Website-Sicherheitscheck: Ihre Website in einer Minute prüfen
Geben Sie Ihre Adresse ein und sehen Sie, was Ihre Website nach außen preisgibt. Der Check prüft https, Sicherheits-Header, offene Dateien und typische WordPress-Schwachstellen und erklärt jedes Ergebnis verständlich.
Website-Sicherheitscheck
Wir lesen nur, was jeder Besucher sieht: Header, die Startseite und einige bekannte Pfade.
Dieser Check sieht nur die Außenseite. Plugins, Passwörter und den Server selbst kann er nicht beurteilen.
Was der Check prüft
Der Check ruft Ihre Website so ab, wie es ein Browser tut, und schaut sich die Antwort genau an. So können Sie die Sicherheit Ihrer Website prüfen, ohne etwas zu installieren.
| Prüfpunkt | Worum es geht |
|---|---|
| HTTPS und Weiterleitung | Läuft die Website verschlüsselt, und landet http automatisch auf https? |
| HSTS | Merkt sich der Browser, dass nur https erlaubt ist? |
| Sicherheits-Header | Content-Security-Policy, Schutz vor Einbettung (Clickjacking), X-Content-Type-Options, Referrer-Policy. |
| Sichtbare Versionen | Verrät der Server, welche Software, PHP- oder WordPress-Version er nutzt? Dann lassen sich bekannte Lücken gezielt suchen. |
| Offene Dateien | Sind ein .git-Ordner oder eine .env-Datei öffentlich abrufbar? Darin stehen oft Passwörter. |
| WordPress | Login-Adresse, XML-RPC, abrufbare Benutzernamen, Verzeichnislisten im Upload-Ordner, readme.html. |
Was der Check nicht sieht
Ein Website-Sicherheitscheck von außen ersetzt keinen Blick in die Website selbst. Diese Punkte kann er nicht beurteilen:
- ob Plugins, Themes und WordPress selbst aktuell sind
- wie stark Passwörter sind und ob die Zwei-Faktor-Authentifizierung aktiv ist
- ob es Backups gibt und ob sie sich wiederherstellen lassen
- wie der Server konfiguriert ist, etwa die PHP-Version, wenn er sie nicht nennt
- ob bereits Schadcode auf dem Server liegt
Nennt Ihr Server eine PHP-Version, vergleicht der Check sie mit den Versionen, die gegen PHP2Shell abgesichert sind. Mehr dazu auf unserer Seite zum PHP-Update und in der ausführlichen Warnung (auf Niederländisch).
Nächste Schritte nach dem Check
- Rote Punkte zuerst. Eine öffentliche .env-Datei oder ein offener .git-Ordner muss sofort gesperrt werden; danach alle Passwörter und Schlüssel daraus erneuern.
- Header ergänzen. HSTS, X-Content-Type-Options und Schutz vor Einbettung setzt Ihr Hoster oder Entwickler meist in wenigen Minuten. Eine Content-Security-Policy braucht etwas mehr Abstimmung.
- WordPress härten. Updates einspielen, ungenutzte Plugins löschen, Zwei-Faktor-Authentifizierung aktivieren, XML-RPC abschalten, wenn Sie es nicht nutzen.
- Grundsätzlich entscheiden. Wer jeden Monat neue Lücken stopft, sollte sich irgendwann fragen, ob die Website WordPress überhaupt braucht. Mehr dazu auf unseren Seiten zur WordPress-Alternative und zur WordPress-Wartung.
WordPress-Sicherheit: die wichtigsten Grundlagen
- Updates für Plugins und Themes wöchentlich, bei bekannten Lücken sofort.
- Ungenutzte Plugins und Themes löschen, nicht nur deaktivieren.
- PHP 8.3 oder neuer. PHP 8.2 bekommt nach Ende 2026 keine Sicherheitsupdates mehr.
- Zwei-Faktor-Authentifizierung für alle Administratoren und Admin-Rechte nur für Personen, die sie wirklich brauchen.
- Tägliche Backups außerhalb des Servers; ab und zu eine Wiederherstellung testen.
