WordPress-Sicherheit: Das muss eine Agentur leisten

Veröffentlicht: 17.08.2026 · Letzte Aktualisierung: 18.08.2026

Der Anruf kommt fast immer montags. Am Wochenende hat niemand auf die Website geschaut, und jetzt zeigt die Startseite Viagra-Werbung, Google warnt vor der Domain, und im Posteingang stapeln sich Beschwerden von Kunden, deren Spamfilter angeschlagen hat. In diesem Moment wird aus der Frage „Brauchen wir eigentlich jemanden für WordPress-Sicherheit?“ eine sehr teure Gewissheit.

WordPress betreibt weit über 40 Prozent aller Websites weltweit und ist damit das mit Abstand meistangegriffene Content-Management-System. Das ist keine Schwäche der Software selbst. Der WordPress-Core wird von einem großen Sicherheitsteam gepflegt und gilt als robust. Angegriffen wird das Drumherum: veraltete Plugins, schwache Passwörter, offene Schnittstellen, vergessene Testinstallationen. Wer die Absicherung an eine Agentur abgibt, kauft im besten Fall ein komplettes Sicherheits-System mit einem Verantwortlichen dahinter. Im schlechtesten Fall nur ein installiertes Plugin mit Rechnung. Dieser Ratgeber zeigt im Detail, welche Leistungen eine Agentur für WordPress-Sicherheit tatsächlich erbringen muss, welche technischen Maßnahmen dahinterstecken, woran Sie seriöse Anbieter von Blendern unterscheiden und welche Kosten realistisch sind.

Warum WordPress-Websites angegriffen werden, Ihre auch

Der häufigste Einwand in Erstgesprächen lautet: „Wer sollte ausgerechnet uns hacken? Bei uns gibt es doch nichts zu holen.“ Der Einwand beruht auf einem Missverständnis darüber, wie moderne Angriffe funktionieren. Hinter den allermeisten WordPress-Hacks sitzt kein Mensch, der sich gezielt ein Unternehmen aussucht. Es laufen Botnetze, die das gesamte Internet systematisch nach verwundbaren Installationen absuchen. Wird eine bekannte Plugin-Lücke veröffentlicht, beginnen die ersten automatisierten Scans darauf oft innerhalb von Stunden. Die Bots unterscheiden nicht zwischen einem Konzern und der Website eines Handwerksbetriebs. Sie unterscheiden nur zwischen verwundbar und nicht verwundbar.

Zu holen gibt es dabei immer etwas, nur selten das, was Betroffene erwarten. Eine gekaperte WordPress-Installation ist für Angreifer ein Rohstoff: Sie verschickt Spam über den guten Ruf Ihrer Domain, hostet Phishing-Seiten für Bankkunden, leitet Ihre Besucher auf Betrugsseiten um, schürft im Hintergrund Kryptowährung oder dient als Sprungbrett für Angriffe auf andere Server. Der eigentliche Schaden entsteht bei Ihnen: Google markiert die Domain als gefährlich und wirft sie aus den Suchergebnissen, Ihr Hoster sperrt das Paket wegen Spam-Versands, und die mühsam aufgebaute E-Mail-Zustellbarkeit ist für Wochen ruiniert. Bei einem Online-Shop kommt der direkte Umsatzausfall dazu, und wenn Kundendaten betroffen sind, die Meldepflicht nach Artikel 33 DSGVO binnen 72 Stunden an die Aufsichtsbehörde.

Genau deshalb ist WordPress-Sicherheit keine einmalige Einrichtung, sondern ein laufender Prozess. Die Bedrohungslage ändert sich mit jeder veröffentlichten Plugin-Lücke, und die Frage ist nicht, ob Ihre Website gescannt wird. Sie wird es, jeden Tag, mehrfach. Die Frage ist, was die Scans vorfinden.

Die vier Angriffsebenen, die eine Agentur abdecken muss

Eine Agentur für WordPress-Sicherheit muss alle vier Angriffsebenen absichern: Server, WordPress-Core, Plugins samt Theme und die Benutzerkonten. Einzelmaßnahmen wie „wir installieren ein Security-Plugin“ reichen nicht, denn erfolgreiche Angriffe kombinieren fast immer mehrere Schwachstellen. Das BSI empfiehlt für Content-Management-Systeme ausdrücklich ein mehrschichtiges Vorgehen aus Härtung, Aktualisierung und Monitoring, und auch die offizielle Hardening-Dokumentation von WordPress.org beschreibt Sicherheit als Zusammenspiel mehrerer Schichten, nicht als einzelne Maßnahme.

