WordPress absichern: das Pflichtprogramm nach vier Sicherheitsupdates in 41 Tagen

Zwischen dem 17. September und dem 28. Oktober 2026 hat WordPress vier Sicherheitsupdates für den Kern veröffentlicht. Das jüngste, Version 7.1.4, schließt 22 Sicherheitslücken, und eine davon steckt im Update selbst: In den wenigen Sekunden, in denen WordPress die neuen Dateien entpackt, konnten Angreifer unter Umständen Code auf dem Server ausführen. Die US-Behörde CISA hat diese Lücke am 3. November in ihre Liste aktiv ausgenutzter Schwachstellen aufgenommen.

Rund zehn Jahre lang gingen beim Sicherheitsteam von WordPress 20 bis 30 Meldungen im Monat ein, im Juli 2026 waren es 450 und im August 773.

In diesem Leitfaden gehst du das Pflichtprogramm für deine Seite durch: welche Updates von allein laufen, welche Konten und Plug-ins weg können, wie ein brauchbares Backup aussieht und welche Werte am Server zählen. Grundlage sind die Härtungsregeln der offiziellen WordPress-Dokumentation und die Empfehlungen des BSI.

Welche Updates installiert WordPress von allein?

Sicherheits- und Wartungsupdates des Kerns spielt WordPress automatisch ein, ebenso Übersetzungen. Neue Installationen bekommen seit Version 5.6 zusätzlich die großen Versionssprünge, solange WordPress im Ordner keine Versionsverwaltung erkennt. Plug-ins und Themes aktualisiert WordPress dagegen nur in Ausnahmefällen von selbst, etwa wenn das Sicherheitsteam eine kritische Korrektur freigibt; so steht es in der Anleitung zum Aktualisieren.

Für Plug-ins schaltest du die automatische Aktualisierung seit WordPress 5.5 selbst ein: in der Liste unter „Plugins“ über den Link in der Spalte für automatische Aktualisierungen oder für mehrere Plug-ins auf einmal über die Mehrfachaktionen oberhalb der Tabelle. Bei Themes sitzt der Schalter in der Detailansicht unter „Design“. WordPress sucht dann zweimal am Tag nach neuen Versionen und schickt dir nach jedem Versuch eine E-Mail, auch wenn ein Update scheitert.

Fehlen die Schalter, hat sie laut WordPress-Hilfe meist der Hoster oder ein Plug-in abgeschaltet.

WordPress pflegt aktiv nur die jeweils neueste Version. Die Korrekturen aus 7.1.4 hat das Team trotzdem bis hinunter zu Version 4.7 nachgeliefert, für 4.6 und älter erscheinen keine Sicherheitsupdates mehr.

Wer darf sich bei dir anmelden?

Jedes Konto mit Schreibrechten ist ein mögliches Einfallstor. In der Liste der Fehler, die WordPress 7.1.4 behebt, setzen acht Einträge ein Konto mit mindestens der Rolle Mitarbeiter voraus, je einer die Rolle Autor oder Redakteur. Mitarbeiter schreiben eigene Beiträge, ohne sie zu veröffentlichen, Autoren veröffentlichen ihre eigenen, Redakteure auch fremde Beiträge, und Abonnenten verwalten nur ihr Profil, so die Übersicht der Rollen.

Geh am besten einmal die Benutzerliste durch. Konten ehemaliger Gastautorinnen, Praktikanten oder einer Agentur, deren Auftrag längst abgeschlossen ist, löschst du oder stufst sie auf Abonnent herab. Ein Konto namens „admin“ ersetzt du durch einen eigenen Administrator, denn solche Benutzernamen probieren Angreifer laut Härtungsanleitung zuerst aus.

Taucht ein Administrator auf, den niemand angelegt hat, ist das ein Alarmzeichen. Nach einem Vorfall bei einem Backup-Plug-in im Oktober legten Angreifer über Plug-ins, die sie zuvor unbemerkt installiert hatten, neue Admin-Konten an.

