Die Website-Sicherheits-Checkliste (Keine Plugins, kein BS)

Jeder Artikel über Website-Sicherheit im Netz ist eines von zwei Dingen. Entweder Enterprise-Fachjargon, geschrieben für eine Firma mit eigenem Security-Team und Budget, oder ein dünn verkleideter Verkaufspitch für einen Scanner für 99 Dollar im Monat, der verspricht, das beängstigende Zeug verschwinden zu lassen, wenn du nur deine Kreditkarte rausrückst.

Beides hilft der Person nicht, die wirklich Hilfe braucht: dem Kleinunternehmer, der seine Seite selbst betreibt, oder dem Freelancer, der für diese Leute baut und eine Liste haben will, die er übergeben und sagen kann "mach das hier".

Also hier ist diese Liste. Gruppiert, priorisiert, mit einem kostenlosen Tool für jeden einzelnen Punkt. Keine Plugins, die du kaufen musst. Kein Angst-Verkauf. Diese Website-Sicherheits-Checkliste ist die, die ich tatsächlich benutze, und es gibt ein herunterladbares PDF, das du ausdrucken, teilen oder dir an den Monitor kleben kannst.

Als PDF zum Ausdrucken? Lade die komplette Checkliste als PDF herunter — 9 Seiten, 22 Punkte, kein Login nötig.

Warum 2026 anders ist (und warum deine alte Checkliste nicht mehr reicht)

Im Juni 2026 hat der automatisierte Traffic eine Grenze überschritten, die niemand wirklich angekündigt hat: 57,5 Prozent des gesamten HTML-Traffics sind jetzt Maschinen, keine Menschen. Das ist das erste Mal in der Geschichte des Webs, dass Bots in der Mehrheit sind. Etwa 40 Prozent des gesamten Traffics sind Bad Bots, die Sorte, die deine Login-Seite abklopft und nach veralteter Software scannt.

Die Hürde, deine Seite anzugreifen, ist im Grunde zusammengebrochen. Ein Teenager mit einer Combo-Liste, einer OpenBullet-Config und einem billigen Residential Proxy kann vor dem Abendessen eine Credential-Stuffing-Kampagne gegen deinen Login fahren. KI-Tools finden Bugs schneller, als Menschen sie patchen. Und deine Build-Pipeline ist jetzt auch eine Angriffsfläche, was sie früher nie war. Allein 2026 hatten wir einen selbstreplizierenden npm-Wurm namens Shai-Hulud, eine kompromittierte Version von axios, die einen CISA-Alert auslöste, und eine Kampagne, die 57 Pakete mit 286 schädlichen Versionen in unter zwei Stunden vergiftet hat. Über das ganze Schlamassel habe ich in Deine Website ist nur ein kompromittiertes npm-Paket von der Katastrophe entfernt geschrieben, und es ist seitdem nur schlimmer geworden.

Der Punkt ist nicht, dir Angst zu machen. Der Punkt ist, dass sich die Basislinie verschoben hat. Eine Checkliste von 2021 lässt Lücken, durch die die heutigen automatisierten Angriffe einfach durchspazieren.

Wie du diese Liste liest (Must-Do vs. Nice-to-Have)

Jeder Punkt unten ist auf eine von zwei Arten markiert.

Must-Do heißt, wenn du es überspringst, wirst du irgendwann getroffen. Nicht vielleicht. Sicher. Das sind die Dinge, nach denen automatisierte Angriffe gezielt suchen.

Nice-to-Have heißt Defense in Depth. Schlau, lohnenswert, aber du wirst nicht morgen gehackt, weil du eins davon ausgelassen hast.

Hier mein ehrlicher Rat, um diese Website-Sicherheits-Checkliste abzuarbeiten: Mach jedes Must-Do diese Woche. Blocke dir zwei Stunden, arbeite von oben nach unten. Dann mach die Nice-to-Haves über den nächsten Monat, wann immer du einen ruhigen Nachmittag hast. Versuch nicht, alles in einer Sitzung zu erledigen und bei Punkt drei auszubrennen.

Gruppe 1: Transport und HTTPS (Must-Do)

Wenn deine Seite 2026 kein HTTPS erzwingt, ist das so, als würdest du deine Haustür nicht nur unverschlossen lassen, sondern weit aufgesperrt. Hol dir ein gültiges TLS-Zertifikat (kostenlos über Let's Encrypt oder deinen Host) und zwinge jede HTTP-Anfrage, auf HTTPS umzuleiten. Das ist nicht verhandelbar.

