WordPress REST API abschalten: Anleitung für mehr Sicherheit in 2026
16. August 2026
So deaktivieren Sie die REST API in WordPress 2026. Sicherheitsgründe, DSGVO & Plugins. Schritt-für-Schritt-Anleitung für mehr Schutz.
Warum sollte man die WordPress REST API deaktivieren?
Die REST API ist seit WordPress 4.4 fester Bestandteil des Systems. Sie ermöglicht es, Inhalte und Einstellungen über Schnittstellen abzurufen und zu ändern. Das ist praktisch für Plugins und Themes, birgt aber auch Risiken. Viele Angriffe auf WordPress-Seiten nutzen die REST API, um Benutzerdaten auszuspähen oder Schwachstellen auszunutzen. Gerade in Deutschland, wo Datenschutz großgeschrieben wird, stellt sich die Frage, ob die offene API wirklich für alle Besucher zugänglich sein muss. Wenn Sie die REST API nicht aktiv nutzen, können Sie sie abschalten, um die Angriffsfläche Ihrer Website deutlich zu reduzieren und das Risiko von Brute-Force-Attacken zu minimieren.
Die Risiken der REST API in WordPress
Über die REST API lassen sich unter anderem Benutzerlisten abrufen, falls nicht ausreichend geschützt. Angreifer können so Benutzernamen auslesen, die sie später für Brute-Force-Angriffe auf das Login verwenden. Auch Sicherheitslücken in Plugins, die auf die API angewiesen sind, können über die Schnittstelle ausgenutzt werden. Ein weiteres Risiko: Über die API können Beiträge und Kommentare ohne Authentifizierung erstellt werden, wenn die Berechtigungen falsch konfiguriert sind. Gerade für kleinere Websites, die keine externe App oder ein JavaScript-Framework verwenden, ist das Abschalten der REST API eine einfache und effektive Sicherheitsmaßnahme. Sie verhindert, dass Unbefugte Daten abgreifen oder manipulieren.
Methoden zum Deaktivieren: Plugin vs. Code
Es gibt zwei gängige Wege, die WordPress REST API abzuschalten: per Plugin oder per eigenen Code im Theme. Ein Plugin ist besonders für Einsteiger empfehlenswert, da es keine Programmierkenntnisse erfordert. Deutsche Anwender greifen gerne auf Sicherheits-Plugins wie „Disable REST API“ oder „iThemes Security“ zurück. Diese bieten oft zusätzliche Schutzfunktionen. Wer jedoch auf unnötige Plugins verzichten möchte, kann die Funktionen der REST API per Code im Theme (functions.php) oder auch in einem Must-Use-Plugin deaktivieren. Diese Methode ist schlanker und hat keinen Einfluss auf die Performance. Beide Varianten haben Vor- und Nachteile – wir zeigen Ihnen beide im Detail.
Schritt-für-Schritt: REST API per Code deaktivieren
Um die REST API ohne Plugin zu deaktivieren, fügen Sie in der functions.php Ihres Themes oder besser in einem eigenen Must-Use-Plugin (wp-content/mu-plug/) einen Code ein. Ein einfacher Filter wie der folgende blockiert den Zugriff auf die komplette REST API für nicht eingeloggte Nutzer: add_filter('rest_authentication_errors', function($error) { if (!is_user_logged_in()) { return new WP_Error('rest_unauthorized', 'Sie sind nicht eingeloggt.', array('status' => 401)); } return $error; }); Speichern Sie die Datei und testen Sie Ihre Website. Achten Sie darauf, dass Ihr Theme ein untergeordnetes Theme (Child-Theme) verwendet, damit die Änderungen bei Updates nicht verloren gehen. Alternativ können Sie das Plugin „Code Snippets“ verwenden, um Code sicher einzufügen.
Alternative: REST API teilweise abschalten
Nicht jede Website benötigt die komplette Deaktivierung der REST API. Vielleicht verwenden Sie das Gutenberg-Editor oder ein Plugin, das auf die API angewiesen ist. In diesem Fall können Sie nur bestimmte Endpunkte einschränken, beispielsweise den Zugriff auf die Benutzerliste. Ein bekanntes Beispiel ist das Entfernen der Routen, die unter /wp-json/wp/v2/users liegen. Das geht mit einem Filter wie rest_endpoints. Sie können auch nur die Abfragen für nicht eingeloggte Besucher blockieren und eingeloggten Nutzern den vollen Zugriff gewähren. Diese Feinjustierung ist in Deutschland besonders beliebt, da sie den Schutz erhöht, ohne die Funktionalität der Website einzuschränken. Wir zeigen, wie Sie gezielt bestimmte Endpunkte sperren.
FAQ
Die REST API ist eine Schnittstelle, die Daten standardisiert ausgibt. Angreifer können über sie Benutzernamen auslesen, Schwachstellen in Plugins ausnutzen oder unerlaubt Inhalte manipulieren. Wenn Sie die API nicht benötigen, verringern Sie das Risiko erheblich.