Wie sicher ist Ihre WordPress-Website?
Sichern Sie Ihre Website mit unseren 10 Tipps!
Haben Sie sich jemals gefragt, wie sicher Ihre (WordPress-)Website tatsächlich ist? Viele Website-Ersteller und -Besitzer schenken der Sicherung einer Website nicht viel Aufmerksamkeit. Dabei ist es extrem wichtig, Ihre WordPress-Website richtig gegen Hacker, Bots und andere Malware zu sichern.
Das Letzte, was Sie wollen, ist, Ihre Besucher (und potenziellen Kunden) mit einem Virus zu infizieren oder eine Website zu präsentieren, die nicht funktioniert!
Die Beliebtheit von WordPress
Heute laufen +/- 35 Prozent der Websites mit WordPress, von persönlichen Blogs bis hin zu den größten Nachrichtenseiten. WordPress ist ein kostenloses Open-Source-Content-Management-System (CMS). Das bedeutet, dass es unter dem Standard der GNU General Public License (oder GPL) entwickelt wurde, was bedeutet, dass jeder den Code herunterladen, bearbeiten, verändern, verwenden und sogar verkaufen kann. Vorausgesetzt, er wird unter der GPL-Lizenz veröffentlicht.
Die Popularität von WordPress als CMS hat auch eine Kehrseite. Das CMS ist ein beliebtes Ziel für Hacker und Spammer geworden. Das bedeutet nicht, dass WordPress unsicher ist, aber da es von so vielen Menschen genutzt wird, ist es nur logisch, dass die Hackerwelt ein großes Interesse an dieser Plattform hat.
Auch weil WordPress sehr niedrigschwellig ist (fast jeder kann problemlos eine Website mit WordPress einrichten), sind Experten zufolge rund 70 Prozent aller WordPress-Websites anfällig.
Ist WordPress also eine sichere Plattform?
Die große Mehrheit der Vorfälle wird gehackt, weil der Webmaster die Sicherheit nicht ernst nimmt und einen oder mehrere Sicherheitsfehler begeht. Die Ursache ist dann oft die Verwendung veralteter WordPress-Versionen, fehlerhafter Plug-ins, schlechter Systemadministration, laxem Umgang mit Anmeldedaten oder mangelndem Grundwissen in Sachen WordPress und Sicherheit. Auch bei den Großen geht manchmal etwas schief, aber wir möchten Sie mit unseren Tipps vor diesen Fehlern bewahren bzw. ihnen helfen!
Warum hacken diese Leute Websites?
Eine Frage, die wir regelmäßig von unseren Kunden gestellt bekommen, ist “Warum sollten Hacker meine Website hacken?”, denn was bringt es einem Hacker, eine Website zu hacken? Wenn Sie einen großen Webshop mit vielen finanziellen Informationen (z. B. Kreditkartendaten) betreiben, dann ist das Ziel eines Hackers durchaus sinnvoll. Nur in seltenen Fällen haben Hacker einen besonderen Grund, eine bestimmte Website ins Visier zu nehmen; dies gilt in der Regel für große multinationale Unternehmen.
Für die meisten Hacker spielen das Ziel, die Größe und die Besucherzahl der Website keine Rolle. Hier sind einige Gründe, warum Ihre Website gehackt werden könnte:
- Drive-by-Downloads
Hacker können Ihre Website nutzen, um die Computer Ihrer Besucher mit Malware zu infizieren (Backdoors, Key-Tracker, Ransomware, Viren usw.), um Informationen zu sammeln, die sie für ihre eigenen Zwecke nutzen können. - Umleitungen
Manchmal leiten Hacker Ihre Besucher auf andere Websites um, die ihnen Affiliate-Einnahmen verschaffen. - Nutzung Ihres Servers
Eine weitere Möglichkeit besteht darin, dass Hacker Ihren Server übernehmen, um ihn zum Versenden von Spam oder zur Durchführung von Brute-Force-Angriffen zu nutzen. Das Ergebnis: Ihre Website wird auf die schwarze Liste gesetzt oder Ihre Hosting-Kosten steigen, weil Sie zu viele Daten verbrauchen.
Wie Sie sehen, kann Ihre Website, egal wie groß oder klein, für Hacker interessant sein.
Die Ursachen für einen WordPress-Hack
Wenn Sie Ihre Website richtig absichern wollen, ist es nützlich zu wissen, wo die Dinge oft schief laufen. Die Website WP White Security hat diese Informationen zusammengetragen.