Ebene 1, der Server: Hier entscheidet sich, mit welchen PHP-Versionen die Website läuft, ob TLS sauber konfiguriert ist, wer per SFTP oder SSH auf die Dateien zugreifen darf und ob Dienste erreichbar sind, die niemand braucht. Eine Agentur, die Ihren Server nicht kennt oder keinen Zugriff darauf hat, kann diese Ebene nur eingeschränkt absichern. Das ist einer der Gründe, warum Sicherheits-Betreuung und Hosting aus einer Hand in der Praxis besser funktionieren als verteilte Zuständigkeiten, bei denen sich im Ernstfall Hoster und Dienstleister gegenseitig die Verantwortung zuschieben.

Ebene 2, der WordPress-Core: Core-Lücken sind selten, aber wenn eine auftaucht, ist das Zeitfenster kritisch. Automatische Minor-Updates sollten aktiv sein, Major-Updates gehören kontrolliert eingespielt, mit Backup davor und Funktionsprüfung danach.

Ebene 3, Plugins und Theme: Hier passiert der Großteil aller erfolgreichen Angriffe. Der Sicherheitsdienstleister Patchstack dokumentiert Jahr für Jahr, dass die überwältigende Mehrheit der gemeldeten WordPress-Schwachstellen auf Plugins entfällt, nicht auf den Core. Das Problem sind dabei nicht nur verschleppte Updates, sondern auch verwaiste Plugins, deren Entwickler die Pflege eingestellt haben, sowie Erweiterungen aus dubiosen Quellen, etwa „kostenlose“ Premium-Plugins von Warez-Seiten, die ab Werk mit Schadcode ausgeliefert werden.

Ebene 4, die Benutzerkonten: Das beste technische Setup nützt wenig, wenn ein Redakteur „Sommer2024!“ als Passwort verwendet und dasselbe Passwort schon in einem geleakten Datensatz eines anderen Dienstes steht. Angreifer testen solche Leaks automatisiert gegen WordPress-Logins durch, das Verfahren heißt Credential Stuffing. Dagegen helfen nur erzwungene Passwort-Richtlinien, Zwei-Faktor-Authentifizierung und ein regelmäßiger Blick auf die Benutzerliste: Wer hat Administrator-Rechte, und braucht er sie wirklich noch?

Die sieben Pflicht-Leistungen im Überblick

Leistung	Warum sie Pflicht ist
Login-Härtung und Brute-Force-Schutz	Automatisierte Login-Angriffe laufen gegen jede WordPress-Installation, rund um die Uhr. Login-Limits und IP-Reputation stoppen sie vor dem Passwort-Feld.
Web Application Firewall (WAF)	Fängt SQL-Injection und Cross-Site-Scripting ab, bevor verwundbarer Plugin-Code erreicht wird.
Zwei-Faktor-Authentifizierung	Ein gestohlenes Passwort allein darf nicht reichen. Stand der Technik sind TOTP, Passkeys und FIDO2-Hardware-Keys.
Update-Management	Die Mehrzahl der WordPress-Hacks nutzt bekannte, längst gepatchte Plugin-Lücken. Wer Updates verschleppt, verliert.
Schwachstellen-Audit mit Bericht	Ein CVE-Abgleich von Core, Theme und Plugins gehört dokumentiert, als schriftlicher Bericht, nicht als mündliche Zusage.
Backups mit geprüfter Wiederherstellung	Ein Backup, das nie testweise zurückgespielt wurde, ist ein Hoffnungswert. Entscheidend sind Aufbewahrungsdauer und Restore-Test.
Notfall-Reaktion	Wenn die Website gehackt ist, zählt die Zeit bis zur Bereinigung. Eine Agentur ohne definierten Notfall-Prozess ist keine Sicherheits-Agentur.

