{"id":253839,"date":"2023-10-22T11:10:00","date_gmt":"2023-10-22T08:10:00","guid":{"rendered":"https:\/\/inform.click\/10-sicherheitshacks-fuer-wordpress-um-sie-vor-hackern-zu-schuetzen\/"},"modified":"2023-10-22T11:10:00","modified_gmt":"2023-10-22T08:10:00","slug":"10-sicherheitshacks-fuer-wordpress-um-sie-vor-hackern-zu-schuetzen","status":"publish","type":"post","link":"https:\/\/inform.click\/de\/10-sicherheitshacks-fuer-wordpress-um-sie-vor-hackern-zu-schuetzen\/","title":{"rendered":"10 Sicherheitshacks f\u00fcr WordPress, um Sie vor Hackern zu sch\u00fctzen"},"content":{"rendered":"

\n WordPress ist eine riesige Erfolgsgeschichte, nicht nur in Bezug auf die globalen Zahlen, sondern auch, was einige \u00fcberraschen mag, in Bezug auf gro\u00dfe Namen, die die Plattform nutzen.\n<\/p>\n

\n Wenn Sie im Internet sowohl eine betr\u00e4chtliche installierte Benutzerbasis als auch hochkar\u00e4tige Benutzer haben, k\u00f6nnen Sie einfach nicht vermeiden, ein Ziel f\u00fcr Hacker und Spammer zu werden. Vom Verkauf von Pillen \u00fcber die F\u00f6rderung verzerrter Ideologien bis hin zum Datendiebstahl und dem Brechen von Websites, nur weil sie es k\u00f6nnen, kann es f\u00fcr Ihr Unternehmen leicht ein gro\u00dfes Problem sein, gehackt zu werden.\n<\/p>\n

\n In diesem Artikel werde ich einen Blick auf einige der Tipps, Tricks und Hacks werfen, die Sie anwenden k\u00f6nnen, um sich selbst besser vor der zwielichtigen Schattenseite des Internets zu sch\u00fctzen.\n<\/p>\n

\n Machen Sie sich mit den Grundlagen vertraut
\n<\/h5>\n

\n W\u00e4hrend Sie vielleicht denken, dass einige dieser Elemente selbstverst\u00e4ndlich sein sollten, denken Sie nur dar\u00fcber nach, wie oft Sie nicht nur Kunden, sondern auch andere Entwickler, Designer und Agenturen gesehen haben, die es besser wissen sollten, an einigen davon schuld zu sein?\n<\/p>\n

\n Beginnen Sie damit, Ihre Passw\u00f6rter schwer zu erraten zu machen. Wie kannst du es ihnen schwer machen, dir aber leicht? Vielleicht k\u00f6nnen Sie zwielichtige Buchstabenersetzungen wie \u201eh3ll0″, das Mischen von Gro\u00df- und Kleinschreibung und das Einwerfen von Satzzeichen vergessen und stattdessen eine Eselsbr\u00fccke verwenden. Indem Sie drei oder vier W\u00f6rter zu einem am\u00fcsanten Bild verketten, ist Ihr Passwort viel einfacher zu merken als \u201et3r%?9.Fq!G“ und um Gr\u00f6\u00dfenordnungen schwerer zu knacken. Verwenden Sie einfach nicht ‚CorrectHorseBatteryStaple‘. Eine vollst\u00e4ndige und lustige Erkl\u00e4rung dieses Prinzips finden Sie in XKCD 936<\/a>.\n<\/p>\n

\n Sie sollten auch Ihre Plugins und den WordPress-Kern auf dem neuesten Stand halten. Dies ist jetzt mit sp\u00e4teren Versionen von WordPress einfacher zu bewerkstelligen. Ab WordPress 3.7 k\u00f6nnen Sie vier Arten von automatischen Updates konfigurieren: Kerndateien, Plugins, Themen und \u00dcbersetzungsdateien. Ein Wort der Vorsicht \u2013 abh\u00e4ngig von Ihrem Setup m\u00f6chten Sie m\u00f6glicherweise einige davon deaktivieren, damit Sie vor der Bereitstellung von Updates testen k\u00f6nnen. Aber selbst wenn Sie sie live lassen und Probleme haben, haben Sie immer noch t\u00e4gliche Backups, auf die Sie sich verlassen k\u00f6nnen, oder?\n<\/p>\n

