„Härtung“ heißt: Du schaltest bei deiner WordPress-Website Schutzmaßnahmen ein, die Angreifern das Leben schwerer machen. Hier steht, was die einzelnen Maßnahmen bedeuten und worauf du achten solltest, bevor du sie einschaltest.
Wo du die Maßnahmen findest
Öffne im Kundenbereich dein Hosting-Paket, wechsle auf den Reiter WordPress und such die Karte Sicherheit. Dort klickst du auf „Maßnahmen ansehen“. Jede Maßnahme hat einen Schalter. Neben dem Namen steht ein Knopf mit einem Fragezeichen: Ein Klick darauf zeigt dir eine kurze Erklärung, die auch hier im Artikel steht.
Gut zu wissen, bevor du etwas einschaltest
- Mach vorher ein Backup, besonders bei Standardpräfix von Datenbanktabellen ändern. Wie das geht, zeigt dir die Karte „Backups“ im selben Reiter.
- Beim Einschalten fragt die Karte immer noch einmal nach. Dort steht auch, wenn eine Maßnahme nicht zurückgenommen werden kann. Das kannst du dann nicht mehr rückgängig machen.
- Manche Maßnahmen können ein Plugin oder dein Theme stören. Prüf deine Website nach dem Einschalten kurz durch. Ist etwas kaputt, schalte die Maßnahme wieder aus, sofern sie sich zurücknehmen lässt.
- Welche Maßnahmen du in der Karte siehst, hängt von deiner Installation ab. Nicht jede ist überall möglich oder nötig.
Anmeldung und Zugänge
Standardbenutzername des Administrators ändern
Was ist das?
Ersetzt ein Administrator-Konto mit dem Namen „admin“ durch ein neues Konto mit zufälligem Benutzernamen. Wer Passwörter durchprobiert, rät „admin“ als Erstes.
Was ändert sich für dich?
Das Konto „admin“ wird entfernt, seine Inhalte gehen an ein neues Administratorkonto mit zufälligem Namen. Den Namen siehst du danach in der Benutzerliste; ins Backend kommst du jederzeit über „WP-Admin öffnen“ im Kundenbereich. Gibt es kein Konto „admin“, ändert sich nichts.
Autorenscans blockieren
Was ist das?
Verhindert, dass Besucher über die Autorensuche die Benutzernamen deiner Konten herausfinden. Das ist ein beliebter erster Schritt bei Passwort-Angriffen.
Was ändert sich für dich?
Je nach Permalink-Einstellung können Seiten, die alle Beiträge eines Autors zeigen, danach nicht mehr aufrufbar sein.
Anwendungspasswörter deaktivieren
Was ist das?
Schaltet Anwendungspasswörter ab. Damit dürfen externe Apps und Dienste im Namen eines Benutzers auf WordPress zugreifen; ein Angreifer kann einen Administrator dazu bringen, einer schädlichen App diesen Zugriff zu erlauben.
Was ändert sich für dich?
Apps und Dienste, die auf diese Weise verbunden sind (zum Beispiel die WordPress-App oder manche Automatisierungen), melden sich danach nicht mehr an. Nur einschalten, wenn du so etwas nicht nutzt.
Sicherheitsschlüssel konfigurieren
Was ist das?
Stellt sicher, dass WordPress lange, zufällige Sicherheitsschlüssel hat. Mit ihnen werden die Anmelde-Cookies verschlüsselt.
Was ändert sich für dich?
Beim Setzen neuer Schlüssel werden angemeldete Benutzer abgemeldet und müssen sich neu anmelden.
Schutz vor Bots aktivieren
Was ist das?
Hält unerwünschte oder schädliche Bots fern, die deine Seite nach Schwachstellen absuchen oder mit Anfragen überladen.
Was ändert sich für dich?
Lässt du deine Seite von einem Online-Sicherheitsdienst prüfen, schalte die Maßnahme dafür kurz aus, denn solche Prüfer können ebenfalls blockiert werden.
Datenbank und WordPress-Oberfläche
Standardpräfix von Datenbanktabellen ändern
Was ist das?
Ersetzt das Standard-Präfix „wp_“ der Datenbanktabellen durch ein anderes. Mit dem bekannten Präfix lassen sich Datenbank-Angriffe leichter vorbereiten.
Was ändert sich für dich?
Das ist ein Eingriff in die Datenbank einer laufenden Seite und kann Probleme verursachen, zum Beispiel bei Plugins, die den Tabellennamen fest eingetragen haben. Mach vorher ein Backup.
Dateibearbeitung im WordPress-Dashboard deaktivieren
Was ist das?
Schaltet den Datei-Editor für Plugins und Themes im WordPress-Backend ab. Ist ein Administrator-Konto gekapert, lässt sich so nicht einfach Schadcode einschleusen.
Was ändert sich für dich?
Du kannst Plugin- und Theme-Dateien danach nicht mehr im Backend bearbeiten, sondern nur noch über den Dateizugriff (Dateimanager oder FTP).
Skriptverkettung für WordPress-Administrator-Panel deaktivieren
Was ist das?
Schaltet das Zusammenfassen von Skripten im WordPress-Backend ab. Das schützt vor bestimmten Überlastungsangriffen.
Was ändert sich für dich?
Das Backend kann etwas langsamer laden. Für Besucher läuft deine Seite normalerweise unverändert.
Schnittstellen
Pingbacks deaktivieren
Was ist das?
