Website-Sicherheit: 10 Prüfpunkte für kleine Betriebe

Stand: 22.10.2026. Diese Checkliste ist ein Hinweis zur Selbstprüfung und keine Sicherheitsberatung im Einzelfall. Sie ersetzt keine Prüfung durch Fachleute. Die Quellen stehen am Ende.

1. Sind WordPress, Theme und Plugins aktuell?

Rufen Sie im WordPress-Menü die Updates auf. Alles, was dort zur Aktualisierung ansteht, sollte erledigt sein. Ältere Versionen bekommen keine Sicherheitskorrekturen mehr, bekannte Lücken bleiben dann offen. Prüfen Sie nach dem Update die Seite kurz durch. Wer das nicht regelmäßig leisten will, kann es in WordPress-Wartung geben.

2. Welche PHP-Version läuft auf Ihrem Server?

Sie finden sie in WordPress unter „Werkzeuge“, „Website-Zustand“, Reiter „Bericht“, Abschnitt „Server“. Sie sollte noch Sicherheitsupdates bekommen, WordPress empfiehlt PHP 8.3 oder neuer. Achten Sie auch auf die letzte Stelle der Nummer, denn Sicherheitskorrekturen kommen in kleinen Versionssprüngen. Umstellen können Sie meist im Kundenbereich Ihres Hosters. Die Schritte stehen im Ratgeber PHP-Version prüfen.

3. Gibt es eine aktuelle Sicherung?

Fragen Sie: Wann war die letzte, und liegt sie nicht nur auf dem Server? Eine Sicherung braucht Dateien und Datenbank und gehört an mehrere Orte. Wichtiger als das Anlegen ist der Test des Zurückspielens. Die Einzelheiten stehen im Ratgeber WordPress-Backup.

4. Sind ungenutzte Plugins und Themes gelöscht?

Deaktiviert reicht nicht, denn auch inaktive Plugins liegen als Dateien auf dem Server und können Lücken enthalten. Die WordPress-Dokumentation rät, nicht genutzte Plugins zu entfernen. Gehen Sie die Liste durch und löschen Sie, was Sie nicht kennen oder nicht brauchen.

5. Sind Passwörter lang und einmalig?

Benutzen Sie für Anmeldung, Hoster und Domain lange, nur dort verwendete Passwörter, am besten aus einem Passwortmanager. Wörter aus dem Wörterbuch und persönliche Namen sind zu schwach. Ein Passwort, das Sie auch bei anderen Diensten nutzen, ist nach einem fremden Datenleck ein offenes Tor.

6. Ist die Zwei-Faktor-Anmeldung aktiv?

Mit einem zweiten Schritt, etwa einem Code aus einer App, nützt ein gestohlenes Passwort allein nichts. Schalten Sie sie für WordPress-Administratoren, den Hoster-Zugang und das Domainkonto ein. Die WordPress-Dokumentation nennt sie als Maßnahme zur Härtung. Bewahren Sie die Ersatzcodes für den Fall eines verlorenen Handys an einem sicheren Ort auf, sonst sperren Sie sich selbst aus.

7. Wer hat Zugang, und braucht er ihn noch?

Listen Sie alle Benutzer mit Administratorrechten auf, dazu die Zugänge beim Hoster, FTP und die Mailkonten. Entfernen Sie Zugänge von ehemaligen Mitarbeitenden und Dienstleistern. Geben Sie jeder Person nur die Rechte, die sie braucht. Wiederholen Sie diese Durchsicht in festen Abständen, zum Beispiel einmal im Jahr, denn Zugänge sammeln sich schneller an, als man denkt.

8. Läuft die Seite über HTTPS?

Die Adresse sollte mit „https://“ beginnen, das Zertifikat muss gültig sein, und der Anmeldebereich sollte nur verschlüsselt erreichbar sein. Die WordPress-Dokumentation rät dazu, den Admin-Bereich über SSL zu betreiben. Ein abgelaufenes Zertifikat zeigt Besuchern eine Warnung im Browser, und viele springen dann ab. Fragen Sie Ihren Hoster, ob sich das Zertifikat automatisch erneuert, und prüfen Sie das Ablaufdatum.

9. Werden Sie benachrichtigt, wenn etwas ausfällt?

Eine Seite kann unbemerkt tagelang nicht erreichbar oder verändert sein. Eine einfache Überwachung der Erreichbarkeit meldet das. Legen Sie außerdem fest, wer benachrichtigt wird und was dann passiert: Wer ruft den Hoster an, wer spielt die Sicherung zurück, und wo steht die Telefonnummer? Ein kurzer Notfallzettel hilft, wenn es einmal schnell gehen muss.

10. Brauchen Sie die Angriffsfläche überhaupt?

Jede Funktion, die beim Aufruf läuft, ist ein Ziel: PHP, Datenbank, Plugins, Anmeldeseite. Fragen Sie sich ehrlich, ob Ihre Firmenseite das alles braucht. Eine vorab gebaute Seite ohne PHP und Datenbank hat deutlich weniger davon. Mehr dazu unter Sichere Website.

Quellen

• WordPress Developer Resources, „Hardening WordPress“: developer.wordpress.org, abgerufen am 22.10.2026
• WordPress Developer Resources, „Backups“: developer.wordpress.org, abgerufen am 22.10.2026
• WordPress, „Requirements“: wordpress.org, abgerufen am 22.10.2026