Ein sicheres WordPress? So geht’s!

Sicheres WordPress Tipps und Regeln für den CMS-Betrieb

Ein sicheres WordPress zu betreiben, ist kein Hexenwerk. Aber es ist ein permanenter Prozess, an dem Sie dranbleiben müssen. Denn was das Content Management System so beliebt macht, ist zugleich auch ein Schwachpunkt: die Plugins. Diese vielen nützlichen Funktionserweiterungen, welche meistens sehr einfach zu installieren und einzurichten sind, müssen aktuell gehalten werden. Wie das jüngste Beispiel „WP GDPR Compliance“, einem Tool zur erleichterten Umsetzung der DSGVO zeigt, nutzen Hacker besonders beliebte Plugins als Angriffsziel, gerne auch,  wenn sie das Thema Sicherheit betreffen. Aber, und das ist die gute Nachricht, Sie können es diesen Übeltätern schwer machen. Dazu müssen Sie nur ein paar Regeln einhalten.

Was war passiert?

Es ist richtig hinterhältig, aber so sind Hacker nun mal: Sie lauern auf jede Schwachstelle. Da kann es schon mal passieren, dass ein gut gemeintes Plugin wie WP GDPR Compliance bösartigen Aktivitäten Tür und Tor öffnet. Dieses Werkzeug sollte den Website-Entwicklern und Betreibern die Umsetzung und Einhaltung der neuen DSGVO-Regeln erleichtern. Stattdessen nutzten die Hacker eine Lücke, um über dieses Plugin auf die WordPress-Installation zuzugreifen und beliebige Änderungen im Backend und sogar auf Server-Ebene vorzunehmen.

Glücklicher Weise reagierte die WordPress Entwickler Community sehr schnell und verantwortungsbewusst. Dadurch gab es schnelle Abhilfe. Die Programmierer des Plugins stellten innerhalb kürzester Zeit ein Update bereit. Auch Hilfestellungen für kompromittierte Installationen sind inzwischen überall zu finden. Die Sache wurde also nicht unter den Tisch gekehrt, wie wir es von großen Anbietern proprietärer Softwares kennen, sondern offensiv angegangen. Der Open Source Gedanke funktioniert. Und das ist eine gute Nachricht.

Was lernen wir daraus?

Es wäre also voreilig, das CMS WordPress zu verteufeln. Vielmehr sollten wir uns damit beschäftigen WordPress sicherer zu machen. Und da können Sie als Anwender schon einiges erreichen, wenn Sie ein paar Grundregeln beachten.

Der Umgang mit Plugins – Regel  Nr. 1: Weniger ist mehr!

Verzichten Sie auf Plugins, die Sie nicht unbedingt benötigen. Löschen Sie alle Funktionserweiterungen, die inaktiv sind. Überprüfen Sie regelmäßig, welche Sie tatsächlich brauchen und welche quasi Ballast aus irgendwelchen Testphasen oder aus früheren Relaunches Ihrer Websites liegengeblieben sind. Aber sorgen Sie dafür, dass diese überflüssigen WordPress Plugins richtig vom Server entfernt werden. Wenn Sie sich nicht sicher sind, beauftragen Sie Ihren Serviceanbieter, für die endgültige Löschung zu sorgen.

Regel Nr. 2: Unverzichtbare Plugins für mehr Sicherheit

Wordfence Security

Dieses Plugin ist eine speziell für WordPress entwickelte Firewall und gleichzeitig ein Malware Scanner. Es bietet einen zusätzlichen Schutz vor bekannten Angriffsszenarien und verstärkt die Arbeit der (hoffentlich vorhandenen!) Netzwerk-Firewall. Die vollständige und richtige Einrichtung dieser Software ist zwar nicht einfach, am besten lassen Sie das Ihren Serviceanbieter machen, aber der Aufwand lohnt sich.

Sicheres WordPress Login

Das Standard WordPress Login ist eine beliebte Einflugsschneise. Zwar werden die Zugangsdaten der Backend-User verschlüsselt hinterlegt, aber besser ist es, wenn Sie hier eine zusätzliche Sicherheitsstufe einführen. Dazu gibt es eine Vielzahl von Plugins, zum Beispiel „Limit Login Attempts Reloaded„, welches unter anderem die Anzahl der Login-Versuche begrenzt und viele andere zusätzliche Sicherheitsmaßnahmen frei definieren lässt. Auch ein Login-Plugin mit zusätzlicher Captcha-Funktion kann sinnvoll sein. Aber achten Sie darauf, dass sich die verschiedenen Sicherheitstools sowohl mit Ihrer WordPress-Instanz im allgemeinen und mit Ihren anderen Plugins im besonderen vertragen. Auch hierzu lassen Sie sich am besten von Ihrem Dienstleister beraten.

