08Website-Wissen & Fehlercodes

Website-Sicherheit – WordPress und Webspace richtig absichern

Updates, starke Passwörter, Zwei-Faktor-Anmeldung, Backups und WAF – so sicherst du deine Website bei Nexthosting ab und reagierst richtig auf einen Hack.

Kurz gesagt

Die meisten gehackten Websites hatten veraltete Software, schwache Passwörter oder unnötig viele Rechte. Wenn du Updates einspielst, starke Passwörter mit Zwei-Faktor-Anmeldung nutzt, nur Notwendiges installierst und regelmäßig Backups prüfst, ist der größte Teil des Risikos erledigt. Den Server selbst sichert Nexthosting ab; deine Website und ihre Zugänge sicherst du selbst.

Wer ist wofür zuständig?

Bereich	Wer kümmert sich?
Server, Betriebssystem, Netzwerk, Betrieb	Nexthosting
Deine Website: WordPress, Plugins, Themes, eigene Skripte	Du
Passwörter und Zugänge	Du
Inhalte und Einwilligungen	Du

Bei Webspace und WordPress Hosting kümmert sich Nexthosting um Betrieb, Updates und die Absicherung des Servers. Die Software, die du darauf installierst, hältst du aktuell.

Die wichtigsten Maßnahmen

1. Updates einspielen

Veraltete Plugins und Themes sind das häufigste Einfallstor. Aktualisiere WordPress, Plugins, Themes und PHP regelmäßig, am besten wöchentlich. Aktiviere automatische Updates für Plugins, denen du vertraust. Teste größere Updates zuerst auf einer Kopie (Staging und Klonen). Mehr in WordPress pflegen.

Entferne Plugins und Themes, die du nicht nutzt (Deaktivieren reicht nicht).
Lade Software nur aus dem offiziellen Verzeichnis (wordpress.org) oder von seriösen Anbietern, nie „geknackte“ Premium-Plugins.
Nutze eine aktuelle PHP-Version (PHP-Einstellungen).

2. Starke Passwörter

Mindestens 14 Zeichen, zufällig, für jeden Dienst ein eigenes. Ein Passwortmanager erledigt das.
Verwende nie admin als Benutzername.
Gleiche Passwörter für mehrere Konten sind der Grund vieler Kontoübernahmen.

3. Zwei-Faktor-Anmeldung (2FA)

Neben dem Passwort braucht man einen zweiten Nachweis, meist eine App mit Einmalcode. Schalte sie ein, wo es geht: für das WordPress-Admin-Konto (Plugin), für dein Nexthosting-Konto und für dein E-Mail-Postfach. Siehe auch Konto-Sicherheit.

4. Backups

Ein gutes Backup rettet dich bei Hack, Fehlbedienung und Defekten. Bei Nexthosting laufen im Webhosting automatische Backups zweimal täglich mit 30 Tagen Aufbewahrung. Backups und Wiederherstellung machst du selbst im Webpanel. Zusätzlich solltest du vor großen Änderungen selbst eine Sicherung machen. Prüfe, dass die Wiederherstellung funktioniert: Backups und Wiederherstellung.

5. Prinzip der geringsten Rechte

Gib jedem nur, was er braucht:

WordPress-Benutzer mit der kleinsten passenden Rolle (Redakteur statt Administrator).
Für jede Person ein eigenes Konto, keine geteilten Zugänge.
Dateirechte 644 für Dateien, 755 für Ordner, 600 für wp-config.php, nie 777 (Dateirechte).
Datenbank-Benutzer nur mit Zugriff auf die eigene Datenbank.
SFTP statt FTP: unverschlüsseltes FTP verrät Passwörter.

6. https überall

Nutze https auf der ganzen Seite, beseitige Mixed Content (SSL und Mixed Content) und leite http auf https um (.htaccess-Grundlagen).

7. Weniger Angriffsfläche

Deaktiviere die Dateibearbeitung im WordPress-Backend, falls du sie nicht brauchst:

define( 'DISALLOW_FILE_EDIT', true );

Sperre sensible Dateien (wp-config.php, .env, Sicherungen) per .htaccess.
Begrenze Anmeldeversuche (Plugin) und blende die Anmeldeseite nicht unnötig aus, wenn dich das selbst aussperrt.
Lösche alte Testseiten, Sicherungen (.zip, .sql) und Installer im öffentlichen Verzeichnis.