Hosting
Anhand dieser Informationen wird schnell klar, dass die große Mehrheit (41 %) der Hacks durch das Webhosting verursacht wird. Es ist daher enorm wichtig, einen guten Webhoster zu wählen, bei dem Sie Ihre Website hosten lassen. Neben der Sicherheit spielt das Hosting auch eine große Rolle für die Geschwindigkeit Ihrer Website.
Verwendung von Themen und Plug-ins
Es hat sich außerdem herausgestellt, dass 51 % der Hacks von Themes und Plug-ins ausgehen. WordPress ist dafür bekannt, dass es fast alles möglich macht, was durch die riesige Community, die Themes und Plug-ins entwickelt, ermöglicht wird. Das ist natürlich großartig, aber nicht jeder Entwickler ist gleich gut und baut alles genau richtig.
Bevor du also ein Plug-in herunterlädst, sieh dir zuerst die Bewertungen und das letzte Aktualisierungsdatum an, und wenn es schon lange nicht mehr aktualisiert wurde, prüfe, ob es eine Alternative gibt.
Es ist äußerst wichtig, ein Thema und/oder ein Plug-in sorgfältig und mit Bedacht auszuwählen. Bei der Verwendung von Plug-ins gilt die Regel, je weniger Plug-ins, desto sicherer. Schließlich ist eine Kette nur so stark wie ihr schwächstes Glied.
Brute-Force-Angriffe
Viele haben schon von diesem Begriff gehört. Folglich werden 8 % der Hacks mit dieser Methode durchgeführt. Diese Methode kann in dem Moment erfolgreich sein, in dem zum Beispiel schwache Passwörter verwendet werden. Bei einem “Brute-Force”-Angriff verwenden Hacker ein Skript, das immer wieder verschiedene Möglichkeiten von Passwörtern und Benutzernamen ausprobiert, bis sie das richtige Passwort erhalten. Das klingt nach einer zeitraubenden Aufgabe, aber Hacker haben dies automatisiert und können schnell Tausende von Versuchen pro Sekunde durchführen.
Wie kann ich meine WordPress-Website schützen?
Jetzt, da wir wissen, wie die meisten Angriffe zustande kommen, können wir uns damit befassen, wie man sie verhindern kann. Die meisten Tipps sind recht einfach umzusetzen, vorausgesetzt, man verfügt über genügend Wissen, und ich gebe sie gerne weiter.
1. Wählen Sie einen guten und zuverlässigen Webhosting-Anbieter
Für die einen klingt es sehr logisch, für die anderen ist es eine Überraschung. Wie die Infografik zeigt, sind mehr als die Hälfte der Hacks auf das Webhosting zurückzuführen. Bei der Auswahl des Webhosting-Anbieters ist es wichtig, herauszufinden, welche Maßnahmen er ergreift, um zu verhindern, dass Ihre Website gehackt wird.
Hier gilt wirklich: Vorbeugen ist besser als heilen!
Ein guter Webhoster überwacht und scannt Ihre Website rund um die Uhr auf mögliche Lecks. Worauf sollten Sie bei der Auswahl eines Webhosting-Anbieters achten?
- Werden die neuesten Versionen von PHP und MySQL unterstützt?
- Verwendet der Hosting-Anbieter eine Firewall?
- Ist der Server für WordPress optimiert?
- Wie sieht der Service des Unternehmens aus? Sind sie aktiv bei der Vorbeugung und Lösung von Sicherheitsproblemen?
- Werden automatische Backups erstellt?
Wenden Sie sich an mehrere Hoster, bevor Sie eine Website irgendwo hosten lassen. Ein guter Hosting-Partner ist in diesem Fall die halbe Miete und ein schlechter Posten, an dem man sparen kann.
2. WordPress bei der Installation richtig einrichten
Bei der Installation von WordPress können Sie eine Menge tun, um zu verhindern, dass Ihre Website für solche Angriffe anfällig wird. Verwenden Sie zum Beispiel niemals den Benutzernamen “admin” als Hauptkonto. Dieser erscheint auf 60 % aller Websites, und das wissen natürlich auch die Hacker…
Wählen Sie bei der Installation ein sicheres Passwort. Ein sicheres Passwort enthält nicht nur Buchstaben, sondern auch Zahlen und Sonderzeichen. Wir empfehlen daher, einen Passwortgenerator zu verwenden. Sie können auch einige Anpassungen in der wp-config.php (der WordPress-Konfigurationsdatei) vornehmen. Hier können Sie zum Beispiel die “Schlüssel und Salze” einstellen. Diese “Schlüssel” verbessern die Verschlüsselung der gespeicherten Informationen.
