Wie sicher ist WordPress wirklich im Unternehmen?
Eine Unternehmenswebsite wird selten durch einen spektakulären Angriff kompromittiert. Häufiger bleiben Updates liegen, ein ehemaliger Dienstleister besitzt noch ein Administratorkonto oder ein Plugin wird installiert, weil es eine kleine Funktion schnell lösen soll. Auf die Frage „Wie sicher ist WordPress wirklich“ gibt es deshalb keine Antwort, die allein vom CMS abhängt. Entscheidend ist, wie professionell die Website geplant, betrieben und betreut wird.
WordPress ist als System nicht grundsätzlich unsicher. Der Kern wird fortlaufend weiterentwickelt, Sicherheitslücken werden transparent behandelt und Updates stehen zeitnah bereit. Gleichzeitig ist WordPress weit verbreitet. Das macht die Plattform zu einem attraktiven Ziel für automatisierte Angriffe, die nicht einzelne Unternehmen auswählen, sondern zehntausende Websites nach bekannten Schwachstellen durchsuchen. Wer WordPress als reine Installationsaufgabe betrachtet, erhöht das Risiko. Wer es als laufende technische Plattform betreibt, kann es sehr sicher einsetzen.
Wie sicher ist WordPress wirklich? Es kommt auf den Betrieb an
Die Sicherheit einer WordPress-Website entsteht aus mehreren Ebenen: dem WordPress-Core, Erweiterungen und Themes, dem Hosting, der Konfiguration, den Benutzerrechten sowie den internen Abläufen. Eine Schwachstelle auf nur einer Ebene kann ausreichen, um die gesamte Website zu gefährden.
Dabei lohnt eine klare Einordnung: Viele Sicherheitsvorfälle sind keine Zero-Day-Angriffe auf den WordPress-Core. Sie nutzen bekannte Lücken in veralteten Plugins, schwache Passwörter, offen zugängliche Verwaltungsbereiche oder unsauber konfigurierte Server. Das bedeutet auch: Die wirksamsten Maßnahmen sind oft keine exotischen Speziallösungen, sondern konsequente technische Hygiene.
Für Unternehmen ist zudem nicht nur die Frage relevant, ob eine Website gehackt werden kann. Ebenso wichtig sind Verfügbarkeit, Integrität und Datenschutz. Eine manipulierte Kontaktseite, ein Ausfall während einer Kampagne oder ein unberechtigter Zugriff auf Formulardaten kann operative und rechtliche Folgen haben. Sicherheit gehört daher in die laufende Website-Betreuung, nicht nur in den Projektstart.
Der WordPress-Core: solide Basis, aber kein Selbstläufer
Der WordPress-Core gilt bei zeitnahen Updates als belastbare Grundlage. Sicherheitsupdates können in vielen Installationen automatisch eingespielt werden. Das reduziert das Zeitfenster, in dem bekannte Lücken ausgenutzt werden können. Bei größeren Versionssprüngen oder komplexen individuellen Funktionen ist allerdings eine kontrollierte Prüfung sinnvoll, damit Sicherheitsmaßnahmen nicht zu Funktionsausfällen führen.
Ein professioneller Update-Prozess trennt deshalb Test und Produktion. Aktualisierungen werden zunächst in einer Staging-Umgebung geprüft: Funktionieren Formulare, Schnittstellen, Mehrsprachigkeit, Tracking, Suche und individuelle Erweiterungen weiterhin wie vorgesehen? Erst danach folgt die Veröffentlichung. Das kostet weniger Aufwand, als eine fehlerhafte Aktualisierung oder einen Sicherheitsvorfall unter Zeitdruck zu beheben.
Auch die eingesetzte PHP-Version gehört dazu. Eine WordPress-Installation kann aktuell wirken und dennoch auf einer nicht mehr unterstützten Serverumgebung laufen. Sicherheitsbewertungen müssen immer das Zusammenspiel aus Anwendung und Infrastruktur betrachten.
