WordPress Sicherheit

Updates, Updates, Updates: WordPress, Theme und Plugins auf dem aktuellsten Stand halten

WordPress ist ein sicheres Content Management System, vorausgesetzt, es werden die verfügbaren Updates zeitnah eingespielt.

WordPress Aktualisierungen im WordPress Dashboard

Im WordPress Dashboard sehen Sie alle verfügbaren Updates auf einen Blick:

• Updates des WordPress Core-Systems
• Updates Ihres Themes
• Updates der eingesetzten Plugins

Wir empfehlen unbedingt, verfügbare Aktualisierungen zu überprüfen und zeitnah einzuspielen.

Leider investieren zahlreiche Unternehmen nichts in die Wartung Ihrer Online-Umgebung und nutzen teilweise völlig veraltete PHP-Versionen, WordPress Core-Systeme und Plugins. Als Grund wird häufig „Angst vor Updates“ genannt.

Im Klartext: Manche Unternehmen wissen schlicht nicht, wie sie WordPress aktuell halten sollen.

Viele Webseiten werden vor allem aufgrund Fehler in älteren WordPress-, Theme-  und Plugin-Versionen infiziert.

Bevor Sie WordPress, das Theme oder Plugins aktualisieren, sollten Sie unbedingt ein Backup erstellen. Wenn Sie nicht wissen, wie dies geht: Sprechen Sie uns an!

WordPress Core aktualisieren

WordPress lässt sich schnell und sicher aktualisieren. Ist ein WordPress-Update verfügbar, wird dieses im WordPress-Dashboard angezeigt. Um den WordPress-Core zu aktualisieren, klicken Sie im WordPress-Dashboard auf „Updates“, und dann „Update Now“.

WordPress Core aktualisieren

Sie können den WordPress Core auch manuell aktualisieren. Dies sollten Sie aber besser den summ-it Experten überlassen.

WordPress Plugins aktualisieren

Beim Aufbau einer WordPress Webseite achten wir immer darauf

• möglichst wenig Plugins zu nutzen
• ausschließlich Plugins einzusetzen, die bereits mehrere Zehn- bis Hunderttausend mal eingesetzt werden
• Keine deaktivierten Plugins zu hinterlassen!

Bei der Programmierung einer neuen WordPress Webseite greifen wir immer auf bewährte und bestens bekannte Komponenten zurück. Bei diesen Plugins kennen wir die jeweiligen Abhängigkeiten und können diese beim Update-Prozess berücksichtigen.

Die Aktualisierung von WordPress Plugins kann ebenfalls direkt aus dem WordPress-Dashboard heraus durchgeführt werden. Klicken Sie auf „Aktualisierungen“ und wählen Sie die Plugins aus, die Sie aktualisieren möchten.

WordPress Plugins aktualisieren

WordPress Theme aktualisieren

Wir setzen ausschließlich auf führende WordPress Themes, die bereits mehrere Zehn- bis Hunderttausend mal eingesetzt werden.

Die Aktualisierung von WordPress Themes folgt dem bereits beschriebenen Prozess:

WordPress Themes aktualisieren

Wir setzen in allen WordPress Projekten sog. Child-Themes ein. In den Child-Themes führen wir die nötigen Anpassungen und Programmierarbeiten durch. Das eigentliche Theme bleibt unangetastet und kann damit sicher aktualisiert werden.

WordPress Login absichern

Der WordPress Login ist standardmäßig unter domain.com/wp-login.php aufrufbar und ist eines der häufigsten Einfallstore für Attacken. Sie sollten den WordPress-Login auf jeden Fall absichern.

Bei summ-it führen wir dazu eine ganze Reihe von Maßnahmen durch.

WordPress Login per .htaccess absichern

Schützen Sie Verzeichnisse oder ausgewählte Dateien auf dem Server mit einem Passwort, zum Beispiel: den Login-Bereich für WordPress. Per .htaccess Passwortschutz sind Ihre Inhalte in wenigen Minuten abgesichert.

