Sicherheit direkt im WordPress Dashboard
WordPress ist das meistgenutzte CMS weltweit. Das macht WordPress-Websites allerdings auch zu einem beliebten Ziel für automatisierte Angriffe.
Dabei muss es ein Angreifer gar nicht gezielt auf deine Webseite abgesehen haben. Bots durchsuchen das Internet rund um die Uhr nach bekannten Schwachstellen in Plugins, Themes oder veralteten WordPress-Versionen. Finden sie eine Lücke, wird häufig direkt versucht, sie automatisiert auszunutzen.
Genau deshalb führen wir bei HostPress das Imunify Security Plugin für WordPress ein.
Das Plugin macht die Sicherheitsfunktionen von Imunify360, die bisher hauptsächlich im Hintergrund gearbeitet haben, direkt in deinem WordPress-Backend sichtbar. So siehst du auf einen Blick, ob deine Webseite sauber ist, welche Schutzfunktionen aktiv sind und ob Angriffe erkannt oder blockiert wurden.
Inhaltsverzeichnis
1. Was ist Imunify und was kann Imunify Security?
Imunify360 ist eine Sicherheitslösung für Webserver, die verschiedene Schutzmechanismen wie Malware-Scanning, Firewall, Bot-Schutz und proaktive Abwehr miteinander kombiniert. Bei HostPress läuft Imunify bereits auf Serverebene und schützt deine Webseite im Hintergrund vor unterschiedlichen Angriffen.
Das Imunify Security Plugin für WordPress bringt diese Funktionen jetzt zusätzlich in dein WordPress-Backend. Dort kannst du direkt sehen,
- welche Schutzmechanismen aktiv sind,
- ob Malware erkannt wurde
- oder Angriffe blockiert wurden.
Das Plugin ist also keine komplett separate Sicherheitslösung, sondern macht die bereits vorhandene Imunify360-Absicherung für dich innerhalb von WordPress sichtbarer und erweitert sie um WordPress-spezifische Funktionen.
WordPress betreibt rund 41 % aller Webseiten weltweit. Gleichzeitig wurden 2025 mehr als 11.000 Schwachstellen im WordPress-Ökosystem bekannt. Der Großteil davon steckt nicht im WordPress-Core, sondern vor allem in Plugins.
2. Imunify Security für WordPress richtig anwenden
Als Hoster sorgen wir für die Sicherheit deiner Webseite. Deswegen schauen wir uns immer nach den sinnvollsten und besten Lösungen für dich um. Wir arbeiten schon lange mit Imunify und setzen daher jetzt auch das Imunify Security Plugin ein. Das Plugin hilft dir im Alltag, Probleme schneller und besser zu erkennen.
Wie du das Imunify Security Plugin einsetzt erklären wir dir jetzt hier:
Wenn du einen neuen Server bei HostPress bekommst, gehört das Plugin ab sofort zu unserer Standardkonfiguration.
Bei bestehenden Servern rollen wir es in den kommenden Monaten schrittweise aus. Wenn du es bereits früher nutzen möchtest, kannst du dich direkt bei unserem Support melden.
Extra kaufen oder lizenzieren musst du nichts. Das Plugin ist Teil der Imunify360-Absicherung deines Servers und wird von uns bereitgestellt und aktuell gehalten. Deshalb findest du es auch nicht im normalen WordPress.org-Plugin-Verzeichnis.
WordPress Sicherheit über dein Dashboard abrufen
Nachdem wir das Plugin für dich aktiviert haben, erscheint das Imunify-Security-Widget in deinem WordPress-Backend. Dort findest du übersichtlich sortiert:
- den letzten Scan,
- den nächsten Scan sowie
- den Status von Malware-Schutz, Web Application Firewall und Bot-Schutz
Was hinter den einzelnen Funktionen steckt, schauen wir uns jetzt genauer an.
