WP JSON deaktivieren: REST API in WordPress sicher abschalten (2026)
16. August 2026
WP REST API sicher abschalten: So deaktivieren Sie wp-json in WordPress – mit Code, Plugin & DSGVO-Tipps für 2026.
Warum sollten Sie wp-json in WordPress deaktivieren?
Die WordPress REST API unter /wp-json ist praktisch, aber auch ein beliebtes Einfallstor für Angreifer. Über die Schnittstelle lassen sich Benutzernamen, Beiträge und Kommentare auslesen, oft ohne Anmeldung. Automatisierte Bots scannen das Web gezielt nach offenen wp-json-Endpunkten, um Schwachstellen auszunutzen. Gerade in Deutschland spielt zudem der Datenschutz eine Rolle: Unnötig preisgegebene personenbezogene Daten sollten Sie vermeiden. Wenn Sie wp-json deaktivieren, reduzieren Sie die Angriffsfläche erheblich. Das ist besonders für kleinere Websites sinnvoll, die keine umfangreiche REST-API-Funktionalität benötigen. Ein deaktivierter Endpunkt verhindert nicht nur Datenschutzprobleme, sondern auch Crawling durch Bots und erleichtert die Einhaltung der DSGVO.
Methode 1: WP JSON per Code-Snippet deaktivieren
Die einfachste Methode ist ein Filter in der functions.php Ihres Themes. Fügen Sie folgenden Code ein, um die REST API für nicht eingeloggte Besucher abzuschalten: add_filter('rest_authentication_errors', function($result) { if (!is_user_logged_in()) { return new WP_Error('rest_forbidden', 'Zugriff verweigert', array('status' => 401)); } return $result; }); Nach dem Einfügen wird der Zugriff auf /wp-json für alle anonymen Anfragen blockiert. Angemeldete Nutzer haben weiterhin vollen Zugriff. Kopieren Sie das Snippet am besten in ein Child-Theme oder ein eigenes Plugin. Alternativ können Sie das Plugin „Code Snippets“ verwenden, um Änderungen sicher zu verwalten. Denken Sie daran: Nach einer Theme-Aktualisierung bleibt der Code erhalten, wenn Sie ein Child-Theme nutzen.
Methode 2: WP JSON mit Plugin deaktivieren
Für Ungeübte ist ein Plugin die komfortablere Wahl. Empfehlenswerte Lösungen sind „Disable REST API“ oder „REST API Toolbox“. Diese Plugins ermöglichen Ihnen, die REST API komplett zu deaktivieren oder nur bestimmte Endpunkte zu blockieren. Nach der Installation genügt ein Häkchen, und /wp-json liefert nur noch eine Fehlermeldung. Vorteil: Sie müssen keine Codezeilen anfassen und können Einstellungen leicht zurücksetzen. Achten Sie bei der Plugin-Auswahl auf regelmäßige Updates und Kompatibilität mit Ihrer WordPress-Version. Bedenken Sie, dass einige Plugins wie WooCommerce oder Kontaktformulare auf die REST API angewiesen sind. Testen Sie nach der Aktivierung daher unbedingt Ihre wichtigsten Funktionen. Ein Plugin ist auch dann ideal, wenn Sie mehrere Websites mit wenig Aufwand absichern möchten.
WP REST API teilweise deaktivieren: Sinnvolle Ausnahmen
Eine vollständige Blockade kann Probleme machen, wenn Sie moderne WordPress-Funktionen nutzen. Der Block-Editor (Gutenberg), Live-Suche oder bestimmte Themes benötigen die REST API. Sie müssen wp-json aber nicht komplett deaktivieren – es reicht, kritische Endpunkte zu sperren. Beispielsweise können Sie den Zugriff auf /wp-json/wp/v2/users komplett unterbinden, um Benutzerprofile zu schützen. Nutzen Sie dafür Filter wie rest_endpoints und entfernen Sie unerwünschte Routen. Einfacher geht das mit Plugins wie „WP REST API Control“, das eine UI für die Auswahl erlaubt. So lassen Sie alles aktiv, was für den Betrieb nötig ist, und blockieren nur datenschutzrelevante Bereiche. Diese Strategie ist besonders für Unternehmenswebsites zu empfehlen, die ein Gleichgewicht zwischen Funktionalität und Sicherheit suchen.
DSGVO und WordPress: Ist das Deaktivieren von wp-json notwendig?
Die DSGVO schreibt kein WordPress-Update oder das Deaktivieren der REST API vor. Sie verlangt jedoch, personenbezogene Daten durch geeignete technische Maßnahmen zu schützen. Da /wp-json standardmäßig Daten wie Autorennamen und Kommentare offenlegt, kann das Sperren des Endpunkts ein Baustein Ihrer Datenschutzstrategie sein. Es ist eine sogenannte Maßnahme zur Risikominimierung. Beachten Sie, dass Sie weiterhin andere Sicherheitslücken schließen müssen, etwa durch Updates und sichere Passwörter. Wenn Sie die API deaktivieren, sollten Sie dies in Ihrer Datenschutzerklärung nicht erwähnen – die DSGVO verlangt keine Offenlegung von Sicherheitsmaßnahmen. Dokumentieren Sie die Änderung intern. Sinnvoll ist auch die Kombination mit einem Sicherheits-Plugin, um Angriffe über andere Wege zu erkennen und zu blockieren.
FAQ
Ja, es ist eine Maßnahme zur Risikominimierung und damit DSGVO-freundlich. Sie müssen nicht alle Daten blockieren, aber durch das Einschränken der REST API schützen Sie personenbezogene Daten. Wichtig ist, dass Sie die Einstellungen intern dokumentieren und andere Sicherheitsmaßnahmen beibehalten.