⚙️ All In One WP Security: Schritt-für-Schritt-WordPress-Sicherheitseinrichtung in 16 Schritten
Jeden Tag erhält eine durchschnittliche WordPress-Website 200 bis 500 unberechtigte Anfragen an wp-login.php. Das sind keine Hacker mit Kapuzenpullovern, das sind Skripte. Sie durchkämmen das Internet, finden die Standard-Login-Seite und beginnen mit Brute-Force-Angriffen: admin/123456, admin/qwerty, admin/password_from_leaked_database. Früher oder später knacken sie es.
Das Hosting schützt nicht davor. Die Server-Firewall sieht eine legitime POST-Anfrage an wp-login.php und lässt sie durch, sie kann nicht unterscheiden, ob Sie ein Passwort eingeben oder ein Bot. Der WordPress-Schutz und der Serverschutz sind zwei verschiedene Ebenen, und für die erste sind Sie verantwortlich.
All-In-One Security (AIOS) vom UpdraftPlus-Team deckt diese Ebene vollständig ab. Ein Plugin statt eines Bündels: Firewall, Login-Schutz, Datei-Audit, Bot-Blockierung und Backups. Eine Million Installationen, 4,7 Bewertung auf WordPress.org. Die kostenlose Version reicht aus, um eine durchschnittliche Website zu schützen. Nachfolgend eine Schritt-für-Schritt-Einrichtung, von den Grundlagen bis zum Konfigurationsexport.
💡 Kurzer Überblick:
- Wir verstecken die Login-Seite hinter einer benutzerdefinierten URL und aktivieren die Zwei-Faktor-Authentifizierung. Brute-Force-Angriffe scheitern sofort.
- Wir konfigurieren drei Firewall-Ebenen: htaccess plus PHP-Regeln plus 6G-Blacklist. Gestaffelte Anfragefilterung.
- Wir blockieren den Zugriff auf Service-Dateien, deaktivieren den PHP-Editor im Admin-Panel und prüfen die Ordnerberechtigungen.
- Wir aktivieren Honeypot und 404-Fehlererkennung. Bots werden herausgefiltert, bevor sie landen, ohne Captcha für Benutzer.
- Wir speichern die fertige Konfiguration in einer Datei, um sie in einer Minute zwischen Websites zu übertragen.
Schritt 1. WP-Generator-Metadaten entfernen
Das Erste, was Ihre WordPress-Version verrät, ist der <meta name="generator" content="WordPress X.X.X">-Tag im <head> jeder Seite. Ein Angreifer erhält die exakte Versionsnummer und wählt in Sekundenschnelle Exploits dafür aus. AIOS entfernt diesen Tag mit einem Schalter.
Pfad: WP Security → Settings → General Settings. Aktivieren Sie Remove WP Generator Meta Info und speichern Sie. Prüfen Sie den Quellcode Ihrer Startseite (Ctrl+U), die Zeile mit generator sollte verschwunden sein. Deaktivieren Sie in diesem Abschnitt ebenfalls Enable Info Comments, AIOS fügt standardmäßig HTML-Kommentare mit Service-Informationen hinzu, besser, Sie entfernen auch diese.
Schritt 2. Login-Versuche blockieren
Brute-Force auf wp-login.php ist der Angriff Nummer eins nach Häufigkeit. Bots probieren Hunderte Passwörter pro Minute und erzeugen Last auf Server und Datenbank. Früher oder später wird ein schwaches Passwort geknackt, besonders wenn ein Benutzer admin oder editor qwerty123 verwendet.
Pfad: WP Security → User Login → Login Lockdown. Aktivieren Sie Enable Login Lockdown und setzen Sie: maximal 5 Versuche, IP-Sperre für 60 Minuten, Zähler-Reset nach 24 Stunden. Aktivieren Sie bei Websites mit mehreren Administratoren Notify by Email, die Benachrichtigung über die Sperrung kommt sofort. Wenn Sie häufige Benachrichtigungen sehen, ändern Sie den Login-Seiten-Slug (Schritt 14).
