WordPress betreibt einen großen Teil aller Websites weltweit – und ist gerade deshalb ein beliebtes Ziel für automatisierte Angriffe. Die meisten davon suchen nicht gezielt nach Ihrer Seite, sondern scannen im großen Stil nach bekannten, längst dokumentierten Lücken. Genau deshalb lässt sich ein erheblicher Teil des Risikos schon mit ein paar einfachen Blicken einschätzen.

Kein Selbstcheck ersetzt eine fachliche Prüfung. Aber er zeigt zuverlässig, ob überhaupt Handlungsbedarf besteht – und das oft schneller, als man denkt.

Die 5 Warnsignale im Überblick

• 01Veraltete Plugins oder Themes.
  Im WordPress-Dashboard unter „Updates“ sehen Sie auf einen Blick, wie viele Plugins und Themes veraltet sind. Jede Zahl größer null bedeutet: Für diese Erweiterung existiert eine neuere, meist auch sicherheitsrelevant korrigierte Version. Viele bekannt gewordene Sicherheitslücken betreffen nicht WordPress selbst, sondern einzelne Plugins – oft Monate, bevor sie ausgenutzt werden.
• 02Veraltete WordPress-Core-Version.
  Ebenfalls im Dashboard sichtbar, unter „Start“ oder „Updates“. Vergleichen Sie die angezeigte Version mit der aktuellen Version auf wordpress.org. Liegt Ihre Seite mehrere Hauptversionen zurück, sind mit hoher Wahrscheinlichkeit öffentlich dokumentierte Schwachstellen vorhanden.
• 03Fehlendes SSL oder fehlende Security-Header.
  Ein Schloss-Symbol in der Adressleiste zeigt eine verschlüsselte Verbindung, ersetzt aber keine sauber gesetzten Sicherheits-Header. Kostenlose Tools wie securityheaders.com prüfen in Sekunden, ob gängige Header wie HSTS oder Content-Security-Policy überhaupt gesetzt sind.
• 04Spürbar langsame Ladezeit.
  Ladezeit ist zunächst ein Performance-Thema – kann aber auch ein Sicherheitssymptom sein: kompromittierte Seiten laden durch versteckten Schadcode, unbemerkte Weiterleitungen oder Cryptomining-Skripte im Hintergrund teils spürbar langsamer. Der kostenlose Google PageSpeed Insights gibt einen ersten, objektiven Anhaltspunkt für mobil und Desktop.
• 05Unklare oder fehlende Backups.
  Können Sie ohne Nachdenken sagen, wann die letzte vollständige Sicherung Ihrer Website erstellt wurde und wo sie liegt? Wenn nicht, ist das selbst dann ein Warnsignal, wenn aktuell nichts auffällig ist – denn im Ernstfall zählt jede Stunde, in der kein geprüftes Backup verfügbar ist.

Was ein Selbstcheck nicht zeigt

So hilfreich diese fünf Punkte sind: Sie prüfen sichtbare Symptome, nicht die eigentliche Ursache. Ob eine veraltete Plugin-Version tatsächlich eine ausnutzbare Lücke enthält, wie kritisch eine fehlende Header-Konfiguration im Einzelfall ist, oder ob eine langsame Ladezeit tatsächlich mit Schadcode zusammenhängt – das lässt sich ohne fachliche Einordnung kaum sicher beurteilen. Und manche Anzeichen, etwa unauffällig eingeschleuster Code oder kompromittierte Nutzerkonten, sind von außen ohne gezielte Prüfung überhaupt nicht sichtbar.

Ein Warnsignal gefunden – was jetzt?

Ein einzelnes Warnsignal ist selten ein Grund zur Panik, aber immer ein Grund zum Handeln. Veraltete Plugins und die Core-Version lassen sich häufig selbst aktualisieren – idealerweise nach einem frischen Backup und außerhalb der Stoßzeiten Ihrer Website. Bei fehlenden Security-Headern oder unklaren Backups lohnt sich in der Regel ein Blick in die Hosting-Einstellungen oder ein kurzes Gespräch mit dem Hoster.

Wenn mehrere Punkte gleichzeitig zutreffen, oder Sie sich schlicht nicht sicher sind, wie dringend etwas ist: Genau dafür ist eine unabhängige Einschätzung da, bevor aus einem Warnsignal ein echter Vorfall wird.

Für die technische Einordnung orientieren wir uns unter anderem an den offiziellen WordPress-Empfehlungen zur Absicherung und den gängigen Standards für HTTP-Security-Header.