Per .htpasswd schützen Sie Dateien oder ganze Verzeichnisse mit einer Passwortabfrage vor unbefugtem Zugriff. Dafür legen Sie die Datei in das zu schützende Verzeichnis ab. Das Passwort liegt in codierter Form vor. Versucht jemand auf das Verzeichnis zuzugreifen, erfolgt die Weiterleitung erst nach korrekter Eingabe von Benutzername und Passwort.

Wird die WordPress Login URL aufgerufen, wird diese Seite per .htaccess geschützt. Die .htaccess erweitern wir um dieses Code-Snippet:

AuthType Basic
AuthName "Passwortgeschützter Bereich"
AuthUserFile /pfad/zur/datei/.htpasswd
Require valid-user

Jetzt erstellen Sie die Datei .htpasswd und tragen dort die gewünschten Benutzernamen ein, gefolgt von einem „:“ und dem verschlüsselten Passwort.

Tipp: Es gibt eine ganze Reihe von Online-Tools, mit denen eine .htpasswd erstellt werden kann.

Die .htapsswd legen Sie an die Stelle Ihres Webservers, den Sie in der .htaccess definiert haben.

Auf diese Weise haben Suchmaschinen-Bots und Besucher keinen Zugriff, auch Brute-Force-Attacken können Sie so vorbeugen. Ein weiterer Vorteil: Dieser Schutz wird vom (Apache-) Webserver durchgeführt und belastet Ihre WordPress-Installation nicht.

WordPress Login URL verschieben

Eine ebenfalls sehr einfache Möglichkeit, die WordPress Login URL zu ändern ist die Nutzung eines Plugins wie bspw. „Custom Login Page Customizer“. Mit diesem Plugin wird die WordPress Login URL geändert von /wp-login.php auf eine frei definierbare URL.

WordPress Login absichern

Ergänzend zu den o.g. Maßnahmen erweitern wir den Login um eine Sicherheitsabfrage:

WordPress Login absichern

Bei jedem Aufruf der Login URL wird eine neue Frage generiert. Wird diese falsch beantwortet können wir den Login so absichern, dass bspw. bei der dritten Falscheingabe die IP-Adresse für 5 Minuten gesperrt wird. Auch dies eine sehr effiziente Maßnahme, um die WordPress Sicherheit beim Login deutlich zu erhöhen.

WordPress Sicherheit Plugins

Es gibt eine Vielzahl von WordPress Security Plugins. Wir haben die meisten getestet und uns für ein Plugin entschieden, welches frei verfügbar ist und einen großen Funktionsumfang bietet:

• IP Blacklisting: Möglichkeit, einzelne IP-Adressen oder IP-Adressbereich komplett zu sperren
• Überwachung der Benutzerkonten und Festlegen einer Passwort-Policy
• Erweitern des WordPress-Logins um etwas Arithmetik
• Blockieren der IP-Adresse bei bspw. drei falschen Login-Versuchen für bspw. 5 Minuten
• Danach permanente Sperrung dieser IP-Adresse sowie E-Mail an den Webmaster
• Übersicht über angemeldete Benutzer und Möglichkeit, die Abmeldung einzelner/aller Benutzer zu erzwingen
• Festlegen eines neuen Datenbank-Präfixes
• Festlegung und Überwachung von Datei- und Verzeichnisberechtigungen
• Bearbeiten von PHP-Dateien aus dem WordPress Backend heraus unterbinden
• Festlegen und Verwaltung von Backlisten
• Firewall
• Festlegen eigener Firewall Regeln
• Prevent Hotlinking
• Malware-Scanning
• u.v.m.

Ergänzend zu diesem WordPress Sicherheit Plugin setzen wir in allen Webseiten ein WordPress Sicherheit Auditing Plugin ein: WP Security Audit.

Es trägt dazu bei, die Benutzerproduktivität zu gewährleisten und ermöglicht es Administratoren, alles zu sehen, was geändert wird, wie z.B. Anmeldungen, Passwortänderungen, Designänderungen, Widget-Änderungen, neue Beitragserstellungen, WordPress-Updates, etc.

