Website sicher halten

Die Sicherheit deiner Website und deiner persönlichen Daten hat immer Priorität. Auf dieser Seite erfährst du, wie wir deine Website und deine persönlichen Daten schützen und welche zusätzlichen Schritte wir dir hierzu empfehlen.  

Bei anderen WordPress-Hostern ist in der Regel der Website-Betreiber dafür verantwortlich, den Schutz mit einem Drittanbieter-Plugin einzurichten. Bei WordPress.com übernehmen wir das in deinem Namen. Hier sind einige der integrierten Funktionen und Prozesse, die deine Website bereits schützen:

Die WordPress-Software wird laufend mit den neuesten Sicherheitsfunktionen und Protokollen aktualisiert. Wenn die WordPress-Version deiner Website veraltet wäre, würde deine Website Sicherheitsrisiken ausgesetzt sein. Deshalb halten wir die WordPress-Version automatisch auf dem neuesten Stand – auf allen Websites, die auf WordPress.com gehostet werden.

Eine starke Verschlüsselung ist entscheidend, um deine Privatsphäre und Sicherheit zu schützen. Wir verschlüsseln (mit SSL) alle WordPress.com-Websites einschließlich individueller Domains. Eine sichere Verschlüsselung ist uns so wichtig, dass es keine Möglichkeit gibt, sie zu deaktivieren, da das die Sicherheit deiner WordPress.com-Website gefährden würde. Außerdem werden alle unsicheren HTTP-Anfragen per 301-Weiterleitung auf die sichere HTTPS-Version umgeleitet. Erfahre mehr darüber, wie wir deine Domain mit SSL absichern.

Jetpack Scan überprüft jede WordPress.com-Website täglich auf gefährliche Plugins, Themes, Malware und andere Sicherheitslücken. Sobald Schwachstellen erkannt werden, behebt unser Sicherheitsteam die Probleme umgehend und aktualisiert Dateien oder stellt sie je nach Problem wieder her. 

Unsere Systeme führen regelmäßig Backups deiner WordPress.com-Website-Daten durch, damit wir sie bei einem Ereignis, das zu Datenverlusten führt (wie etwa einem Stromausfall oder einer Naturkatastrophe), wiederherstellen können. Alle WordPress.com-Websites sind geschützt, und mit einem höheren Tarif kannst du über das Dashboard auf tägliche Backups zugreifen.

Eine Firewall ist eine wichtige Schutzschicht gegen Distributed-Denial-of-Service-Angriffe (DDoS) und andere Hacking-Versuche. Unsere Web Application Firewall (WAF) untersucht den eingehenden Traffic aller WordPress.com-Websites und entscheidet anhand verschiedener Regeln (z. B. verdächtige IP-Adressen, bösartige Bots und ungew��hnliche Traffic-Aktivitäten), ob er zugelassen oder blockiert wird.

Wenn du eine eigene App entwickelst, die eine Firewall-Verbindung benötigt, findest du auf der Seite Firewall-Regeln die zulässigen Protokolle und Ports.

Die Ausfallzeitüberwachung auf WordPress.com überwacht deine Website kontinuierlich und benachrichtigt dich sofort, wenn ein Ausfall erkannt wird. Mit einer Verfügbarkeit von 99,999 % sind Ausfälle bei WordPress.com durch Hosting-Probleme, Serverausfälle, Sicherheitsvorfälle oder Traffic-Spitzen im Vergleich zu anderen Hostern eher unwahrscheinlich. Unsere automatische Überwachung informiert dich aber sofort, falls es doch dazu kommt.

Wir beobachten kontinuierlich den Web-Traffic und überwachen verdächtige Aktivitäten. Unsere Sicherheitsmaßnahmen schützen vor unerwünschten Anmeldeversuchen, Brute-Force-Angriffen und Distributed-Denial-of-Service-Angriffen (DDoS).

Ein spezielles Sicherheitsteam kümmert sich um den Schutz deiner Daten. Wir arbeiten daran, Malware zu beseitigen und potenzielle Sicherheitsrisiken zu beheben, die von Jetpack Scan erkannt werden – unserem Sicherheitstool, das auf allen WordPress.com-Websites aktiviert ist.

Wir betreiben über HackerOne ein Bug-Bounty-Programm, um Personen zu belohnen, die Fehler finden und uns damit helfen, die Sicherheit unserer Dienste zu verbessern.

