Lücken schließen
Updates beheben bekannte Schwachstellen in Server-Software, PHP und WordPress. Dazu gehört auch die Prüfung, ob eingesetzte Erweiterungen noch gepflegt werden.
Infrastruktur · Website-Schutz
Damit aus kleinen Lücken keine großen Sorgen werden.
Eine Website läuft oft lange unauffällig. Trotzdem braucht sie Pflege. Wir betrachten Software, Zugänge und Betrieb gemeinsam und vereinbaren die passenden Schutzmaßnahmen.
Schutz auf mehreren Ebenen.
Zugriffe absichern
Sicherheitsplugins wie Wordfence können verdächtige Anfragen abwehren, Anmeldeversuche begrenzen und Dateien auf Hinweise auf Schadsoftware untersuchen.
Erreichbar bleiben
Cloudflare kann Angriffe bereits vor dem Hosting abfangen. Turnstile ergänzt Formulare um eine Prüfung gegen automatisierten Missbrauch.
Die Maßnahmen im Einzelnen.
Die Basis aktuell halten.
Nicht nur WordPress braucht Updates. Auch die Software auf dem Server gehört zur laufenden Pflege.
Hintergründe und technische Details
Server-Software aktuell halten
Betriebssystem, Webserver und Datenbank arbeiten im Hintergrund. Auch dort können Sicherheitslücken entstehen. Gepflegte Software und zeitnahe Sicherheitsupdates verringern die Angriffsfläche der gesamten Umgebung.
Bei verwaltetem Hosting übernimmt einen Teil davon der Provider. Bei eigenen oder dedizierten Servern müssen Zuständigkeiten, Wartungsfenster und Kontrollen ausdrücklich geregelt sein.
PHP mit Unterstützung nutzen
PHP führt den Programmcode von WordPress aus. Nach dem Ende der Sicherheitsunterstützung erhält eine PHP-Version regulär keine weiteren Sicherheitskorrekturen. Deshalb gehört der Wechsel auf eine unterstützte Version zur Wartung.
Vor der Umstellung prüfen wir die Kompatibilität von WordPress, Plugins und Theme. Danach testen wir wichtige Abläufe wie Anmeldung, Formulare und Shop-Funktionen.
Den aktuellen Unterstützungszeitraum dokumentiert die offizielle PHP-Versionsübersicht. Mehr zur laufenden technischen Betreuung finden Sie unter Server & Betreuung.
Eine Website braucht Pflege. Auch wenn sie läuft.
Wir prüfen WordPress, Plugins und Theme, planen Updates und kontrollieren anschließend die wichtigen Funktionen.
Hintergründe und technische Details
WordPress-Updates betreffen drei Bereiche: den Core als Grundsystem, Plugins für zusätzliche Funktionen und Themes für Darstellung und Vorlagen. Sicherheitsaktualisierungen schließen bekannte Lücken; weitere Updates beheben Fehler und erhalten die Kompatibilität. Ein aktueller Core allein genügt deshalb nicht.
Besonders wichtig sind Erweiterungen von Drittanbietern. Manche Plugins und Themes werden mit der Zeit aufgegeben. Die Website funktioniert zunächst weiter, doch neu entdeckte Schwachstellen im alten Code bleiben möglicherweise ungepatcht. Angreifer können solche Lücken ausnutzen, um unbefugt Zugriff zu erhalten, Inhalte zu verändern oder Schadcode einzuschleusen.
Eine lange Update-Pause beweist noch keine Sicherheitslücke. Sie ist aber ein Anlass, Pflegezustand, bekannte Schwachstellen und Alternativen zu prüfen. Nicht benötigte Erweiterungen werden entfernt; für aufgegebene Komponenten planen wir einen gepflegten Ersatz.
Vor größeren Änderungen gehören ein nutzbares Backup und bei komplexen Websites eine Testumgebung zur Vorbereitung. Nach dem Update prüfen wir die entscheidenden Funktionen. Wie wir das organisieren, erfahren Sie unter WordPress-Wartung.
