Wenn du bis hierher gesucht hast, was genau eine WordPress-Firewall ist, weißt du wahrscheinlich schon, dass deine Website Traffic bekommt, den du nicht willst: Bots, merkwürdige Zugriffsversuche, Anfragen, die keinen Sinn ergeben. Eine Firewall ist die Ebene, die entscheidet, noch bevor WordPress überhaupt zu laden beginnt, ob diese Anfrage überhaupt eine Antwort verdient.
Was eine WordPress-Firewall genau ist
Eine Web Application Firewall (WAF) prüft jede Anfrage, die deine Website erreicht — die Quell-IP, die angeforderte URL, die Header, manchmal auch den gesendeten Inhalt selbst — und vergleicht sie mit Regeln dafür, was als gefährlicher Traffic gilt. Bei einer Übereinstimmung wird sie blockiert, bevor auch nur eine einzige Zeile WordPress-Code ausgeführt wird.
Wie eine Firewall in der Praxis funktioniert
Stell sie dir wie einen Türsteher vor, der vor dem Einlass prüft. Einige der typischen Signale, die analysiert werden:
- SQL-Injection- oder XSS-Muster in URL-Parametern oder einem Formular
- IPs, die bereits wegen bösartigen Verhaltens gemeldet wurden
- Anfragen, die versuchen, direkt auf sensible Dateien zuzugreifen (wie
wp-config.php) - Ungewöhnlich hohes Anfragevolumen von derselben Quelle in kurzer Zeit
Firewall auf Plugin-Ebene vs. auf DNS-/Cloud-Ebene
Nicht alle Firewalls arbeiten am selben Punkt des Wegs:
- Auf Plugin-Ebene (innerhalb von WordPress): Der Traffic hat deinen Server bereits erreicht, wenn er gefiltert wird. Vorteil: voller Kontext von WordPress (Benutzer, Sitzungen, installierte Plugins), verbraucht aber bei jeder Anfrage etwas Hosting-Ressourcen.
- Auf DNS- oder Cloud-Ebene (vor deinem Server): Der Traffic wird gefiltert, bevor er dein Hosting überhaupt erreicht. Leichter für deinen Server, hat aber nicht immer Einblick in das, was innerhalb von WordPress passiert.
Der Vorteil der Ebene auf Plugin-Ebene ist genau das: Sie versteht den echten Kontext deines WordPress (Benutzer, Sitzungen, installierte Plugins), um viel genauer zu entscheiden, was eine echte Bedrohung ist und was nicht.
Wovor eine Firewall wirklich schützt (und wovor nicht)
Eine gut konfigurierte Firewall stoppt SQL-Injections, XSS-Angriffe, massive Brute-Force-Versuche und Bots mit bekanntem bösartigem Verhalten. Was sie allein nicht tut: Sie ersetzt nicht das Aktuellhalten von Core, Plugins und Theme, und sie durchsucht nicht bereits auf deinem Server hochgeladene Inhalte nach vorhandener Malware — dafür braucht es einen Scanner, keine Firewall.
Anzeichen dafür, dass du deine Firewall verstärken solltest
- Du siehst Traffic-Spitzen in deinen Statistiken, die nicht echten Besuchen entsprechen
- Dein Hoster hat dich vor ungewöhnlichem Ressourcenverbrauch gewarnt
- Du erhältst viele Zugriffsversuche auf
wp-login.phpoder auf Pfade, die auf deiner Website gar nicht existieren - Du hast bereits einmal einen Angriff oder eine Infektion erlitten — derselbe Vektor wiederholt sich meist, wenn er nicht geschlossen wird
Häufige Fragen
Reicht eine kostenlose Firewall für mein WordPress aus?
Für einen persönlichen Blog mit wenig Traffic kann eine einfache kostenlose Firewall ausreichen. Für einen Onlineshop oder eine Website mit Nutzerdaten lohnt sich eine mit regelmäßig aktualisierten Regeln und automatischer Blockierung, nicht nur mit Warnungen.
Kann eine Firewall Google versehentlich blockieren?
Das kann passieren, wenn die Firewall nur darauf schaut, was der Besucher zu sein behauptet (den “User-Agent”), den jeder fälschen kann. Eine gut gebaute Firewall prüft die echte IP gegen die offiziellen Bereiche, bevor sie dieser Identität vertraut.
Brauche ich eine Firewall, wenn mein Hoster schon sagt, er sei “sicher”?
Die Hosting-Sicherheit schützt den Server im Allgemeinen, analysiert aber nicht jede einzelne Anfrage gegen deine WordPress-Installation oder ihre Plugins — es sind sich ergänzende Ebenen, kein Ersatz füreinander.