WordPress-Sicherheit und Wartung: Was deine Website wirklich braucht

Das Wichtigste in Kürze

• Veraltete Plugins und Themes sind bei WordPress ein häufiges Einfallstor.
• Vor jedem Update sichern; Sicherungen außerhalb des Servers speichern und die Wiederherstellung testen.
• Starke Passwörter, Zwei-Faktor-Anmeldung und so wenige Admin-Konten wie möglich.
• Einmal im Monat Formulare, Ladezeit und Search Console prüfen.
• Weniger Plugins heißt weniger Wartung und weniger Risiko.

Warum braucht WordPress regelmäßige Pflege?

WordPress braucht Pflege, weil fast jede Website aus vielen Teilen verschiedener Hersteller besteht. Der Kern kommt von WordPress, das Theme von einem Anbieter, jedes Plugin von einem weiteren. Jedes Teil bekommt eigene Updates, und nicht jedes Update passt zu allen anderen. Die offizielle WordPress-Dokumentation zur Absicherung nennt aktuelle Software, sichere Zugangsdaten und Sicherungen als Grundlage. Wird ein Plugin vom Hersteller nicht mehr gepflegt, bleibt eine bekannte Lücke offen.

Die Folgen sind für kleine Betriebe unangenehm: Spam-Seiten unter deiner Domain, Weiterleitungen auf fremde Seiten, ein Formular, das still keine Anfragen mehr zustellt, oder eine Warnung im Browser.

Die Wartungs-Checkliste: Was ist wann fällig?

Im Detail:

1. Updates: Vor dem Update sichern, dann aktualisieren, dann die wichtigsten Seiten und das Formular testen. Die WordPress-Dokumentation zum Aktualisieren empfiehlt ausdrücklich, vorher eine Sicherung zu machen.
2. Plugins ausmisten: Was nicht genutzt wird, löschen, nicht nur deaktivieren. Auch deaktivierte Plugins liegen auf dem Server.
3. Sicherungen: Datenbank und Dateien, automatisch, außerhalb des Servers gespeichert. Wenn Server und Sicherung am selben Ort liegen, ist bei einem Ausfall beides weg.
4. Zugänge: starke, einzigartige Passwörter, Zwei-Faktor-Anmeldung, jede Person mit eigenem Konto und nur den Rechten, die sie braucht.
5. SSL-Zertifikat: automatisch erneuern lassen und prüfen, ob es läuft.
6. Formulare: selbst ausfüllen und schauen, ob die Mail ankommt, auch im Spam-Ordner.

Was kannst du selbst machen, was sollte ein Profi machen?

Auffälligkeiten, die du melden solltest: fremde Benutzerkonten, unbekannte Seiten in Google, ungewöhnliche Weiterleitungen, plötzlich keine Anfragen mehr.

Typische Fehler bei der WordPress-Wartung

• Updates ohne Sicherung: Geht etwas schief, gibt es keinen Weg zurück.
• Automatische Updates ohne Kontrolle: bequem, aber wenn ein Update das Layout oder das Formular bricht, merkt es niemand.
• Ein Admin-Konto für alle: Niemand weiß, wer was geändert hat, und ein geleaktes Passwort öffnet alles.
• Plugin für jede Kleinigkeit: Jede Erweiterung ist ein weiteres Teil, das gepflegt werden muss.
• Gekaufte Themes ohne Lizenz-Verlängerung: Updates bleiben aus, die Website altert still.
• Der Admin-Benutzername „admin“: Er ist der erste, den automatisierte Angriffe durchprobieren. Ein eigener Name mit starkem Passwort ist schnell eingerichtet.
• Alte Testumgebungen auf dem Server: Eine vergessene Kopie der Website mit veralteten Plugins ist genauso angreifbar wie die echte.
• PHP-Version nicht beachtet: Auch die Server-Software braucht Updates. Viele Hoster zeigen die Version im Kundenbereich an.

Wie richtest du Sicherungen richtig ein?

Eine Sicherung ist nur dann etwas wert, wenn du im Ernstfall schnell und vollständig zurückkommst. Die WordPress-Dokumentation zu Backups unterscheidet zwei Teile, die beide gesichert werden müssen: die Datenbank mit Inhalten und Einstellungen und die Dateien mit Theme, Plugins und Uploads.

