NCSC WordPress-Sicherheitsleitfaden: Ein praktischer UK-Leitfaden für 2026
17. August 2026
Folgen Sie der offiziellen WordPress-Sicherheitsanleitung des NCSC für 2026. Praktische, auf Großbritannien ausgerichtete Schritte, um Ihre Website vor Hackern, Malware und Datenschutzverletzungen zu schützen.
Die WordPress-Sicherheitsempfehlungen des NCSC verstehen
Das National Cyber Security Centre (NCSC) des Vereinigten Königreichs bietet fundierte Empfehlungen, die sich direkt auf WordPress-Website-Betreiber anwenden lassen. Zwar veröffentlicht das NCSC kein eigenes WordPress-Handbuch, doch seine Grundsätze aus den „10 Steps to Cyber Security" und dem „Small Business Guide" sind unerlässlich. Dazu gehören Patch-Management, Zugriffskontrolle und Incident Management. Für WordPress bedeutet das, Ihre Website so zu konfigurieren, dass sie gängigen Angriffen wie Brute-Force-Logins, Cross-Site-Scripting und SQL-Injection widersteht. Indem Website-Betreiber im Vereinigten Königreich die NCSC-Empfehlungen auf das WordPress-Ökosystem übertragen, können sie eine praktische Verteidigung aufbauen, die im Einklang mit der britischen Gesetzgebung, den Erwartungen des ICO und den Anforderungen von Cyber Essentials steht. Dieser Ansatz stellt sicher, dass Ihre Website nicht nur sicher ist, sondern auch den britischen Datenschutzbestimmungen entspricht.
WordPress Core, Themes und Plugins auf dem neuesten Stand halten
Veraltete Software ist die Hauptursache für WordPress-Kompromittierungen. Das NCSC betont nachdrücklich, wie wichtig das Schließen bekannter Sicherheitslücken ist. Im Jahr 2026 müssen britische Website-Betreiber angesichts der zunehmenden Häufigkeit von Lieferkettenangriffen automatische Updates für den PHP-Kern, Themes und Plugins aktivieren. Automatische Updates können jedoch Kompatibilitätsprobleme verursachen. Das NCSC empfiehlt eine Staging-Umgebung, um Updates vor der Veröffentlichung zu testen. Entfernen Sie außerdem unnötige Plugins und Themes, da jedes einzelne Ihre Angriffsfläche vergrößert. Wenn Sie ein Premium-Plugin verwenden, vergewissern Sie sich, dass es regelmäßig gewartet und unterstützt wird. Für britische Websites, die personenbezogene Daten verarbeiten, stellt das Unterlassen von Patches einen direkten Verstoß gegen Artikel 32 der britischen DSGVO dar. Machen Sie das Aktualisieren zur wöchentlichen Gewohnheit und ignorieren Sie niemals ausstehende Benachrichtigungen.
Durchsetzung starker Authentifizierung und Zugriffskontrollen
Das NCSC empfiehlt die Verwendung eindeutiger, starker Passwörter sowie Multi-Faktor-Authentifizierung (MFA) für alle administrativen Konten. Für WordPress bedeutet dies, die standardmäßigen Admin-Benutzernamen zu verbieten, Anmeldeversuche zu begrenzen und MFA für alle Benutzer mit Redakteurs- oder Administratorrollen zu verlangen. Die Leitlinien des NCSC zur Verwaltung von Benutzerrechten decken sich mit den WordPress-Rollen: Geben Sie jedem Benutzer genau die Rechte, die er tatsächlich benötigt (Prinzip der geringsten Rechte). Überprüfen Sie außerdem Ihre Benutzerliste vierteljährlich und entziehen Sie ehemaligen Mitarbeitern den Zugriff. Erwägen Sie die Nutzung von Passwortmanagern (die das NCSC ausdrücklich empfiehlt) für Ihre WordPress-Passwörter. Das britische NCSC rät zudem, für Ihr Administratorkonto eine separate E-Mail-Adresse zu verwenden und niemals dasselbe Passwort zu nutzen, das Sie für Behördendienste wie GOV.UK verwenden.
Absicherung Ihres WordPress-Hostings und Ihrer Konfiguration
Ihr Hosting-Anbieter spielt eine entscheidende Rolle für die WordPress-Sicherheit. Das NCSC empfiehlt, einen Anbieter zu wählen, der isoliertes Hosting, automatisierte Backups und Unterstützung für kostenlose TLS-Zertifikate bietet. Im Vereinigten Königreich sollten Sie nach Anbietern suchen, die den Anforderungen von Cyber Essentials oder ISO 27001 entsprechen. Konfigurieren Sie Ihre WordPress-Website, indem Sie die Dateibearbeitung deaktivieren, die WP-Version ausblenden und wp-config.php absichern. Sie sollten außerdem eine Web Application Firewall (WAF) aktivieren, um schädlichen Datenverkehr herauszufiltern. Die Empfehlungen des NCSC zur Konfiguration von Sicherheitsfunktionen sind besonders relevant: Stellen Sie sicher, dass Ihre Website ausschließlich HTTPS verwendet, setzen Sie sichere Header und deaktivieren Sie die PHP-Ausführung in gefährlichen Verzeichnissen. Überprüfen Sie die Sicherheits-Header Ihrer Website regelmäßig mit kostenlosen Online-Tools, um Ihre Konfiguration zu verifizieren.
Überwachung und Reaktion auf Sicherheitsvorfälle
Das NCSC empfiehlt proaktive Überwachung und einen klaren Incident-Response-Plan. Für WordPress sollten Sie die Protokollierung von Benutzeraktivitäten, fehlgeschlagenen Anmeldeversuchen und Dateiänderungen aktivieren. Verwenden Sie ein seriöses Sicherheits-Plugin, das sofortige Warnmeldungen bei ungewöhnlichem Verhalten wie unerwarteter Admin-Erstellung oder Malware-Erkennung sendet. Bei einer Sicherheitsverletzung sollten Sie das Problem eingrenzen, indem Sie Ihre Website offline nehmen, von einem sauberen Backup wiederherstellen und alle Zugangsdaten ändern. In Großbritannien müssen Sie eine schwerwiegende Sicherheitsverletzung dem ICO innerhalb von 72 Stunden melden, wenn Sie personenbezogene Daten verarbeiten. Das NCSC stellt Leitlinien zur Incident-Response sowie ein kostenloses „Check a URL"-Tool zur Bedrohungsbewertung bereit. Dokumentieren Sie Ihre Reaktionsschritte, damit Ihr Team schnell und ohne Panik handeln kann.
FAQ
Das NCSC stellt kein spezielles WordPress-Handbuch bereit, aber seine allgemeinen Sicherheitsprinzipien – Patchen, Zugriffsverwaltung und Backups – gelten direkt. Der „Small Business Guide“ und die „10 Steps to Cyber Security“ des NCSC bieten einen praktischen Rahmen. Diese Empfehlungen lassen sich auf die Plugins, Rollen und Hosting-Konfiguration Ihrer WordPress-Website übertragen.