WordPress ohne Wartung: eine der meistangegriffenen Web-Anwendungen
WordPress betreibt fast jede zweite Website – und wird deshalb industriell angegriffen, fast immer über veraltete Plugins. Ich erkläre, warum ungewartete Seiten zum Spam-Zombie werden, woran Sie einen Hack erkennen und wie ein Minimalplan ohne US-Abo aussieht.
WordPress betreibt fast jede zweite Website im Netz. Ihre wahrscheinlich auch.
Genau das macht es zur Zielscheibe. Wo die Masse ist, lohnt sich der Angriff. Kriminelle scannen nicht Ihre Firma. Sie scannen das halbe Internet automatisch nach der einen veralteten Erweiterung, die sie kennen.
Die Wahrheit ist unbequem. WordPress selbst ist solide. Ungewartetes WordPress ist eine offene Tür.
Ich sehe das immer wieder. Eine Agentur baut die Seite, kassiert, übergibt die Zugangsdaten und verschwindet. Drei Jahre später ruft der Betrieb bei mir an. Die Seite verschickt fremde Werbung an wildfremde Leute, Google zeigt eine rote Warnung, und niemand weiß, seit wann.
Warum ausgerechnet WordPress-Seiten gehackt werden
WordPress ohne Zusätze ist ziemlich sicher. Das Problem sind die Anbauteile.
Der Kern von WordPress wird von einem großen Team gepflegt und schnell aktualisiert. Aber kaum jemand betreibt WordPress nackt. Dazu kommen Plugins (kleine Zusatzprogramme für Kontaktformular, Shop oder Bildergalerie) und ein Theme (die Design-Vorlage). Jedes dieser Teile ist Software. Jede Software hat Lücken. Und viele Plugins stammen von Einzelentwicklern, die irgendwann die Lust verlieren.
Der typische Ablauf: In einem beliebten Plugin wird eine Sicherheitslücke bekannt. Der Entwickler liefert ein Update. Aber Ihre Seite spielt es nicht ein, weil niemand zuständig ist. Innerhalb von Stunden fahren automatische Scanner das ganze Netz ab und finden jede Seite, die noch die alte Version hat. Kein Mensch hat es auf Sie abgesehen. Der Roboter nimmt, was offen steht.
Es geht fast nie um den Diebstahl Ihrer Daten. Es geht um Ihre Rechenleistung und Ihren guten Namen: Spam verschicken, fremde Seiten verlinken, Besucher heimlich umleiten. Ihre Seite wird zum Werkzeug für das nächste Opfer.
Woran Sie erkennen, dass Ihre Seite längst gekapert ist
Ein gekaperter WordPress-Auftritt sieht auf den ersten Blick oft normal aus. Die Zeichen stehen im Hintergrund. Prüfen Sie diese Liste:
- Google zeigt unter Ihrem Treffer die Warnung »Diese Website kann Ihren Computer schädigen«, oder der Browser blockt den Aufruf ganz.
- Im Nutzerbereich taucht ein Administrator auf, den Sie nie angelegt haben, oft mit kryptischem Namen.
- Sie suchen bei Google nach »site:ihredomain.de« und finden plötzlich Unterseiten über Medikamente, Glücksspiel oder Sonnenbrillen.
- Besucher berichten, dass sie beim Aufruf auf eine wildfremde Seite umgeleitet werden, oft nur vom Handy aus.
- Die Seite ist plötzlich zäh, obwohl sich an ihr nichts geändert hat.
- Ihr Hoster schreibt Sie an oder sperrt das Postfach wegen Massen-Mails.
Ein Punkt reicht für ein mulmiges Gefühl. Zwei sind ein klares Signal. Und aufgepasst: Solche Angriffe verstecken sich vor dem eingeloggten Betreiber und zeigen sich nur Fremden oder Suchmaschinen. Dass für Sie alles normal aussieht, heißt gar nichts.
Der Wartungs-Minimalplan: vier Dinge, sonst nichts
Sie brauchen kein Sicherheitslabor. Sie brauchen vier Gewohnheiten. In dieser Reihenfolge.
1. Updates, und zwar zeitnah
Kern, Plugins, Theme. Am besten wöchentlich, nicht dann, wenn man zufällig daran denkt. Wichtig ist die Sicherung davor, falls ein Update etwas zerschießt. Ausgemistet wird auch: Jedes Plugin, das Sie nicht nutzen, fliegt raus. Deaktiviert reicht nicht, gelöscht muss es sein.
2. Backups, die außer Haus liegen
Ein Backup auf demselben Server wie die Seite ist bei einem Angriff genauso verloren wie die Seite selbst. Die Sicherung muss woanders liegen und automatisch laufen. Und sie muss einmal testweise zurückgespielt worden sein. Ein Backup, das nie geprüft wurde, ist ein Versprechen, kein Backup.