\n Erleichtern Sie die Verwaltung mehrerer Websites, Plugins und Backups mit etwas wie InfiniteWP. Die Grundfunktionen sind kostenlos!\n<\/p>\n

\n Dies sind nicht die Anmeldeinformationen, nach denen Sie suchen
\n<\/h5>\n

\n Zus\u00e4tzlich zu einer \u00fcberlegenen Passwortst\u00e4rke sollten Sie auch Ihre Standard-Admin-URL verschieben und etwas anderes als \u201eadmin“ f\u00fcr Ihren Benutzernamen verwenden. Wenn die Hacker kein bestimmtes Ziel im Auge haben, versuchen sie normalerweise, Bots auszuf\u00fchren, um den Prozess zu automatisieren. Diese Bots suchen nach WordPress, probieren die Standardeinstellungen und die g\u00e4ngigsten Passw\u00f6rter aus \u2013 entfernen wir uns also von den Standardeinstellungen, um diese Aufgabe zu erschweren.\n<\/p>\n

\n Der vielleicht einfachste Weg, deine Anmelde-URL zu \u00e4ndern, ist, einen Blick auf Plugins wie HC Custom WP-Admin URL<\/a> zu werfen. Nat\u00fcrlich \u2013 f\u00fchren Sie zuerst ein Backup durch!\n<\/p>\n

\n Um Ihren Admin-Benutzernamen zu \u00e4ndern, ist es am einfachsten, einen neuen Admin-Benutzer mit dem von Ihnen gew\u00e4hlten Benutzernamen zu erstellen und den alten zu l\u00f6schen. Wenn Sie aus Ihrem Adminbereich ausgesperrt sind, weil Sie sich nicht an Ihren Benutzernamen erinnern, ben\u00f6tigen Sie eine etwas drastischere L\u00f6sung. Melden Sie sich bei phpMyAdmin an und laden Sie Ihre WordPress-Datenbank hoch. Scrollen Sie auf der linken Seite nach unten und suchen Sie nach der Tabelle \u201eks29so_users“. Suchen Sie den Benutzernamen, den Sie \u00e4ndern m\u00f6chten, z. B. \u201eadmin“, und \u00e4ndern Sie den Wert \u201euser_login“ in Ihren neuen Namen.\n<\/p>\n

\n Ein letztes Wort zum Anmeldevorgang
\n<\/h5>\n

\n Bevor wir uns vom Anmeldeprozess entfernen, gibt es noch ein paar weitere Aufgaben zu erledigen. Erinnern Sie sich an die Bots, die Passw\u00f6rter erraten? Machen wir es ihnen noch schwerer, indem wir sagen, dass man nur so viele Versuche innerhalb eines bestimmten Zeitrahmens machen kann und dass man vorher ein CAPTCHA korrekt transkribieren muss. F\u00fcr Captcha k\u00f6nnten Sie versuchen, dieses Plugin<\/a> zu installieren, und los geht's. Nebeneffekt \u2013 die Premium-Version l\u00e4sst sich in BuddyPress und Contact Form 7 integrieren, um Ihre Kontaktformulare vor Spam-\u00dcbermittlungen zu sch\u00fctzen.\n<\/p>\n

\n Um Anmeldeversuche zu begrenzen, k\u00f6nnen Sie entweder Plugins wie Limit Login Attempts hinzuf\u00fcgen oder Ihren Hosting-Provider fragen, der m\u00f6glicherweise eine L\u00f6sung hat \u2013 Wpengine zum Beispiel hat dies standardm\u00e4\u00dfig konfiguriert.\n<\/p>\n