Dann füge einen HSTS-Header mit max-age=31536000 und includeSubDomains hinzu und reiche deine Domain bei der Preload-Liste auf hstspreload.org ein. HSTS sagt Browsern, niemals auch nur eine unsichere Verbindung zu versuchen, was ein hinterhältiges Downgrade-Angriffsfenster schließt. Räum bei der Gelegenheit auch Mixed Content weg, diese verirrten http://-Bilder oder Skripte auf einer ansonsten sicheren Seite.

Kostenlose Tools für diese Gruppe: Schick deine Domain durch SSL Labs auf ssllabs.com/ssltest für eine vollständige Zertifikatsnote, und prüf deinen Preload-Status auf hstspreload.org. Plattform-Hinweis: Wenn du eine statische Seite auf Cloudflare oder Netlify hostest, läuft das meiste davon automatisch und kostenlos. WordPress-Hosts variieren stark, also überprüf es selbst, statt es anzunehmen.

Gruppe 2: Zugang und Logins (Must-Do)

Hier werden die meisten kleinen Seiten tatsächlich kompromittiert. 80 Prozent aller Hacking-Vorfälle betreffen kompromittierte Zugangsdaten, nicht irgendeinen cleveren Zero-Day. Die durchschnittliche WordPress-Seite sieht über 30 Millionen Login-Versuche pro Monat. Wordfence allein blockiert rund 65 Millionen Brute-Force-Versuche pro Tag in seinem Netzwerk. Deine Login-Seite ist unter Belagerung, ob du es merkst oder nicht.

Hier die Must-Do-Liste. Hör auf, "admin" als Benutzernamen zu verwenden. Nutze einen Passwort-Manager (Bitwarden ist kostenlos und exzellent) und gib jedem Admin-Konto ein einzigartiges Passwort mit 20 oder mehr Zeichen. Schalte Zwei-Faktor-Authentifizierung oder Passkeys überall ein: dein CMS, dein Hosting-Panel und deinen Domain-Registrar. Nutze eine Authenticator-App oder einen Hardware-Key, niemals SMS, denn SIM-Swapping ist real und SMS-Codes werden abgefangen. Dann rate-limite deine Login-Seite, denn WordPress macht das standardmäßig nicht und lässt einen Bot fröhlich den ganzen Tag Passwörter raten. Das Nice-to-Have hier sind Least-Privilege-Benutzerrollen: nicht jeder, der die Seite anfasst, muss Administrator sein.

Eine ehrliche Anmerkung zum "keine Plugins"-Framing. Ich bin nicht gegen Security-Plugins, ich bin dagegen, dass man dir einredet, du bräuchtest eine kostenpflichtige Suite, um sicher zu sein. Wenn du auf WordPress bist und ein Plugin willst, das Login-Limiting und 2FA in einem erledigt, ist das vernünftig, und die guten habe ich in Die besten WordPress-Security-Plugins 2025 aufgeschlüsselt. Der Punkt ist, du musst kein Geld ausgeben, um diese Gruppe abzudecken. Die kostenlosen Optionen funktionieren.

Kurzer Realitätscheck: Wenn du eine statische Seite betreibst, verschwindet diese ganze Gruppe größtenteils. Keine Login-Seite heißt nichts zum Brute-Forcen.

Gruppe 3: Updates und Abhängigkeiten (Must-Do)

Veraltete Plugins sind die Ursache Nummer eins für WordPress-Hacks im Jahr 2026. Punkt. Es gibt etwa 333 neue Schwachstellen, die jede Woche bekannt werden, und 52 Prozent der Entwickler geben zu, dass sie bekannte Fehler nicht patchen. In einem Zwei-Tage-Zeitraum letzten Oktober blockierte Wordfence 8,7 Millionen Angriffe auf Seiten mit veralteten Plugins. Allein das WordPress-Plugin-Ökosystem verzeichnete 2024 7.966 CVEs.