• Beides sichern: Datenbank und Dateien, nicht nur eines davon.
• Mehrere Stände aufbewahren: Eine einzige Sicherung, die jede Nacht überschrieben wird, hilft nicht, wenn ein Fehler erst nach einer Woche auffällt.
• Außerhalb des Servers speichern: bei einem anderen Anbieter oder in einem getrennten Speicher.
• Wiederherstellung üben: in einer Testumgebung, damit du im Ernstfall weißt, wie lange es dauert.
• Zugang zur Sicherung schützen: Wer die Sicherung hat, hat alle Daten, auch die Anfragen aus deinem Formular.

Was tun, wenn die Website gehackt wurde?

Ruhig bleiben und in dieser Reihenfolge vorgehen:

1. Alle Passwörter ändern: WordPress-Konten, Hosting, FTP, Datenbank, E-Mail.
2. Hoster informieren: Viele Hoster helfen beim Eingrenzen und sperren die Seite notfalls.
3. Sauberen Stand wiederherstellen: aus einer Sicherung von vor dem Angriff, danach sofort alle Updates einspielen.
4. Ursache finden: meist ein veraltetes Plugin oder ein unsicheres Passwort. Ohne Ursache kommt der Angriff wieder.
5. Search Console prüfen: ob Google Warnungen oder fremde Seiten meldet, und nach der Bereinigung eine Überprüfung beantragen.
6. Datenschutz prüfen: Wurden personenbezogene Daten, etwa aus Formularen, abgegriffen, können Meldepflichten bestehen. Hol dir dazu Rat.

Was sollte in einem Wartungsvertrag stehen?

• Welche Updates wie oft eingespielt und getestet werden
• Wie oft gesichert wird, wo die Sicherungen liegen und wie lange sie aufbewahrt werden
• Wie schnell im Notfall reagiert wird und wie du jemanden erreichst
• Welche kleinen Änderungen enthalten sind
• Ob ein kurzer Bericht über erledigte Arbeiten kommt
• Kündigungsfrist und was du bei Kündigung bekommst

Wann lohnt es sich, die Wartung auszulagern?

Sobald deine Website regelmäßig Anfragen bringt, ist ein Ausfall teurer als die Wartung. Ein ausgefallenes Formular fällt oft erst nach Tagen auf, weil einfach keine Anfragen kommen. Ein Partner, der Updates testet, Sicherungen prüft und im Ernstfall schnell reagiert, nimmt dir dieses Risiko ab. Ist die Website schon langsam, fehlerhaft oder gehackt, hilft der Artikel WordPress-Experte in Graz: Wenn deine Website langsam, kaputt oder gehackt ist.

Praxis: Wartung für kleine Betriebe in Graz

Viele Websites kleiner Grazer Betriebe wurden vor Jahren gebaut und seither kaum angefasst. Typisch ist eine Website mit einem Theme, das keine Updates mehr bekommt, einem Dutzend Plugins und einem Formular, das seit dem letzten Serverwechsel nicht mehr zustellt. Der erste Schritt ist dann eine Bestandsaufnahme: Welche Plugins braucht es wirklich, gibt es eine funktionierende Sicherung, wer hat Zugang? Oft zeigt sich dabei, dass einige Plugins nur für eine Kleinigkeit installiert wurden, die sich auch ohne Erweiterung lösen lässt, oder dass zwei Plugins dasselbe tun. Jedes entfernte Plugin ist eines weniger, das gepflegt werden muss. Danach wird entschieden, ob sich Pflege lohnt oder eine Modernisierung der Website sinnvoller ist.

Die Alternative: weniger zu warten

Websites, die ohne große Plugin-Sammlung auskommen, oder Baukästen wie Wix Studio brauchen deutlich weniger Pflege, weil der Anbieter Updates und Sicherheit der Plattform übernimmt. Welche Technik zu dir passt, vergleicht der Artikel WordPress vs. Wix Studio vs. Custom Stack. Bei unserer Mietwebsite sind Hosting, Updates, Sicherungen und kleine Änderungen im Monatspreis ab 149 € enthalten. Ob sich das rechnet, zeigt Website mieten oder kaufen?

Wenn du Unterstützung bei deiner WordPress-Website suchst, vom Neubau bis zur Wartung: Alles dazu steht auf unserer Seite WordPress Agentur in Graz.

Ob WordPress überhaupt das richtige System für dich ist, klären wir im Erstgespräch. Wie wir Websites für Betriebe in Graz planen und bauen, zeigt unsere Seite zu Webdesign in Graz.

Quellen und weiterführende Informationen

• WordPress Developer Resources: Hardening WordPress
• WordPress Developer Resources: WordPress aktualisieren
• WordPress Documentation: WordPress Backups