\n Sichern von WordPress mit \u00c4nderungen an .htaccess
\n<\/h5>\n

\"\"<\/a><\/p>\n

\n Ich hoffe, Sie sind bereit, sich die H\u00e4nde ein wenig schmutzig zu machen, wenn wir zu Vorschl\u00e4gen \u00fcbergehen, die etwas kniffliger sind als \u201eein Plugin installieren“! F\u00fcgen Sie diese Vorschl\u00e4ge nach der Zeile #END WORDPRESS hinzu.\n<\/p>\n

\n Das erste hinzuzuf\u00fcgende Element wird zum Schutz von wp-config.php beitragen. Diese Datei w\u00e4re in den falschen H\u00e4nden gef\u00e4hrlich, da sie wichtige Informationen zu Ihrer Website und ihrer Datenbank enth\u00e4lt.\n<\/p>\n

\norderallow,deny\ndeny from all\n<\/code><\/pre>\n
\n  Das ist ein toller Anfang, was k\u00f6nnen wir noch tun? Nun, wir k\u00f6nnen die neugierigen Leute daran hindern, sich in Ihren Dateien und Ordnern umzusehen \u2013 ich denke, die Vorteile davon sind ziemlich selbsterkl\u00e4rend!\n<\/p>\n
\n  Das Folgende ist ein Overall, um das Durchsuchen von Verzeichnissen zu blockieren:\n<\/p>\n
# directory browsing\nOptions All -Indexes<\/code><\/pre>\n
\n  Wenn Sie eine Datei speziell blockieren m\u00f6chten, verwenden Sie Folgendes:\n<\/p>\n
\nOrder allow,deny\nDeny from all\n<\/code><\/pre>\n
\n  Jetzt machen wir Fortschritte \u2013 indem wir den Zugriff von denen entfernen, die ihn nicht ben\u00f6tigen. Um dies zu seiner logischen Schlussfolgerung zu bringen, schauen wir uns an, wie wir jemandem, von dem wir wissen, dass er ein schlechter Akteur ist, den Zugriff auf irgendetwas auf Ihrem Server verbieten k\u00f6nnen.\n<\/p>\n
\n  Sobald Sie die IP kennen, f\u00fcgen Sie einfach diese Zeilen hinzu und ersetzen Sie 127.0.0.1 durch die fehlerhafte IP:\n<\/p>\n
Order Deny,Allow\nDeny from 127.0.0.1<\/code><\/pre>\n
\n  Um dies mit neuen IPs zu aktualisieren, f\u00fcgen Sie einfach neue \u201eDeny from“-Zeilen hinzu. Wenn Sie einen ganzen Bereich sperren m\u00fcssen, lassen Sie den betreffenden Bereich einfach weg. Mit anderen Worten, um alles von 127.0.0.0 bis 127.0.0.255 zu blockieren, w\u00fcrden Sie Folgendes hinzuf\u00fcgen:\n<\/p>\n
Deny from 127.0.0.<\/code><\/pre>\n
\n  Der letzte Tipp in diesem Abschnitt ist, .htaccess selbst zu sch\u00fctzen. Es gibt einige Websites, die Methoden verbreiten, die gut, aber nicht gro\u00dfartig sind. Die folgende Methode stammt von Jeff Starr von Perishable Press<\/a> und ist viel gr\u00fcndlicher:\n<\/p>\n
# STRONG HTACCESS PROTECTION\n\n order allow,deny\n deny from all\n satisfy all\n<\/code><\/pre>\n
\n  Datenbankverbesserungen
\n<\/h5>\n
\n  Ein weiterer Vorteil von WordPress f\u00fcr Hacker ist, dass sie bei einer Standardinstallation wissen, wie Ihre Datenbanktabellen hei\u00dfen. WordPress verwendet standardm\u00e4\u00dfig das Pr\u00e4fix \u201eks29so_“, mit dieser \u00c4nderung entfernen wir uns wieder von den Annahmen der Hacker.\n<\/p>\n
\n  Zuerst teilen wir wp-config.php mit, dass wir das Tabellenpr\u00e4fix \u00e4ndern. \u00d6ffnen Sie diese Datei und bearbeiten Sie Folgendes:\n<\/p>\n
$table_prefix = 'ks29so_';<\/code><\/pre>\n
\n  F\u00fcgen Sie einige Zahlen oder Buchstaben hinzu:\n<\/p>\n