- Eine Firewall vor der Website, etwa über Ihren Hoster oder Cloudflare.
WordPress gehackt? Die ersten Schritte
Gehen Sie in dieser Reihenfolge vor, und löschen Sie nichts überstürzt, sonst fehlen später die Spuren.
- Website vom Netz nehmen, damit Besucher keinen Schadcode laden. Ein WordPress-Wartungsmodus reicht dafür nicht, weil PHP weiterläuft. Ihr Hoster kann die Website sperren.
- Hoster informieren. Viele Hoster haben Malware-Scans und Backups, die Sie selbst nicht sehen.
- Alle Passwörter ändern: WordPress-Administratoren, Hosting, FTP/SFTP, Datenbank und E-Mail. Unbekannte Benutzerkonten löschen.
- Sauberes Backup einspielen aus der Zeit vor dem Einbruch, oder die Website von einem Fachmann bereinigen lassen. Danach sofort alle Updates installieren, sonst kommt der Angreifer über dieselbe Lücke wieder.
- Datenschutz prüfen. Könnten personenbezogene Daten betroffen sein, besteht oft eine Meldepflicht mit kurzer Frist (siehe Fragen unten). Dokumentieren Sie, was passiert ist und was Sie unternommen haben.
- Google prüfen. In der Search Console sehen Sie unter „Sicherheitsprobleme“, ob Google Ihre Website markiert hat, und können nach der Bereinigung eine Überprüfung beantragen.
Wir bereinigen keine gehackten WordPress-Websites. Wir können Ihre Website aber auf Basis der Inhalte neu aufbauen, ohne WordPress und ohne PHP, sodass dieselbe Lücke nicht wieder auftauchen kann.
Häufige Fragen
Ist der Website-Sicherheitscheck kostenlos?
Ja. Sie geben eine Adresse ein und bekommen sofort ein Ergebnis. Eine Anmeldung ist nicht nötig.
Darf ich jede Website prüfen?
Der Check liest nur, was jeder Besucher auch sieht: die Startseite, die Header und einige bekannte Adressen. Er probiert keine Passwörter und greift nichts an. Prüfen Sie trotzdem am besten Ihre eigene Website oder die eines Kunden.
Alles grün: ist meine Website dann sicher?
Nicht unbedingt. Der Check sieht nur die Außenseite. Veraltete Plugins, schwache Passwörter, fehlende Backups oder eine unsichere Serverkonfiguration erkennt er nicht. Ein gutes Ergebnis heißt: Die Grundlagen stimmen.
Wie prüfe ich, ob meine WordPress-Website gehackt wurde?
Typische Anzeichen sind unbekannte Administratoren, fremde Seiten in den Google-Ergebnissen (Suche nach site:ihredomain.de), Weiterleitungen auf fremde Websites, eine Warnung im Browser oder eine Nachricht Ihres Hosters. Ein Malware-Scan des Hosters oder eines Sicherheits-Plugins gibt mehr Gewissheit.
Muss ich einen Hack der Datenschutzbehörde melden?
Wenn personenbezogene Daten betroffen sein könnten, etwa Kundenkonten, Bestellungen oder Formulareingaben, in der Regel ja: nach Art. 33 DSGVO innerhalb von 72 Stunden, nachdem Sie davon erfahren haben, bei der zuständigen Aufsichtsbehörde. Eine Ausnahme gilt nur, wenn voraussichtlich kein Risiko für die Betroffenen besteht. Im Zweifel fragen Sie Ihren Datenschutzbeauftragten.
Keine Lust mehr auf Prüfen und Flicken? Lesen Sie, wie Sie WordPress ohne Ranking-Verlust hinter sich lassen, oder sehen Sie, was eine neue Website bei uns kostet.
Weniger Technik, weniger Angriffsfläche.
Eine statische Website hat kein WordPress, kein PHP und keine Plugins, die man angreifen könnte. Schicken Sie uns Ihre Adresse, dann bekommen Sie einen kostenlosen Entwurf.