WordPress Sicherheitscheck: Schwachstellen finden, bevor Hacker es tun

Ja. Plugin-Liste, Benutzerverwaltung und Einstellungen liegen in WordPress hinter Rechten, die immer auch das Ändern erlauben; eine Rolle, die dort nur zuschauen darf, lässt sich nicht bauen. Der Zugang wird während der Prüfung nur lesend genutzt: an Einstellungen, Inhalten und Daten ändere ich nichts. Spurlos ist keine Prüfung, Anmeldungen stehen im Protokoll, und wenn ein Prüfwerkzeug nötig ist, installiere ich es nach Absprache und entferne es danach wieder. Der Zugang ist auf die Dauer der Analyse befristet, und du kannst ihn danach entziehen. Wenn du die Umsetzung mitbeauftragst, wird er für diesen Teil erneut gebraucht, dann auch schreibend, und das steht so im Bericht.

Einen WordPress-Administratorzugang sowie SFTP- oder SSH-Zugang zum Webspace. Ohne Dateizugriff lassen sich Checksummenvergleich, Must-Use-Plugins und ausführbare Dateien in Upload-Verzeichnissen nicht prüfen, und genau dort sitzen die interessanten Funde. Datenbankzugang ist optional und nur nötig, wenn sich ein Verdacht auf manipulierte Einträge bestätigt. Die Zugangsdaten übermittelst du nicht per E-Mail, sondern über einen verschlüsselten Einweg-Link; ich schicke dir dafür eine Freigabe über 1Password.

In der Regel ein bis zwei Werktage nach Erhalt der Zugänge. Den fertigen Bericht bekommst du als PDF per E-Mail, zusammen mit einem Terminvorschlag für die halbstündige Besprechung.

Nein. Die Prüfung ist nicht eingreifend, die Website bleibt die ganze Zeit online und funktionsfähig. Verändert wird erst etwas, wenn du die Umsetzung der kritischen Befunde ausdrücklich beauftragst, und auch dann nach Absprache.

Ein Security-Plugin wie Wordfence oder Sucuri ist hilfreich, sieht aber nur, was es kennt. Eine Prüfung von Hand findet Schwachstellen in der Konfiguration, im Plugin-Code und in der Servereinrichtung, die ein automatisiertes Werkzeug übersieht. Beides schließt sich nicht aus.

Einmal im Jahr reicht meistens, dazu nach größeren Änderungen wie einem Plugin-Wechsel, einem PHP-Update oder einem Relaunch. Für den laufenden Schutz dazwischen ist ein Wartungspaket mit Sicherheits-Monitoring der passendere Weg.

Der Check kostet 290 EUR netto als einmalige Leistung. Mit Umsetzung der kritischen Befunde sind es 490 EUR netto. Beides sind Festpreise ohne Stundenabrechnung, unabhängig davon, wie viele Plugins auf der Website laufen. Bei mehreren Installationen gibt es Mengenrabatt.

Acht Bereiche mit insgesamt 32 Einzelpunkten: WordPress-Core, Plugins und Themes, Benutzer und Rechte, Datenbank, Server und Hosting, Malware-Scan, DSGVO-Relevanz und Performance-Folgen. Dazu gehören unter anderem der Abgleich des Plugin-Inventars gegen bekannte CVEs, der Checksummenvergleich der Core-Dateien, die Suche nach PHP-Dateien in Upload-Verzeichnissen, Must-Use-Plugins, geplante Cron-Aufgaben und die Backup-Lage.

Du bekommst eine priorisierte Liste: kritisch, hoch, mittel, gering. Beim reinen Check setzt du sie selbst oder über deinen Entwickler um. Beauftragst du die Umsetzung mit, schließe ich die kritischen Befunde direkt und prüfe danach noch einmal nach.

