekt aufgebaut sind.
Wo die Grenzen sind
KI nimmt mir Routine ab, aber sie ersetzt nicht das Hinschauen. Drei Regeln halte ich immer ein:
- Kein Update ohne Backup, egal ob ich klicke oder die KI.
- Schreibrechte nur so weit wie nötig. Die KI bekommt Zugriff auf die Websites und Aktionen, die sie für die Aufgabe braucht, nicht mehr.
- Ich prüfe das Ergebnis selbst, bevor ich dem Kunden sage, dass alles erledigt ist.
Checkliste: So schützt du deine WordPress-Website
- WordPress, Plugins und Theme sind aktuell, Sicherheitsupdates werden sofort eingespielt.
- Vor jedem Update läuft ein Backup, zusätzlich täglich automatisch.
- Ein Backup liegt außerhalb des Servers (zum Beispiel über WP Umbrella).
- Ungenutzte Plugins und Themes sind gelöscht, nicht nur deaktiviert.
- Alle Premium-Lizenzen sind gültig.
- Genau ein Sicherheits-Plugin mit Firewall ist aktiv.
- Alle Administratoren nutzen Zwei-Faktor-Anmeldung.
- Kein Benutzer heißt „admin“, es gibt nur so viele Admins wie nötig.
- Login-Versuche sind begrenzt, XML-RPC ist aus, wenn es nicht gebraucht wird.
- SSL ist aktiv, die Website lädt nur über https.
- Die Malware-Prüfung des Hosters ist aktiv.
- Warn-Mails kommen an und werden gelesen.
Häufige Fragen zur WordPress-Sicherheit
Ist eine Wordfence-Warnung über eine erhöhte Angriffsrate gefährlich? Nein, nicht an sich. Die Warnung bedeutet, dass die Firewall mehr Angriffe als üblich blockiert hat. Die Angriffe sind also nicht durchgekommen. Wichtig ist, dass deine Plugins aktuell sind und du die Scan-Ergebnisse im Blick behältst.
Brauche ich Wordfence Premium? Für die meisten Unternehmenswebsites reicht die kostenlose Version, wenn die Updates regelmäßig eingespielt werden. Premium lohnt sich für Online-Shops, Mitgliederbereiche und Websites, die häufig angegriffen werden, weil neue Firewall-Regeln sofort ankommen und bekannte Angreifer-IPs gesperrt werden.
Wie oft sollte ich meine WordPress-Website aktualisieren? Sicherheitsupdates sofort, alle anderen Updates mindestens einmal im Monat. Mach vor jedem Update ein Backup und prüfe danach kurz die wichtigsten Seiten.
Reicht der Schutz von Hostinger aus? Hostinger bringt Malware-Scanner, Firewall, SSL und Backups mit. Das ist eine gute Grundlage, ersetzt aber keine Updates, kein Sicherheits-Plugin und keinen abgesicherten Login. Ich empfehle zusätzlich tägliche Backups, etwa über den Business-Tarif.
Was ist das WP Umbrella MCP? Ein Zugang, über den KI-Assistenten wie Claude die Daten aus WP Umbrella abfragen können: offene Updates, Sicherheitslücken, Backups und Uptime aller verbundenen Websites. Standardmäßig ist der Zugriff nur lesend, Schreibrechte müssen pro Website und Aktion freigeschaltet werden.
Meine Website wurde gehackt. Was jetzt? Ruhe bewahren und nichts löschen. Ändere alle Passwörter (WordPress, Hosting, FTP, Datenbank), spiele ein sauberes Backup von vor dem Angriff ein und aktualisiere danach sofort alle Plugins. Wenn du kein sauberes Backup hast, hilft die Malware-Reinigung deines Hosters oder ein Profi.
Sicherheit ist kein Projekt, sondern Routine
Die 110 blockierten Angriffe in zehn Minuten klingen dramatisch, sind aber Alltag für jede WordPress-Website. Entscheidend ist nicht, ob deine Seite angegriffen wird, sondern ob sie vorbereitet ist: aktuelle Updates, ein Backup von gestern, eine Firewall und ein abgesicherter Login. Das ist kein einmaliges Projekt, sondern eine Routine von wenigen Minuten im Monat.
Wenn du das nicht selbst machen willst, übernehme ich es für dich. In meiner WordPress-Wartung kümmere ich mich um Updates, Backups und Sicherheit, und du bekommst jeden Monat einen kurzen Bericht. Und wenn du erst mal wissen willst, wie es um deine Website steht, mach den kostenlosen SEO- und KI-Check.