Auffälligkeiten erkennen und einordnen.
Ein Sicherheitsplugin kann Hinweise liefern und Schutzmaßnahmen ergänzen. Entscheidend ist, Funde zu prüfen und darauf zu reagieren.
Hintergründe und technische Details
Ein Plugin wie Wordfence ergänzt die Wartung direkt in WordPress: Eine Anwendungsfirewall kann auffällige Anfragen filtern, ein Anmeldeschutz wiederholte Login-Versuche begrenzen. Starke, individuelle Passwörter und Zwei-Faktor-Authentifizierung sichern Konten zusätzlich ab.
Dateiscans helfen, Veränderungen zu entdecken. Wordfence kann Dateien auf Schadcode und eingeschleuste, unerwünschte Dateien prüfen. Wo Originaldateien verfügbar sind, lassen sich WordPress-, Plugin- und Theme-Dateien mit diesen vergleichen. So können etwa manipulierte Dateien oder Hintertüren auffallen. Funde müssen bewertet und bereinigt werden; ein unauffälliger Scan ist keine Garantie für eine saubere Website.
Wordfence bietet Einstellungen gegen das Auslesen von Benutzernamen über bekannte Wege, darunter die REST-API. Wir prüfen, welche öffentlichen Angaben benötigt werden und welche Einschränkungen sinnvoll sind. Ein pauschales Abschalten der gesamten API kann den Editor oder angebundene Dienste stören.
Hintergründe: öffentliche Benutzerabfragen in WordPress, Wordfence-Anmeldeschutz und Hinweise zu Scan-Ergebnissen.
Sind über die REST-API alle Admin-Konten öffentlich sichtbar?
Nein. WordPress bringt standardmäßig eine REST-API mit. Ihr öffentlicher Benutzer-Endpunkt kann Profile von Autoren mit veröffentlichten Inhalten ausgeben. Dazu können auch Administratoren gehören, wenn sie solche Inhalte veröffentlicht haben. Es ist aber keine vollständige Liste aller Admin-Konten; Passwörter und eine allgemeine Rollenübersicht werden dabei nicht öffentlich ausgegeben. Solche Profilangaben können Hinweise für gezielte Anmeldeversuche liefern.
Auch die Erreichbarkeit braucht Schutz.
Sehr viele gleichzeitige Anfragen können eine Website überlasten. Eine vorgeschaltete Schutzschicht kann Teil des Betriebskonzepts sein.
Hintergründe und technische Details
Manche Angriffe zielen darauf ab, eine Website unerreichbar zu machen. Bei einem DDoS-Angriff treffen sehr viele Anfragen aus verteilten Quellen auf die technische Umgebung. Verbindungen oder Serverressourcen werden überlastet; echte Besucher kommen nicht mehr durch. Dafür muss niemand zuvor WordPress gehackt haben.
Cloudflare kann als vorgeschaltete Netzwerkschicht helfen. Wird der Website-Verkehr über den Dienst geleitet, können Angriffe im Cloudflare-Netz erkannt und gefiltert werden, bevor sie den Ursprungsserver belasten. Welche Schutzfunktionen greifen, hängt von Verkehrsart, Tarif und Konfiguration ab.
Zur Einrichtung gehören passende DNS-Einträge, eine verschlüsselte Verbindung zum Hosting und Schutz vor direkten Zugriffen, die den vorgeschalteten Dienst umgehen. Cloudflare ergänzt damit die Pflege von Server und Website. Verwundbare Plugins oder bereits eingeschleuste Dateien werden durch DDoS-Schutz nicht repariert.
Die technische Rolle beschreibt die Dokumentation zum Cloudflare-DDoS-Schutz.
Wieder echte Anfragen im Blick.
Wenn Bots das Postfach füllen, prüfen wir den Schutz Ihrer Formulare und stimmen ihn auf die Nutzung ab.