$table_prefix = \u2018ks29so_3drt5_\u2019;<\/code><\/pre>\n
\n  Sie m\u00fcssen dann alle Tabellennamen in Ihrer Datenbank durchgehen und \u00e4ndern. F\u00fchren Sie f\u00fcr jede Ihrer 11 Tabellen einen Befehl in der folgenden Form aus:\n<\/p>\n
RENAME TABLE \u2018ks29so_commentmeta\u2018 TO \u2018ks29so_3drt5_commentmeta\u2018;<\/code><\/pre>\n
\n  Es wird wahrscheinlich ein paar andere Verweise auf das alte Pr\u00e4fix geben, die Sie kl\u00e4ren m\u00fcssen. F\u00fchren Sie diese Abfrage aus, um alles aus der Optionstabelle mit dem alten Pr\u00e4fix aufzulisten:\n<\/p>\n
SELECT * FROM ` ks29so_3drt5_options` WHERE `option_name` LIKE'%ks29so_%'<\/code><\/pre>\n
\n  Leider m\u00fcssen Sie jeden einzeln durchgehen und aktualisieren.\n<\/p>\n
\n  Dann m\u00fcssen wir uns die UserMeta-Tabelle ansehen, derselbe Vorgang wie zuvor:\n<\/p>\n
SELECT * FROM ` ks29so_3drt5_usermeta` WHERE `meta_key` LIKE'%ks29so_%'<\/code><\/pre>\n
\n  Schlie\u00dflich k\u00f6nnen Sie Ihren MySQL-Datenbankbenutzer auch darauf beschr\u00e4nken, nur die folgenden Lese- und Schreibrechte zu haben: SELECT, INSERT, UPDATE und DELETE. So k\u00f6nnen Sie Berechtigungen f\u00fcr Datenbankstruktur und Admin entziehen: DROP, ALTER und GRANT. Dies kann jedoch das Aktualisieren des Kerns und das Hinzuf\u00fcgen neuer Plugins schwierig machen, da sie m\u00f6glicherweise wirklich die Datenbankstruktur \u00e4ndern m\u00fcssen. Wenn Sie diesen Weg einschlagen, m\u00fcssen Sie Ihre Backups und Tests gr\u00fcndlich durchf\u00fchren.\n<\/p>\n
\n  Neue Schl\u00fcssel bitte
\n<\/h5>\n
\"\"<\/a><\/p>\n
\n  Deine geheimen Schl\u00fcssel werden in wp-config.php gespeichert. Sie sind jedoch nicht so geheim, wenn Sie sie auf den Standardwerten belassen! Verbessern Sie Ihre Sicherheit, indem Sie diese \u00e4ndern \u2013 ich empfehle Ihnen jedoch, sich nicht auf Ihr eigenes Gef\u00fchl f\u00fcr Zuf\u00e4lligkeit und Komplexit\u00e4t zu verlassen. Verwenden Sie so etwas wie diesen Dienst<\/a> \u2013 dieser definiert nicht nur Schl\u00fcssel f\u00fcr Sie, sondern f\u00fchrt sie alle auf einmal im richtigen Format aus, damit Sie sie direkt in Ihre Datei einf\u00fcgen k\u00f6nnen. Das Dr\u00fccken von Refresh zeigt, dass Sie jedes Mal, wenn Sie dies laden, einen neuen Schl\u00fcsselsatz erhalten.\n<\/p>\n
\n  Originalrezeptquelle
\n<\/h5>\n
\n  Plugins sind ein ausreichend gro\u00dfer Angriffsvektor, wenn Exploits entdeckt und unter Hackern verbreitet werden, daher sollten Sie zumindest sicherstellen, dass Sie der Quelle des Plugins vertrauen. Andernfalls k\u00f6nnten Sie derjenige sein, der den Exploit auf Ihrer eigenen Website platziert, indem Sie ein zwielichtiges Plugin mit Malware hinzuf\u00fcgen.\n<\/p>\n
\n  Fr\u00fchjahrsputz
\n<\/h5>\n