Dieser Teil der wp-config-Datei sieht dann wie folgt aus:
Um daraus einen eindeutigen “Code” zu machen, können Sie den WordPress-Generator für Salze und Schlüssel verwenden. Sie können auch die “Dateibearbeitung” auf der Website deaktivieren, so dass Plugin- und/oder Theme-Dateien nicht mehr über das CMS manipuliert werden können. Dazu fügen Sie die folgende Zeile in der wp-config ein.
define( ‘DISALLOW_FILE_EDIT’, true );
3. Aktualisieren Sie Ihre Website regelmäßig
Wie Sie wissen, ist WordPress ein “Open Source Content Management System (CMS)”. Es wird ständig von verschiedenen Personen und Unternehmen weiterentwickelt. Dies geschieht, um die Leistung und die Erweiterungen zu verbessern, aber vor allem aus Sicherheitsgründen.
Indem Sie Ihre WordPress-Website auf dem neuesten Stand halten, minimieren Sie das Risiko von unerwünschten Angriffen und/oder Viren auf Ihrer Website. Wir empfehlen daher, diese Aktualisierungen strukturell durchzuführen, am besten monatlich.
Während dieser Arbeiten empfehlen wir Ihnen, die folgenden Aktivitäten durchzuführen.
- Aktualisierung des WordPress-Kerns.
- Aktualisierung der aktiven Plug-ins (eventuell auch Aktualisierung des Themes).
- Entfernen inaktiver Plug-ins und Themes.
- Sichern der Website.
- Prüfen und Testen auf Bugs und Fehler (z.B. durch Einschalten des Debug-Modus und nicht vergessen, ihn wieder auszuschalten!).
- Aufräumen und Optimieren der Datenbank (unnötige Revisionen, Transienten usw.).
5. verschlüsseln Sie Ihre Verbindung mit einem SSL-Zertifikat (https://)
Auch wenn es offensichtlich scheint und viele Webhosting-Anbieter diese Option bereits kostenlos anbieten, gibt es immer noch eine große Anzahl von Websites, die nicht (vollständig) über eine sichere Verbindung laufen. Eine sichere Verbindung (HTTPS), das zusätzliche S steht in diesem Fall für Secure, ist eine Verbindung, bei der die Informationen zusätzlich verschlüsselt werden. Auf diese Weise können nur der Absender und der Empfänger die Informationen lesen (d. h.: keine Dritten).
Um dies zu erreichen, ist die Verwendung eines SSL-Zertifikats erforderlich. SSL steht für Secure Sockets Layer. Wie bereits erwähnt, wird mit SSL eine verschlüsselte Verbindung zwischen zwei Computern hergestellt. Sie können ein SSL-Zertifikat bei Ihrem Webhosting-Anbieter beantragen, der Ihnen auch bei der Installation und Konvertierung Ihrer Website in https:// behilflich sein kann.
Möchten Sie überprüfen, ob Ihr SSL-Zertifikat korrekt ist? Prüfen Sie, ob oben in der Adressleiste ein Schloss-Symbol zu sehen ist. Ist dies nicht der Fall, läuft die Website noch nicht vollständig über die sichere Verbindung. Dies könnte durch “Probleme mit gemischten Inhalten” verursacht werden. Das bedeutet, dass gemischte Verbindungen vorhanden sind (d. h. auch ungesicherte über http://), so dass die Website noch nicht vollständig geschützt ist. Ein guter Web-Builder könnte sich darum kümmern und das Problem für Sie beheben.
6. Verwenden Sie die neueste PHP- und MySQL-Version
WordPress läuft auf PHP und ist das Rückgrat Ihrer WordPress-Website. Dass es sich um die aktuellste Version handelt, ist in mehrfacher Hinsicht sehr wichtig. Jedes größere PHP-Update wird in der Regel für etwa zwei Jahre nach der Veröffentlichung vollständig unterstützt. Während dieses Zeitraums werden Fehler und Sicherheitsprobleme behoben, und die Version wird regelmäßig aktualisiert.
Derzeit hat jeder, der eine PHP-Version kleiner als 7.1 hat, keinen Sicherheits-Support mehr und ist somit Sicherheitslücken ausgesetzt, da diese Version nicht mehr gepatcht wird.