Automatisierte Scans prüfen bekannte Signaturen und offensichtliche Fehlkonfigurationen. Eine Prüfung von Hand sieht zusätzlich in den Plugin-Code, prüft Zugriffsrechte und bewertet den Aufbau im Ganzen. Kostenlose Online-Checks sehen nur, was von außen sichtbar ist, also Header, TLS und die Versionsangabe im Quelltext. Alles, was im Dateisystem und in der Datenbank steckt, bleibt ihnen verborgen.

Ja, das ist sogar der Regelfall. Die meisten Checks laufen auf Websites, die eine Agentur, ein früherer Dienstleister oder der Betreiber selbst gebaut hat. Ich brauche dafür weder Kontakt zum ursprünglichen Entwickler noch dessen Unterlagen. Der Bericht benennt Befunde sachlich und ohne Schuldzuweisung, damit du ihn auch an deinen bestehenden Dienstleister weitergeben kannst.

Vier Dinge kannst du in zwanzig Minuten ohne Werkzeuge testen: ob Core, Plugins und Themes aktuell sind, wie viele Administratorkonten es gibt und ob du jedes einzelne zuordnen kannst, ob ein Backup existiert und wann es zuletzt wiederhergestellt wurde, und ob unter wp-content/uploads PHP-Dateien liegen. Damit hast du die vier häufigsten Einfallstore abgedeckt. Was dabei nicht auffällt, sind manipulierte Core-Dateien, Must-Use-Plugins, eingetragene Cron-Aufgaben und alles unterhalb von WordPress. Eine ausführliche Anleitung steht im Ratgeber unter WordPress-Sicherheit prüfen, zum Abhaken gibt es die Sicherheits-Checkliste mit 21 Punkten.

Bekannte Lücken findest du über den Abgleich deines Plugin-Inventars gegen eine Schwachstellendatenbank, etwa Patchstack oder WPScan. Das erledigt auch ein Scanner. Was dabei nicht gefunden wird, sind Lücken ohne Eintrag in einer Datenbank: zu weit gefasste Benutzerrechte, offene REST-Endpunkte eines gepflegten Plugins, Debug-Ausgaben, erreichbare Backupdateien und PHP-Ausführung in Upload-Verzeichnissen. Diese vier Gruppen machen im Check regelmäßig die kritischen Befunde aus, und sie entstehen nicht durch veraltete Software, sondern durch Konfiguration.

Für einen ersten Eindruck ja. Kostenlose Online-Checks prüfen von außen: TLS-Konfiguration, Security Header, die im Quelltext sichtbare WordPress-Version und manchmal die Plugin-Liste. Das ist nützlich und in zwei Minuten erledigt. Was von außen grundsätzlich nicht sichtbar ist: Dateiintegrität, Benutzerkonten, Datenbankinhalte, Cron-Aufgaben und Must-Use-Plugins. Genau dort sitzen die Befunde, die einen Befall möglich machen. Ein kostenloser Test ersetzt deshalb keine Prüfung mit Zugang, er sagt nur, ob die Außenhaut in Ordnung ist.

Einmal im Jahr eine vollständige Prüfung, dazu anlassbezogen nach einem Relaunch, einem Plugin- oder Hosterwechsel und nach der Übernahme einer fremden Installation. Zwischen den Prüfungen zählt nicht das Testen, sondern das Monitoring: Updates, Dateiintegrität und Verfügbarkeit laufend überwacht. Ein Test zeigt einen Zustand, und der ist bei WordPress nach dem nächsten Plugin-Update schon ein anderer.

Der Sicherheitscheck ist die Vorsorge, die Malware-Bereinigung der Notfall. Wenn deine Website bereits auffällig ist, also auf fremde Seiten weiterleitet, in Google mit einer Warnung erscheint oder vom Hoster gesperrt wurde, brauchst du keine Analyse, sondern eine Bereinigung. Wenn nichts Konkretes passiert ist und du wissen willst, wie es um die Installation steht, ist der Check das Richtige. Im Zweifel klären wir das in fünf Minuten am Telefon.