IT-Risikoanalyse für WordPress-Websites: eine einfache Methode
Einfache IT-Risikoanalyse für WordPress: Assets erfassen, Bedrohungen benennen, 1–3 bewerten, Maßnahmen und Verantwortliche festlegen. Mit Beispielregister.
Melike Görel
Melike Görel schreibt die secaudit.eu-Ratgeber zu WordPress-Sicherheit und EU-Compliance für die AngelForce OÜ, das Softwareunternehmen aus Tallinn hinter secaudit.eu.
Artikel von Melike Görel
WordPress HTTPS: Mixed Content und Weiterleitungen beheben
WordPress auf HTTPS umstellen: kostenlose Zertifikate, sichere URL-Ersetzung mit WP-CLI, ein 301-Redirect, Proxy-Schleifen, Mixed Content und Ablaufkontrolle.
WordPress wird immer wieder gehackt? So finden Sie die Hintertür
WordPress immer wieder gehackt? Diese Hintertüren überleben die Bereinigung: auto_prepend_file, mu-plugins, Fake-Plugins, Cron, Nachbarseiten, offene Lücken.
WordPress User Enumeration: REST API und Autoren-URLs
WordPress User Enumeration: Prüfen Sie, welche Login-Namen REST API, Autoren-URLs, Sitemap und Login-Fehler verraten, und schließen Sie die Lücken gezielt.
WordPress-Dateiberechtigungen: 644, 755 und Eigentümer
WordPress-Dateiberechtigungen erklärt: was 755 und 644 bedeuten, wem die Dateien gehören sollten, sichere Befehle zum Zurücksetzen und warum 777 nie hilft.
Auftragsverarbeitungsvertrag für Webagenturen (Art. 28 DSGVO)
Wann eine Webagentur einen Auftragsverarbeitungsvertrag (Art. 28 DSGVO) braucht – mit TOM-Anlage, Unterauftragsverarbeitern, Meldung von Vorfällen und Vertragsende.
WordPress-Redirect-Hack: Weiterleitungen finden und entfernen
WordPress-Redirect-Hack: bedingte Weiterleitungen mit curl und DevTools nachstellen, in .htaccess, PHP, Datenbank oder CDN finden und dauerhaft stoppen.
wp-config.php härten: 10 Einstellungen im Check
wp-config.php härten in 10 Prüfschritten: eindeutige Salts, Debug für den Livebetrieb, FORCE_SSL_ADMIN, Dateirechte, vergessene Backups und sicheres Bearbeiten.
Sicherheitssiegel für Websites: was ein Badge wirklich beweist
Was ein Sicherheitssiegel für Websites beweisen kann und was nicht: Siegeltypen, warum statische Badges wertlos sind, vier Merkmale seriöser Siegel und ein Schnelltest.
WordPress-Benutzerrollen absichern: Admin-Konten aufräumen
WordPress-Benutzerrollen absichern: Admins finden, alte Mitarbeiter- und Agentur-Zugänge entfernen, Anwendungspasswörter widerrufen, Zugriffe quartalsweise prüfen.
WordPress-Backups, die sich wirklich wiederherstellen lassen
WordPress-Backups für den Ernstfall: Dateien plus Datenbank, 3-2-1 mit externer, unveränderbarer Kopie, Verschlüsselung, Restore-Tests und DSGVO Art. 32.
WordPress Security-Header: CSP, HSTS & Co. richtig setzen
WordPress Security-Header erklärt: sichere Startwerte für HSTS, CSP, Referrer-Policy und Permissions-Policy, wo Sie sie setzen und wie nichts kaputtgeht.
WordPress Brute-Force-Schutz: Was ein Plugin stoppen kann
WordPress Brute-Force-Schutz in Schichten: Login-Drosselung, XML-RPC-Multicall, REST-Benutzer-Enumeration – und warum ein Plugin keinen DDoS-Angriff stoppt.
DISALLOW_FILE_EDIT: WordPress-Dateieditor deaktivieren
So tragen Sie DISALLOW_FILE_EDIT in die wp-config.php ein, was die Konstante nicht verhindert und wann sich DISALLOW_FILE_MODS lohnt, ohne Updates zu blockieren.