\n  Da Designs und Plugins eine potenzielle Schwachstelle darstellen, halten wir sie nach M\u00f6glichkeit auf dem neuesten Stand. Wenn Sie ein Plugin\/Theme nicht mehr verwenden, l\u00f6schen Sie es vollst\u00e4ndig. Deaktivieren ist nicht gut genug \u2013 werden Sie es einfach los! Wenn ein Plugin von seinem Entwickler aufgegeben wurde, w\u00e4re es auch eine gute Idee, etwas Neues zu finden und das alte zu l\u00f6schen \u2013 wenn eine Sicherheitsl\u00fccke gefunden wird, wird sie nicht gepatcht und es wird wahrscheinlich sehr teuer sein, eine benutzerdefinierte L\u00f6sung zu finden.\n<\/p>\n
\n  L\u00f6schen Sie analog alle Logins, die Sie nicht mehr ben\u00f6tigen. Vielleicht vertrauen Sie Ihren ehemaligen Mitarbeitern, und das ist in Ordnung, aber es geht nicht nur um Vertrauen. Es geht auch darum, den verf\u00fcgbaren Angriffsbereich so weit wie m\u00f6glich zu reduzieren und Personen auf das erforderliche Mindestma\u00df an Zugriff zu beschr\u00e4nken. Typischerweise ben\u00f6tigt ein ehemaliger Mitarbeiter oder Autor keinen Zugang \u2013 ich bin sicher, er wird es verstehen!\n<\/p>\n
\n  Zugangsrichtlinie gilt \u2013 Nur vertrauensw\u00fcrdige Admin-IP zulassen
\n<\/h5>\n
\n  Ich habe dies von den anderen .htaccess-Tipps getrennt, da dies m\u00f6glicherweise ein etwas ernsterer Schritt ist, den es zu ber\u00fccksichtigen gilt. Im Gegensatz zum vorherigen Schritt, bekannte schlechte IPs zu verbieten, geht es hier darum, nur bekannte gute IPs zuzulassen. Es verbessert Ihre Sicherheit, aber auf Kosten Ihrer Bequemlichkeit, da Sie sich darauf beschr\u00e4nken, wo Sie sich anmelden k\u00f6nnen, um auf Ihrer Website zu arbeiten. Fahren Sie damit fort, wenn Sie sich nicht viel bewegen, wenn Sie st\u00e4ndigen Angriffsversuchen ausgesetzt waren oder wenn Sie einfach glauben, dass es diese zus\u00e4tzliche Sicherheit wert ist.\n<\/p>\n
orderdeny,allow\nallow from 127.0.0.1\ndeny from all<\/code><\/pre>\n
\n  (Ersetzen Sie wieder 127.0.0.1 durch Ihre IP).\n<\/p>\n
\n  SSL
\n<\/h5>\n
\n  Sie sollten nicht \u00fcber einen \u00f6ffentlichen Wi-Fi-Dienst auf Ihren Administrator zugreifen \u2013 wenn Sie dies tun, werden die Anmeldeinformationen im Klartext \u00fcber die Luft gesendet. Der ruchlose Hacker k\u00f6nnte neben Ihnen sitzen, einen Latte trinken und heimlich einen Man-in-the-Middle-Angriff durchf\u00fchren, um an Ihre Passw\u00f6rter und andere sensible Daten zu gelangen.\n<\/p>\n
\n  Wenn es aber sein muss, k\u00f6nnen Sie sich zumindest etwas mehr Schutz bieten, indem Sie SSL aktivieren. Stellen Sie zun\u00e4chst sicher, dass Ihr Server dies unterst\u00fctzt, \u00f6ffnen Sie dann Ihre wp-config.php-Datei und f\u00fcgen Sie die folgende Zeile hinzu:\n<\/p>\n
define('FORCE_SSL_ADMIN', true);<\/code><\/pre>\n
\n  Andere Dinge zum Anschauen
\n<\/h5>\n
\n  Das war es f\u00fcr meine wichtigsten Tipps, aber es gibt noch andere Aspekte, die es zu beachten gilt. Sie k\u00f6nnen Ihren .htaccess weiter absichern, indem Sie beispielsweise verhindern, dass PHP-Skripte dort ausgef\u00fchrt werden, wo sie nicht ausgef\u00fchrt werden sollten. Sie k\u00f6nnen auch sicherstellen, dass Ihre Dateiberechtigungen angemessen festgelegt sind \u2013 nicht nur in Ihren WordPress-Dateien, sondern auf dem gesamten Server.\n<\/p>\n