Was hinter den einzelnen Leistungen technisch steckt

Login-Härtung: mehr als ein verstecktes Login-Formular

Viele Anbieter verkaufen Login-Härtung als „wir verschieben wp-login auf eine geheime URL“. Das reduziert zwar das Grundrauschen im Log, ist aber reine Kosmetik, wenn der Rest offen bleibt. Eine ernsthafte Härtung begrenzt Fehlversuche pro IP-Adresse und pro Benutzername, drosselt die REST-API-Endpunkte, über die sich Benutzernamen auslesen lassen, und deaktiviert die XML-RPC-Schnittstelle, sofern keine Anwendung sie braucht. XML-RPC ist ein Klassiker: Über die Methode system.multicall lassen sich hunderte Passwort-Versuche in einer einzigen Anfrage bündeln, wodurch einfache Login-Limits ins Leere laufen. Dazu kommt die Anbindung an eine IP-Reputationsdatenbank, damit Adressen, die bereits andere Websites angegriffen haben, gar nicht erst bis zum Login-Formular kommen. Auf Server-Ebene ergänzt fail2ban das Ganze, indem auffällige IPs direkt in der Firewall landen statt nur auf Anwendungsebene.

Web Application Firewall: virtuelles Patchen kauft Zeit

Eine WAF prüft eingehende Anfragen gegen Regelsätze, bevor sie den PHP-Code erreichen. Grundlage ist üblicherweise der OWASP-Kernregelsatz gegen die häufigsten Angriffsmuster: SQL-Injection, Cross-Site-Scripting, Path Traversal, Datei-Uploads mit Schadcode. Der praktische Wert liegt im sogenannten virtuellen Patchen. Wird eine Lücke in einem verbreiteten Plugin bekannt, vergeht Zeit, bis der Entwickler einen Patch liefert und bis dieser eingespielt ist. Eine gepflegte WAF blockiert das Angriffsmuster oft schon vorher und überbrückt genau dieses Zeitfenster, in dem die meisten Massenangriffe laufen. Wichtig ist die Nachfrage, wo die WAF ihre Regeln bezieht und wo sie die Anfragen verarbeitet. Cloud-WAFs amerikanischer Anbieter leiten den kompletten Traffic Ihrer Besucher über US-Infrastruktur, was datenschutzrechtlich mindestens erklärungsbedürftig ist.

Zwei-Faktor-Authentifizierung: der Unterschied liegt in der Phishing-Resistenz

Zwei-Faktor ist nicht gleich Zwei-Faktor. Codes per SMS oder Authenticator-App schützen zuverlässig gegen gestohlene Passwörter, aber nicht gegen Phishing: Wer seinen Code auf einer nachgebauten Login-Seite eintippt, übergibt ihn dem Angreifer, der ihn in Echtzeit weiterverwendet. FIDO2-Hardware-Keys und Passkeys schließen diese Lücke prinzipbedingt, weil der Schlüssel die Domain kryptografisch prüft und auf einer Fälschung schlicht keine Signatur liefert. Eine zeitgemäße Agentur bietet deshalb beides an: TOTP oder E-Mail-Codes als Basis für alle Benutzer, Hardware-Keys für Administratoren und alle Konten mit weitreichenden Rechten. Bei SMS-Verfahren lohnt der Blick auf den Versandweg, denn viele SMS-Gateways sitzen außerhalb der EU. Es gibt Anbieter mit EU-Routing, man muss sie nur bewusst auswählen.

Update-Management: der unspektakulärste und wichtigste Posten

Update-Management klingt banal und ist doch die Leistung mit dem größten Sicherheitseffekt. Der Prozess einer guten Agentur sieht so aus: Vor jedem Update-Lauf entsteht ein Backup. Updates werden zeitnah nach Erscheinen eingespielt, bei kritischen Sicherheits-Patches am selben Tag. Nach dem Lauf wird die Website geprüft, nicht nur „lädt die Startseite“, sondern auch Formulare, Checkout und die wichtigsten Vorlagen. Schlägt etwas fehl, wird zurückgerollt und die Ursache geklärt. Mindestens genauso wichtig ist die Bestandspflege: Plugins, die seit Jahren kein Update mehr gesehen haben oder deren Funktion inzwischen doppelt vorhanden ist, fliegen raus. Jede installierte Erweiterung ist Angriffsfläche, auch die deaktivierten, denn deren Code liegt weiter auf dem Server und bleibt über direkte Aufrufe erreichbar.

Audit, Backups, Notfall: die Beweis- und Rückfallebene

Ein Schwachstellen-Audit gleicht die installierten Versionen von Core, Theme und Plugins gegen öffentliche Schwachstellen-Datenbanken ab, prüft die Benutzerliste auf verdächtige oder überprivilegierte Konten und wirft einen Blick auf Dateirechte und Konfiguration. Das Ergebnis gehört in einen schriftlichen Bericht mit priorisierten Maßnahmen. Nicht, weil Papier schön ist, sondern weil Sie sonst in einem Jahr nicht nachvollziehen können, was geprüft wurde und was offen blieb.