Schritt 3. Manuelle Freigabe für neue Registrierungen
Wenn die Registrierung auf Ihrer Website offen ist, erstellt ohne diese Einstellung jeder Bot in Sekundenschnelle ein Konto. Spam-Konten sammeln sich zu Tausenden an, verstopfen die Datenbank und schaffen Angriffsfläche durch Rechteausweitung.
Pfad: WP Security → User Registration → Manual Approval. Aktivieren Sie Enable Manual Approval. Jetzt wartet jedes neue Konto auf die Bestätigung des Administrators, bevor es aktiviert wird. Konfigurieren Sie in diesem Abschnitt auch Captcha für Registrierungsformulare, eine zusätzliche Barriere, die Bots nicht überwinden können.
Schritt 4. Datenbank-Tabellenpräfix ändern
Das wp_-Präfix ist Standard für alle WordPress-Installationen. SQL-Injections und Massenkompromittierungs-Skripte zielen gezielt darauf ab: Wenn ein Exploit die Tabellennamen kennt (wp_users, wp_options), wird der Angriff zielgerichtet statt blind.
Pfad: WP Security → Database → DB Prefix. Sie sehen das aktuelle Präfix. Wenn es wp_ ist, klicken Sie auf Change DB Table Prefix. Das Plugin schlägt eine zufällige Zeichenfolge vor oder lässt Sie eine eigene eingeben (4-6 Zeichen, nur lateinische Buchstaben und Unterstriche). Erstellen Sie vor der Ausführung unbedingt ein Datenbank-Backup (Schritt 5). Der Vorgang dauert auf einer durchschnittlichen Website 5-10 Sekunden, aber ein Rollback ohne Backup ist unmöglich.
Schritt 5. Datenbank-Backup
Vor allen strukturellen Änderungen, Präfix-Änderung, Revisionsbereinigung, Core-Update ist ein Backup obligatorisch. AIOS ist mit UpdraftPlus integriert, das Backup startet aus derselben Oberfläche.
Pfad: WP Security → Database → Database Backup. Klicken Sie auf Create Database Backup, die Datei wird lokal gespeichert. Konfigurieren Sie den automatischen Cloud-Upload über UpdraftPlus (Google Drive, Dropbox, S3) und eine tägliche Planung. Eine Website nach einer Kompromittierung ohne Backup wiederherzustellen ist praktisch unmöglich, und mit AIOS + UpdraftPlus ist es ein Knopf.
Schritt 6. Verzeichnis- und Dateiberechtigungen prüfen
Falsche Zugriffsberechtigungen, 777 auf wp-config.php, 666 auf dem uploads-Ordner, offener Schreibzugriff auf wp-content, öffnen einen direkten Weg zum Schreiben von Schadcode. Wenn ein Angreifer über eine Schwachstelle Zugriff auf ein Theme erlangt, erlauben ihm falsche Berechtigungen, Systemdateien zu verändern.
Pfad: WP Security → Filesystem Security → File Permissions. Führen Sie den Scan aus. Alle Zeilen sollten grün sein. Rote oder gelbe Zeile, klicken Sie auf Set Recommended Permissions neben der problematischen Datei oder dem Ordner. Starten Sie den Scan nach der Behebung erneut, er sollte sauber sein.
Schritt 7. PHP-Bearbeitung über das Admin-Panel deaktivieren
Der integrierte Theme- und Plugin-Editor, wp-admin/theme-editor.php und wp-admin/plugin-editor.php, ist ein direkter Weg zur beliebigen Codeausführung. Verschafft sich ein Angreifer Zugang zum Admin-Panel, erlaubt ihm der Editor, eine PHP-Shell in functions.php einzufügen und die Kontrolle über den Server zu übernehmen. Ein seriöser Entwickler benötigt diesen Editor nicht, Bearbeitungen erfolgen per FTP/SFTP oder Deployment.
