“Ich habe ein Sicherheits-Plugin installiert” ist nicht dasselbe wie “ich bin geschützt”. Ein falsch konfiguriertes, veraltetes oder mit versehentlich abgeschalteten Kernfunktionen laufendes Plugin vermittelt ein falsches Sicherheitsgefühl — was schlimmer ist, als gar nichts zu haben, weil man dadurch die Wachsamkeit verliert. Diese Checkliste ist so aufgebaut, dass du sie selbst durchgehen kannst, ohne technisches Vorwissen, in etwa 10 Minuten. Geh jeden Punkt an deiner eigenen Seite durch, bevor du annimmst, sie sei geschützt.
1. Links funktionieren auf der ganzen Seite, nicht nur auf der Startseite (1 Min)
Öffne 3 bis 4 zufällige interne Seiten — nicht nur die Startseite. Wenn eine davon einen unerwarteten 404-Fehler zeigt, ist etwas an der Permalink- oder Serverkonfiguration kaputt — häufiger der Fall als man denkt, etwa nach einem Update oder Hosting-Wechsel.
2. HTTPS auf der gesamten Seite, ohne Ausnahme (1 Min)
Prüfe, ob das Schloss-Symbol auf jeder Seite erscheint, nicht nur auf der Startseite. Lädt eine Seite Ressourcen über HTTP (Bilder, Skripte), sollte der Browser vor “nicht sicherem Inhalt” warnen — das ist eine echte Lücke, keine rein optische.
3. Ein aktuelles und vor allem wiederherstellbares Backup (2 Min)
Es reicht nicht, dass ein Backup existiert: Es muss aus den letzten Tagen stammen, und du musst wissen, wie du es ohne fremde Hilfe wiederherstellst. Ist deine einzige Kopie Wochen alt oder hast du das Wiederherstellen nie getestet, hast du in der Praxis kein Backup.
4. 2FA für ALLE Administratoren aktiviert (1 Min)
Ein einziges Admin-Konto ohne Zwei-Faktor-Authentifizierung ist der leichteste Zugangsweg überhaupt: Es reicht, ein Passwort zu erraten oder zu leaken. Prüfe deine Liste der Nutzer mit Administratorrolle und stelle sicher, dass wirklich jeder 2FA aktiviert hat.
5. Sicherheits-Header sind vorhanden (1 Min)
Header wie X-Frame-Options, X-Content-Type-Options oder Content-Security-Policy sind heute keine Kür mehr: Sie schließen ganze Angriffskategorien (Clickjacking, MIME-Sniffing) fast kostenlos. Jeder Online-HTTP-Header-Checker bestätigt das in Sekunden.
6. Niemand hat mehr Rechte, als nötig (1 Min)
Überprüfe deine Nutzerliste. Ein Redakteur braucht keine Administratorrolle. Jedes zusätzliche Admin-Konto ist ein weiteres Konto, das bei Kompromittierung die gesamte Seite gefährdet.
7. Plugins und Themes aktuell — und keine verwaisten (1 Min)
Öffne das Update-Panel. Achte besonders auf Plugins, die seit über einem Jahr kein Update erhalten haben: Wurde der Autor untätig, wird keine ab jetzt entdeckte Schwachstelle je behoben.
8. Sensible Dateien sind nicht öffentlich erreichbar (1 Min)
Versuche, die URL deiner wp-config.php oder die readme.txt eines Plugins direkt im Browser zu öffnen. Du solltest eine Fehlermeldung bekommen, nie den tatsächlichen Inhalt. Siehst du ihn doch, ist das ein sofortiges Informationsleck.
9. Begrenzung der Login-Versuche (30 Sek)
Versuche mit einem Testkonto 5-6 Mal hintereinander, dich falsch anzumelden. Blockiert oder bremst dich nichts, kann jedes Skript kostenlos Tausende Passwörter durchprobieren.
10. Du weißt, welchen Traffic deine Seite heute bekommt (30 Sek)
Öffne das Dashboard deines Sicherheits-Plugins und schau dir das Traffic- oder Blockierungs-Log der letzten 24 Stunden an. Wenn du keine Ahnung hast, wie viele Angriffsversuche deine Seite täglich abbekommt, heißt das nicht, dass es keine gibt — du siehst sie nur nicht.
Wie viele hast du abgehakt?
Bist du bei 3 oder mehr Punkten durchgefallen, ist das kein Alarm — das ist normal, und genau dafür gibt es diese Checkliste. Behebe sie aber diese Woche, angefangen mit 2FA und einem wiederherstellbaren Backup — die zwei Punkte, die im Ernstfall den größten Unterschied machen.