Schaltet Pingbacks ab. Das sind automatische Benachrichtigungen, wenn eine andere WordPress-Seite auf deine verlinkt. Sie lassen sich missbrauchen, um über deine Seite andere Seiten anzugreifen.
Was ändert sich für dich?
Gilt auch für bestehende Beiträge. Du bekommst keine automatischen Kommentare mehr, wenn andere Seiten auf dich verlinken.
Zugriff auf „xmlrpc.php“ blockieren
Was ist das?
Sperrt die Datei xmlrpc.php, eine alte Schnittstelle von WordPress, die oft für Angriffe auf Passwörter genutzt wird.
Was ändert sich für dich?
Apps und Dienste, die darüber auf deine Seite zugreifen (zum Beispiel ältere Blog-Apps oder Jetpack), funktionieren danach nicht mehr. Nutzt du so etwas nicht, ist das Sperren empfehlenswert.
Dateien und Server
Zugriff auf „wp-config.php“ blockieren
Was ist das?
Sperrt den Zugriff auf die Datei wp-config.php. Darin stehen die Datenbank-Zugangsdaten. Das schützt für den Fall, dass der Server PHP einmal nicht ausführt und die Datei im Klartext ausliefern würde.
Was ändert sich für dich?
Für Besucher ändert sich nichts. Eigene Regeln in der .htaccess können die Sperre überschreiben.
Zugriff auf HTACCESS- und HTPASSWD-Datei blockieren
Was ist das?
Sperrt den öffentlichen Zugriff auf die Dateien .htaccess und .htpasswd. Dort stehen Server-Regeln und Passwort-Hashes für geschützte Verzeichnisse.
Was ändert sich für dich?
Für Besucher ändert sich nichts.
Zugriff auf sensible Dateien blockieren
Was ist das?
Sperrt den öffentlichen Zugriff auf Dateien, die vertrauliche Informationen wie Zugangsdaten enthalten können. Angreifer können daraus auch nicht mehr ablesen, welche Schwachstellen bei dir passen würden.
Was ändert sich für dich?
Für Besucher ändert sich nichts.
Zugriff auf potenziell sensible Dateien blockieren
Was ist das?
Sperrt den öffentlichen Zugriff auf Dateien wie Protokolle und Skripte, die auf einer Website nicht öffentlich sein sollten.
Was ändert sich für dich?
Normalerweise keine Auswirkung. Bietest du solche Dateien bewusst öffentlich an, sind sie danach nicht mehr erreichbar.
Zugriff auf Dateien und Verzeichnisse einschränken
Was ist das?
Setzt die Zugriffsrechte von Dateien und Ordnern auf sichere Werte: wp-config.php auf 600, übrige Dateien auf 644, Ordner auf 755.
Was ändert sich für dich?
Normalerweise unproblematisch. Ein Plugin, das Dateien mit ungewöhnlichen Rechten braucht, kann dadurch Probleme bekommen.
Verzeichnissuche blockieren
Was ist das?
Verhindert, dass Besucher die Dateiliste eines Ordners sehen, wenn dort keine Startseite liegt. Das kann Angreifern Hinweise auf deine Seite geben.
Was ändert sich für dich?
Für Besucher ändert sich normalerweise nichts, bei den meisten Installationen ist die Liste ohnehin aus.
Ausführung von PHP-Skripts im Verzeichnis „wp-content\uploads“ nicht erlauben
Was ist das?
Verbietet die Ausführung von PHP-Dateien im Upload-Ordner (wp-content/uploads). Über Uploads eingeschleuste Schadskripte laufen dann nicht.
Was ändert sich für dich?
Normalerweise keine Auswirkung. Ein Plugin, das bewusst PHP-Dateien aus dem Upload-Ordner ausführt, würde nicht mehr funktionieren. Eigene Regeln in der .htaccess können die Sperre überschreiben.
Ausführung von PHP-Skripts im Verzeichnis „wp-includes“ nicht erlauben
Was ist das?
Verbietet die Ausführung von PHP-Dateien im Ordner wp-includes. Dort sollte von außen nichts direkt ausgeführt werden; eingeschleuste Dateien laufen so nicht.
Was ändert sich für dich?
Normalerweise keine Auswirkung. Eigene Regeln in der .htaccess können die Sperre überschreiben.
PHP-Ausführung in Cache-Verzeichnissen deaktivieren
Was ist das?
Verbietet die Ausführung von PHP-Dateien in Cache-Ordnern. Landet dort Schadcode, kann er so nicht laufen.
Was ändert sich für dich?
Einige wenige Plugins oder Themes legen ausführbare PHP-Dateien im Cache ab. Funktioniert eins davon danach nicht mehr, musst du die Maßnahme wieder ausschalten.
Nicht verwendete Skriptsprachen deaktivieren
Was ist das?
Schaltet Skriptsprachen ab, die WordPress nicht braucht, zum Beispiel Python oder Perl. Schwachstellen darin lassen sich dann nicht gegen deine Seite ausnutzen.
Was ändert sich für dich?
Normalerweise keine Auswirkung auf WordPress. Eigene Python- oder Perl-Skripte auf dieser Domain laufen danach nicht mehr.
Du bist unsicher, ob eine Maßnahme zu deiner Website passt? Lass sie dir von turbopress AI erklären: Klick in der Karte „Sicherheit“ auf „Maßnahmen erklären lassen“ und frag nach, was die Maßnahme für deine Website bedeutet. Bei Fragen schreib uns ein Support-Ticket.