Bei besonders stark ausgenutzten WordPress-Schwachstellen dauert es im Durchschnitt nur rund fünf Stunden, bis automatisierte Massenangriffe beginnen . Ein Update allein kann diese Lücke nicht immer schließen – vor allem dann nicht, wenn der Hersteller noch gar keinen Patch veröffentlicht hat.
Malware-Scanner: Schadcode erkennen und automatisch bereinigen
Der Malware-Scanner prüft alle deine Dateien und Datenbanken deiner Webseite, manipulierte Dateien und mögliche Backdoors auf Schadcode.
✅ Wenn alle Inhalte sauber sind, bekommst du einen grünen Status angezeigt.
☢️ Wird etwas gefunden, kannst du sehen, welche Datei betroffen ist und ob der Schadcode automatisch bereinigt werden konnte.
Zusätzlich dazu laufen regelmäßig automatisierte Scans über das Dateisystem und die Datenbank. Im Verlauf kannst du einsehen, wann ein Scan durchgeführt wurde, wie viele Objekte überprüft wurden und ob etwas bereinigt werden musste.
Probleme werden im besten Fall erkannt, bevor sie für deine Besucher sichtbar werden. Malware fällt häufig erst dann auf, wenn Google eine Warnung ausspielt, der Browser Alarm schlägt oder die Reputation deiner Domain bereits leidet. Über regelmäßige, automatisierte Scans fallen solche Probleme im besten Fall direkt auf.
Proaktive Verteidigung deiner Seite: Schutz vor neuen Angriffen
Normale Malware-Scanner arbeiten häufig mit bekannten Signaturen. Sie suchen also nach Schadsoftware, deren Muster bereits bekannt sind. Bei neuen Angriffsmethoden reicht das aber leider nicht immer aus.
Hierfür bringt Imunify Security die proaktive Verteidigung ins Spiel. Das Tool beobachtet PHP-Skripte während der Ausführung und erkennt verdächtiges Verhalten. Dadurch kann Imunify auch dann eingreifen, wenn für eine neue Angriffsmethode noch keine bekannte Signatur existiert.
Wir konfigurieren diesen Schutz für dich vor, damit auf allen Webseiten ein einheitlich hohes Sicherheitsniveau besteht.
Web Application Firewall: Schutz, bevor du ein Update installiert hast
Wird eine neue Sicherheitslücke in einem WordPress Plugin oder Theme bekannt, beginnt ein kritisches Zeitfenster. Denn bis alle betroffenen Webseiten aktualisiert wurden, können Tage oder sogar Wochen vergehen. Angreifer kennen die Schwachstelle zu diesem Zeitpunkt ebenfalls und suchen automatisiert nach noch ungepatchten Installationen.
Imunify Security erkennt:
- bekannte Ausnutzungsversuche und blockiert sie, bevor sie WordPress erreichen, ohne dabei Dateien deiner Webseite zu verändern.
- Geladen werden nur Regeln, die für deine WordPress-Version sowie deine installierten Plugins und Themes relevant sind. Änderst du etwas an deiner Installation, passt sich der Schutz automatisch an.
Erkannte Angriffsversuche findest du anschließend als Vorfälle gut dokumentiert direkt im Imunify Plugin. Dort siehst du unter anderem die betroffene IP-Adresse, das zugeordnete Land, die Häufigkeit und den Schweregrad.
Ein Angreifer benötigt nicht immer deine WordPress-Zugangsdaten. Manche Schwachstellen in Plugins oder Themes können ohne vorherige Anmeldung ausgenutzt werden. Ein starkes Passwort allein schützt deshalb nicht vor jeder Form eines Angriffs.
Sollte eine Regel ausnahmsweise normalen Traffic blockieren, kannst du sie gezielt deaktivieren und später wieder einschalten.