Regel Nr. 3: Regelmäßiges echtes Backup

Die ersten Plugins, dass Sie wegwerfen können, sind die integrierten Backup-Plugins. Denn wenn Hacker oder Systemfehler Ihre WordPress Instanz korrumpiert haben, dann ist auch dieses Backup betroffen. Das heisst: Es nützt Ihnen in Sachen „sicheres WordPress“ wenig bis gar nicht. Besser ist es deshalb, echte Datensicherungen auf Serverebene einzusetzen. Kunden der BB-ONE.net profitieren zum Beispiel vom Standard ActiveBackup, welches eine 1:1-Livekopie der Website vorhält. Manche Kunden beauftragen sogar mehrere Generationen. Wenn Sie bei Störungen schnell reagieren, können Sie auf eine saubere Version Ihrer WebSite umschwenken. Je nach Backup System geht das sofort oder Sie warten das Recovery ab. In jedem Fall können Sie so den Schaden eingrenzen.

Regel Nr. 4: suPHP verwenden

suPHP ist eigentlich ein alter Hut, wenn es um den sicheren Betrieb von PHP- und MySQL-Anwendungen auf Servern geht. Denn nichts anderes sind Content Management Systeme wie WordPress. Und deshalb gehört diese ausgereifte Technologie für ein sicheres WordPress bei der BB-ONE.net auch zum Standard. suPHP verwendet einen eigenen Benutzer mit serverseitig eingeschränkten Rechten. Dazu wird ein eigener „Owner“ mit abweichenden separaten Zugangsdaten festgelegt, dem das Dateisystem „gehört“, in dem WordPress betrieben wird. Das heisst, Hacker haben es schwerer, die WordPress-Datenbank zu manipulieren.

Regel Nr. 5: regelmäßige Updates

Hacker lieben ungepflegte Softwarestände wie alte WordPress-Instanzen mit noch älteren Plugins. Auch die Kombination aus neuem WordPress und alten Plugins oder umgekehrt lassen Hackerherzen höher schlagen. Darüber hinaus riskieren sie die Betriebssicherheit jedes Webservers, wenn Sie nicht regelmäßig Updates einpflegen. Sicherlich ist bei WordPress besonders lästig, Update-technisch dran zu bleiben, weil so viele einzelne Softwares gepflegt werden müssen. Aber noch schlimmer ist es sicherlich, wenn Ihre WebSite nicht mehr richtig oder gar nicht arbeitet. Deshalb sollten Sie sofort, regulär aber mindestens einmal im Monat aktiv werden.

Für ein sicheres WordPress auch nach den Aktualisierungen sollten Sie diese Reihenfolge der Update-Schritte einhalten:

  1. Plugins updaten
    Schauen Sie sich aber vorher an, ob die neuen Updates zur aktuellen WordPress-Version passen. Wenn nicht, lassen Sie das Update links liegen, bis Sie die neue WordPress-Version aktualisiert haben.
  2. ggf. WordPress updaten
    Folgen Sie einfach den Anweisungen im Bereich „Aktualisierungen“ unter „Dashboard“.
  3. Plugins updaten Runde 2
    Nach einem WordPress-Update melden sich erfahrungsgemäß viele Plugins mit einem weiteren Update-Bedarf. Vor allem jene, die Sie bei Schritt 1 ausgelassen haben.
  4. Themes verwalten
    In seltenen Fällen sind ab und an auch Updates von WordPress Themes (Designvorlagen) notwendig. Doch Vorsicht! Bevor Sie die Aktualisierung durchführen, überprüfen Sie bitte ganz genau, was die Programmierer verändert haben. Im schlimmsten Fall, den wir mehr als einmal erlebt haben, kann es nämlich passieren, dass die CSS-Struktur komplett überarbeitet ist. Das kann für Sie bedeuten, dass Ihre individuellen Design-Anpassungen im „Zusätzlichen CSS“ (Customizer) oder in Ihrem Child-Theme ungültig werden und Sie hinterher eine zerschossene Site vorfinden.

Fazit

Eine 100%ige Sicherheit gibt es nie, das wissen wir alle. Aber wenn Sie diese Regeln befolgen, dann nähern Sie sich an 90-95% sicheres WordPress. Natürlich bieten weitere Technikansätze noch mehr Schutz, aber das ist ein Thema für Ihren Admin und für Ihren Anbieter. Lassen Sie sich hierzu beraten und fragen Sie nach. Auch wir helfen Ihnen gerne. Nehmen Sie einfach Kontakt mit uns auf.