3. Den Login härten
»admin« als Benutzername und ein Passwort, das zufällig auch das WLAN-Passwort ist: Das knacken die Roboter im Schlaf. Nehmen Sie einen eigenen Benutzernamen, ein langes, einmaliges Passwort und sichern Sie die Login-Seite gegen automatisches Durchprobieren ab. Das kostet fünf Minuten und sperrt den häufigsten Angriffsweg.
4. Zwei-Faktor-Anmeldung (2FA)
Der zweite Faktor ist ein Code aus einer App auf Ihrem Handy, zusätzlich zum Passwort. Selbst wenn jemand Ihr Passwort hat, kommt er ohne Ihr Handy nicht hinein. Für den Admin-Zugang ist das Pflicht, nicht Kür.
Das ist der ganze Zauber. Kein Produkt-Abo aus den USA, keine monatliche Angstgebühr. Vier Handgriffe, dann konsequent dran bleiben.
Wann WordPress für Ihre Seite überdimensioniert ist
Jetzt der Teil, den viele Dienstleister lieber verschweigen. Nicht jede Seite braucht WordPress. Viele haben es nur, weil es alle haben.
Wenn Ihre Website im Kern eine digitale Visitenkarte ist – wer Sie sind, was Sie tun, wie man Sie erreicht, dazu ein paar Bilder –, dann ist ein CMS mit Datenbank und dreißig Plugins ein Presslufthammer für einen Bilderrahmen. Solche Seiten lassen sich »statisch« bauen: einfache Dateien, keine Datenbank, nichts, was man wöchentlich flicken muss. Das Ergebnis lädt schneller, kostet im Betrieb weniger und hat schlicht keine Angriffsfläche, die man pflegen müsste. Welcher Weg für Sie passt, klären wir ehrlich, bevor irgendetwas gebaut wird. Wie ich solche Seiten ohne Wartungsbedarf baue, sehen Sie unter Websites und SEO.
WordPress lohnt sich, wenn Sie regelmäßig selbst Inhalte pflegen: ein Blog, ständig wechselnde Angebote, ein Shop, mehrere Autoren. Dann ist es ein starkes Werkzeug. Für die Handwerker-Seite mit fünf Unterseiten, die sich zweimal im Jahr ändert, ist es Ballast.
Ich verdiene an Wartung. Trotzdem sage ich manchen Kunden: Diese Seite müssen Sie gar nicht warten lassen, ich stelle sie auf ein Fundament ohne Wartungsbedarf um. Das ist ehrlicher und für Sie am Ende billiger.
Was meine WordPress-Wartung kostet und beinhaltet
Klartext statt Kleingedrucktem. Meine laufende Website-Wartung beginnt bei 49 Euro im Monat. Dafür kümmere ich mich um genau die Punkte von oben, damit Sie nie wieder daran denken müssen:
| Enthalten in der Wartung | Was das für Sie heißt |
|---|---|
| Regelmäßige Updates von Kern, Plugins und Theme | Lücken sind zu, bevor die Scanner sie finden |
| Automatische Backups außer Haus, geprüft | Im Ernstfall ist die Seite in Stunden zurück, nicht in Wochen |
| Login-Härtung und Zwei-Faktor-Anmeldung | Der häufigste Angriffsweg ist dicht |
| Blick auf Ausfälle und Auffälligkeiten | Ich sehe das Problem oft, bevor Sie es merken |
| Ein Ansprechpartner: ich | Sie schreiben mir, keiner Warteschleife |
Was nicht drin ist, sage ich genauso deutlich: der große Umbau, neue Funktionen, die Rettung nach einem bereits laufenden Angriff. Das ist Projektarbeit und wird getrennt abgerechnet. Den kompletten Leistungsumfang können Sie auf der Seite zu Support und Wartung nachlesen.
Kurz gesagt
Eine WordPress-Seite ist kein Möbelstück, das man einmal aufstellt und vergisst. Sie ist eher wie ein Auto: Sie fährt lange gut, solange jemand nach Öl und Bremsen schaut. Ohne Wartung fährt sie auch. Bis sie es nicht mehr tut.
Sie wissen nicht, ob Ihre WordPress-Seite die vier Handgriffe von oben schon hinter sich hat? Dann schauen wir im kostenlosen Erstgespräch gemeinsam auf Ihre Updates, Backups und den Login. Ich sage Ihnen geradeheraus, ob Ihre Wartung sitzt oder ob noch eine Lücke offensteht. Am besten, bevor der nächste Scanner sie findet.