Filter und Schutz auf dem Server (WAF, ModSecurity)

Webserver nutzen häufig einen Filter, der Anfragen auf typische Angriffsmuster prüft, eine sogenannte WAF (Web Application Firewall) wie ModSecurity. Stell sie dir wie eine Türsteherin vor: Sie lässt normale Besucher durch und hält Anfragen auf, die nach SQL-Einschleusung, Skript-Einschleusung oder dem Ausnutzen bekannter Schwachstellen aussehen.

Das hilft dir, kann aber auch einmal eine harmlose Anfrage blockieren. Dann siehst du einen Fehler 403, obwohl deine Dateirechte stimmen. Wie du damit umgehst:

Wenn ein Filter eine echte Anfrage blockiert

Aktion löst 403 ausz. B. Beitrag speichern oder Upload
Rechte und .htaccess geprüftBeides in Ordnung?
Uhrzeit und Adresse notierenMit Sekunden, vollständige URL
Ticket an den SupportSupport sucht die Regel im Protokoll
Regel wird angepasstDanach klappt die Aktion

Mehr dazu in Fehler 403. Schalte den Schutz nicht auf eigene Faust ab, und sende dem Support lieber genaue Angaben (Fehler gut beschreiben).

Nicht jeder Angriff ist technisch. Falsche Mails im Namen von Hosting-Anbietern, Banken oder „Support“ wollen deine Zugangsdaten. Merke:

Nexthosting fragt dich nie per E-Mail oder Chat nach deinem Passwort.
Prüfe Absender und Links. Die echten Adressen sind nexthosting.net und die Unteradressen für Panel und Webpanel.
Öffne keine unerwarteten Anhänge.

Anzeichen einer gehackten Website

Unbekannte Administratoren in WordPress.
Seite leitet auf fremde Seiten weiter oder zeigt Werbung für Medikamente oder Glücksspiel.
Suchergebnisse zeigen fremde Texte unter deiner Domain.
Plötzlich hoher Mailversand oder Auslastung.
Dateien, die du nicht kennst, oder frisch geänderte Kerndateien.
Warnung von Google oder vom Browser („Diese Website ist gefährlich“).

Du vermutest einen Hack – was jetzt?

Die Website ist noch erreichbarPasswörter ändern, Backup sichern, dann Support kontaktieren

Ein sauberes Backup existiertAuf den Stand vor dem Hack zurücksetzen und die Lücke schließen

Kein sauberes BackupDateien und Datenbank prüfen, Kern und Plugins neu installieren

Mailversand missbrauchtE-Mail-Passwörter ändern und Support informieren

Nach einem Hack: Reihenfolge

Sichern, was ist (für die Analyse), ohne es erneut online zu stellen.
Alle Passwörter ändern: WordPress, SFTP, Datenbank, E-Mail, Webpanel. Neue Zugangsdaten auch in wp-config.php.
Aus einem sauberen Backup wiederherstellen oder WordPress-Kern, Plugins und Themes neu von der Quelle installieren.
Schwachstelle schließen: veraltetes Plugin aktualisieren oder entfernen.
Prüfen: Benutzerliste, geplante Aufgaben (Cron), fremde Dateien.
Bei personenbezogenen Daten: Pflichten nach Datenschutzrecht prüfen (Meldefristen).
Den Support informieren, damit er auf Serverseite helfen kann.

Sicherheit für Gameserver, VPS und Co.

Diese Seite behandelt Websites. Zu VPS-Absicherung siehe VPS absichern, zu DDoS-Schutz bei Gameservern DDoS-Schutz und Angriffe.

Checkliste

WordPress, Plugins, Themes und PHP aktuell
Ungenutzte Plugins und Themes gelöscht
Starke, einzigartige Passwörter; Passwortmanager
Zwei-Faktor-Anmeldung für Admin, Konto und E-Mail
Backups geprüft, Wiederherstellung getestet
Dateirechte 644/755, wp-config.php 600
https aktiv, kein Mixed Content
Nur notwendige Benutzer, kleinste Rolle
SFTP statt FTP

Häufige Fragen

Ist meine Website bei Nexthosting automatisch sicher?

Der Server ist geschützt. Deine Website-Software und deine Passwörter musst du selbst pflegen.

Brauche ich ein Sicherheits-Plugin?

Ein gutes Plugin kann Anmeldeversuche begrenzen und Dateien prüfen. Es ersetzt aber keine Updates und Backups. Installiere nur eins.

Wie oft soll ich Passwörter ändern?

Nur bei Verdacht oder nach einem Vorfall. Wichtiger ist, dass sie lang und einzigartig sind.