Bei Backups entscheiden drei Fragen über den Wert: Wie lange wird aufbewahrt, wo liegen die Sicherungen, und wurde die Wiederherstellung je getestet? Ein Backup auf demselben Server, der gerade gehackt wurde, ist im Ernstfall wertlos, denn Angreifer löschen oder verschlüsseln erreichbare Sicherungen gleich mit. Die Aufbewahrungsdauer ist deshalb kritisch, weil Kompromittierungen oft erst nach Wochen auffallen. Wer nur sieben Tage vorhält, hat dann ausschließlich Backups, in denen die Hintertür bereits steckt. Wir halten aus genau diesem Grund 60 Tage Echtzeit-Backups auf deutschen Servern vor.

Und der Notfall-Prozess: Eine Agentur, die Sicherheit verkauft, muss sagen können, was in den ersten Stunden nach einem entdeckten Hack passiert. Der übliche Ablauf: Website in den Wartungsmodus oder vom Netz, Zugangsdaten komplett rotieren (WordPress, SFTP, Datenbank, Hosting-Panel), Schadcode identifizieren und entfernen oder aus einem sauberen Backup wiederherstellen, die Eintrittslücke finden und schließen, dann erst wieder online gehen und anschließend die Google-Search-Console-Warnungen abarbeiten. Wer auf die Frage nach diesem Ablauf ausweicht, hat ihn nicht.

Die Basics, die eine gute Agentur ungefragt umsetzt

Neben den großen Blöcken gibt es eine Reihe kleiner Härtungsmaßnahmen, die wenig Aufwand kosten und in keinem professionellen Setup fehlen dürfen. Sie eignen sich auch gut als Testfrage im Erstgespräch:

• Datei-Editor deaktivieren. Die Konstante DISALLOW_FILE_EDIT in der wp-config.php nimmt Angreifern mit erbeutetem Admin-Zugang das bequemste Werkzeug, nämlich den eingebauten Theme- und Plugin-Editor, mit dem sich PHP-Schadcode direkt über das Backend einschleusen lässt.
• Sicherheitsschlüssel pflegen. Die Salts und Keys in der wp-config.php verschlüsseln die Login-Cookies. Nach jedem Sicherheitsvorfall gehören sie erneuert, damit gestohlene Sessions ungültig werden.
• Korrekte Dateirechte. Verzeichnisse 755, Dateien 644, die wp-config.php restriktiver. Weltweit beschreibbare Ordner sind eine Einladung.
• PHP-Ausführung im Upload-Ordner unterbinden. Gelingt es einem Angreifer, eine als Bild getarnte PHP-Datei hochzuladen, verhindert diese Server-Regel, dass sie jemals ausgeführt wird.
• Sicherheits-Header setzen. HSTS erzwingt HTTPS, X-Content-Type-Options und X-Frame-Options verhindern MIME-Sniffing und Clickjacking, eine Content-Security-Policy begrenzt, welche Skripte der Browser überhaupt lädt.
• Aufräumen. Verwaiste Testinstallationen, alte Staging-Kopien unter /alt/ oder /backup/ und ungenutzte Themes sind beliebte Einstiegspunkte, weil sie nie Updates bekommen. Was nicht gebraucht wird, wird gelöscht, nicht deaktiviert.

Ein verbreiteter Irrtum gehört hier ebenfalls entsorgt: Das Ändern des Datenbank-Tabellenpräfixes von wp_ auf etwas Eigenes bringt praktisch nichts. Jede SQL-Injection kann das Präfix mit einer einzigen Abfrage auslesen. Wenn eine Agentur diese Maßnahme prominent als Sicherheitsgewinn verkauft, ist das ein Hinweis auf Checklisten-Wissen ohne Tiefe.