Pfad: WP Security → Filesystem Security → PHP File Editing. Aktivieren Sie Disable PHP File Editing. Nach dem Speichern verschwinden die Menüpunkte „Theme-Editor" und „Plugin-Editor" aus den Menüs „Design" und „Plugins". Wenn Sie Bearbeitungen vornehmen müssen, dann ausschließlich über den Dateimanager des Hostings oder per SSH.
Schritt 8. Zugriff auf WordPress-Servicedateien sperren
readme.html, license.txt, wp-config-sample.php und debug.log geben Aufschluss über die CMS-Version, die Installationsstruktur und interne Pfade. debug.log ist besonders gefährlich: Im WP_DEBUG-Modus schreibt es absolute Serverpfade und Fehler-Stacktraces mit Plugin-Namen.
Pfad: WP Security → Filesystem Security → WP Info Files. Setzen Sie bei allen vier Punkten einen Haken: readme.html, license.txt, wp-config-sample.php, debug.log. Speichern. Wenn nun yoursite.com/readme.html direkt aufgerufen wird, liefert der Server 403 Forbidden zurück. Es handelt sich um .htaccess-Regeln, die auf Apache-/Nginx-Ebene greifen, bevor PHP startet.
Schritt 9. Grundlegende Firewall-Funktionen
Die AIOS-Firewall verfügt über drei Schutzebenen. .htaccess-Regeln blockieren Anfragen, bevor sie an PHP übergeben werden (die schnellste Ebene). PHP-Regeln filtern XSS-Vektoren, deaktivieren XML-RPC und RSS-Feeds. Die dritte Ebene wehrt gefälschte Google-Bots anhand des user-agent ab.
Pfad: WP Security → Firewall → Basic Firewall. Aktivieren Sie:
- Enable Basic Firewall Protection, allgemeine Aktivierung;
- Block Fake Googlebots, Bots mit gefälschtem Googlebot-
user-agentwerden herausgefiltert; - Disable RSS and Atom Feeds, wenn die Website kein RSS nutzt, deaktivieren (Content-Parsing);
- Disable Directory Listing, verhindert, dass Apache Ordnerinhalte ohne
index.phpanzeigt.
Deaktivieren Sie hier auch XML-RPC, wenn Sie die mobile WordPress-App, Jetpack oder Trackbacks nicht nutzen. Für die meisten Blog-Websites im Jahr 2026 wird XML-RPC nicht benötigt.
Schritt 10. Zusätzliche Firewall-Regeln
Erweiterte .htaccess-Regeln schließen mehrere weitere Angriffsvektoren: direkter Browserzugriff auf wp-config.php und .htaccess, Begrenzung der Upload-Dateigröße, Deaktivierung der Server-Signatur.
Pfad: WP Security → Firewall → Additional Firewall. Aktivieren Sie:
- Deny Access to wp-config.php, die zentrale Konfiguration ist nicht per HTTP erreichbar;
- Deny Access to.htaccess, die Server-Regeldatei ist gegen Auslesen gesperrt;
- Disable Server Signature, Apache meldet keine Version mehr in den
Server-Headern; - Limit File Upload Size, setzen Sie 10 MB (ausreichend für Bilder, nicht genug, um ein Archiv mit einer Shell hochzuladen).
Die Regeln werden direkt in die .htaccess geschrieben. Öffnen Sie die Website nach dem Speichern in einem Inkognito-Fenster und stellen Sie sicher, dass alles funktioniert.
Schritt 11. 6G Firewall-Blacklist
Die 6G Firewall von Perishable Press ist ein strenger Satz von .htaccess-Regeln, der bösartige Muster in URLs und Query-Strings blockiert: SQL-Injections, File-Include-Versuche (../../wp-config.php), XSS-Vektoren und Signaturen von Schwachstellenscannern. Die Regeln sind statisch, benötigen keine Updates, die Angriffsmuster haben sich seit Jahren nicht geändert.
