WordPress-Sicherheitsfunktionen

Überwachen, gewarnt werden, handeln: die Überwachung im Alltag

Eine Website kann wochenlang kompromittiert sein, bevor es jemand bemerkt. WP Masquerade Pro hält für dich Wache und meldet sich nur, wenn es etwas zu tun gibt. So sieht das konkret aus, sobald Pro aktiv ist.

Wann	Was Pro prüft	Was du erhältst
Laufend	Anmeldungen der Administratoren, Passwortversuche, Besuche der Bot-Fallen, sensible Aktionen (Plugins, Konten, Einstellungen)	Eine E-Mail bei einer Anmeldung von einem neuen Gerät; vorübergehende Sperre von Adressen mit vielen Fehlversuchen; Sperre hartnäckiger Bots; alles wird im Aktivitätsprotokoll festgehalten
Stündlich	Deine Bilder, die andere Websites anzeigen, wenn der Hotlink-Schutz im Modus Erkennen oder Schützen läuft	Eine E-Mail, wenn eine neue Website deine Bilder über die gewählte Schwelle hinaus anzeigt; die Details (Bilder, Anfragen, Bandbreite) im Tab Hotlinks
Täglich	Versionen deiner Plugins, Themes und von WordPress mit veröffentlichten Sicherheitslücken abgeglichen; Core-Dateien mit den offiziellen Prüfsummen von wordpress.org verglichen	Eine E-Mail, sobald dich eine bekannte Sicherheitslücke betrifft, mit Schweregrad und der Version, die sie behebt; eine E-Mail, wenn eine Core-Datei geändert, fehlend oder unbekannt ist
Täglich, für alle deine Websites	Ausstehende Updates (WordPress, Plugins, Themes, Sicherheitsupdates gesondert gekennzeichnet), PHP-Version und ihr Support-Ende, Anzahl bekannter Sicherheitslücken	Den Zustand jeder Website in deinem Kundenbereich: „Aktuell“, „Sicherheitsupdate ausstehend“, „Verwundbar“ oder ein Hinweis, wenn eine Website keinen Bericht mehr sendet
Jeden Montag	Zusammenfassung der Woche	Den Sicherheitsbericht jeder Website und, wenn du sie aktivierst, eine Zusammenfassung der Websites mit ausstehenden Updates, die nur verschickt wird, wenn eine davon deine Aufmerksamkeit braucht

Was an den Kundenbereich gesendet wird, und sonst nichts: die Versionen von WordPress und PHP, die Liste der Plugins und Themes, die auf ein Update warten, und die Anzahl bekannter Sicherheitslücken. Keine Inhalte, keine Benutzer, keine Passwörter.

Für wen?

Für Website-Betreiber und Publisher

Blog, Online-Magazin, Unternehmensseite: Dein Traffic kommt zu einem großen Teil aus Suchmaschinen, und deine Leser vertrauen dir. Ein Hack, der Spam-Seiten oder Schadcode einschleust, kann den Hinweis „Diese Website wurde möglicherweise gehackt“ unter deinen Google-Ergebnissen oder eine ganzseitige Warnung im Browser auslösen, und die Überprüfung dauert (siehe die Folgen eines Hacks für das Ranking und wie du von der Safe-Browsing-Liste herunterkommst).

• verlegte Anmeldung, Zwei-Faktor-Authentifizierung und begrenzte Versuche für jeden Redakteur;
• Warnung, sobald ein installiertes Plugin von einer veröffentlichten Sicherheitslücke betroffen ist;
• Lizenz für 1 Website: 59 € netto pro Jahr.

Für Agenturen

Wenn du die Websites deiner Kunden betreust, kann eine Sicherheitslücke in einem beliebten Plugin zehn Websites auf einmal treffen, und der Kunde wendet sich an dich. Pro gibt dir den Überblick, ohne dass du dich bei jeder Website anmelden musst.

• Ein einziger Kundenbereich für alle deine Lizenzen und Websites, mit dem Update-Status jeder Website, Filtern („Brauchen Aufmerksamkeit“, „Aktuell“) und Sortierung nach Dringlichkeit;
• jeden Montag eine Zusammenfassung, optional, mit der Liste der Websites, die Updates brauchen;
• Warnungen pro Website, an die Adresse deiner Wahl;
• ein Aktivitätsprotokoll, damit du weißt, wer aus deinem Team oder beim Kunden ein Plugin installiert oder eine Einstellung geändert hat;
• überall dieselbe Konfiguration dank Import und Export der Einstellungen, und eine Verwaltung in 7 Sprachen für deine Kunden;
• ein Agentur-Dashboard: eine Sicherheitspunktzahl pro Website, Kundengruppen, Kundenberichte unter deinem Namen, Einstellungsprofile für die Websites, die sie annehmen, und White-Label;
• Lizenzen für 10 Websites (149 € netto pro Jahr), 100 Websites (399 € netto pro Jahr) oder unbegrenzt (990 € netto einmalig), mit einem Platz, den du mit einem Klick freigibst, wenn ein Kunde geht.