Plugins und Themes sind der häufigste Risikobereich
Die große Stärke von WordPress ist sein Ökosystem. Für nahezu jede Funktion gibt es Erweiterungen: Formulare, SEO, Mehrsprachigkeit, Redaktionsworkflows, Shops oder Schnittstellen. Genau diese Vielfalt verlangt Auswahl und Disziplin.
Jedes Plugin erweitert die Angriffsfläche. Das heißt nicht, dass wenige Plugins automatisch sicher und viele zwangsläufig unsicher sind. Relevant sind Qualität, Pflegezustand, Verbreitung, Kompatibilität und tatsächlicher Nutzen. Ein aktiv gepflegtes, gut dokumentiertes Plugin kann die bessere Wahl sein als eine schnell entwickelte Individualfunktion ohne Wartungskonzept.
Kritisch wird es bei Erweiterungen, die seit langer Zeit keine Updates erhalten haben, deren Herkunft unklar ist oder die nur eine kleine Komfortfunktion liefern. Ebenso problematisch sind gekaufte Themes mit umfangreichen, aber kaum benötigten Funktionspaketen. Sie machen Websites oft schwer wartbar und erschweren spätere Updates.
Vor jeder Erweiterung sollten Verantwortliche prüfen, ob sie fachlich wirklich erforderlich ist, wer sie künftig aktualisiert und welche Daten sie verarbeitet. Bei geschäftskritischen Anforderungen kann eine schlanke individuelle Entwicklung langfristig sicherer und wirtschaftlicher sein als die Abhängigkeit von mehreren fremden Plugins.
Hosting und Serverkonfiguration entscheiden mit
Ein sicheres CMS auf einem schlecht gepflegten Server bleibt angreifbar. Zum Hosting gehören aktuelle Betriebssystem- und PHP-Versionen, sichere Dateirechte, verschlüsselte Verbindungen, Backups, Protokollierung und ein klar geregelter Zugriff auf Server, Datenbank und Deployment.
Besonders bei Unternehmenswebsites sollte die Produktionsumgebung nicht gleichzeitig Entwicklungsumgebung sein. Zugangsdaten gehören nicht in Themes, Plugins oder öffentliche Verzeichnisse. SFTP- und Datenbankzugänge müssen personengebunden sein, damit Berechtigungen beim Rollenwechsel oder Ausscheiden sofort entzogen werden können.
Eine Web Application Firewall kann automatisierte Angriffe zusätzlich filtern, etwa Login-Versuche oder typische Angriffsmuster. Sie ersetzt jedoch keine Updates. Auch ein Sicherheitsplugin ist nur eine Ergänzung, wenn Server, Erweiterungen und Redaktionszugänge nicht sauber verwaltet werden.
Benutzerrechte: Nicht jeder braucht Admin-Zugang
In vielen WordPress-Projekten sind zu viele Konten mit Administratorrechten ausgestattet. Das ist bequem, aber unnötig riskant. Redakteurinnen und Redakteure benötigen in der Regel keine Berechtigung, Plugins zu installieren, Themes zu ändern oder neue Benutzer anzulegen.
WordPress bietet Rollen für unterschiedliche Aufgaben. Diese Standardrollen lassen sich bei Bedarf gezielt erweitern. Entscheidend ist das Prinzip der minimalen Rechte: Jede Person erhält nur die Zugriffe, die sie für ihre Aufgabe braucht. Für externe Dienstleister sollten Zugänge zeitlich und fachlich begrenzt sein.
Zusätzlich sollten administrative Konten durch eine Zwei-Faktor-Authentifizierung geschützt werden. Gerade gegen Passwortdiebstahl und wiederverwendete Passwörter ist das eine der wirksamsten Maßnahmen. Sinnvoll sind außerdem Begrenzungen für fehlgeschlagene Login-Versuche und eine regelmäßige Prüfung aller Benutzerkonten.