Also die Must-Dos: Halte deinen Core, deine Plugins und Themes aktuell und aktiviere automatische Updates für Sicherheitspatches. Prüf deine Plugins und Themes und lösch jedes einzelne, das du nicht aktiv nutzt. Ein inaktives Plugin, das noch auf dem Server liegt, ist immer noch eine Schwachstelle, Deaktivieren ist nicht Löschen. Wenn deine Seite irgendeinen Build-Schritt hat, führ npm audit aus und schalte Dependabot ein, damit du sofort einen Hinweis bekommst, wenn eine Abhängigkeit schlecht wird. Commite deine Lockfile. Der ganze Grund, warum Supply-Chain-Angriffe funktionieren, ist, dass niemand beobachtet, was seine Abhängigkeiten mitziehen.

Es gibt hier auch einen leiseren Gewinn: weniger bewegliche Teile heißt weniger zu patchen. Viele der Plugins, die Leute installieren, machen triviale Dinge, die du mit ein paar Zeilen Code erledigen kannst, was ich in 20 WordPress-Plugins, die du mit ein paar Zeilen PHP ersetzen kannst behandelt habe. Jedes Plugin, das du entfernst, ist eine Sache weniger, die dich um 3 Uhr morgens verraten kann.

Gruppe 4: Backups und Wiederherstellung (Must-Do)

Ein Backup, das du nie wiederhergestellt hast, ist kein Backup. Es ist ein Wunsch. Das habe ich gelernt, als ich zusah, wie jemand entdeckte, dass seine "täglichen Backups" vier Monate lang stillschweigend fehlgeschlagen waren, genau dann, als er tatsächlich eins gebraucht hätte.

Richte automatisierte Off-Site-Backups ein. Off-Site ist wichtig, denn ein Backup, das auf demselben Server liegt, der kompromittiert wurde, ist wertlos. Folge der 3-2-1-Regel: drei Kopien, auf zwei Medientypen, mit einer Off-Site. Für WordPress ist UpdraftPlus kostenlos, zuverlässig und hat über 3 Millionen Installationen. Für Server oder statische Seiten machen restic und Duplicati beide verschlüsselte, deduplizierte Backups auf jeden S3-kompatiblen Speicher mit AES-256. Das Nice-to-Have, das fast niemand macht: tatsächlich einmal eine Test-Wiederherstellung durchführen. Bestätige, dass das Ding funktioniert, bevor du in einer Krise darauf angewiesen bist.

Gruppe 5: Bots, Monitoring und WAF (Mix)

Denk daran, dass Bots jetzt die Mehrheit des Web-Traffics ausmachen. Eine Web Application Firewall und ein CDN vor deine Seite zu setzen, ist der hebelstärkste Zug, um mit ihnen umzugehen, und Cloudflares kostenlose Stufe gibt dir eine WAF, Bot-Challenges, Rate Limiting und kostenloses HTTPS für genau null Dollar. Das würde ich 2026 ein Must-Do nennen.

Über die WAF hinaus füge serverseitiges Intrusion-Blocking mit fail2ban hinzu, richte grundlegendes Uptime- und Datei-Änderungs-Monitoring ein, damit du den Moment kennst, in dem sich etwas ändert, und drossle die KI-Crawler, die still und leise deine Bandbreite auffressen. KI-Crawler machen inzwischen über 20 Prozent des verifizierten Bot-Traffics aus, und die meisten ignorieren den Geist von robots.txt. Das sind echte Kosten, und wie man damit umgeht, habe ich in KI-Bots crawlen deine Website zu Tode. So stoppst du sie. durchgespielt. Für einen schnellen kostenlosen Gesundheitscheck scannt Sucuri SiteCheck deine Seite auf bekannte Malware und Blacklist-Status.

Gruppe 6: Härtung der Header (Meistens Nice-to-Have, günstige Gewinne)

Hier eine Statistik, die dich besser über deine Chancen fühlen lassen sollte: weniger als 25 Prozent der Top-Million-Seiten haben eine ordentliche Content Security Policy, und über 40 Prozent fehlt HSTS komplett. Security-Header sind echt differenzierend, weil sich fast niemand die Mühe macht, und sie kosten dich nichts außer ein paar Minuten.