Woran Sie eine seriöse Agentur erkennen

Fünf Kriterien trennen Anbieter mit System von Anbietern mit Plugin:

• Schriftliche Ergebnisse. Sicherheits-Checks enden in einem PDF-Bericht mit konkreten Befunden und Prioritäten, nicht in der Pauschalaussage „alles sicher“. Verlangen Sie vorab einen anonymisierten Beispielbericht.
• Transparente Preise. Setup, Audit und Wartung stehen mit Preis auf der Website. Wer erst im Gespräch kalkuliert, kalkuliert gegen Sie.
• DSGVO-konforme Tool-Auswahl. Viele Security-Suiten senden Besucher- und Angriffsdaten in US-Clouds. Fragen Sie konkret, wo Firewall-Traffic und Threat-Intelligence-Daten verarbeitet werden und ob es einen Auftragsverarbeitungsvertrag gibt.
• Nachprüfbare Referenzen. Echte Google-Bewertungen mit Namen statt anonymer Testimonials auf der eigenen Website.
• Erreichbarkeit im Ernstfall. Ein Notfall-Kontakt mit zugesagter Reaktionszeit, nicht nur ein Kontaktformular mit Autoresponder.

Dazu kommt ein weiches, aber verlässliches Signal: Wie geht der Anbieter mit der Frage um, was er nicht leistet? Seriöse Agenturen benennen Grenzen offen, etwa dass hundertprozentige Sicherheit nicht existiert und dass es deshalb Backups und einen Notfallplan gibt. Anbieter, die Unverwundbarkeit versprechen, verkaufen ein Gefühl, keine Leistung.

Was kostet WordPress-Sicherheit bei einer Agentur?

Der Markt ist breit gefächert. Einmalige Malware-Bereinigungen werden je nach Anbieter und Schadensbild typischerweise im mittleren dreistelligen Bereich abgerechnet. Laufende Wartungsverträge reichen von rund 10 bis etwa 300 €/Monat, wobei die Spanne vor allem drei Faktoren abbildet: die Anzahl und Komplexität der Websites (ein WooCommerce-Shop mit zwanzig Plugins ist aufwendiger als eine Fünf-Seiten-Präsenz), die Reaktionszeiten im Störungsfall und die Frage, ob Hosting und Monitoring enthalten sind oder extra laufen.

Vorsicht ist bei zwei Extremen angebracht. Sehr billige Pauschalen ohne Backup-Klausel und ohne Notfall-Regelung verlagern das eigentliche Risiko zu Ihnen: Im Schadensfall zahlen Sie die Bereinigung dann als teure Zusatzleistung. Und sehr teure Pakete rechtfertigen ihren Preis nur, wenn messbare Leistungen dahinterstehen, also dokumentierte Update-Läufe, Berichte, geprüfte Restores. Fragen Sie im Zweifel nach dem Leistungsnachweis des letzten Monats.

Zur Einordnung unsere eigenen Preise: Das Sicherheits-Setup mit deutschem Bedrohungsnetzwerk beginnt bei 79 € einmalig, der Sicherheits-Check mit PDF-Bericht bei 89 €, die laufende Wartung bei 9,50 €/Monat und die Notfall-Bereinigung einer gehackten Website bei 299 €.

Agentur oder Security-Plugin in Eigenregie?

Ein gutes Security-Plugin ist die technische Basis, ersetzt aber keinen Verantwortlichen. Das Plugin blockiert Angriffe, es liest jedoch keine Warnmeldungen, spielt keine Updates ein und entscheidet nicht, ob ein auffälliger Log-Eintrag ein Fehlalarm oder ein laufender Angriff ist. In der Praxis sehen wir regelmäßig Installationen, in denen ein Security-Plugin seit Monaten Warnungen produziert, die schlicht niemand liest. Die Schutzwirkung eines unbeobachteten Werkzeugs tendiert gegen die eines Rauchmelders ohne Batterie.

Die ehrliche Abgrenzung: Wer technisches Verständnis, Zeit und Disziplin für wöchentliche Update-Läufe, Log-Kontrolle und Backup-Tests mitbringt, kann eine kleine WordPress-Website mit Bordmitteln und einem soliden Plugin selbst absichern. Der Agentur-Ansatz lohnt sich, sobald die Website geschäftskritisch ist, sobald mehrere Personen im Backend arbeiten oder sobald schlicht niemand im Unternehmen diese Aufgabe dauerhaft übernehmen kann und will. Sicherheit scheitert selten am Werkzeug, fast immer an der Kontinuität.

Wir setzen für die technische Basis auf reportedIP, eine Threat-Intelligence-Plattform mit Sitz in Deutschland: Bedrohungsdaten aus einem Community-Netzwerk, Web Application Firewall, Zwei-Faktor-Authentifizierung bis hin zu FIDO2-Hardware-Keys, ohne dass Daten in US-Clouds fließen. Wie der komplette Stack aussieht, zeigt unsere Übersicht zur WordPress-Sicherheit von der Agentur. Für Agenturen und Freelancer, die Kunden-Websites in unsere Betreuung geben möchten, gibt es die WordPress-Wartung für Agenturen.