PHP2Shell: Was WordPress-Betreiber jetzt tun müssen
PHP2Shell (CVE-2026-109618, CVE-2026-109619) ermöglicht Codeausführung über ungepatchtes PHP. So prüfen Sie Ihre PHP-Version und schließen die Lücke.
WordPress-Checksummen prüfen: veränderte Core-Dateien finden
WordPress-Checksummen mit WP-CLI oder der WordPress.org-API prüfen, Warnungen richtig deuten, Plugins kontrollieren und den Core sicher neu installieren.
WordPress-Webshells im Upload-Ordner finden und blockieren
So finden Sie WordPress-Webshells in wp-content/uploads mit sicheren Befehlen, sperren PHP unter Apache und nginx, prüfen Dateirechte und schließen das Einfallstor.
WordPress-SEO-Spam: versteckte Casino- und Pharma-Links finden
WordPress-SEO-Spam erkennen: versteckte Casino- und Pharma-Links finden, die Sicht von Googlebot prüfen, Datenbank und Dateien bereinigen, Überprüfung beantragen.
WordPress-Sicherheitsaudit-Bericht: welche Nachweise zählen
So erstellen Sie einen WordPress-Sicherheitsaudit-Bericht: sechs Nachweise, gute und schwache Belege, Fragen von Kunden und Versicherern – mit Vorlage.
WordPress-Sicherheit: Checkliste für Unternehmen (2026)
WordPress-Sicherheit als Checkliste: 25 Punkte zu Hosting, Updates, 2FA, Überwachung, Backups und Dokumentation – mit Bezug zu DSGVO Art. 32 und NIS2.
Unsichere WordPress-Plugins: prüfen, updaten, ersetzen
Sicherheitslücken in WordPress-Plugins im Griff: Inventar führen, rasch updaten, ungenutzte und verwaiste Plugins löschen – und handeln, wenn kein Fix da ist.
WordPress-Malware entfernen: Schritt für Schritt
WordPress-Malware entfernen in acht Schritten: Website eindämmen, Beweise sichern, Einfallstor finden, aus sauberen Quellen ersetzen, Zugänge ändern und härten.
WordPress gehackt? 12 Anzeichen, die Sie kennen sollten
WordPress gehackt? Diese 12 Anzeichen verraten einen Angriff, von unbekannten Admins bis zu versteckten Weiterleitungen. Mit Prüfanleitung und Sofortplan.
Zwei-Faktor-Authentifizierung für WordPress
WordPress-2FA richtig einführen: Authenticator-App, Passkeys, Backup-Codes, warum SMS schwächer ist, wer 2FA braucht und was NIS2 dazu verlangt.
OWASP Top 10:2025 für WordPress erklärt
Die OWASP Top 10:2025 für WordPress: wie jedes Risiko in Plugins, Themes und Einstellungen aussieht und was Betreiber und Entwickler selbst prüfen können.
NIS2 und WordPress: Ist Ihr Unternehmen betroffen?
NIS2 betroffen? So prüfen Sie, ob Ihr Unternehmen, Ihre Agentur oder Ihr Hosting unter das NIS2UmsuCG fällt – mit BSI-Registrierung, Meldefristen und Pflichten.
Google Fonts DSGVO-konform: Schriften lokal einbinden
Google Fonts und DSGVO: was das LG München entschied, warum das Data Privacy Framework nicht reicht und wie Sie Google Fonts in WordPress lokal einbinden.
DSGVO Art. 32 für WordPress: Was „angemessene Sicherheit“ heißt
DSGVO und WordPress-Sicherheit nach Art. 32: Verschlüsselung, Updates, Zugriffsschutz, getestete Backups, regelmäßige Prüfungen, Nachweise und AV-Verträge.
WordPress gehackt: Datenpanne in 72 Stunden melden (DSGVO)
WordPress gehackt? Wann ein Hack eine Datenpanne ist, ab wann die 72-Stunden-Frist läuft, was in die Meldung gehört und wen Sie informieren müssen.
Cyber Resilience Act: Pflichten für Plugin- und Theme-Anbieter
Cyber Resilience Act für Plugin- und Theme-Anbieter: Meldepflichten seit 11. September 2026, Pflichten ab Dezember 2027 und eine To-do-Liste für WordPress.