Backups sind kein Detail der IT-Abteilung
Auch bei guter Vorsorge kann etwas passieren: ein fehlerhaftes Update, ein Bedienfehler, ein kompromittiertes Konto oder ein Problem beim Hoster. Dann entscheidet die Qualität des Backups darüber, ob eine Website in kurzer Zeit wiederhergestellt werden kann oder ob Inhalte, Daten und Arbeitszeit verloren gehen.
Ein brauchbares Backup besteht aus Dateien und Datenbank, wird getrennt von der Website gespeichert und regelmäßig getestet. Der letzte Punkt wird häufig unterschätzt. Ein Backup, das sich nicht vollständig einspielen lässt, hilft im Ernstfall nicht weiter. Für dynamische Websites mit Formularen, Kundenbereichen oder Shop-Funktionen müssen außerdem passende Sicherungsintervalle definiert werden.
Sicherheitsmaßnahmen, die im Alltag tragen
Für die meisten professionellen WordPress-Websites ist ein überschaubares, aber verbindliches Sicherheitskonzept wirksamer als eine Sammlung unkoordinierter Tools. Dazu gehören mindestens diese Maßnahmen:
- WordPress-Core, Plugins, Themes und Serverkomponenten werden nach einem definierten Prozess aktualisiert.
- Nicht benötigte Plugins, Themes und Benutzerkonten werden entfernt statt nur deaktiviert.
- Administrationszugänge sind individuell vergeben, mit starken Passwörtern und Zwei-Faktor-Authentifizierung abgesichert.
- Backups laufen automatisiert, liegen getrennt von der Produktionsumgebung und werden regelmäßig per Wiederherstellung geprüft.
- Sicherheitsrelevante Ereignisse, Verfügbarkeiten und technische Änderungen werden überwacht und nachvollziehbar dokumentiert.
Je nach Projekt kommen weitere Anforderungen hinzu. Bei Schnittstellen zu CRM-, PIM- oder Shop-Systemen muss beispielsweise geprüft werden, wie API-Schlüssel gespeichert werden und welche Daten übertragen werden. Bei mehreren Redaktionsstandorten oder komplexen Freigaben braucht es klare Prozesse für Rollen, Verantwortlichkeiten und Veröffentlichungen. Für öffentliche Stellen oder regulierte Branchen greifen darüber hinaus Anforderungen an Datenschutz, Barrierefreiheit und Dokumentation ineinander.
Wann WordPress die passende Wahl ist
WordPress eignet sich gut für viele Corporate Websites, Kampagnenplattformen, Magazine und redaktionell geprägte Projekte. Seine Stärken liegen in der einfachen Inhaltsbearbeitung, dem breiten Ökosystem und der Möglichkeit, individuelle Anforderungen umzusetzen. Voraussetzung ist, dass die technische Architektur zum Projekt passt und die Website nicht durch wahllos kombinierte Erweiterungen überladen wird.
Bei sehr komplexen Berechtigungsstrukturen, umfangreichen Integrationen, hohen Compliance-Anforderungen oder mehreren Mandanten kann ein anderes CMS wie TYPO3 die passendere Grundlage sein. Das ist keine pauschale Sicherheitsbewertung gegen WordPress. Es geht um Systemfit: Ein CMS ist dann sicherer, wenn seine Funktionen, Prozesse und Wartung zum konkreten Unternehmen passen.
Eine fundierte Entscheidung betrachtet deshalb nicht nur die Kosten der ersten Umsetzung. Sie bewertet auch Updatefähigkeit, Verantwortlichkeiten, Erweiterungsstrategie, Hosting und die langfristige Betreuung. Webentwicklung mit Substanz zeigt sich gerade dort, wo eine Website nach drei oder fünf Jahren noch sicher, nachvollziehbar und wirtschaftlich weiterentwickelt werden kann.
Wer WordPress professionell einsetzen möchte, sollte Sicherheit als festen Betriebsprozess planen: mit klaren Zuständigkeiten, regelmäßigen Prüfungen und einem Partner, der nicht erst dann erreichbar ist, wenn die Website bereits unter Druck steht.