Pfad: WP Security → Firewall → 6G Blacklist. Aktivieren Sie Enable 6G Firewall Protection und speichern Sie. Sollte nach der Aktivierung ein legitimes Plugin nicht mehr funktionieren (selten, kommt aber bei Plugins mit nicht standardmäßigen URL-Mustern vor), fügen Sie es der Whitelist hinzu: Firewall → Whitelist.
Schritt 12. Image-Hotlinking unterbinden
Hotlinking liegt vor, wenn eine andere Website Ihr Bild per direkter URL einbindet (<img src="https://yoursite.com/uploads/photo.jpg">). Ihr Server liefert das Bild brav aus, verbraucht Traffic und CPU-Ressourcen, während der Besucher den Inhalt auf einer fremden Seite sieht. Für Websites mit eigenen Screenshots und Fotos ist das spürbar.
Pfad: WP Security → Firewall → Prevent Hotlinks. Aktivieren Sie Prevent Hotlinking. Fügen Sie Ausnahmedomains hinzu (google.com, facebook.com, twitter.com), damit Social-Media- und Suchvorschauen weiterhin funktionieren. AIOS schreibt Regeln in die .htaccess, die direkte Bildanfragen mit einem Referer-Header von einer anderen Domain verbieten.
Schritt 13. 404-Fehlererkennung
Massenhafte 404-Fehler sind ein Anzeichen für Schwachstellenscans. Ein Bot probiert /wp-admin/, /admin/, /backup.zip, /phpmyadmin/ und Hunderte anderer typischer Pfade aus, um die Angriffsfläche zu prüfen. AIOS verfolgt solche Anfragen, verknüpft sie mit IPs und sperrt die Quelle.
Pfad: WP Security → Scanner → 404 Detection. Aktivieren Sie Enable 404 Detection. Schwellenwert: 20 Fehler in 15 Minuten → temporäre Sperre für 30 Minuten; 50 Fehler in 15 Minuten → dauerhafte Sperre. Der Tab Logged 404 Events zeigt eine Live-Liste verdächtiger Anfragen, nützlich, um zu verstehen, was genau auf Ihrer Seite gescannt wird.
Schritt 14. Adresse der Login-Seite ändern
/wp-admin und /wp-login.php sind Standard-Einstiegspunkte, die jedem Bot bekannt sind. Ohne diesen Schritt funktioniert der Brute-Force-Schutz (Schritt 2), aber die Angriffe kommen dennoch zu Tausenden, Bots klopfen an eine bekannte Tür. Die Umbenennung der Login-Seite entzieht dem Angriff das Ziel.
Pfad: WP Security → Brute Force → Rename Login Page. Geben Sie einen eigenen Slug ein: mindestens 4 Zeichen, nicht admin, login oder wp-*. Gute Option: manage- plus 6 zufällige Buchstaben, zum Beispiel manage-xk7qpd. Prüfen Sie nach dem Speichern sofort die neue URL und setzen Sie ein Lesezeichen. Das standardmäßige wp-login.php wird deaktiviert; wenn Sie den Slug vergessen, müssen Sie ihn per FTP wiederherstellen (durch Löschen oder Umbenennen des Plugins).
Schritt 15. Honeypot-Falle für Bots
Ein Honeypot ist ein verstecktes Feld im Login-Formular. Ein Mensch sieht es nicht (CSS-Regel display:none oder Positionierung außerhalb des Bildschirms), aber ein Bot findet es beim Parsen des HTML-Markups und füllt es aus. AIOS erkennt das ausgefüllte versteckte Feld und blockiert den Versuch als nicht-menschlich. Kein Captcha, der Nutzer bemerkt die Prüfung nicht einmal.
