Unter Hacking versteht man das Auffinden von Schwachstellen in einem System und deren Ausnutzung zur Umgehung von Sicherheitskontrollen. Ethische“ Hacker nutzen diesen Prozess, um ein System kennenzulernen und seine Schwachstellen zu finden. Aber auch böswilliges oder „Black Hat“-Hacking ist weit verbreitet. Es wird oft verwendet, um in Webseiten einzubrechen.
Es gibt viele Gründe, warum Hacker es auf WordPress-Seiten abgesehen haben. Aber warum werden WordPress Seiten gehackt? Einer davon ist die schiere Popularität der Plattform. Wenn du weißt, was diese Gründe sind, wirst du besser verstehen, wie du deine Website schützen kannst.
In diesem Artikel werden wir die Gründe aufschlüsseln, warum Menschen Websites hacken. Dann werden wir darüber sprechen, warum WordPress selbst so viel Aufmerksamkeit von Hackern bekommt. Lass uns über WordPress-Sicherheit sprechen!
Warum Menschen Websites hacken
Jeden Tag werden Tausende von Websites gehackt. WordPress-Sites machen einen überproportionalen Anteil dieser Sites aus, da es über 30 % des Webs versorgt.
Viele Leute denken, dass ihre Websites vor Angriffen sicher sind, weil sie keine wertvollen und sensiblen Geschäftsinformationen enthalten. Es gibt jedoch noch viele andere Gründe, warum Websites gehackt werden, wie z. B.:
- um Malware zu verbreiten,
- hinzufügen von Bandbreite zu Bot-Netzwerken, die oft für Denial-of-Service-Attacken (DDoS) genutzt werden,
- black-Hat Search Engine Optimization (SEO),
- aktivismus / Hacktivismus,
- nur zum Üben und zum Spaß.
Der Punkt ist, dass keine Website zu 100% von der Möglichkeit ausgenommen ist, angegriffen zu werden. Sobald die Webseite online ist, wird sie angegriffen.
Du frägst dich vielleicht ob dein WordPress bereits gehackt wurde? Dann nutze kurz den folgenden Link um Deine Webseite nach Malware und anderen Hacks zu scannen:
4 Gründe, warum WordPress-Websites ins Visier genommen werden
Als ob all die Gründe, die wir zuvor aufgezählt haben, nicht schon genug wären, bekommen WordPress-Sites eine zusätzliche Aufmerksamkeit von Angreifern. Lassen Sie uns darüber sprechen, warum das so ist.
1. WordPress ist das beliebteste CMS
Wie wir bereits erwähnt haben, macht WordPress über 30% des Webs aus. Im Jahr 2018 gab es über 1,5 Milliarden Websites im Internet (wenn auch nicht alle davon aktiv). Das bedeutet, dass etwas weniger als ein Drittel von ihnen WordPress verwenden.
Dies ist in mancher Hinsicht eine hervorragende Nachricht. Das bedeutet, dass die WordPress-Entwicklung nicht so bald zum Stillstand kommen wird und Sie immer eine große Community haben werden, die Ihnen hilft. Das Problem ist, dass diese gleiche Popularität auch bedeutet, dass WordPress das Äquivalent eines Jackpots für Hacker ist.
Stell dir für eine Sekunde vor, dass jemand eine Sicherheitslücke in einem beliebten WordPress-Plugin gefunden hat. Wie bereits in der Vergangenheit geschehen, könnte ein solcher Exploit Millionen von Websites betreffen. Natürlich sind die Plugins selbst nicht das einzige Problem, was uns zu unserem nächsten Punkt bringt.
2. Vielen WordPress-Websites fehlt es an grundlegender Sicherheit
Es gibt eine Menge Dinge, die Sie tun können, um Ihre Website vor Angriffen zu schützen. Die gute Nachricht ist, dass viele Best Practices für die Sicherheit gar nicht so schwer zu implementieren sind, wie man es sich vorstellt.
Keine Zwei-Faktor-Authentifizierung
Zum Beispiel die Zwei-Faktor-Authentifizierung (2FA). Mit einem WordPress-Plugin für die Zwei-Faktor-Authentifizierung kann sie in wenigen Minuten implementiert werden. Außerdem wird die Wahrscheinlichkeit, dass Angreifer Zugriff auf Ihre Website erhalten, drastisch reduziert, selbst wenn sie Benutzeranmeldeinformationen gestohlen haben.
Keine Sicherheitshärtung und kein Schutz
Ebenso dauert es nicht lange, ein WordPress-Sicherheits-Plugin zu installieren und zu konfigurieren. Zwei unserer Favoriten, iThemes Security und Sucuri*, bieten alle möglichen Funktionen, von der Firewall bis zum Malware-Scan.
Keine Aufzeichnungen und Aktivitätsprotokolle
Eine weitere einfache Best Practice für die WordPress-Sicherheit ist das Führen eines WordPress-Aktivitätsprotokolls. Damit können Sie praktisch alles verfolgen, was auf Ihrer Website passiert, von erfolglosen Login-Versuchen bis hin zu Änderungen in den Dateien Ihrer Website:
Das Problem ist, dass sich die meisten Leute nicht die Zeit nehmen, sich über grundlegende WordPress-Sicherheitsmaßnahmen zu informieren. Sie sehen ihre Website nicht als gefährdet an. Wenn Sie nicht wollen, dass Ihre Website zu den prominenten Hacking-Statistiken gehört, implementieren Sie die oben genannten Best Practices für Sicherheit.