Die WordPress-spezifische WAF ergänzt dabei die bestehende Firewall von Imunify360. Während diese allgemeinere Angriffsmuster wie SQL-Injections oder Cross-Site-Scripting abfängt, reagiert die CMS WAF gezielt auf bekannte Schwachstellen deiner WordPress-Komponenten.
Bot-Schutz: Nicht jeder Besucher ist ein Mensch
Ein Teil des Traffics auf deiner Webseite stammt von Suchmaschinen-Crawlern, SEO-Tools, Scrapern, KI-Crawlern oder anderen automatischen Diensten. Manche davon sind nützlich, andere erzeugen vor allem eins: unnötige Serverlast.
Laut Imperva stammten bereits 51 % des weltweiten Web-Traffics von automatisierten Systemen. Rund 37 % des gesamten Traffics entfielen auf sogenannte Bad Bots. Bot-Schutz ist deshalb längst nicht mehr nur für besonders große Webseiten relevant.
Der integrierte Bot-Schutz von Imunify analysiert diese Zugriffe und ordnet sie verschiedenen Kategorien zu:
- Verifizierte Suchmaschinen wie Google oder Bing erhalten großzügige Limits.
- Verifizierte KI-Crawler bekommen eigene Grenzwerte.
- Unbekannte oder unverifizierte Bots werden stärker eingeschränkt.
- Bekannte bösartige Bots können komplett blockiert werden.
- Menschliche Besucher werden nicht limitiert.
Damit sich ein Bot nicht einfach als Googlebot ausgeben kann, wird die Identität zusätzlich über einen Reverse-DNS-Abgleich überprüft. Im Plugin selbst kannst du dir in einer Übersicht ein Bild davon verschaffen, wie sich der Traffic auf Menschen, Suchmaschinen, KI-Crawler und andere Bots verteilt.
In der Detailansicht kannst du außerdem besonders aktive Bots inklusive Anfragevolumen, Kategorie und ausgeführter Aktion besser nachvollziehen.
Standardmäßig läuft der Bot-Schutz mit der Einstellung „Balanced“ . Für die meisten Webseiten ist das ein sinnvoller Mittelweg zwischen Schutz und Erreichbarkeit.
Bei stärkerem Bot-Aufkommen kannst du die Einstellung von Imunify aber strenger einstellen sowie einen Beobachtungsmodus aktivieren, der Traffic nur analysiert und nicht blockiert.
Auch nützliche Dienste wie Uptime-Monitore oder SEO-Tools werden technisch als Bots erkannt.
Wenn ein solcher Dienst sehr viele Anfragen in kurzer Zeit stellt, kann er deshalb vorübergehend gedrosselt werden und zum Beispiel einen HTTP-Statuscode 429 erhalten.
Falls eines deiner Tools dadurch Probleme bekommt, kannst du eine großzügigere Einstellung wählen oder den Bot-Schutz für deine Webseite deaktivieren. Wenn du dir nicht sicher bist, was die beste Lösung für die Auffälligkeit ist, hilft dir unser Support jederzeit weiter.
Imunify Security Q&A: die wichtigsten Fragen im Überblick
In unserem Q&A findest du einige der wichtigsten Fragen noch einmal kompakt beantwortet. Sollten noch Themen offen geblieben sein, schreibe uns gerne einfach einen Kommentar und wir beantworten sie dir hier direkt.
Macht das Imunify Plugin meine Webseite langsamer?
Der Großteil der Arbeit findet nicht direkt in WordPress statt.
Der Malware-Scanner läuft auf dem Server, die WAF lädt nur die Regeln, die für deine installierten Komponenten relevant sind, und auch die Bot-Prüfung ist auf einen möglichst geringen Ressourcenverbrauch ausgelegt.
Der zusätzliche Aufwand für deine Webseite bleibt dadurch gering.
Brauche ich noch ein anderes Security-Plugin für WordPress?
Wenn du bereits ein WordPress-Sicherheitsplugin nutzt, musst du es wegen Imunify nicht automatisch deinstallieren.