Pfad: WP Security → Brute Force → Honeypot. Aktivieren Sie Enable Honeypot Protection. Das Feld wird automatisch zum wp-login.php-Formular hinzugefügt und arbeitet still im Hintergrund. Laut Team Updraft filtert der Honeypot die überwältigende Mehrheit automatisierter Bots heraus; diese benötigen nicht speziell Ihr Admin-Panel, sie suchen nur das Standardformular und füllen alle Felder der Reihe nach aus.
Schritt 16. Einbetten der Website in Frames verhindern
Clickjacking ist ein Angriff, bei dem Ihre Website in einem transparenten <iframe> über der Website des Angreifers geladen wird. Der Nutzer denkt, er klicke auf die Benutzeroberfläche, interagiert aber tatsächlich mit dem Formular einer anderen Seite. Der Header X-Frame-Options: SAMEORIGIN verhindert das Einbetten.
Pfad: WP Security → Firewall → Prevent Framing. Aktivieren Sie Prevent Your Site From Being Displayed in a Frame. AIOS fügt allen Serverantworten den HTTP-Header X-Frame-Options: SAMEORIGIN hinzu. Prüfung: curl -I https://yoursite.com, der Header muss in der Antwort enthalten sein. Für Websites mit Login-Formular, Warenkorb oder Admin-Panel ist dieser Schritt kritisch.
Fertige Konfiguration für andere Websites exportieren
Wenn Sie mehrere Websites betreuen, spart der Import-Export Stunden. AIOS speichert die gesamte Konfiguration in einer Textdatei, die auf einer anderen Website mit einem Klick geladen wird.
Pfad: WP Security → Settings → Import/Export. Klicken Sie auf Export Settings, Sie erhalten eine .txt-Datei mit allen aktivierten Optionen und deren Werten. Die Datei kann vor dem Import auf einer anderen Website bearbeitet werden: Ersetzen Sie email für Sicherheitsbenachrichtigungen und den Login-Seiten-Slug durch die aktuellen Werte für die Zielseite.
Import: WP Security → Settings → Import/Export → Import Settings → Datei auswählen. Alle 16 Schritte werden in wenigen Sekunden automatisch angewendet, ohne dass Sie jeden Bildschirm erneut durchgehen müssen.
⁉️🤔 Häufige Fragen
Brauche ich AIOS, wenn mein Hosting „vollständigen Schutz" verspricht?
Hosting schützt den Server: Betriebssystemebene, Netzwerk-Firewalls, DDoS-Filterung. AIOS schützt die WordPress-Anwendung: Brute-Force auf das Admin-Panel, Plugin-Injections, Schwachstellen veralteter Themes. Die Server-Firewall erkennt nicht, dass ein Bot Passwörter für
wp-login.phpdurchprobiert, sie sieht legitime POST-Requests. Die Ebenen überschneiden sich nicht, Sie brauchen beide. Eine Website auf „geschütztem" Hosting ohne Sicherheits-Plugin bleibt auf CMS-Ebene angreifbar.
Verträgt sich AIOS mit Cloudflare oder einer anderen WAF?
Nein, sie arbeiten auf unterschiedlichen Ebenen. Cloudflare ist Layer 7 (HTTP-Proxy) und filtert Traffic, bevor er den Server erreicht. AIOS arbeitet auf Anwendungsebene (PHP,
.htaccess), nachdem der Request bei WordPress angekommen ist. Die einzige Nuance: Wenn Sie Cloudflare nutzen, aktivieren Sie in AIOS die IP-Erkennung, damit das Plugin die echte Besucher-IP aus demX-Forwarded-For-Header sieht und nicht die Proxy-IP.
Kann ich AIOS nach der Einrichtung entfernen, die Regeln bleiben ja in der.htaccess?
Nein. Die
.htaccess-Regeln bleiben physisch in der Datei erhalten, aber ohne Überwachung und Updates veralten sie. Schlimmer noch: Honeypot, Umbenennung der Login-Seite, PHP-Editor-Sperre und Zwei-Faktor-Authentifizierung funktionieren nur, solange das Plugin aktiv ist, das ist PHP-Logik, keine statischen Regeln. Entfernen Sie das Plugin, öffnen Sie das standardmäßigewp-login.phpund deaktivieren jeglichen Login-Schutz.