So läuft die Zusammenarbeit typischerweise ab

Damit Sie wissen, was Sie erwartet, der übliche Ablauf einer Sicherheits-Betreuung in vier Schritten:

• Bestandsaufnahme. Die Agentur verschafft sich Zugang zu WordPress, Hosting und DNS, inventarisiert Plugins, Themes, Benutzer und PHP-Version und gleicht alles gegen bekannte Schwachstellen ab. Ergebnis ist der schriftliche Erstbefund.
• Härtung und Setup. Die Befunde werden priorisiert abgearbeitet: kritische Updates sofort, dann Login-Härtung, WAF, 2FA, Backup-Einrichtung, Konfigurations-Härtung. Nach diesem Schritt ist die Website auf dem Stand der Technik.
• Laufender Betrieb. Updates, Monitoring, Log-Kontrolle und Backup-Prüfung laufen als Routine. Sie bekommen Leistungsnachweise und werden nur behelligt, wenn eine Entscheidung ansteht.
• Ernstfall-Übung im Kleinen. Mindestens einmal sollte gemeinsam ein Restore auf eine Testumgebung durchgespielt werden. Erst dann wissen beide Seiten, dass die Rückfallebene trägt.

Häufig gestellte Fragen

Brauche ich eine Agentur, wenn ich nur eine kleine WordPress-Website habe?

Automatisierte Angriffe unterscheiden nicht nach Website-Größe, sie scannen jede erreichbare WordPress-Installation. Für kleine Websites reicht oft ein einmaliges Sicherheits-Setup plus ein schlanker Wartungsvertrag, der Updates und Backups abdeckt. Entscheidend ist weniger die Größe der Website als die Frage, wer sich sonst kontinuierlich kümmert.

Wie schnell muss eine Agentur bei einem Hack reagieren?

Innerhalb von Stunden, nicht Tagen. Jede Stunde mit Malware kostet Sichtbarkeit (Google-Warnhinweise, Blacklisting der Domain) und im Shop-Betrieb direkten Umsatz. Sind personenbezogene Daten betroffen, läuft zudem die 72-Stunden-Frist für die DSGVO-Meldung. Fragen Sie vor Vertragsabschluss nach der zugesagten Reaktionszeit im Notfall.

Sind Wordfence oder Sucuri ein Problem für die DSGVO?

Beide sind US-Anbieter und verarbeiten Threat-Intelligence-Daten in US-Cloud-Diensten, was nach Schrems II ein datenschutzrechtliches Risiko darstellt. Es gibt funktional vergleichbare Alternativen mit Hosting in Deutschland, etwa reportedIP. Wer bei US-Tools bleibt, sollte die Datenflüsse zumindest in der Datenschutzerklärung sauber abbilden.

Was sollte ein Sicherheits-Check mindestens enthalten?

Einen CVE-Abgleich von WordPress-Core, Theme und allen Plugins, eine Prüfung der Benutzerkonten und Rollen, eine Kontrolle der Dateirechte und Konfiguration, eine Backup-Sichtprüfung und einen schriftlichen Bericht mit priorisierten Maßnahmen. Ohne Dokumentation ist ein Check nicht nachvollziehbar.

Reicht ein gutes Hosting nicht aus, um WordPress abzusichern?

Gutes Hosting deckt die Server-Ebene ab: aktuelle PHP-Versionen, Netzwerk-Firewall, saubere Isolation. Die Anwendungsebene bleibt aber offen, denn eine verwundbare Plugin-Version wird über ganz normale, unauffällige HTTP-Anfragen ausgenutzt, die kein Server-Filter beanstandet. Hosting und Website-Sicherheit ergänzen sich, ersetzen sich aber nicht.

Woran merke ich, dass meine WordPress-Website bereits gehackt ist?

Typische Anzeichen: unbekannte Administrator-Konten, Weiterleitungen auf fremde Seiten, Spam-Inhalte in den Google-Ergebnissen zu Ihrer Domain, Warnhinweise im Browser, plötzlich stark erhöhte Serverlast oder E-Mails, die als Spam abgewiesen werden. Manche Infektionen zeigen sich nur Suchmaschinen-Crawlern und bleiben im normalen Browser unsichtbar. Bei Verdacht hilft ein externer Scan oder direkt der Notfall-Check.