Abgesehen von der Sicherheit haben die neueren PHP-Versionen eine bessere Leistung, was der Ladezeit Ihrer Website zugute kommt! Möchten Sie überprüfen, welche PHP-Version auf Ihrer Website läuft? Dann nutzen Sie zum Beispiel die Pingdom Tools. Geben Sie die Adresse Ihrer Website ein und führen Sie den Scan durch. Gehen Sie zur ersten Anfrage und suchen Sie nach dem Parameter X-Powered-By. Dieser zeigt normalerweise die PHP-Version an, die Ihr Webserver derzeit verwendet.
Einige Hosts entfernen diesen Header jedoch aus Sicherheitsgründen.
7. Dateiberechtigungen auf dem Server
Dieser Begriff sagt wahrscheinlich nicht jedem etwas, aber die Dateiberechtigungen der Dateien auf dem Server, auf dem Ihre WordPress-Website läuft, sind äußerst wichtig. Die folgenden Dateien sollten die folgenden Berechtigungen haben.
- Ordner und Verzeichnisse: 755 oder 750 (der Server darf alles ausführen, der Rest darf nur lesen).
- Dateien: 644 oder 640 (lesen und schreiben für den Server, lesen und ausführen für den Rest).
- WP-config.php: 600 (lesen und schreiben für den Server, der Rest darf nichts tun).
Diese Codes stehen für Berechtigungen, die der Besucher und/oder der Server haben, und die bestimmen, was etwas erlaubt ist und tun kann. Weisen Sie Dateien oder Ordnern niemals ‘777’ zu, da dies bedeutet, dass sowohl der Server als auch Außenstehende sie lesen, ausführen und schreiben können. Dies macht Ihre Website angreifbar. Fragen Sie Ihren Hoster, ob er dies für Sie prüft.
8. Die .htaccess-Datei
Die .htaccess-Datei ist entscheidend für das Funktionieren Ihrer Website auf dem Server. Sie ermöglicht es Ihnen unter anderem, Adressen zu sperren, umzuleiten, Fehlermeldungen anzupassen und die Rewrite-Engine zu aktivieren (für schöne, saubere URLs, die für SEO geeignet sind). Außerdem können Sie die unten aufgeführten Regeln hinzufügen, um die Sicherheit zu verbessern.
Erzwinge eine https:// Verbindung (nur wenn ein SSL-Zertifikat vorhanden ist)RewriteEngine On
RewriteCond %{HTTPS} aus
RewriteRule ^(.*)$ https://%{HTTP_HOST}%{REQUEST_URI} [L,R=301]- xmlrpc.php-Anfragen blockieren
<Dateien xmlrpc.php>
Reihenfolge deny,allow
von allen verweigern
</Files>
Serversignatur ausschaltenServerSignature Off- Screening der wichtigsten WP-Kerndateien
<FilesMatch “wp-config.php|wp-config-local.php|readme.html|license.txt”>
Reihenfolge allow,deny
von allen verweigern
</FilesMatch>
9. Verwenden Sie ein Sicherheits-Plugin
Wir empfehlen die Verwendung eines Sicherheits-Plug-ins, wie Wordfence, iThemes Security, All In One WP Security & Firewall oder BulletProof Security. Mit solchen Sicherheits-Plug-ins können Sie Ihre Website zusätzlich mit den folgenden Komponenten absichern.
- Zweistufige Authentifizierung
Um sich in den WP-Admin einzuloggen, müssen Sie einen zweistufigen Authentifizierungsprozess durchführen. Dabei wird häufig ein Google Authenticator oder eine SMS verwendet, die Sie mit einem Code erhalten, um sich in das CMS einzuloggen. - WordPress-Versionsnummer ausblenden
Mit dieser Option können Sie die Versionsnummer von WordPress vor Außenstehenden verbergen. Auf diese Weise ist es unwahrscheinlicher, dass Hacker wissen, um welche Version es sich handelt. Das macht es schwieriger, Schwachstellen auf Ihrer Website zu finden. - Anmeldeversuche begrenzen
Mit dieser Einstellung können Sie die Anzahl der aufeinanderfolgenden Anmeldeversuche von einer IP-Adresse aus begrenzen. Wird dieses Limit überschritten, wird die betreffende IP-Adresse auf eine schwarze Liste gesetzt, so dass sie sich überhaupt nicht mehr einloggen kann. Diese Methode sorgt dafür, dass Brute-Force-Angriffe schneller entschärft werden können (siehe oben, was genau ein Brute-Force-Angriff bewirkt).
10. Schließlich: Benutzen Sie Ihren gesunden Menschenverstand!
Oben haben wir bereits viele Tipps gegeben, wie Sie Ihre WordPress-Website richtig absichern können. Natürlich ist es äußerst wichtig, sich genau zu überlegen, welche Techniken, Plug-ins und Funktionalitäten Sie Ihrer Website hinzufügen. Ein paar weitere (grundlegende) Tipps:
- Loggen Sie sich niemals über ein ungesichertes Wifi-Netzwerk auf Ihrer Website ein.
