So testen Sie die Sicherheit Ihrer WordPress-Site in 2026 (Kostenlose Tools und eine vollständige Audit-Checkliste) - DEUTSCH

Angreifer machen einen neuen WordPress-Fehler innerhalb von durchschnittlich fünf Stunden zu einer Waffe. Bis eine Plugin-Schwachstelle in Ihrem Posteingang landet, Die Bots haben es in der Regel bereits auf Ihrer Seite ausprobiert. Diese fünfstündige Pause ist der eigentliche Grund, Ihre eigene Website zu testen, anstatt darauf zu warten, dass schlechte Nachrichten Sie erreichen. Diese Anleitung zeigt Ihnen, wie Sie eine WordPress-Site auf Lücken überprüfen, Von einem 10-minütigen kostenlosen Scan bis hin zu einem vollständigen Audit, das Sie jedes Quartal wiederholen können.

Schnelle Antwort: Führen Sie zunächst zwei kostenlose externe Scans durch (SiteCheck- und WPScan-Säfte), Anschließend bewerten Sie Ihre Verschlüsselung und Header mit Qualys SSL Labs und securityheaders.com. Für alles, was gerade läuft, Installieren Sie ein Scan-Plugin (Wordfence für die meisten Websites, MalCare, wenn die Seitengeschwindigkeit wichtig ist). Dann schalten Sie für jeden Admin die Zwei-Faktor-Authentifizierung ein, und deaktivieren Sie XML-RPC, wenn Sie es nicht verwenden.

Zuletzt überprüft: Juni 2026. Werkzeuge, Plugin-Namen, und Schwachstellendaten, die anhand aktueller Quellen überprüft wurden.

Wie wir diesen Leitfaden recherchiert haben

Wir haben keinen Live-Penetrationstest für Ihre Website durchgeführt, und kein Artikel kann. Was wir getan haben: Öffnen Sie jeden hier aufgeführten kostenlosen Scanner und vergewissern Sie sich, dass er immer noch wie in dieser Anleitung beschrieben funktioniert. Wir haben die aktuellen Plugin-Installationszahlen und Funktionssätze auf WordPress.org und Anbieterseiten überprüft. Und wir haben die Bedrohungszahlen mit dem State of WordPress Security-Bericht von Patchstack verglichen 2025. Wo ein Tool seinen Namen oder Besitzer geändert hat, wir sagen es. Solide Sicherheit, zum Beispiel, ist das Plugin, das die meisten älteren Anleitungen immer noch als iThemes Security bezeichnen. Wir haben frei gewichtet, Installieren Sie zunächst keine Tools, die nicht installiert werden müssen (weil die meisten Leser testen möchten, bevor sie Geld ausgeben), dann laufende Plugins, dann Schutz auf Hostebene. Alles, was wir auf einer aktuellen Seite nicht überprüfen konnten, wir haben es weggelassen.

Was ein WordPress-Sicherheitstest eigentlich prüft

Bei einem WordPress-Sicherheitstest wird Ihre Website auf bekannte Schwachstellen überprüft, bevor jemand anderes sie findet. Es betrachtet vier Schichten: Ihre Software (Ader, Plugins, Themen), Ihre Logins, Ihre Dateiberechtigungen, und Ihre Verschlüsselung. Die meiste Gefahr lauert im ersten.

Hier ist das Wichtigste “Prüfung” Beiträge überspringen. WordPress ist auf dem Vormarsch 11,334 neue Schwachstellen in 2025, hoch 42% auf das Jahr davor, und ungefähr 91% davon befanden sich in Plugins. Ein weiterer 9% kam aus Themen. Core selbst hatte sechs, alle niedrige Priorität. Ein echter Test verbraucht also den größten Teil seiner Energie für Ihre Add-ons, nicht auf WordPress selbst. Allein Cross-Site-Scripting machte etwa aus 41% von allem, was berichtet wird. Wenn Ihr Test keine veralteten Plugins erkennt, Es wird das Falsche getestet.

