Was All-In-One Security auf deiner WordPress-Website macht
All-In-One Security (AIOS) stammt von Team Updraft, dem Team hinter UpdraftPlus. Das Plugin bündelt in einem Menü den Login-Schutz (begrenzte Anmeldeversuche, Zwei-Faktor-Authentifizierung per TOTP-App, umbenannte Anmeldeseite, Sperre der Benutzer-Enumeration), eine Web Application Firewall aus PHP- und .htaccess-Regeln, darunter die 6G-Regeln von Perishable Press, Dateisicherheit (Dateirechte, deaktivierter Datei-Editor, Erkennung geänderter Dateien), Kommentar-Spamschutz und ein Audit-Log.
Jede Funktion ist als einfach, mittel oder fortgeschritten eingestuft und erhöht den Wert der „Anzeige der Sicherheitsstärke“ im Dashboard des Plugins. Ein Einrichtungsassistent schlägt vor, ein erstes Paket empfohlener Einstellungen zu aktivieren. Sobald du die PHP-Firewall „einrichtest“, lädt sie über die Direktive auto_prepend_file vor WordPress. Laut Datenschutzerklärung des Plugins bleiben die erfassten IP-Adressen und Logs auf deinem Server.
Die Gratisversion deckt Login und Firewall gut ab. AIOS Premium, ein Add-on, das zusätzlich zur Gratisversion installiert wird, bringt Malware-Scans mit Verfügbarkeits- und Antwortzeit-Überwachung, Länder-Sperren, die Sperre von IPs mit vielen 404-Fehlern, eine erweiterte Zwei-Faktor-Authentifizierung (Pflicht für bestimmte Rollen, Notfallcodes, vertrauenswürdige Geräte, WooCommerce-Login-Formulare) und Ticket-Support. Die Jahrespläne ohne Steuern: Personal für 89 $ für 2 Websites, Business für 149 $ für 10, Agency für 249 $ für 35 und Enterprise für 349 $ ohne Begrenzung.
Für welche Websites AIOS eine gute Wahl ist
- Blogs und Firmenwebsites auf Apache oder LiteSpeed, die Login, Firewall und Dateien kostenlos an einer Stelle einstellen wollen.
- Einsteiger in IT-Sicherheit: Die Stufen der Funktionen und der Punktestand zeigen, womit du anfangen solltest.
- Websites, die schon mit UpdraftPlus sichern: AIOS kann aus seinem Menü „Datenbank-Sicherheit“ eine Datenbanksicherung über UpdraftPlus starten.
- Freelancer mit wenigen Websites: Der Einstiegsplan von Premium deckt schon 2 Websites ab, der nächste 10.
Weniger passend ist AIOS für eine Website unter Nginx oder IIS, wo die Schutzregeln in der .htaccess nicht greifen, für eine Website, die einen kostenlosen Malware-Scan will (der Scanner von Wordfence ist gratis), oder für eine Website, die eine andere komplette Sicherheits-Suite behält: Zwei Firewalls und zwei Login-Sperren kommen sich in die Quere.
Stärken und Grenzen von All-In-One Security
Stärken
- Viele Gratisfunktionen. Zwei-Faktor-Authentifizierung, Login-Sperre, Firewall, Erkennung geänderter Dateien und Audit-Log brauchen keine Lizenz.
- Geführte Einrichtung. Assistent, Stufen von einfach bis fortgeschritten und Punktestand verhindern, dass du riskante Optionen gleich am ersten Tag einschaltest.
- Kein Konto nötig. Firewall, Login-Sperre und Logs der Gratisversion laufen auf deinem Server, ohne Lizenz und ohne TeamUpdraft-Konto.
- Premium für mehrere Websites. Der Einstiegsplan deckt 2 Websites ab, Enterprise beliebig viele.
Grenzen
- Kein Malware-Scan in der Gratisversion. Sie erkennt geänderte Dateien, sucht aber nicht nach Schadcode.
- Allgemeine Regeln. Die Firewall arbeitet mit Regelsätzen wie 6G, ohne angekündigte virtuelle Patches für die Lücke eines bestimmten Plugins.
- Auf Apache ausgelegt. Unter Nginx oder IIS wirken die
.htaccess-Regeln nicht. - Optionen, die dich aussperren können. Eine umbenannte Anmeldeseite oder gesperrtes XML-RPC bzw. REST-API brechen Funktionen, wenn du sie ungetestet einschaltest.
- Pflicht-2FA und Notfallcodes kosten extra. In der Gratisversion entscheidet jeder Benutzer selbst, ob er sie aktiviert.
Die AIOS-Einstellungen, die wir empfehlen
Bezeichnungen der deutschen Oberfläche von AIOS 5.5. Erstelle ein Backup, bevor du an der Firewall etwas änderst, und halte einen FTP-Zugang oder den Dateimanager deines Hosters bereit, um das Plugin bei einer Aussperrung zu deaktivieren.