Das Imunify Security Plugin ergänzt bestehende Lösungen vor allem um weitere Schutzmechanismen auf Server- und Anwendungsebene.
Dadurch kann es vorkommen, dass zwei Systeme denselben Vorfall melden. Das ist nicht automatisch ein Problem. Prüfe in diesem Fall einfach beide Meldungen, bevor du Änderungen an deiner Webseite vornimmst.
Kann ich das Imunify Security Plugin deaktivieren?
Ja. Wie jedes andere WordPress-Plugin kannst du auch Imunify deaktivieren.
Dann sind allerdings die Web Application Firewall und der Bot-Schutz für deine Webseite nicht mehr aktiv.
Der Malware-Scanner läuft weiterhin auf dem Server, seine Ergebnisse werden dir ohne das Plugin aber nicht mehr in WordPress angezeigt.
Wenn du das Plugin vollständig löschst, werden außerdem die gespeicherten Daten deiner Webseite entfernt. Dieser Vorgang läuft über einen täglichen Wartungsprozess und kann bis zu 24 Stunden dauern.
Funktioniert das Imunify Security Plugin auch mit WordPress Mutlisite?
Bei WordPress-Multisite-Installationen gibt es aktuell noch Einschränkungen.
Wenn du ein Multisite-Netzwerk betreibst, solltest du dich deshalb nicht ausschließlich auf das Plugin verlassen. Sprich uns in diesem Fall am besten direkt an, damit wir gemeinsam die passende Absicherung für dein Setup prüfen können.
Welche Daten sendet das Plugin an Imunify?
Das Plugin liest die Sicherheitsinformationen deiner Webseite aus der Imunify-Software aus, die auf demselben Server läuft.
Deine Dateien, deine Datenbank oder deine Seiteninhalte werden dabei nicht übertragen.
Für bestimmte Funktionen lädt das Plugin aktuelle Sicherheitsinformationen nach, beispielsweise Listen bekannter Crawler für den Bot-Schutz. Zusätzlich werden anonymisierte Kennzahlen zu WAF-Vorfällen und zur Traffic-Klassifizierung übermittelt, um die Erkennung weiter zu verbessern.
Was tun, wenn Imnuify Malware findet?
Wenn Imunify Security tatsächlich Malware gefunden hat, solltest du einmal diese Schritte überprüfen:
- Prüfe deine WordPress-Benutzer auf unbekannte Administratoren.
- Aktualisiere WordPress, Plugins und Themes und entferne nicht mehr benötigte Erweiterungen.
- Ändere wichtige Zugangsdaten, wenn eine tatsächliche Kompromittierung festgestellt wurde.
- Prüfe die WAF-Vorfälle auf Hinweise zur betroffenen Schwachstelle.
- Prüfe bei einem größeren Befall auch deine Google Search Console auf Sicherheitswarnungen oder ungewöhnlich indexierte Seiten.
- Wenn du die Ursache nicht eindeutig bestimmen kannst, wende dich an den Support.
Mehr Sicherheit und Überblick mit Imunify Security
Viele Sicherheitsfunktionen von Imunify360 liefen bei HostPress bereits bisher im Hintergrund. Das neue Plugin macht sie jetzt auch für dich sichtbar.
Du siehst, ob Malware gefunden wurde, welche Angriffe die Firewall erkannt hat und wie viel automatisierter Bot-Traffic auf deiner Webseite landet.
Dabei greifen vier zentrale Schutzbereiche ineinander: Malware-Erkennung, proaktive Verteidigung, Web Application Firewall und Bot-Schutz.
Auf neuen HostPress Servern ist das Plugin ab sofort Teil der Standardkonfiguration. Bestehende Server stellen wir schrittweise um.
Wenn du das Plugin bereits jetzt nutzen möchtest oder Fragen zu einer Meldung hast, hilft dir unser Support-Team gerne weiter.