Für Unternehmen und E-Commerce

Für einen WooCommerce-Shop oder eine Website, die Kundendaten erhebt, bedeutet ein Hack unterbrochene Verkäufe, verunsicherte Kunden und rechtliche Pflichten: Bei einer Datenschutzverletzung, die ein Risiko für die Betroffenen birgt, verlangt die DSGVO eine Meldung an die zuständige Aufsichtsbehörde binnen 72 Stunden und, bei hohem Risiko, die Benachrichtigung der Betroffenen.

• geschützte privilegierte Konten: Zwei-Faktor-Authentifizierung pro Rolle vorgeschrieben, begrenzte Versuche, wp-admin vor Besuchern versteckt;
• Nachvollziehbarkeit: Das Aktivitätsprotokoll hilft, einen Vorfall zu dokumentieren (wer, was, wann), mit CSV-Export;
• Früherkennung: bekannte Sicherheitslücken, geänderte Core-Dateien und Anmeldungen von neuen Geräten per E-Mail gemeldet;
• sparsame Daten: gekürzte IP-Adressen in den Protokollen, verschlüsselte Geheimnisse der Zwei-Faktor-Authentifizierung.

Was würde ein Hack dein Geschäft kosten? Wir haben die öffentlichen Preise von Bereinigungsdiensten, die Überprüfungszeiten von Google und die Pflichten aus der DSGVO zusammengetragen: Was eine gehackte Website kostet.

WordPress absichern: Wo du anfangen solltest

Ein Sicherheits-Plugin allein reicht nicht. Hier ist die Reihenfolge, die wir empfehlen, um eine WordPress-Website abzusichern, und was WP Masquerade dazu beiträgt.

1. Alles aktualisieren: WordPress, Plugins und Themes, und entfernen, was nicht mehr gebraucht wird. Mit Pro melden die Warnungen bei Sicherheitslücken jeden Tag die Versionen, die von einer veröffentlichten Lücke betroffen sind.
2. Die Anmeldung schützen: einzigartige Passwörter, verlegte Anmeldeadresse (kostenlos), Zwei-Faktor-Authentifizierung und Brute-Force-Schutz (Pro).
3. Die Angriffsfläche verkleinern: WordPress verstecken, XML-RPC und Pingbacks mit der Härtung sperren, die Autorenliste verstecken (Pro).
4. Filtern und überwachen: eine Firewall (beim Hoster, bei Cloudflare oder als Plugin) und eine Prüfung der Dateien, die WP Masquerade nicht bietet; die Bot-Fallen, die Integritätsprüfung und das Aktivitätsprotokoll mit Pro.
5. Backups außerhalb des Servers anlegen und die Wiederherstellung testen.

Die vollständige Liste findest du in unserer WordPress-Sicherheits-Checkliste mit 40 Punkten. Welche Plugins WP Masquerade ergänzen, zeigt unser Vergleich der besten WordPress-Sicherheits-Plugins; zum Thema Spam lies, was WP Masquerade blockiert und wofür es ein Anti-Spam-Plugin braucht.

Kostenlos oder Pro, kurz zusammengefasst

Kostenlos: WordPress versteckt und ein echter Generator-Tag für 5 beliebte Profile (oder einen Namen deiner Wahl), grundlegende technische Links entfernt, HTML-Kommentare und Generator-Tags von Plugins entfernt, eigene Anmeldeadresse mit versteckten wp-login.php und wp-admin, Pingbacks und XML-RPC gesperrt, Zählung der Fallen, Plugin-Dateien für Scanner unsichtbar, Verwaltung in 7 Sprachen.

Pro: alles Weitere. 41 Profile und Wappalyzer-Marker, REST- und oEmbed-Hinweise entfernt, Autorenliste versteckt, Aliasse für Dateiadressen, unbekannte AJAX-Anfragen mit 404 beantwortet, Begrenzung der Anmeldeversuche, Zwei-Faktor-Authentifizierung, Sicherheits-Header, Integritätsprüfung, E-Mail-Benachrichtigungen, Sperren, Protokoll und gefälschte Admin-Seiten, Signatur-Feed, Updates und bevorzugter Support. Neu in Version 1.1: Warnungen bei verwundbaren Plugins, Aktivitätsprotokoll der Administratoren, Cloudflare-Unterstützung sowie Import und Export der Einstellungen. Neu in Version 1.2: der Hotlink-Schutz für Bilder. Neu: die Update-Überwachung all deiner Websites im Kundenbereich. Ebenfalls neu: die KI-Crawler-Kontrolle, das Agentur-Dashboard und Aktualisierungen des Katalogs der getarnten Plugins zwischen zwei Versionen. Der Vergleich Zeile für Zeile.

Was sich für dich nicht ändert

• Das Aussehen der Website: Theme, Texte und Seiten bleiben für deine Besucher unverändert.
• Deine Dateien: Die physischen Ordner werden nicht verschoben, und der WordPress-Kern wird nicht verändert.
• Deine Verwaltung: Angemeldet siehst du die Website ohne Tarnung; das Dashboard funktioniert wie bisher.
• Deine Serverkonfiguration: Das Plugin schlägt die Regeln zum Kopieren vor und ändert die Nginx-Konfiguration nie selbst. Einzige Ausnahme: Der Hotlink-Schutz (Pro, standardmäßig aus) schreibt auf Apache und LiteSpeed einen eigenen Block in die .htaccess, prüft ihn und entfernt ihn, sobald du ihn ausschaltest.