WordPress Websites sicher betreiben

Ein authentischer Fall aus der Praxis, der alarmierend ist: Hacker hatten sich Zugang zum Webserver eines WordPress-basierten Blogs verschafft und dort Inhalte hochgeladen. Man spricht in einem solchen Fall auch von „parasitärem Hosting“, da die Angreifer einen fremdem Webserver dazu nutzen, ihre Inhalte im Internet zu verbreiten und diesen durch gegenseitige Verlinkung Reichweite zu verschaffen.

Besonders schlimm waren in dem konkreten Fall mehrere Aspekte:

• Erstens erkannte Google die missbräuchliche Nutzung des betroffenen Webservers und markierte den gesamten Unternehmensauftritt als „möglicherweise manipuliert“ – einsehbar für jeden Google-Nutzer.
• Zudem wurde die Website in den Suchergebnissen abgestraft und war praktisch nicht mehr auffindbar.
• Außerdem hatten die Hacker lizenzpflichtiges Bildmaterial auf ihren parasitär gehosteten Seiten platziert. Hätte der Anbieter des Bildmaterials dies registriert, so wäre mit hoher Wahrscheinlichkeit eine saftige Schadenersatzforderung auf den Inhaber der Website zugekommen.

Glücklicherweise gelang es dem betroffenen Unternehmen, die infizierte Website wieder zu säubern und von Google wieder freischalten zu lassen. Dennoch war ein Schaden entstanden, allein schon deshalb, weil die Unternehmenswebsite über mehrere Wochen hinweg de facto aus den Google-Suchergebnissen verschwunden war.

• Nutzer „Admin“ eliminieren: Der Administrator-Nutzer eines Blogs muss nicht „Admin“ oder „Administrator“ heißen.
• Finden Sie mit einem Security Scanner mögliche Schwachstellen.
• Google Search Console nutzen. So werden Sie sofort informiert, falls Google Sicherheitswarnungen bezüglich Ihrer Website hat.
• Zugang zum Admin-Bereich schützen: Sperren Sie den Zugriff zum Adminbereich mit einem Verzeichnisschutz.
• Nutzerrechte einschränken: Vergeben Sie die Benutzerrechte so restriktiv wie nur möglich.
• Plugins im Rahmen halten: Installieren Sie nur die Plugins (Funktionserweiterungen), die Sie tatsächlich benötigen.
• Zahl der Login-Versuche beschränken: Angreifer, die mit automatischen Skripten die Passwörter Ihrer WordPress-Nutzer knacken wollen, haben es somit schwerer.
• Das Allerwichtigste: regelmäßige Backups und Updates – diese Aufgabe können wir Ihnen auch abnehmen.
• Den Zugriff auf Dateien blockieren, die zuviel über Ihre Installation verraten.
• Kritische User Agents und kritische URL Pattern aussperren – etwa via .htaccess.
• Den Datenverkehr von und zur Website kontinuierlich überwachen, auswerten und limitieren.