| Einstellung | Empfohlener Wert | Warum |
|---|---|---|
| Aktiviere die Funktion der Anmeldesperre AIOS > Benutzersicherheit > Login-Sperre | Aktiviert; „Maximale Anmeldeversuche“ zwischen 3 (Standard) und 5 | Nach der Installation aus. Jede neue Sperre dauert dreimal so lang, standardmäßig bis zu 60 Minuten. |
| Entsperrungsanfragen zulassen Gleicher Tab | Aktiviert | Ein legitimer, gesperrter Benutzer kann per E-Mail einen Entsperr-Link anfordern. |
| Zwei-Faktor-Authentifizierung verfügbar machen AIOS > Einstellungen > Zwei-Faktor-Authentifizierung | Mindestens für Administratoren und Redakteure | Danach aktiviert jeder Benutzer seinen Code im AIOS-Menü „Zwei-Faktor-Authentifizierung“. Teste den Login in einem privaten Fenster. |
| PHP-Dateibearbeitung deaktivieren AIOS > Datei-Sicherheit > Dateischutz | Aktiviert | Ein gestohlenes Admin-Konto kann keinen Code mehr über den Theme- und Plugin-Editor einschleusen. |
| Automatischen Scan zur Erkennung von Dateiänderungen aktivieren AIOS > Scanner > Erkennung von Dateiänderungen | Aktiviert, einmal täglich | Schließe Cache- und Log-Ordner aus, sonst werden die Meldungen zu Rauschen. |
| Einstellungen für die Erkennung von IP-Adressen AIOS > Einstellungen > Erweiterte Einstellungen | Die Variable deiner Infrastruktur (HTTP_CF_CONNECTING_IP hinter Cloudflare) | Ein falscher Wert kann die Adresse des Proxys sperren und damit alle Besucher. |
| Aktiviere den 6G-Firewall-Schutz AIOS > Firewall > PHP-Regeln > „nG firewall rules“ | Aktiviert, nach einem Test auf einer Staging-Umgebung | Lass die Methode PUT erlaubt (Standard): Manche WooCommerce-Erweiterungen und REST-Anfragen nutzen sie. |
| Deaktiviere die Pingback-Funktion von XML-RPC AIOS > Firewall > PHP-Regeln > Sicherheits-Verbesserungen | Aktiviert; „Den Zugriff auf XML-RPC vollständig blockieren“ nur ohne Jetpack und Apps | Stoppt missbrauchte Pingbacks, ohne Dienste zu stören, die XML-RPC brauchen. |
| Spambots erkennen, die Kommentare posten AIOS > Spam-Schutz > Kommentar-Spam | Aktiviert, wenn Kommentare offen sind | Der Kommentar eines Besuchers ohne JavaScript oder Cookies wird verworfen oder als Spam markiert; prüfe auch deinen Seiten-Cache. |
Die Anmeldeseite umzubenennen (AIOS > Brute Force > Anmeldeseite umbenennen) ist nützlich, aber kombiniere das nicht mit einem anderen Tool, das diese Adresse schon ändert. Notiere dir die neue Adresse vor dem Speichern. Zur Wahl der Sperrschwellen hilft dir unser Leitfaden zum Begrenzen der Anmeldeversuche.
- Dein Konto meldet sich in einem privaten Fenster mit dem Zwei-Faktor-Code an.
- Die IP-Adresse, die AIOS in den erweiterten Einstellungen für dich anzeigt, ist wirklich deine.
- Formulare, Warenkorb und Kasse funktionieren nach dem Einschalten von 6G.
- Ein erster Scan auf geänderte Dateien ist abgeschlossen und seine Ergebnisse sind geprüft.
Behobene Sicherheitslücken in AIOS
Wie jedes Sicherheits-Plugin hatte auch AIOS Lücken. Die schwerste der letzten Zeit, CVE-2026-8438, erlaubte einem anonymen Besucher, JavaScript in das Debug-Log einzuschleusen, wenn die REST-API-Sperre und dieses Log gleichzeitig aktiv waren; behoben in 5.4.8. CVE-2024-1037, ein reflektiertes XSS über den Parameter tab, ist in 5.2.6 behoben, und CVE-2022-4097, die IP-Spoofing zum Umgehen von Sperren erlaubte, in 5.0.8. Version 5.5.0 vom Oktober 2026 hat außerdem die Zwei-Faktor-Authentifizierung und das Entsperren von Konten gehärtet. Der sinnvolle Schritt: Schalte die automatischen Plugin-Updates für AIOS ein.
AIOS zu verbergen schließt keine Lücke, erschwert aber Bots, die gezielt nach verwundbaren Versionen suchen, das Auffinden. Unser Vergleich der WordPress-Sicherheits-Plugins stellt AIOS Wordfence, Solid Security und Sucuri gegenüber.
Was WP Masquerade bei All-In-One Security (AIOS) verbirgt
Pro Nur von WP Masquerade Pro abgedeckt
Die Gratisversion kennt die eigenen Spuren von All-In-One Security (AIOS) nicht: Ohne Pro werden nur Generator-Tags entfernt, wie bei jedem Plugin.
Gratisversion
Nur von WP Masquerade Pro abgedeckt
Mit Pro
- Ordnername
- Tag-IDs
Bleibt sichtbar
Keine bekannte Spur
Häufige Fragen zu All-In-One Security
Reicht die Gratisversion von AIOS für eine kleine Website?
Für einen aktuellen Blog oder eine Firmenwebsite oft ja: Login-Sperre, Zwei-Faktor-Authentifizierung und Firewall sind gratis. Es fehlt der Malware-Scan, den Premium oder ein anderes Plugin liefert.
Kann ich AIOS zusammen mit Wordfence nutzen?
Das ist nicht zu empfehlen: Zwei Firewalls und zwei Login-Sperren überschneiden sich und machen Sperren schwer nachvollziehbar. Wähle eine Haupt-Suite und schalte doppelte Funktionen ab.
AIOS hat mich ausgesperrt. Was tun?
Warte, bis die Sperre abläuft, oder fordere den Entsperr-Link per E-Mail an, falls die Option aktiv ist. Sonst benenne per FTP den Ordner all-in-one-wp-security-and-firewall um, um das Plugin zu deaktivieren, und korrigiere dann die verantwortliche Einstellung.
Funktioniert AIOS auf einem Nginx-Server?
Ja für die Funktionen, die in PHP laufen (Login, Zwei-Faktor-Authentifizierung, PHP-Regeln der Firewall). Laut FAQ des Herstellers greifen die Schutzregeln in der .htaccess dort nicht.