Die Header, die es wert sind, gesetzt zu werden: eine Content Security Policy, um Cross-Site-Scripting abzuwürgen (der höchste Wert von allen), X-Content-Type-Options: nosniff, X-Frame-Options oder frame-ancestors, um Clickjacking zu blockieren, eine sinnvolle Referrer-Policy, eine Permissions-Policy und secure-, httponly-Flags auf deinen Cookies. Schick deine Seite durch securityheaders.com oder Mozilla Observatory, um deine aktuelle Note und genau das, was fehlt, zu sehen. Auf einer statischen Seite oder Cloudflare ist das eine Ein-Datei-Änderung. Auf WordPress bearbeitest du .htaccess, die nginx-Konfiguration oder fügst ein Snippet ein.

Gruppe 7: Server- und Datei-Härtung (WordPress-lastig)

Wenn du WordPress betreibst, sind Dateiberechtigungen wichtiger, als Leute denken. Setz Dateien auf 644 und Verzeichnisse auf 755 und sperr wp-config.php auf 440 oder 400 herunter, nicht den Standard 644, denn diese Datei enthält deine Datenbank-Zugangsdaten. Von da aus: deaktiviere das Datei-Editieren im Dashboard, damit ein kompromittierter Login dein Theme nicht umschreiben kann, deaktiviere XML-RPC, wenn du es nicht nutzt (es ist ein beliebter Brute-Force-Vektor), und stell sicher, dass dein Uploads-Verzeichnis kein PHP ausführen kann.

Beachte das Muster. Diese ganze Gruppe existiert, weil WordPress Code auf einem Server mit einer Datenbank dahinter ausführt. Eine statische Seite überspringt fast alles davon. Weniger bewegliche Teile, weniger Dinge zu härten.

Die WordPress-vs-Static/Astro-Realität

Lass mich ehrlich über etwas sein. Locker die Hälfte dieser Checkliste existiert rein wegen serverseitiger Plattformen. Kein PHP-Interpreter, keine Datenbankverbindung, keine Admin-Login-Seite, kein File-Upload-Handler bedeutet keine ganzen Angriffskategorien. Das WordPress-Plugin-Ökosystem verzeichnete in einem einzigen Jahr fast 8.000 CVEs. Eine statische Astro-Seite hat eine CVE-Angriffsfläche nahe null, weil da kaum etwas ist, das man ausnutzen könnte.

Ich sage nicht jedem, WordPress morgen rauszureißen. Viele Seiten brauchen wirklich ein CMS und eine Datenbank, und WordPress ist eine völlig vertretbare Wahl, wenn du es aktuell und abgesichert hältst. Aber ich sage das klar: deine Plattform-Wahl ist selbst eine Sicherheitsentscheidung. Wenn du bei null anfängst und deine Seite hauptsächlich Inhalt ist, nimmt der Wechsel zu Static aus jeder einzelnen Gruppe oben Arbeit raus. Das ist keine Kleinigkeit.

Das ehrliche Fazit (und hol dir das PDF)

Ich werde nicht so tun, als würde irgendeine Checkliste dich zu 100 Prozent sicher machen. Tut sie nicht. Jemand Entschlossenes mit guten Ressourcen kann mit genug Zeit in fast alles reinkommen. Das ist nicht das Ziel.

Das Ziel ist, nicht das leichte Ziel zu sein. Fast alles, was deine Seite trifft, ist automatisiert und sucht nach der unverschlossenen Tür, dem veralteten Plugin, dem wiederverwendeten Passwort. Mach die Must-Dos in dieser Liste, und du bist still und leise vielleicht 90 Prozent davon aus dem Weg gegangen. Die Bots ziehen weiter zu jemandem, der Gruppe 2 übersprungen hat.

Also hier ist die vollständige Website-Sicherheits-Checkliste als Download. Druck sie aus, teil sie mit einem Kunden, arbeite sie an einem ruhigen Nachmittag durch. Wenn dir dieses Format gefällt, die Ultimative Website-Relaunch-Checkliste ist genauso aufgebaut.

Und wenn du dich ehrlich gesagt lieber nicht damit beschäftigen willst, ist das fair. Es ist wirklich mühsame Arbeit, und ich mache sie für Kunden genau deshalb, weil die meisten von ihnen Besseres zu tun haben. Wenn das nach dir klingt, lass uns reden. Ich kann dir nicht versprechen, dass du nie angegriffen wirst. Was ich versprechen kann: du wirst nicht mehr das leichte Ziel sein.