Hintergründe und technische Details
Wenn automatisierte Nachrichten das Postfach füllen, kosten sie Zeit und erschweren den Blick auf echte Anfragen. Bots können Formulare wiederholt absenden, ohne dass die Website selbst kompromittiert ist. Gegen zunehmenden Formularspam braucht es deshalb einen passenden Schutz direkt am Formular.
Cloudflare Turnstile hilft, automatisierten Missbrauch zu erschweren. Der Dienst prüft im Hintergrund Signale des Browsers und kommt häufig ohne Bilderrätsel aus. Er lässt sich auch einsetzen, wenn das übrige Website-Hosting nicht über Cloudflare läuft.
Entscheidend ist die vollständige Integration: Der Server muss den Turnstile-Nachweis prüfen, bevor er eine Anfrage verarbeitet. Ein eingeblendetes Widget allein genügt nicht. Ergänzend können etwa ein Honeypot und eine Begrenzung der Einsendungen sinnvoll sein. Menschlich versandter oder geschickt automatisierter Spam kann trotzdem durchkommen.
Wir stimmen den Schutz auf das Formular ab und prüfen, ob echte Anfragen weiterhin funktionieren. Mehr zu Turnstile und zur serverseitigen Prüfung.
Aus einzelnen Werkzeugen wird laufende Betreuung.
01
Bestand verstehen
Wir erfassen Softwarestände, Erweiterungen, Benutzerrechte und vorhandene Schutzmaßnahmen. Auch Backups und Zuständigkeiten gehören dazu.
02
Maßnahmen abstimmen
Wir priorisieren bekannte Lücken, planen Updates oder Ersatz für veraltete Komponenten und wählen passende Schutzfunktionen für Website und Formulare.
03
Prüfen & dranbleiben
Nach Änderungen testen wir wichtige Abläufe. Für Updates, Scan-Meldungen und auffällige Zugriffe vereinbaren wir, wer sie regelmäßig prüft und darauf reagiert.
Gut zu wissen.
Reicht ein Sicherheitsplugin allein aus?
Nein. Ein Plugin schützt auf Anwendungsebene. Server- und PHP-Updates, gepflegte Erweiterungen, sichere Zugänge und Backups erfüllen andere Aufgaben. Bei Überlastungsangriffen kann zusätzlich ein vorgeschalteter Dienst nötig sein.
Kann ich ein altes Plugin behalten, solange es funktioniert?
Funktion und Sicherheit sind unterschiedliche Fragen. Wir prüfen, ob die Erweiterung noch unterstützt wird, ob bekannte Schwachstellen vorliegen und welche Funktionen tatsächlich gebraucht werden. Fehlen Sicherheitskorrekturen, ist ein gepflegter Ersatz oft der sinnvolle nächste Schritt.
Wozu brauche ich Backups trotz Schutzmaßnahmen?
Backups helfen, Daten und Funktionen nach einem Vorfall oder einem fehlerhaften Update wiederherzustellen. Dafür müssen sie getrennt geschützt und auf Wiederherstellbarkeit geprüft sein. Nach einem Angriff muss außerdem die Ursache behoben werden, damit die Lücke nicht offen bleibt.
Was sollte ich für ein erstes Gespräch vorbereiten?
Hilfreich sind Angaben zum Hosting, zur bisherigen Wartung und zu konkreten Auffälligkeiten: etwa Update-Warnungen, Ausfälle oder vermehrter Formularspam. Zugangsdaten stimmen wir über einen geeigneten Weg ab; sie gehören nicht in das Kontaktformular.
Wo braucht Ihre Website mehr Schutz?
Veraltete Erweiterungen, unklare Zuständigkeiten oder immer mehr Spam? Beschreiben Sie uns Ihre Ausgangslage. Wir besprechen, welche Maßnahmen für Ihre Website sinnvoll sind.