Für die übrigen Konten gilt, was das BSI für jeden Zugang empfiehlt: ein eigenes Passwort je Dienst, entweder mindestens acht Zeichen aus vier Zeichenarten oder 20 bis 25 Zeichen aus zwei Zeichenarten, etwa mehrere Wörter hintereinander. Merken musst du dir die Passwörter nicht, das übernimmt ein Passwort-Manager.

Eine Zwei-Faktor-Anmeldung bringt WordPress nicht mit. Die Anleitung gegen Passwort-Angriffe rät, sie für alle Administratoren und Konten mit erweiterten Rechten über ein Plug-in oder einen Anmeldedienst einzurichten. Das BSI empfiehlt den zweiten Faktor für jeden Dienst, der ihn anbietet.

Anwendungspasswörter, die es seit WordPress 5.6 für Apps und Dienste gibt, lassen sich einzeln widerrufen, ohne dass du dein eigentliches Passwort änderst.

Welche Plug-ins und Themes gehören weg?

Alles, was du nicht nutzt, löschst du, statt es nur zu deaktivieren. Die Härtungsanleitung von WordPress rät ausdrücklich dazu, ungenutzte Plug-ins zu entfernen; ein deaktiviertes Plug-in liegt mit allen Dateien weiter auf dem Server.

Neue Erweiterungen holst du nur aus dem offiziellen Verzeichnis auf wordpress.org oder von bekannten Firmen. Verlangt ein Plug-in Schreibrechte auf dem Server, rät die Dokumentation, den Code selbst zu lesen oder von jemandem prüfen zu lassen, dem du vertraust.

Plug-ins, die PHP-Code aus Datenbankeinträgen ausführen, meidest du am besten ganz; für eigene Funktionen sind eigene Seitenvorlagen der sicherere Weg.

Den eingebauten Dateieditor für Themes und Plug-ins schaltest du mit einer Zeile in der wp-config.php ab: define( 'DISALLOW_FILE_EDIT', true ); Ein Angreifer mit übernommenem Administratorkonto kann dann im Dashboard keinen PHP-Code mehr in ein Theme schreiben. Dass die Zeile das Hochladen schädlicher Dateien nicht verhindert, schreibt die Dokumentation selbst.

Wie sieht ein Backup aus, das im Ernstfall hilft?

Datenbank und Dateien gehören beide in die Sicherung, nur mit beiden lässt sich eine typische WordPress-Seite vollständig wiederherstellen. Eine Kopie der Dateien enthält die Datenbank in der Regel nicht, die exportierst du getrennt. Die WordPress-Anleitung zu Backups nennt für beide Teile eine feste Reihenfolge.

Beim Sichern kommt erst die Datenbank, dann die Dateien. Beim Zurückspielen läuft es umgekehrt.

Für kleine Seiten, an denen sich selten etwas ändert, reicht laut Anleitung eine Sicherung pro Woche, Seiten mit vielen neuen Inhalten sicherst du täglich, und alle zusätzlich vor jedem Update. Bewahre mindestens drei bis fünf aktuelle Sicherungen an getrennten Orten auf, etwa beim Hoster, in einem Cloud-Speicher und auf deinem eigenen Rechner. Liegt die einzige Kopie auf demselben Server wie die Seite, trifft ein Ausfall oder Einbruch beide zugleich.

Die Härtungsanleitung rät zusätzlich, Sicherungen zu verschlüsseln und datierte Stände aufzuheben, damit eine Kopie von vor einem Einbruch bereitliegt.

Ein Plug-in für automatische Sicherungen nimmt dir die Routine ab. Die Dokumentation empfiehlt trotzdem, ab und zu von Hand zu sichern, um zu prüfen, ob die Automatik wirklich arbeitet. Wie das in der Praxis aussieht, zeigt die Lektion Sicherheit und Backups im WordPress-Kurs für Einsteiger.

Was stellst du am Server und in der wp-config.php ein?