Backups und Logs für WordPress können entweder über das richtige Sicherheits-Plugin oder ein gutes Hosting integriert werden. Bei einem sehr billigen Hosting kannst du oft die Konfiguration des Server oder die htaccess nicht ändern. Ich bin z.B. sehr von dem Angebot von Raidboxes.io* sehr überzeugt und habe dort mehrere Webseiten im Hosting.
3. Schwache Passwörter sind endemisch
Wenn es darum geht, eine sichere WordPress-Website zu pflegen, sind die Passwörter Ihrer WordPress-Benutzer die erste Verteidigungslinie. Wenn jemand Ihre Admin-Zugangsdaten errät, erhält er volle Admin-Rechte auf Ihrer Website – kein guter Ort, um dort zu sein.
Die Situation ist bedrohlicher als du denkst – Benutzer verwenden immer schwache Passwörter. Kläre deine Benutzer darüber auf, was ein sicheres Passwort ausmacht. Konzentriere dich sich zum Beispiel auf die Länge und nicht auf eine komplexe Mischung von Zeichen. Längere Kennwörter sind viel schwerer zu erraten und zu knacken. Und verwende immer einen Passwort-Manager, damit du und deine Benutzer sich nicht die langen Passwörter merken müssen. Einen guten Passwortschutz erreichst du z.B. mit dem Manager von NordPass*.
Implementiere Richtlinien für sichere WordPress-Passwörter
Ebenso ist es klug, starke Passwortrichtlinien für die Benutzer deiner Website zu implementieren. Verwende dazu z.B. das Plugin WordPress Expire Passwords*. Damit kannst du deine Nutzer dazu zwingen regelmäßig neue und starke Passwörter zu erstellen.
Starke Passwortrichtlinien sind ein effektiver Weg, um Ihre Website sicher zu halten und Ihren Besuchern beizubringen, sichere Passwörter zu verwenden.
4. Verwendung von veraltetem WordPress-Kern, Plugins & anderer Software
Veraltete Software weist häufig Sicherheitslücken auf. Wenn WordPress-Administratoren also veraltete Core, Plugins, Themes und andere Software verwenden, setzen sie Sicherheitslücken frei, die Hacker ausnutzen können. Leider tun sie das recht häufig; veraltete, anfällige Software ist eine der häufigsten Ursachen für gehackte WordPress-Websites.
Verwenden nach Möglichkeit automatische Updates, zumindest für die WordPress-Sicherheits Patches. Alternativ kannst du eine regelmäßige Routine für Updates von Theme und Plugins implementieren. Eine einfache Kalender-Erinnerung genügt da schon.
Angreifer wissen das. In der Tat haben sie eine Fülle von kostenlosen Scan-Tools und Skripten, die sie oft verwenden, um massenhaft verwundbare WordPress-Websites zu identifizieren und auszunutzen.
Zusammenfassung
WordPress ist unglaublich beliebt. Es ist einfach zu bedienen, sehr vielseitig, und Sie können damit erstaunliche Websites erstellen. Der Nachteil ist jedoch, dass WordPress aufgrund dieser positiven Eigenschaften zu einem Ziel für böswillige Absichten wird. Grundlegende Sicherheitspraktiken können dieses Negativ immens abmildern.
Lassen uns die vier Hauptgründe rekapitulieren, warum werden WordPress Seiten gehackt:
- Es ist das beliebteste CMS der Welt.
- Viele WordPress-Websites folgen nicht den grundlegenden Sicherheitspraktiken.
- Die Verwendung schwacher Passwörter ist endemisch.
- Häufig wird veraltete Software eingesetzt.
Was du dagegen tun kannst
Um mit einem positiven Fazit zu schließen, hier einige Tipps, die Sie befolgen sollten, um den oben genannten Problemen entgegenzuwirken:
- Verwende eine WordPress-Website-Firewall / ein Sicherheits-Plugin,
- Installiere ein Plugin für die Zwei-Faktoren-Authentifizierung (2FA),
- Verwende nicht admin oder deinedomain als Login,
- Führe regelmäßige Updates von Plugins, Themes und anderen Dateien durch,
- Führe ein Protokoll über alles, was mit Ihrem WordPress geschieht,
- Installiere ein Plugin, um starke Passwortrichtlinien* durchzusetzen,
- Führe einen WordPress-Datei-Integritätsmonitor aus,
- Sicher deine WordPress-Website mit einem regelmäßigen Backup.
Sollte deine WordPress Webseite doch einmal gehackt werden dann solltest du unbedingt schnell handeln und dir professionelle Hilfe holen. Du musst sämtliche Malware und andere schädlichen Dateien gründlich aus den Datenbanken und dem Server entfernen. Es ist wichtig festzustellen wo die Sicherheitslücke für den Hack oder Angriff war. Nur dann kann die Sicherheitslücke auch geschlossen werden. Im letzten Schritt kannst du dann ein sicheres Backup von Webseite und Datenbank wiederherstellen.
Um für des Hacks gerüstet zu sein kannst Du entweder eine professionelle Software wie Sucuri* verwenden. Hier ist nicht nur der Malwarescan inklusive sondern auch das Entfernen. Bei einem guten Hosting wie zum Beispiel raidboxes* kannst du ebenfalls eine Malware-Entfernung vom Support in Anspruch nehmen. Im Tarif fully managed ist dieser Service sogar inklusive.
Schaue auch regelmäßig hier auf der Webseite vorbei und lerne wie du Schritt für Schritt deine WordPress-Seite besser schützen kannst. Unsere Beiträge sind eine erste Hilfe um die Gefahren besser kennen zu lernen und was zu dagegen tun kannst.