Geht die Seite kaputt, wenn ich alle 16 Schritte auf einmal aktiviere?
Bei der großen Mehrheit der Seiten: nein. Aber die Empfehlung für die Produktion: Aktivieren Sie in Blöcken von drei bis vier Schritten und prüfen Sie nach jedem Block die Funktion der Seite. Besondere Vorsicht bei der 6G-Firewall (Schritt 11) und der Änderung des Tabellenpräfixes (Schritt 4, Backup ist Pflicht). Über die Jahre des Plugins bei einer Million Installationen wurden keine kritischen Konflikte mit gängigen Themes und Plugins verzeichnet.
Was bietet die Premium-Version von AIOS gegenüber der kostenlosen?
Drei wesentliche Ergänzungen: Zwei-Faktor-Authentifizierung mit flexiblen Richtlinien (obligatorische TFA für Admins nach N Tagen, Konfiguration der Wiederholungsfrequenz), Malware-Scanner mit Google-Blacklist-Warnungen und Länderblocker (Geo-IP-Zugangssperre). Die kostenlose Version reicht aus, um einen Blog oder eine Unternehmensseite zu schützen. Ein Onlineshop mit vertraulichen Kundendaten sollte auf Premium setzen.
Was tun, wenn ich die benutzerdefinierte Login-URL vergessen habe?
Verbinden Sie sich per FTP/SFTP mit dem Server, gehen Sie zu
/wp-content/plugins/all-in-one-wp-security-and-firewall/und benennen Sie den Plugin-Ordner vorübergehend um. Dadurch wird AIOS deaktiviert und das standardmäßigewp-login.phpwiederhergestellt. Melden Sie sich im Admin-Panel an, benennen Sie den Ordner zurück, aktivieren Sie das Plugin und vergeben Sie einen neuen Slug. Um das Vergessen zu vermeiden, speichern Sie die URL beim Erstellen sofort in Ihrem Passwort-Manager.
Lohnt sich die Konfiguration von AIOS im Jahr 2026 oder gibt es bessere Alternativen?
Jahre später bleibt AIOS das ausgewogenste kostenlose WordPress Sicherheits-Plugin: eine Million Installationen, aktive Entwicklung, regelmäßige Updates für neue Core-Versionen. Alternativen wie Wordfence oder Solid Security sind ebenfalls stark, aber schwergewichtiger.
Die 16 Schritte oben dauern 15 bis 20 Minuten. Ergebnis: versteckte Login-Seite, drei Firewall-Ebenen, unsichtbarer Honeypot und eine fertige Konfiguration zum Klonen auf die nächste Seite.
Minimalset, ohne das der Schutz nicht als aufgebaut gilt:
- Basis: Schritte 1, 2, 9, 14, Versionsmaskierung, Brute-Force-Schutz, Basis-Firewall und versteckte Login-Seite;
- Serverebene: Schritte 7, 8, 10, 11, PHP-Editor-Sperre, Sperrung von Service-Dateien, zusätzliche Regeln und 6G;
- Tiefenschutz: Schritte 4, 6, 12, 15, Tabellenpräfix, Zugriffsrechte, Anti-Hotlink, Honeypot;
- Perimeter: Schritte 3, 5, 13, 16, Registrierungsmoderation, Backups, 404-Erkennung, Clickjacking-Schutz.
Konfigurieren Sie eine Seite, exportieren Sie die Konfiguration und importieren Sie sie auf anderen in einer Minute. Prüfen Sie einmal pro Quartal AIOS → Dashboard: Der Sicherheitszähler zeigt an, ob eine Einstellung nach einem Core-Update „herausgefallen" ist.
Ein professionelles Team von Autoren und Redakteuren, das auf die Erstellung hochwertiger Inhalte spezialisiert ist.