WordPress richtig sichern: so geht das!

<Grafik1> WordPress ist schon lange keine einfache Software für das Bloggen. WordPress ist ein weitverbreitetes CMS und Sicherheit steht an erster Stelle. Dieses System muss dementsprechend geschützt werden. Wir zeigen Ihnen, wie das geht!

Updates

WordPress ist ein weitverbreitetes CMS und je verbreiteter ein System ist, desto eher die Wahrscheinlichkeit eines Hackerangriffs. Schützen Sie Ihr System, indem Sie es ständig auf dem aktuellen Stand halten und Updates zu Ihrem Theme, Ihren Plug-ins sowie Ihrer WordPress Installation einspielen. Wenn Sie nicht täglich in Ihrer WordPress Installation eingeloggt sind, nutzen Sie am besten das Plug-in „WP Update Notifier“, welches Sie über anstehende Updates via E-Mail informiert. Vor größeren Updates machen Sie sich ein Backup Ihrer gesamten Installation. Dies können Sie über separate Plug-ins oder einer zusätzlichen Auslagerung via Subdomain realisieren. Bei letzterer Variante können Sie eine solche Subdomain auch als Testsystem nutzen, um Auswirkungen eines Updates sicher zu überprüfen, ohne dass die primäre Installation Fehler im Echtsystem aufweist. Ein Backup Plug-in zur Verwendung wäre zum Beispiel BackWPup. Mit diesem Plug-in können Sie Ihre Sicherung automatisch an einen FTP-Server oder verschiedene Cloud Dienste senden.

Passwörter

Verwenden Sie stets sichere Passwörter, die sich am besten via Zufallsgenerator zusammenstellen lassen. Verwenden Sie niemals ein Master Kennwort und wechseln Sie Ihre Passwörter regelmäßig. Den Benutzernamen „Admin“ vermeiden Sie gänzlich!

Administrationsbereich

Versehen Sie Ihren Administrationsbereich (wp-admin) mit einem Schutz Verzeichnisschutz in der .htaccess Datei. Des Weiteren können Sie das Plug-in Limit Lockin Attempts nutzen, welches eine IP-Adresse nach fehlgeschlagenen Login Versuchen zeitweise sperrt. Die Konfiguration können Sie individuell vornehmen. Über Einbruchsversuche können Sie sich als Administrator per E-Mail informieren lassen. <Grafik2>

Plug-ins und Themes

Achten Sie darauf, nur Plug-ins zu installieren, welche Sie wirklich benötigen. Beziehen Sie Plug-ins niemals aus unbekannten Quellen und achten Sie auf die Aktualisierungsintervalle eines Plug-ins. Prüfen Sie darüber hinaus die Benutzerbewertungen. Eine Investierung in Premium Themes oder Plug-ins rentiert sich oftmals, denn bei solchen wird meistens auch mehr auf Sicherheit geachtet. Zudem werden häufiger Aktualisierungen vorgenommen. Folgende Plug-ins unterstützen Sie:

• Theme-Check: Das Theme wird auf aktuelle Richtlinien und Standards von WordPress überprüft.
• Anti-Virus: WordPress wird täglich auf Schadcode überprüft. Ein Zugriff auf Google Safe Browsing ist möglich.
• Theme Authenticity Checker: Das WordPress Theme wird auf Schadcode überprüft.

Gegen Spam

Wenn Sie mit Kommentaren auf Ihrer Webseite arbeiten, so müssen Sie sich gegen Spam schützen. Sie können Kommentare nur anzeigen lassen, nachdem Sie diese geprüft haben oder nur Kommentare von registrierten Besuchern zulassen. Mit einem Plug-in für Captcha können Sie zusätzlich für Sicherheit gegen Spam sorgen. Sie müssen allerdings darauf achten, den Code ausreichend komplex zu halten, sodass dieser von Automatismen nicht geknackt werden kann. Zur automatischen Erkennung und Blockierung von Spam ist Askimet ein sehr bekanntes Plug-in. Aus datenschutzrechtlicher Sicht ist die Anwendung in Deutschland jedoch bedenklich. Als Alternative können Sie Antispam Bee verwenden.