Es gibt zwei Arten von Tests, und du willst beides. Extern (Fernbedienung) Scans betrachten Ihre Website so, wie es ein Angreifer im offenen Internet tut, ohne Login. Interne Scans werden in WordPress ausgeführt und können Ihre Dateien lesen, Vergleichen Sie sie mit bekanntermaßen guten Kopien, und Veränderungen erkennen. Remote-Tools erfassen, was sichtbar ist; Interne Tools erkennen, was manipuliert wurde.

Kostenlose Tests, an denen Sie teilnehmen können 10 Protokoll (kein Plugin erforderlich)

Beginnen Sie hier. Nichts davon berührt den Code Ihrer Website, Es besteht also kein Risiko, dass etwas kaputt geht, und Sie müssen sich nicht anmelden, um sie auszuführen.

• SiteCheck-Säfte (sitecheck.sucuri.net): Fügen Sie Ihre URL ein und es wird nach sichtbarer Malware gesucht, Spam-Injektionen, Verunstaltung, und ob Ihre Domain auf einer Blacklist steht. Schnell und ehrlich über seine Grenzen. Weil es nur sieht, was ein Browser sieht, Es kann keine serverseitigen Infektionen abfangen, Behandeln Sie also ein sauberes Ergebnis als “nichts offensichtliches,” nicht “alles klar.”
• WPScan (wpscan.com): der WordPress-spezifische Scanner. Es zeichnet Ihre Version auf, Plugins, und Themen, Anschließend werden sie mit einer Schwachstellendatenbank abgeglichen, die Zehntausende bekannter Probleme aufspürt. Für die kostenlose Stufe ist eine schnelle Anmeldung für ein API-Token erforderlich und die Anzahl der Scans pro Tag ist begrenzt, Das ist genug für eine Seite.
• Qualys SSL Labs (ssllabs.com/ssltest): bewertet Ihr HTTPS-Setup von A+ bis F. Es liest Ihr Zertifikat, Protokollversionen, und Verschlüsselungssammlungen. Alles unter einem A bedeutet eine schwache oder veraltete Verschlüsselung, die repariert werden sollte.
• securityheaders.com: eine One-Click-Buchstabenbewertung für Ihre HTTP-Antwortheader. Das Fehlen einer Content-Security-Policy oder eines HSTS-Headers kommt häufig vor und lässt sich leicht beheben, und dieses Tool sagt Ihnen genau, welche Ihnen fehlen.
• MDN HTTP Observatory (das Tool, das viele Leute immer noch Mozilla Observatory nennen): eine umfassendere Best-Practice-Prüfung, die sich mit den beiden oben genannten überschneidet und Kontext dazu hinzufügt, warum jeder Header wichtig ist.

Führen Sie alle fünf aus, Notieren Sie sich die Noten, und Sie haben in weniger als zehn Minuten eine Basislinie. Wenn alles sauber zurückkommt, groß. Gehen Sie trotzdem zur manuellen Checkliste über, weil Remote-Scanner die Dinge übersehen, die sich hinter Ihrem Anmeldebildschirm befinden.

Die manuelle Audit-Checkliste: was Sie selbst überprüfen sollten

Remote-Scanner können sich nicht anmelden. Du kannst. Dies ist der Teil, der die Schwachstellen auffängt, die Angreifer tatsächlich ausnutzen. Arbeiten Sie es bei geöffnetem Dashboard durch.