WordPress Version unterdrücken

Je weniger ein potenzieller Angreifer über die Technik Ihrer WordPress Webseite weiß, umso besser.

name="generator" content="WordPress 5.3.2"

Es gibt mehrere Möglichkeiten, die Ausgabe der WordPress Version zu unterdrücken:

Nutzen eines WordPress Security Plugins:

WordPress Generator Metainformationen entfernen

Sie fügen diesen Code in die Datei functions.php Ihres Child-Themes ein:

function wp_version_remove_version() {
return '';
}
add_filter('the_generator', 'wp_version_remove_version');

WordPress Datenbanksicherheit

Datenbank-Präfix

Zentraler Dreh- und Angelpunkt  jeder Webseite ist die zugrunde liegende Datenbank. Bei den meisten WordPress Hosting Umgebungen kommt MySQL zum Einsatz.

Geht es bei Ihrer Webseite um Software, werden Sie die Datenbank vermutlich auch software nennen. WordPress fügt das Präfix wp_ hinzu. D.h. Ihre Datenbanktabellen werden alle mit wp_software beginnen.

Es ist sicher eine gute Idee, den von WordPress vorgeschlagenen Datenbankpräfix von wp_ zu ändern in bspw. AbHj. Damit fällt es Hackern sehr viel schwerer, auf Ihre Datenbank zuzugreifen.

Dies kann direkt bei der Grundinstallation von WordPress angepasst werden.

Wenn Sie jedoch ein Duplikat einer bestehenden Webseite nutzen, um daraus Ihre neue Webseite zu erstellen, müssen Sie das Datenbank-Präfix einer bestehenden Datenbank ändern.

Dies kann mittels eines WordPress-Plugins durchgeführt werden:

WordPress Sicherheit Datenbank Präfix ändern

Zugriff auf die WordPress Datenbank

Wie bereits geschrieben, sollten Sie den Datenbank-Namen, den Datenbank-Benutzer sowie das Datenbank-Passwort möglichst sicher wählen.

Sie sollten sich auch Gedanken darüber machen, von wo aus auf die Datenbank zugegriffen werden kann. Es gibt Situationen, in denen der Zugriff über das Web von irgendeinem anderen Server aus erfolgen muss. Dies ist in der Regel keine gute Idee, da hier der gesamte Datenbank-Traffic über das Web übertragen wird.

Wenn irgend möglich, sollten Sie den Zugriff auf die Datenbank auf einen Servername reduzieren – genau der Servername, auf dem Ihre WordPress Webseite physisch liegt.

Bei einigen Web-Hoster kann alternativ als Datenbank-Server localhost eingetragen werden. D.h. hier löst der Web-Hoster den Hostnamen im internen Netzwerk des Hosting-Unternehmens auf. Ein Zugriff von „außen“ ist hier nicht möglich.

Backups, Backups, Backups

Man kann es nicht oft genug sagen: Erstellen Sie Backups und sichern Sie diese auch außerhalb der Webseite!

Ohne ein Backup kann die gesamte Arbeit von Wochen und Monaten durch ein (technisches) Problem in Sekundenschnelle zerstört sein. Dabei ist es so einfach, tägliche & wöchentliche Backups zu erstellen.

Es gibt eine Vielzahl von kostenlosen und kostenpflichtigen WordPress Backup Plugins. Wir nutzen in unseren Installationen gerne das kostenlose Backup Plugin BackUpWordPress.

Mit diesem können Sie verschiedene Backup-Tasks definieren, wie bspw. das Ausführen eines täglichen Full-Backups der gesamten WordPress-Umgebung inkl. der Datenbank:

WordPress Sicherheit: Backup mittels dem WordPress Backup Plugin BackUpWordPress

WICHTIG: Sie sollten sich Gedanken machen, wie Sie die erstellten .ZIP-Datei auch außerhalb der WordPress-Umgebung speichern.

Sprechen Sie uns bei Fragen dazu einfach an.

WordPress Sicherheit: Fazit und Ausblick

WordPress ist nicht unsicherer, als ein anderes Content Management System.

Im Gegenteil: Beachten Sie die o.g. Best Practices, gehört WordPress zu den sicheren Umgebungen.

Sprechen Sie uns gerne an, wenn Sie Fragen zu unserem WordPress Sicherheit Tutorial haben oder Sie konkrete Unterstützung in Projekten benötigen.