WordPress security - threats and protection mechanisms

So popular, so vulnerable: WordPress security

Mittlerweile ist WordPress das wichtigste Content-Management-System (CMS) der Welt und wird von über 42 % aller Websites genutzt. Das erklärt auch, warum es damit zu einem lukrativen Angriffsziel für Hacker und Kriminelle geworden ist.

Facts & figures at a glance

Mehr als 900 Millionen Brute Force Attacken auf WordPress-Seiten pro Monat

Über 18 Millionen Attacken auf WordPress-Seiten wurden bei der heftigsten Angriffswelle registriert

Diese Zahlen verdeutlichen vor allem eines: Großflächige WordPress Hacks stellen keineswegs eine Ausnahme dar.
Vielmehr sind WordPress-Websites ständigen Angriffen ausgesetzt.

What strategies do attackers use to
attack standard WordPress security?

There are a variety of different methods that attackers use to try to circumvent WordPress' own security:

Automated botnet attacks

Bei dieser Art von WordPress Hack, den Brute Force Attacken, probieren die Hacker, mithilfe eines Botnets über wiederholte und automatisierte Login-Versuche, Zugang zu dem Admin-Account von ahnungslosen Webmastern/Unternehmern zu erlangen, um von dort aus unter anderem Schadsoftware zu verbreiten oder illegalen Content zu hosten.

Spam bots in the comments section

Neben den Account-Daten ist auch immer wieder die Kommentarfunktion bei WordPress Ziel von Angriffen. Hierbei werden automatisiert auf tausenden Websites Kommentare hinterlassen, welche die Reputation der Website verringern und ggf. auf infizierte Websites verlinken.

DDoS attacks

Mithilfe von automatisierten DDoS-Angriffen (DDoS = Distributed Denial of Service) versuchen die Hacker, die WordPress-Website mit einer riesigen Anzahl an Anfragen zu attackieren und dafür zu sorgen, dass der Server zusammenbricht, da er die riesigen Datenmengen nicht mehr verarbeiten kann. Dieser WordPress Hack hat für die Betroffenen oftmals direkte und schwerwiegende wirtschaftliche Nachteile.

SQL injections

SQL-Injections zielen auf das Herz einer jeden WordPress-Website: Die Datenbank. Hier setzt der WordPress Hack SQL-Injection an: Der Hacker gibt einen SQL-Befehl in das Kontaktformular (oftmals automatisiert) ein, welcher von WordPress als harmlos identifiziert wird und anschließend ausgeführt wird. Nun kann der Angreifer mit schwerwiegenden Folgen die Daten löschen, ausspähen oder verändern.

How can WordPress operators increase the
increase the WordPress security of their website?

WordPress Security ist für Betreiber einer Website, von großer Bedeutung. Es zeigt sich, dass WordPress-Websites mithilfe von unterschiedlichen Arten von WordPress Hacks attackiert werden können und das teilweise mit fatalen Konsequenzen. Zwar bietet WordPress von Haus aus keine ausreichenden Security-Funktionen, allerdings gibt es viele Lösungsmöglichkeiten, um die Security der Website sicherzustellen. Hierfür gibt es spezialisierte Hosting-Anbieter, wie zum Beispiel HostPress, welche die Security der Website gewährleisten. Diese Anbieter sind in der Lage, die WordPress Security vollumfänglich zu übernehmen, so dass die Betreiber keinerlei Sicherheitsbedenken mehr haben müssen. Trotz der Angriffe können die Betreiber somit weiterhin beruhigt auf das populärste und fortschrittlichste CMS WordPress zurückgreifen.

How WordPress security works at HostPress

At HostPress, we work with WordPress ourselves on a daily basis and know the dangers. That's why we rely on the best protection mechanisms and professional security solutions on the market. As a security provider, we know the variety of attack strategies and therefore rely on various mechanisms to ensure your WordPress security and prevent your website from being successfully attacked.

Regelmäßige Wartung der Website
Wir überprüfen regelmäßig, ob auf deiner Website etwas auffällig ist. Darüber hinaus hast du all deine WordPress Installationen an einem zentralen Ort und kannst manuell über Updates entscheiden.

Backups
Du hast die Wahl, ob du automatische Backups oder manuelle Backups durchführst, um deine Website zu sichern. Außerdem hast du die Entscheidung darüber, wo das Backup gespeichert werden soll. Lokal, auf deinem FTP oder bei uns.

Web Application Firewall
Die Firewall prüft den Traffic auf deiner Website mithilfe von ModSecurity und erkennt schädliche Anfragen sofort, blockiert den Angreifer und verhindert somit, dass die Server überlastet werden.

Fail2Ban
Hiermit werden Brute Force Attacken erkannt und durch die eingebaute Sicherheitsfunktion unschädlich gemacht, indem verhindert wird, dass das Botnet Zugriff auf deine Website erhält.

Malware Scanner und Antivirus mit Auto-Cleaning Funktion
Schaden durch Malware? Nicht mit unserem Scanner. Dieser sorgt dafür, dass die Malware erkannt und unschädlich gemacht wird. Gerne helfen wir dir auch dabei, die Malware nachhaltig zu entfernen.

Outbound Spam Protection
Unsere Outbound Spam Protection verhindert, dass von deinem WordPress Spam versendet werden kann, indem er die Anzahl der ausgehenden Nachrichten nach deinen Regeln limitiert.

The perfect all-round protection for your installations

360° protection thanks to the best security from Imunify

Antivirus, Firewall, WAF, PHP Sicherheitsebenen, Patch Management,
Domain-Reputation mit übersichtlicher Oberfläche und erweiterten Funktionen.

ImunifyAV+
(included in all tariffs)

Der Malware-Scanner erkennt und bereinigt mit fortschrittlichen Techniken zur Entschleierung von Dateien verschlüsselten bösartigen Code, der in Dateien eingebettet ist, die mit einem Klick automatisch bereinigt werden können.

(can be booked as an add-on)

Imunify360 ist eine erweiterte mehrschichtige Sicherheitsplattform für Webserver, welche zusätzlich zu unseren Sicherheitsmechanismen gebucht werden kann. Imunify360 nutzt eine fortschrittliche Firewall/WAF mit Regeln für maschinelles Lernen, automatisches Scannen und Entfernen von Viren und Malware, proaktiver Schutz und Blockierung bösartiger PHP-Skripte ganz ohne Latenz. Es stoppt somit die neuesten Angriffstypen, wie Brute-Force-Angriffe auf Netzwerk- und HTTP-Ebene, Ausnutzung von Sicherheitslücken, einschließlich 0-Day-Angriffen, DoS-Angriffe, Port-Scanning und viele andere. Durch die Cloud-Heuristik und einer Künstlichen Intelligenz für Bedrohungen, schützt Imunify360 auch direkt Ihren Server, wenn es auf anderen Installationen Angriffe erkennt.

Everything from AV+
Uses cloud heuristics and AI for threats
Outgoing email spam (SMTP traffic)
Monitoring whether websites or IPs are blocked by blacklists, with notification if this is the case
CDN protection 20CDN providers including Cloudflare improved Fail2ban
Proactive protection against zero-day attacks for websites running PHP, automatically and without latency
DDoS, brute force and portscan protection
Malware database scanner
Malware cronjob scanner