• Veraltete Software. Kern prüfen, jedes Plugin, und jedes Thema für verfügbare Updates. WordPress ausführen 7.0 “Armstrong” oder höher hält kleinere Sicherheitspatches automatisch bereit, Aber Plugins erfordern immer noch Ihre Aufmerksamkeit. Löschen Sie alles, was Sie nicht verwenden. Ein deaktiviertes Plugin hat immer noch Code auf dem Server.
• Verlassene Plugins. Öffnen Sie die Seite jedes Plugins und schauen Sie sich das an “zuletzt aktualisiert.” Ein Plugin, das über ein Jahr lang nicht verändert wurde, stellt eine Haftung dar, kein Feature. Finden Sie einen gewarteten Ersatz.
• Benutzerkonten und Rollen. Entfernen Sie alte Administratorkonten, Downgraden Sie Benutzer, die keine Administratorrechte benötigen, und stellen Sie sicher, dass kein Konto den Benutzernamen verwendet “Administrator.” Jeder zusätzliche Administrator ist ein weiterer vollständiger Schlüsselsatz.
• Zwei-Faktor-Authentifizierung. Bestätigen Sie, dass 2FA für alle Administrator- und Editor-Konten aktiviert ist, Idealerweise mit einer Authentifizierungs-App (TOTP) statt SMS. Viele Sicherheitsexperten nennen dies die Änderung mit der größten Auswirkung, die Sie vornehmen können. Möchte weiter gehen? Ein Hauptschlüssel (WebAuthn) widersteht Phishing auf eine Weise, die selbst App-Codes nicht können, obwohl in 2026 Es ist immer noch nur ein Plugin, nicht im Kern gebacken. Generieren Sie in beiden Fällen Backup-Codes.
• Login-Härtung. Gibt es eine Begrenzung für fehlgeschlagene Anmeldeversuche?? Ein CAPTCHA auf dem Anmeldeformular? These slow brute-force bots to a crawl.
• XML-RPC. If you don’t use the Jetpack app, remote publishing, or pingbacks, disable xmlrpc.php. Es ist system.multicall method lets attackers test hundreds of password guesses in one request, which is why it’s a favorite brute-force target.
• Dateiberechtigungen. Directories should be 755 (oder 750), Dateien 644 (oder 640), und wp-config.php should be 440 oder 400, niemals 644. Leaving wp-config readable hands your database credentials to any process on the server.
• Dashboard file editing. Hinzufügen DISALLOW_FILE_EDIT to wp-config.php. If an attacker ever gets in, the built-in editor is their fastest path to injecting code. Most production sites never need it.
• SSL and headers. Confirm HTTPS is forced site-wide (no mixed content) and act on the SSL Labs and securityheaders grades from the last step.
• Backups. Verify you have recent, off-site backups and that you’ve actually restored one at least once. Ein Backup, das Sie noch nie getestet haben, ist eine Vermutung, kein Sicherheitsnetz.
• Die Hosting-Ebene. Gute Hosts blockieren viel, bevor es WordPress erreicht. Wenn Sie Shared Hosting nutzen und es ernst meinen, ein Umzug nach verwaltetes WordPress-Hosting verschiebt das Patchen, Firewalls, und Malware-Scans beim Anbieter.

Führen Sie eine umfassendere automatisierte Prüfung mit einem Sicherheits-Plugin durch (Schritt für Schritt)

Externe Scans und die Checkliste geben Ihnen einen Überblick. Ein Scan-Plugin gibt Ihnen einen Stolperdraht, der die Website ständig überwacht. Hier erfahren Sie, wie Sie eine vollständige Prüfung einrichten und durchführen.

• 1. Wählen Sie ein Plugin aus, nicht drei. Der gleichzeitige Betrieb von zwei Firewalls oder zwei Scannern führt zu Konflikten und Fehlalarmen. Wählen Sie Wordfence, MalCare, Solide Sicherheit, Säfte, oder AIOS, dann bleib dabei.
• 2. Sichern Sie zuerst. Erstellen Sie ein neues Backup, bevor Sie etwas installieren, das die Sicherheitseinstellungen berührt, So können Sie ein Rollback durchführen, wenn eine Firewall-Regel eine Seite unterbricht.
• 3. Führen Sie den ersten vollständigen Scan durch. Lassen Sie es installieren, Vergleichen Sie dann Ihre Kerndateien, Plugins, und Themen gegen verifizierte Originale. Hier tauchen veränderte oder eingefügte Dateien auf.
• 4. Lesen Sie die Ergebnisse nach Schweregrad. Kritische und hohe Ergebnisse zuerst. Veränderte Kerndateien oder unbekanntes PHP in Ihrem Upload-Ordner sind Warnsignale. Benachrichtigungen mit niedriger Priorität können warten.
• 5. Schalten Sie die Firewall ein. Aktivieren Sie die Webanwendungs-Firewall und lassen Sie sie einige Tage lang Ihren Datenverkehr lernen, bevor Sie die Regeln verschärfen.
• 6. Richten Sie Benachrichtigungen ein. E-Mail- oder Slack-Benachrichtigungen für Dateiänderungen, fehlgeschlagene Anmeldungen, und neue Administratorkonten. Sie möchten von Problemen an dem Tag erfahren, an dem sie auftreten, nicht nächstes Quartal.
• 7. Planen Sie wiederkehrende Scans. Täglich für ein Geschäft, wöchentlich für eine Broschürenseite. Automatisieren Sie es, damit Sie nicht auf den Speicher angewiesen sind.
• 8. Führen Sie Ihre kostenlosen externen Scans erneut durch. Stellen Sie sicher, dass das Plugin keine gemischten Inhalte oder Header-Regressionen eingeführt hat.

