Wie heute bekannt wurde, weist WordPress diverse kritische Sicherheitslücken in der neuesten und auch in früheren Versionen des beliebten Content Management Systems auf. Wichtig ist nun zu prüfen, ob die eigene Webseite betroffen wurde und gegebenenfalls offene Updates einzuspielen.

»

Firmen kümmern sich bei ihrer ersten Webseite um günstige Anbieter, ein gutes Konzept, Suchmaschinenoptimierung, Konversionen und viele andere wichtige Dinge. Oft geht allerdings das vermeintlich wichtigste Thema unter: Wie optimiere ich die Sicherheit meiner Webseite? Ich möchte hier die wesentlichen Maßnahmen darstellen, die eine WordPress-Installation sicherer machen können.

»

Aktuell ist es in aller Munde (zumindest wenn es um Webseiten geht), dass Webseiten auf SSL Verschlüsselung und somit https:// umgestellt werden sollten. Am Beispiel WordPress zeige ich auf, wie man das macht und wie man http:// URLs auf  https:// URLs weiterleitet. (Stand 05.10.2017)

»

Google wird ab dem 23. Juli 2018 Webseiten ohne SSL Verschlüsselung (TLS) mit einem „unsicher“ oder „nicht sicher“ Hinweis in Google Chrome Browser (Version 68) markieren und somit Webseitenbetreiber unter Druck setzen, dass langfristig so viele Webseiten wie möglich verschlüsselt werden. Nur so sind z.B. Loginformulare oder auch Kontaktformulare geschützt. Aber auch Newsletter-Anmeldeformulare sind hiervon betroffen und jegliche andere Form der Datenerfassung im Web. Webseitenbetreiber sollten zeitnah handeln, die Umstellung (gerade von WordPress-Webseiten) ist in der Regel kein Hexenwerk.

»

WordPress ist ein tolles CMS um Webseiten und Blogs auf die Beine zu stellen. Nahezu alles ist möglich und vieles kann man tun, damit die WordPress Webseite sicher, schnell und erfolgreich wird. Aber nicht jeder weiß um jeden Kniff und jede Technik. Geschweige denn um jede Notwendigkeit, damit der eigene Webauftritt zum Erfolg werden kann. Meine jahrelange Erfahrung teile ich mit dieser Liste an Maßnahmen, die ich in der täglichen Arbeit mit WordPress, treffe. Wenn es tatsächlich noch mehr Ideen geben sollte, wie man eine WP Webseite optimieren kann, lasst es mich wissen. Ansonsten gibt es eigentlich keinen Grund wieso nicht jeder die folgende Liste umsetzen sollte (im Übrigen sind einige Punkte der Liste für Webseiten, die nicht auf WP aufsetzen, ebenso interessant!). 😉

»

WordPress wird leider sehr oft gehackt. Meist, weil Webseitenbetreiber keinerlei Maßnahmen treffen um eine WordPress-Webseite abzusichern. Das geschieht, da sie oder deren Webdesigner entweder aus eigener Unkenntnis oder aber aus nicht Einhaltung der Sorgfaltspflicht es vermissen lassen, diese Maßnahmen zu treffen.. Dabei gibt es schon mit ein paar relativ einfachen Schritten die Möglichkeit, WordPress in der Basis abzusichern. Welche das sind, habe ich in einer Infografik zusammengestellt, welche gerne unter Verlinkung dieser Webseite auf anderen Webseiten veröffentlicht werden darf. »

Aus aktuellem Anlass gebe ich hier den Hinweis, dass WordPress-Webseitenbetreiber ihre Webseite auf 4.7.2 aktualisieren sollten, die derzeit 4.7 oder 4.7.1 betreiben. In WordPress 4.7.2 wird eine Sicherheitslücke geschlossen, die durch die REST API besteht und durch die unauthentifizierte Angreifer Schadcode einschleusen oder Inhalte löschen können. So kann man die API einfach deaktivieren.

»

Viele Webseitenbetreiber die WordPress als CMS verwenden verschwenden leider keinen Gedanken an Updates. Jahrelang liegen diese Webseiten im Status Quo im Netz und sammeln fleißig Sicherheitslücken durch veraltete Software. Aber kann man uralte WordPress-Webseiten einfach updaten, wenn man dann doch mal seiner Webseite eine Verjüngerungskur gönnen möchte? Oder machen diese Updates gar WordPress unbrauchbar?

»

Problem: Kunde XY hat das Problem, dass sein WordPress Blog durch seinen Webhoster abgeschalten wurde, weil scheinbar durch einen Hack SPAM-Mails über den Blog versendet wurden und dieser zusätzlich Schadcode an Besucher ausliefert. Möglicherweise wurde die WP-Installation durch einen Exploit infiziert. Was kann der Kunde nun tun?

»

Das Gerücht WordPress sei unsicher, ist fast schon so alt wie das CMS an sich. Und es hält sich leider tatsächlich hartnäckig. Auch wenn WordPress-Profis immer wieder darauf hinweisen, dass es in der Regel nicht WordPress an sich ist, das sicherheitstechnische Probleme bereiten kann.

»

WordPress-Webseiten sind häufig unter Beschuss durch Hacker und Script-Kiddies. Und nicht selten sind sie erfolgreich und kompromittieren eine Webseite. Und ebenso nicht selten werden diese Webseiten von Google aus dem Index geworfen um den Schaden zu minimieren. Was kann man aber tun, wenn die eigene WordPress-Seite gehackt wurde? (Stand 16.09.2015)
»

In 99,9% aller WordPress Webseiten liegt der Plugins-Ordner im Ordner wp-content. Mancher mag aber gewisse Gründe haben (z.B. Security by obscurity), den Plugins-Ordner zu verschieben (so wie manche auch den wp-content-Ordner verschieben wollen. Beide Ordner separat zu verschieben macht keinen Sinn 😉 ). So geht’s…

»

Im Admin-Backend befindet sich standardmäßig ein Editor, mit dessen Hilfe man den Code von Plugins und Themes bearbeiten kann. Das klingt auf den ersten Blick praktisch für User. Birgt aber vor allem Gefahr, wenn der User keine Ahnung hat was er tut. Daher möchte man unter Umständen beide Editoren deaktivieren.

»

Nach der Installation von WordPress sind Dateien übrig, die keinen weiteren Nutzen für den User oder Webseitenbetreiber haben. Theoretisch bergen sie sogar die Gefahr zu viele Informationen preis zu geben und es Hackern leichter zu machen, als nötig. Wie man damit umgehen sollte…

»

Die wp-config.php Datei ist reines Gold für Hacker, da sie alle sensiblen Informationen Ihrer WordPress-Website, einschließlich Passwörter und Datenbank-Standorten beinhaltet. Wichtig also, diese so gut wie möglich zu schützen. »

Derzeit werden ja jede Menge Angriffe gegen Adminbereiche von WordPress gefahren. Zeit, den Adminbereich per SSL zu sichern. Wer kein eigenes SSL Zertifikat hat, kann evtl. einen SSL-Proxy seines Webhosters nutzen (wie z.B. bei all-inkl.com).

»

WordPress ist nicht von Haus auf unsicher. Aber durch die Verwendung von Plugins, ist die Sicherheit nur so weit gewährleistet, wie Plugins frei von Sicherheitslücken und aktuell sind. Gegen fiese Bösewichter wie sogenannte Script-Kiddies, die z.B. aus Langeweile während der Schulferien mit frei verfügbaren Tools nach offenen Systemen suchen, kann man aber Maßnahmen ergreifen indem man WordPress absichert. »