Dateirechte, PHP-Version und Verschlüsselung entscheiden mit, wie weit ein Angreifer kommt, der eine Lücke gefunden hat. Die meisten dieser Werte setzt du einmal per SFTP oder im Kundenbereich des Hosters.

Für Ordner nennt die Dokumentation die Dateirechte 755, für Dateien 644; mit diesen Werten legen auch automatische Updates die Dateien an. Die wp-config.php mit den Zugangsdaten zur Datenbank bekommt 400 oder 440, sie lässt sich dann nur noch lesen. Sie darf außerdem eine Ordnerebene über der Installation liegen. Zum Übertragen nimmst du SFTP statt FTP, sobald dein Hoster es anbietet.

WordPress empfiehlt PHP ab Version 8.3. Für PHP 8.2 enden die Sicherheitsupdates am 31. Dezember 2026. Läuft deine Seite noch darauf, plan den Wechsel am besten jetzt; was du dabei mit dem Hoster klärst, steht im Ratgeber zum Webhosting für WordPress.

Für die Anmeldung und das Dashboard verlangt die Härtungsanleitung eine verschlüsselte Verbindung über HTTPS. Das Tabellenpräfix der Datenbank setzt du bei einer neuen Installation auf etwas anderes als wp_, das hält laut Dokumentation zumindest einen Teil der Angriffe per SQL-Injection ab.

Zugriffs- und Fehlerprotokolle des Servers hebst du auf, denn ohne sie lässt sich ein Einbruch im Nachhinein kaum nachvollziehen.

Was das für dich bedeutet

Die Reihe der Updates dürfte so bald nicht abreißen: Seit Jahresbeginn hat WordPress mehr als 3.000 Sicherheitsmeldungen erhalten, mehr als in den zwölf Jahren davor zusammen, wie die Zwischenbilanz des Sicherheitsteams zeigt. Fünf Schritte bringen deine Seite auf einen soliden Stand:

1. Prüf unter „Dashboard“ und „Aktualisierungen“, ob deine Seite auf 7.1.4 oder der Korrekturversion deiner Versionsreihe läuft, und schalte die automatische Aktualisierung für alle aktiven Plug-ins und Themes ein.
2. Räum die Benutzerliste auf, ersetz ein Konto namens „admin“ und richte für jeden Administrator eine Zwei-Faktor-Anmeldung ein.
3. Lösch ungenutzte Plug-ins und Themes und schalte den Dateieditor in der wp-config.php ab.
4. Leg fest, wann und wohin du sicherst, mit mindestens drei Kopien an getrennten Orten, und spiel eine Kopie einmal probeweise zurück.
5. Frag beim Hoster nach der PHP-Version und plane den Wechsel, falls noch PHP 8.2 oder älter läuft.

Unsere Einschätzung: Ein Sicherheits-Plug-in ersetzt keinen dieser Schritte. Es läuft selbst in PHP und kostet bei einem großen Angriff Rechenleistung, wie die WordPress-Dokumentation anmerkt. An veralteten Plug-ins, verwaisten Admin-Konten und fehlenden Backups ändert es nichts.

Baust du deine Seite gerade erst auf, führt dich der Kurs WordPress für Anfänger von der Installation bis zum Livegang, mit eigenen Lektionen zu Updates und Backups.

Stand der Angaben: 13. November 2026.

Quellen

• WordPress-Dokumentation: Version 7.1.4
• Make WordPress Security: The Core Security Initiative: two months in
• WordPress Developer Resources: Upgrading WordPress
• WordPress-Dokumentation: Plugin and themes auto-updates
• WordPress Developer Resources: Hardening WordPress
• WordPress Developer Resources: Brute Force Attacks
• WordPress Developer Resources: Backups
• WordPress-Dokumentation: Roles and Capabilities
• WordPress.org: Requirements
• PHP: Supported Versions
• BSI: Sichere Passwörter erstellen
• BSI: Zwei-Faktor-Authentisierung