Welches Plugin? Wordfence läuft auf Ihrem Server und bietet die umfassendste Sichtbarkeit auf WordPress-Ebene, mit einer Endpoint-Firewall und einem Malware-Scanner, der von over unterstützt wird 5 Millionen Installationen. MalCare verlagert das Scannen in seine eigene Cloud, Tiefenscans belasten Ihren Server also nicht, und die Entfernung mit einem Klick ist die schnellste Bereinigung, wenn Sie bereits infiziert sind. Sucuri kombiniert ein kostenloses Plugin mit einer Cloud-Firewall, die den Datenverkehr filtert, bevor er Sie erreicht. Das passt zu einem Laden dahinter ein CDN, oder eine Website, die bereits zuvor aufgerufen wurde. Solide Sicherheit (Ja, die alte iThemes-Sicherheit) Der Schwerpunkt liegt auf der Absicherung der Anmeldung und führt Anfänger im Klartext durch die einzelnen Korrekturen.

Wie oft sollten Sie die WordPress-Sicherheit testen??

Führen Sie mindestens alle sechs Monate ein vollständiges Audit durch. Das ist der Boden, nicht das Ziel. Testen Sie nach jedem dieser Schritte erneut: eine große Kernversion, Hinzufügen oder Entfernen eines Plugins, eine Host-Migration, oder Anzeichen von Problemen wie Spam-Weiterleitungen oder ein plötzlicher Verkehrsrückgang. Geschwindigkeit ist der Grund. Als GutenKit und Hunk Companion im Oktober als verwundbar befunden wurden 2025, Angreifer schossen herum 9 Millionen Exploit-Versuche in zwei Wochen. Die Websites, die den Tag, an dem die Patches veröffentlicht wurden, gescannt haben, waren in Ordnung; Diejenigen, die einen Monat warteten, wurden zur Zielscheibe.

Die Trittfrequenz skaliert mit Ihren Einsätzen. Ein persönlicher Blog kann vierteljährlich laufen. Ein WooCommerce-Shop, der echte Zahlungen entgegennimmt, sollte die Protokolle täglich scannen und wöchentlich überprüfen, weil dort durch einen Verstoß Kundendaten verloren gehen, nicht nur deins. Wenn Sie ein Geschäft betreiben, Die Sicherheitsschwelle ist durchweg höher, Dies ist ein eigenes Argument für ein Hosting, das für Geschäfte entwickelt wurde, und nicht für einen einfachen gemeinsamen Plan.

Was tun, wenn ein Test etwas findet?

Ein Problem gefunden? Keine Panik, und beginnen Sie nicht wahllos damit, Dateien zu löschen. Triage in dieser Reihenfolge.

Zuerst, Finden Sie heraus, ob Sie angreifbar sind oder bereits ein Verstoß vorliegt. Ein als veraltet gekennzeichnetes Plugin stellt ein Risiko dar, das Sie beheben können. Unbekannte PHP-Dateien, unbekannte Admin-Benutzer, oder Inhalte, die Sie nicht geschrieben haben, bedeuten, dass Sie wahrscheinlich bereits gefährdet sind, und das ist ein anderer Job. Für eine Lebendinfektion, Versetzen Sie die Site in den Wartungsmodus, Stellen Sie ein sauberes Backup von vor dem Verstoß wieder her, Dann flicken Sie das Loch, durch das sie hineingelassen wurden. Andernfalls werden Sie einfach erneut infiziert.