\n  Mein letzter wichtiger Tipp w\u00e4re jedoch, sich zu sichern. Dieser ganze Artikel basiert auf der Idee, dass Vorbeugen besser als Heilen ist, aber regelm\u00e4\u00dfige, verwendbare und getestete Backups sollten vorhanden sein, nur f\u00fcr den Fall, dass Sie sie brauchen. Lassen Sie mich sowohl regelm\u00e4\u00dfig als auch getestet betonen \u2013 ein Backup von vor einem Jahr ist im Grunde kein Backup f\u00fcr die meisten Websites, die in dieser Zeit stark gewachsen sind. Wenn die Sicherungen nicht getestet werden, haben Sie keine Sicherung. Sie m\u00f6chten wirklich nicht an den Punkt kommen, an dem ein Backup ben\u00f6tigt wird, und nur die Daumen dr\u00fccken und hoffen m\u00fcssen, dass es funktioniert!\n<\/p>\n
\n  Was haben Sie getan, um Ihre WordPress-Website zu sichern? Wo ziehen Sie die Grenze zwischen Sicherheit und Zug\u00e4nglichkeit\/Benutzerfreundlichkeit? Lass es mich in den Kommentaren wissen.\n<\/p>\n<\/p>\n
\n  Aufnahmequelle: instantshift.com<\/a>\n<\/div>\n","protected":false},"excerpt":{"rendered":"
WordPress ist eine riesige Erfolgsgeschichte, nicht nur in Bezug auf die globalen Zahlen, sondern auch, was einige \u00fcberraschen mag, in Bezug auf gro\u00dfe Namen, die die Plattform nutzen. Wenn Sie im Internet sowohl eine betr\u00e4chtliche installierte Benutzerbasis als auch hochkar\u00e4tige Benutzer haben, k\u00f6nnen Sie einfach nicht vermeiden, ein Ziel f\u00fcr Hacker und Spammer zu werden. Vom Verkauf von Pillen \u00fcber die F\u00f6rderung verzerrter Ideologien bis hin zum Datendiebstahl und dem Brechen von Websites, nur weil sie es k\u00f6nnen, kann es f\u00fcr Ihr Unternehmen leicht ein gro\u00dfes Problem sein, gehackt zu werden. In diesem Artikel werde ich einen Blick auf einige der Tipps, Tricks und Hacks werfen, die Sie \u2026<\/p>\n","protected":false},"author":1,"featured_media":143442,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"footnotes":"","_wp_rev_ctl_limit":""},"categories":[224,55,107,120],"tags":[],"class_list":["post-253839","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-lehrbuecher","category-web-und-wordpress","category-web-sicherheit","category-web-tools"],"_links":{"self":[{"href":"https:\/\/inform.click\/de\/wp-json\/wp\/v2\/posts\/253839","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/inform.click\/de\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/inform.click\/de\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/inform.click\/de\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/inform.click\/de\/wp-json\/wp\/v2\/comments?post=253839"}],"version-history":[{"count":0,"href":"https:\/\/inform.click\/de\/wp-json\/wp\/v2\/posts\/253839\/revisions"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/inform.click\/de\/wp-json\/wp\/v2\/media\/143442"}],"wp:attachment":[{"href":"https:\/\/inform.click\/de\/wp-json\/wp\/v2\/media?parent=253839"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/inform.click\/de\/wp-json\/wp\/v2\/categories?post=253839"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/inform.click\/de\/wp-json\/wp\/v2\/tags?post=253839"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}