Sicherheit aus einer Hand

Wenn Sie anstelle vieler einzelner Plug-ins, lieber auf einen Allrounder zurückgreifen möchten, so können wir Ihnen Better WP Security empfehlen. Dieses Plug-in bietet zahlreiche Funktionen mit besten Bewertungen an. Darüber hinaus ist es in deutscher Sprache erhältlich. Vor der ersten Anwendung sollten Sie sich auf jeden Fall ein Backup Ihrer Installation erstellen. Dieses Plug-in bietet Ihnen nämlich eine Ein-Klick-Lösung an, bei welcher viele Einstellungen auf einen Schlag vorgenommen werden. Die einzelnen Funktionen werden in Kategorien unterteilt und farblich deutlich unterschieden. Leider spart dieses Plug-in bei seiner Anwendung nicht mit Ressourcen, was teilweise spürbar ist. <Grafik3> Das Plug-in Wordfence Security bietet neben zahlreichen Funktionen zusätzlich eine Zwei-Wege-Authentifizierung via Mobiltelefon sowie eine Reparatur der durch Schadcode beschädigten WordPress Installation an. Diese zwei genannten Funktionen sind allerdings kostenpflichtige Leistungen. <Grafik4> BulletProof Security ist als Plug-in mit Better WP Security vergleichbar, jedoch fehlt es leider an einer deutschen Übersetzung. Dieses Plug-in setzt auf eine Absicherung per .htaccess Datei. Der Ultimate Security Checker gilt als besonders leicht zu bedienen und sehr sparsam hinsichtlich der zur Verfügung stehenden Ressourcen.

Der Admin User

Der Admin User, als Standard User bis WordPress Version 3.0, sollte der Vergangenheit angehören – zu viel Missbrauch und Risiko für Hacker Angriffe. Wenn Sie sich also für einen sicheren User Namen entscheiden sollten, so müssen Sie auf einen komplexen Namen setzen, ähnlich wie bei der Wahl eines guten Passworts. Wählen Sie einen Namen aus der Kombination von Buchstaben und Zahlen in Groß- sowie Kleinschreibung. Notieren Sie sich den User Namen unbedingt an einem sicheren (analogen) Ort. In Ihrer WordPress Installation wählen Sie sich den Menüpunkt „Benutzer“ aus und fügen einen neuen Benutzer hinzu. Vergeben Sie den neu gewählten User Namen und vergeben Sie diesem User Administrationsrechte. Ein sicheres Passwort ist Pflicht. Loggen Sie sich aus. Loggen Sie sich im Anschluss mit dem neuen Benutzer ein, wechseln erneut auf die Ansicht „Benutzer“ und wählen den Benutzer „Admin“ aus. Löschen Sie den Benutzer „Admin“, ohne die bisher veröffentlichten Beiträge zu entfernen. Ordnen Sie den gesamten Inhalt Ihrem neu erstellten Benutzer zu. Unter den Benutzereinstellungen wechseln Sie nun noch in die Profilansicht und weisen sich dort einen öffentlichen Namen zu, welcher sich zum Benutzernamen – wie eingeloggt – unterscheidet. So vermeiden Sie das Risiko, dass Hacker unter den Beitragsveröffentlichungen Ihren User Namen einsehen können.

Fazit

Mit nur wenigen aber sehr effektiven Handgriffen haben Sie eine sichere WordPress Installation. Schützen Sie Ihren PC sowie Ihre WordPress Installation durch klaren Verstand und Logik. Im Anschluss setzen Sie die Hinweise und Tipps dieses Artikels um. So erreichen Sie den größten positiven Effekt. Setzen Sie vor allem auf ständige Aktualität, sichere Quellen sowie ein reduziertes Maß an Installationen. Wechselnde und sichere Passwörter sollten Standard sein. Vor allem vermeiden Sie den Standard Admin User in Ihrer WordPress Installation.