Für schlichte Schwachstellen, Die Reparatur ist normalerweise langweilig: Aktualisieren oder entfernen Sie das Plugin, verschärfen Sie die Erlaubnis, Fügen Sie den fehlenden Header hinzu, 2FA aktivieren. Führen Sie den Scan erneut aus, bei dem das Problem erkannt wurde, um zu bestätigen, dass der Befund verschwunden ist. Liegt die Schwachstelle darin, dass Ihr Login durch ständigen Brute-Force- oder Junk-Traffic beeinträchtigt wird?? Das ist ein Job für den Rand. Hosting mit integriertem DDoS-Schutz stoppt die Flut, bevor sie PHP erreicht.

So wählen Sie Ihr Test-Toolkit aus

Sie benötigen nicht jedes Werkzeug. Sie benötigen die richtigen zwei oder drei für Ihre Situation. Einige häufige Fälle:

• Hobbyblog, knappes Budget: weniger als 5.000 Besuche pro Monat, Führen Sie vierteljährlich kostenlose externe Scans durch und nutzen Sie außerdem das kostenlose Kontingent von Solid Security für 2FA und Anmeldelimits. Überspringen Sie die kostenpflichtige Firewall; bei diesem Verkehr, Der Schutz auf Hostebene reicht aus.
• Unternehmensseite, Lead-Formulare, keine Kasse: Wordfence (kostenlos oder Premium) für kontinuierliches Scannen und eine Endpunkt-Firewall, mit wöchentlichen automatischen Scans. Die Sichtbarkeit auf dem Server übertrifft einen Nur-Remote-Scanner, wenn Sie über benutzerdefinierte Plugins verfügen.
• WooCommerce-Shop, echte Zahlungen, Verkehrsspitzen: eine Cloud-Firewall wie Sucuri am Edge plus MalCare für Off-Server-Scans, So tiefe tägliche Scans verlangsamen den Checkout nie. Koppeln Sie es mit einem Host, der DDoS im Upstream filtert. Dies ist der einzige Fall, in dem sich die Bezahlung des mehrstufigen Schutzes lohnt.
• Du schaffst es 10+ Kundenstandorte: Mit einem Cloud-Scanner können Sie alle von einem Dashboard aus ausführen (MalCare oder Säfte) Es ist besser, sich bei jeder Site anzumelden. Site-spezifische Plugins lassen sich nicht auf eine Agentur skalieren.

Eine Regel durchdringt alles: Wählen Sie eine einzelne Firewall und einen einzelnen Scanner, Dann handeln Sie tatsächlich entsprechend dem, was sie berichten. Zwei überlappende Plugins kämpfen gegeneinander, Und ein Scan, den Sie nie lesen, ist schlimmer als kein Scan, weil es dir falsches Vertrauen gibt. Ich bin mir nicht sicher, ob Ihr aktueller Gastgeber Ihnen eine solide Basis bietet, auf der Sie aufbauen können? Das Hosting-Finder-Tool Filtert Anbieter nach den hier wichtigen Sicherheitsmerkmalen.

Häufig gestellte Fragen

Kann ich die Sicherheit meiner WordPress-Site kostenlos testen??

Ja, und Sie sollten dort beginnen. Sucuri SiteCheck und WPScan scannen beide kostenlos von außen, und Qualys SSL Labs sowie securityheaders.com bewerten Ihre Verschlüsselung und Header kostenlos. Für fortlaufendes internes Scannen, Wordfence und Solid Security liefern beide kostenlose Versionen, die die Grundlagen abdecken. Bezahlte Stufen erhöhen meist die Firewall-Tiefe und eine schnellere Malware-Bereinigung, nicht der Kernscan selbst.

Ist Wordfence oder MalCare besser zum Scannen geeignet??

