Fortgeschrittenes WordPress-Hardening

Einleitung: Härten heißt nicht hinzufügen, sondern wegnehmen

Hardening wird fast immer als Liste von Dingen dargestellt, die man installieren soll. Es ist das Gegenteil. Ein System zu härten bedeutet, zu reduzieren, was es tun kann, und die meisten Maßnahmen auf dieser Seite erfordern überhaupt keine zusätzliche Software.

Das eine Prinzip, aus dem sich alle ableiten:

Man schützt sich nicht gegen eine unbekannte Schwachstelle, man reduziert, was diese Schwachstelle erreichen kann.

Dieser Artikel setzt die Grundlagen voraus — starke Passwörter, Zwei-Faktor-Authentifizierung, aktuelle Updates, geprüfte Sicherungen. Ist das nicht der Fall, beginnen Sie mit dem Sicherheitsaudit in 10 Minuten.

1. Die Ausführung — die Maßnahme, die die größte Angriffsfamilie neutralisiert

Die PHP-Ausführung im Upload-Verzeichnis verbieten. Eine einzige Regel in der Serverkonfiguration, und sie neutralisiert eine ganze Klasse von Schwachstellen: jene, bei denen ein Angreifer eine Datei ablegen und sie anschließend aufrufen kann.

Es ist die Maßnahme mit dem besten Verhältnis von Aufwand zu Wirkung auf dieser ganzen Liste, und sie fehlt in den meisten Installationen weiterhin, weil sie vom WordPress-Dashboard aus nicht sichtbar ist.

Die Dateibearbeitung im Adminbereich verbieten (DISALLOW_FILE_EDIT). Ein kompromittiertes Administratorkonto kann dann keinen Code mehr über den Browser schreiben. Das verhindert den Einbruch nicht: es verhindert, dass er zur vollständigen Kontrolle wird.

Die Plugin-Installation im Adminbereich deaktivieren auf Websites, deren Auslieferung über einen anderen Kanal läuft (DISALLOW_FILE_MODS). Das ist restriktiver und passt nicht zu jedem Arbeitsablauf — wo es aber passt, schließt es den Hauptweg zur Persistenz.

2. Die Berechtigungen — präzise, nicht großzügig

Die Regel lautet nicht „so restriktiv wie möglich", sondern „Schreibrechte nur dort, wo sie gebraucht werden".

• Konfigurationsdateien müssen im Normalbetrieb nicht vom Webserver beschreibbar sein.
• Das Upload-Verzeichnis braucht Schreibrechte; das Plugin-Verzeichnis nicht, außer während eines Updates.
• Eine zu offene Berechtigung in einem einzigen Verzeichnis hebt die Strenge aller anderen auf.

⚠ Der häufige Fehler: sehr restriktive Berechtigungen setzen, sie dann „vorübergehend" lockern, um ein Update zu ermöglichen — und es vergessen. Notieren Sie das Datum, wenn Sie das tun; nur so wird es je wieder angezogen.

3. Die Fähigkeiten — der Punkt, den fast niemand ansieht

WordPress vergibt Fähigkeiten pro Rolle, und die meisten Websites nutzen die Standardrollen, ohne sie je zu überprüfen.

Drei Fragen, die fast immer etwas zutage fördern:

1. Wie viele Administratorkonten gibt es? Auf den meisten Websites mehr als nötig. Jedes davon ist ein vollständiger Schlüssel.
2. Muss eine Redakteurin Plugins installieren können? Nein. Dennoch werden Rollen mit der Zeit weiter, Plugin für Plugin, und niemand engt sie wieder ein.
3. Bestehen noch Konten von Personen, die gegangen sind? Ein inaktives Konto mit Rechten ist eine Tür, die niemand mehr im Blick hat.

Die Korrektur ist nicht technisch, sondern organisatorisch: eine Kontenprüfung jedes Quartal, mit notiertem Datum.

4. Die Administrationsfläche

• Anmeldeversuche begrenzen. Das stoppt keinen gezielten Angriff, aber es entfernt das Grundrauschen, das die Protokolle überschwemmt und das Wesentliche verdeckt.
• Den Adminzugang per IP-Adresse einschränken, wenn das Team stabil ist. Es ist die wirksamste Maßnahme dieses Abschnitts und die am wenigsten mit mobiler Arbeit vereinbare — bewusst abzuwägen.
• Preisgegebene Informationen reduzieren. Nicht als Schutz, sondern als Hygiene. Erwarten Sie davon keine echte Wirkung.
• Die Dateiintegrität überwachen. Man erkennt keinen unbekannten Angriff; man erkennt aber sehr wohl, dass sich eine Datei verändert hat, ohne dass man davon weiß. Das ist das Prinzip aus dem proaktiven Schutz vor Zero-Day-Bedrohungen.

5. Was trotz des Anscheins NICHT schützt

• Die WordPress-Version verbergen. Ein automatisierter Scanner probiert die Lücke aus, er liest keine Nummer.
• Die Anmeldeseite verschieben. Nützlich gegen Rauschen, wirkungslos gegen eine Lücke in einem Plugin: die Ausnutzung läuft nicht über das Formular.
• Ein Sicherheitsscore in einem Dashboard. Ein Indikator, der nie fällt, misst nichts.
• Sicherheits-Plugins anhäufen. Zwei Firewalls schützen nicht doppelt; sie fügen zwei Angriffsflächen und einen wahrscheinlichen Konflikt hinzu.

6. Das Protokoll, auf einer Seite

• PHP-Ausführung verboten im Upload-Verzeichnis — fangen Sie hier an
• DISALLOW_FILE_EDIT aktiv
• Berechtigungen überprüft: Schreibrechte nur dort, wo nötig, mit Datum bei jeder Ausnahme
• Administratorkonten gezählt und auf die nötige Anzahl reduziert
• Inaktive Konten gelöscht, nicht deaktiviert
• Fähigkeiten pro Rolle überprüft: wer darf installieren, wer darf veröffentlichen?
• Anmeldeversuche begrenzt
• Integritätsüberwachung aktiv, mit einer Warnung, die noch am selben Tag einen Menschen erreicht
• Wiederherstellung wirklich getestet, mindestens einmal, in einer getrennten Umgebung
• Anzahl der Plugins reduziert — siehe Plugins in 5 Schritten prüfen

Fazit

Fortgeschrittenes Hardening besteht nicht darin, Verteidigungen zu stapeln: es besteht darin, zu reduzieren, was eine Schwachstelle erreichen kann. Die beiden ertragreichsten Maßnahmen dieser Seite — die PHP-Ausführung in den Uploads zu verbieten und die Zahl der privilegierten Konten zu senken — kosten keine Software und tauchen in keinem Dashboard auf.

Genau deshalb werden sie selten umgesetzt: es gibt nichts zu installieren, nichts zu zeigen und keinen Score, der steigt.

Der Test, der Ihnen sagt, wo Sie stehen: Wäre heute Nacht ein Administratorkonto kompromittiert, was könnte die angreifende Person tun, das Sie heute nicht verhindern können? Die Liste dieser Handlungen ist Ihr Arbeitsplan.

Zum Weiterlesen: proaktiver Schutz vor Zero-Day-Bedrohungen, das Sicherheitsaudit in 10 Minuten und Plugins in 5 Schritten prüfen. Unsere Premium-Erweiterungen sind mit vollständiger Rückerstattung innerhalb von 14 Tagen erhältlich: zum Katalog.