- Vergewissern Sie sich, dass Ihr Computer nicht mit Viren infiziert ist.
- Geben Sie Ihre Anmeldedaten niemals an Dritte weiter, ohne ihnen voll zu vertrauen.
- Falls Sie sie weitergeben, senden Sie sie per SMS, Whatsapp oder über einen anderen Kanal, und zwar getrennt (also nicht Benutzername und Passwort in einem).
- Installieren Sie nicht einfach alle Plug-ins (prüfen Sie die neuesten Updates, die Kompatibilität mit Ihrer WP-Version und Bewertungen).
- Versuchen Sie, die Anzahl der Plug-ins möglichst gering zu halten.
Die oben genannten Punkte klingen zwar standardmäßig und logisch, aber es gibt viele Leute, die viel zu einfach darüber denken und diese “Grundregeln” ignorieren.
Wie kann ich feststellen, ob meine Website gehackt wurde?
Sie merken es vielleicht gar nicht, aber auch Ihre Website kann gehackt werden, ohne dass Sie irgendwelche Symptome bemerken. In der Regel funktioniert die Website nicht mehr (richtig), es erscheinen seltsame Banner und Links auf der Website oder Sie werden vielleicht sogar auf eine externe Website umgeleitet. Ein Hacker kann Ihren Server z. B. zum Versenden von SPAM nutzen, so dass er nicht unbedingt möchte, dass man erkennt, dass die Website gehackt wurde.
Daher ist es ratsam, Ihre Website regelmäßig auf Malware und andere verdächtige Dateien zu scannen (oder scannen zu lassen). Viele Hosting-Anbieter tun dies bereits hinter den Kulissen für Sie, aber viele Webhosting-Anbieter tun dies auch nicht.
Sie können das Scannen über WordPress durchführen lassen, z. B. mit den folgenden Plug-ins:
Sie können Ihre Website auch von einer externen Website scannen lassen, was z. B. über eine Plattform wie Sucuri kostenlos möglich ist.
Anzeichen dafür, dass Ihre Website gehackt wurde
Bei einigen Hacks ist es sofort offensichtlich, dass die Website gehackt wurde. Im Folgenden finden Sie die häufigsten Anzeichen.
DiePermalink-Struktur wurde geändert, der Standard-Permalink %postname% wurde in %postname%/% geändert.
- DieHtacces-Datei wurde verändert, Ihre Website wurde z. B. mit einer 301-Weiterleitung auf eine Viagra-Website umgeleitet
- Umleitungen, andere verdächtige Umleitungen, auf verschiedenen Seiten werden Sie auf externe Websites umgeleitet, z. B. durch ein in die Seite oder in die Themadatei injiziertes JavaScript
- Seltsame und unerklärliche Inhalte, seltsame (chinesische) Zeichen und/oder Banner erscheinen plötzlich auf der Website.
- Ungewöhnliche Admin-Benutzer: Überprüfen Sie die Benutzer Ihrer Website regelmäßig, wenn plötzlich neue und ungewöhnliche Benutzer auftauchen, gibt es höchstwahrscheinlich irgendwo ein Leck.
- Seltsame Datenbanktabellen, wenn plötzlich seltsame Datenbanktabellen in der Datenbank auftauchen (z. B. wp_pagemeta), dann sind Sie wahrscheinlich Opfer eines Hacks.
Hilfe, meine Website wurde gehackt!
Wenn Ihre Website gehackt wurde, wenden Sie sich sofort an Ihren Website-Ersteller und/oder Webhosting-Anbieter. Diese können oft für Sie herausfinden, wann dies geschehen ist, und zum Beispiel ein Backup auf den Zeitpunkt zurücksetzen, an dem es noch nicht gehackt wurde.
Dann ist es wichtig, Maßnahmen zu ergreifen, damit so etwas nicht noch einmal passiert! Wir helfen Ihnen gerne dabei, indem wir Sie beraten oder sogar Ihre Website bereinigen. Wir überprüfen die Dateien und die Datenbank auf verdächtige Symptome und entfernen diese. Zögern Sie nicht, uns um Rat zu fragen. Wir helfen Ihnen auch gerne bei der Absicherung Ihrer WordPress-Website, kontaktieren Sie uns oder stellen Sie Ihre Fragen unten!
Noch keine Kommentare.