Es hängt davon ab, wo die Arbeit stattfinden soll. Wordfence führt seinen Scanner auf Ihrem Server aus, Dies liefert tiefere Details auf Dateiebene, verbraucht aber während eines Scans Ihre Ressourcen. MalCare führt Scans in seiner eigenen Cloud durch, damit Ihre Website nicht verlangsamt wird, Und die Malware-Entfernung mit einem Klick geht schneller, wenn Sie bereits gehackt wurden. Für die meisten selbst gehosteten Websites ist Wordfence die Standardeinstellung; für Geschäfte, in denen Geschwindigkeit heilig ist, MalCare gewinnt.

Woher weiß ich, ob meine WordPress-Site bereits gehackt wurde??

Achten Sie auf die Tells: Seiten, die zu Spam weiterleiten, unbekannte Administratorkonten, Inhalte, die Sie nicht veröffentlicht haben, eine plötzliche Google-Blacklist-Warnung, oder Ihr Gastgeber sperrt das Konto. Führen Sie Sucuri SiteCheck für eine schnelle externe Lesung aus, Anschließend erfolgt ein vollständiger Wordfence- oder MalCare-Scan, um die Kerndateien mit den Originalen zu vergleichen. Wenn ein Scan geänderte Kerndateien oder unbekanntes PHP in Ihrem Upload-Ordner findet, Behandeln Sie es als bestätigten Verstoß und stellen Sie ein sauberes Backup wieder her.

Wird ein Sicherheits-Plugin meine WordPress-Site verlangsamen??

Ein wenig, Meistens während Scans und nur, wenn der Scanner auf Ihrem Server läuft. Wordfence kann die Last erhöhen, während ein Tiefenscan ausgeführt wird, Aus diesem Grund entscheiden sich stark frequentierte Websites häufig für MalCare oder Sucuri, um diese Arbeit in die Cloud zu verlagern. Eine gut konfigurierte Firewall hat nur minimale Auswirkungen auf den Alltag. Wenn Geschwindigkeit Ihre Sorge ist, Wählen Sie einen cloudbasierten Scanner und planen Sie Scans für Zeiten außerhalb der Hauptverkehrszeiten.

Benötige ich trotzdem ein Sicherheits-Plugin, wenn mein Host über eine Firewall verfügt??

Normalerweise ja. Eine Host-Firewall blockiert Angriffe auf Netzwerkebene, Es kann jedoch nicht erkannt werden, dass eines Ihrer Plugins einen bekannten Cross-Site-Scripting-Fehler aufweist, oder dass jemand gestern Abend ein Administratorkonto hinzugefügt hat. Ein Scan-Plugin überwacht in WordPress, wo der Host dies nicht kann. Die Ausnahme bildet das vollständig verwaltete WordPress-Hosting, Dabei führt der Anbieter beide Ebenen und die Überwachung für Sie aus.

Wohin von hier aus?

Das Testen ist kein einmaliges Ereignis; es ist eine Gewohnheit. Führen Sie diese Woche die kostenlosen Scans durch, Arbeiten Sie die manuelle Checkliste ab, Installieren Sie dann ein Plugin, um die Site zwischen Audits zu überwachen. Das fünfstündige Ausnutzungsfenster bedeutet eines: die Kluft dazwischen “Patch verfügbar” und “Patch angewendet” Hier sterben Websites. Der wahre Vorteil sind automatische Updates und ein Stolperdraht, der Ihnen sagt, wenn sich etwas bewegt.

Wenn bei Ihrer Prüfung immer wieder Probleme auftauchen, die Ihr aktueller Plan nicht beheben kann, Das Problem könnte eher das Fundament als die Website sein. Es lohnt sich, verwaltetes WordPress-Hosting für das manuelle Patchen zu vergleichen, anschauen Hosting auf E-Commerce-Niveau wenn Sie Zahlungen entgegennehmen, oder Schichtung DDoS-geschütztes Hosting unter einer Seite, die ständig gehämmert wird. Starkes Hosting und eine getestete Website sind die Kombination, die Sie tatsächlich online hält.