Bitte beachte, dass es nicht möglich ist, deine IP-Adresse auf eine Positivliste zu setzen, wenn du die Sicherheitsmaßnahmen deiner auf WordPress.com gehosteten Website selbst testen möchtest. Du kannst gerne testen, was du willst, aber da unser System nicht sicherstellen kann, dass du keine bösartigen Absichten hast, kann deine IP-Adresse vorübergehend gesperrt werden.

---

Keine Methode der Übermittlung von Daten im Internet und keine Art der elektronischen Speicherung ist vollkommen sicher. Wir können keine Garantie für die absolute Sicherheit deiner Website oder deines Kontos geben – kein Dienst kann das. Aber es ist uns sehr, sehr wichtig, deine Website und deine persönlichen Daten so gut wie möglich zu schützen.

Sicherheit ist keine Einbahnstraße. Auch du selbst kannst einiges tun, um deine Website und dein WordPress.com-Konto zu schützen:

Dein Passwort ist das schwächste Glied in der Sicherheit von allem, was du online tust. Es ist der Schlüssel zu deiner Website, deinen E-Mails, deinen Konten in sozialen Netzwerken und allen anderen Online-Diensten, die du nutzt. Wenn dein Passwort leicht zu erraten ist, ist deine Online-Identität gefährdet. Es muss nur eine Person dein Passwort erraten, und schon kann sie deine Website verunstalten, deine Domain stehlen oder sich als du ausgeben.

Jedes Passwort, das du verwendest, sollte leicht zu merken und schwer zu erraten sein. Eine zufällige Ziffern- und Zeichenfolge ist schwer zu erraten, aber ebenso schwer zu merken. Dein Geburtsdatum oder den Namen deines ersten Haustiers wirst du dagegen sicher nicht vergessen, dies ist aber trotzdem als Passwort äußerst ungeeignet, da es recht einfach zu erraten oder herauszufinden ist.

Auf WordPress.com kannst du sehr lange Passwörter mit einer beliebigen Kombination aus Buchstaben, Zahlen und Sonderzeichen verwenden, sodass die Sicherheit deines Passworts – und im weiteren Sinne deiner Website – ganz in deinen Händen liegt. Wir haben ein paar Tipps zum Erstellen sicherer Passwörter zusammengestellt.

Zusätzlich zu einem starken Passwort empfehlen wir dir, dein Konto mit der Zwei-Schritt-Authentifizierung noch besser abzusichern. Die Zwei-Schritt-Authentifizierung fügt deinem Anmeldevorgang einen zusätzlichen Schritt hinzu: Nachdem du dein Passwort eingegeben hast, musst du einen Code von deinem Telefon eingeben oder einen physischen Schlüssel verwenden. Das ist sicherer, denn selbst wenn jemand dein Passwort kennt, kann er sich nicht bei deinem Konto anmelden, solange er nicht auch Zugriff auf dein Telefon oder deinen physischen Schlüssel hat. Erfahre hier, wie du die Zwei-Schritt-Authentifizierung aktivierst.

Spezielle Teams überwachen aktiv die Sicherheitsscans deiner Website und helfen bei der Behebung gefundener Probleme. Wenn wir Malware auf deiner Website erkennen, handeln wir schnell und entfernen die betroffenen Dateien oder Verzeichnisse. Das kann dazu führen, dass sich das Erscheinungsbild oder die Funktionalität deiner Website ändert – in diesem Fall benachrichtigen wir dich per E-Mail.

Deshalb ist es wichtig, dass die E-Mail-Adresse deines WordPress.com-Kontos immer aktuell ist. Erfahre hier, wie du die E-Mail-Adresse deines Kontos änderst.

Du kannst dein Konto schützen, indem du dich nach getaner Arbeit stets wieder abmeldest. Dies ist besonders wichtig, wenn du einen gemeinsam genutzten oder öffentlichen Computer verwendest. Wenn du dich nicht abmeldest, kann eine andere Person über den Browser-Verlauf oder über dein noch geöffnetes WordPress.com-Dashboard auf dein Konto zugreifen.

Um dich von deinem WordPress.com-Konto abzumelden, klicke auf dein Profil unter https://my.wordpress.com/me/account. Klicke dann auf Abmelden:

Du kannst andere Personen einladen, an deiner Website mitzuwirken. Das ist ideal für Gruppenblogs mit mehreren Autoren, Websites im Magazinstil mit einem redaktionellen Workflow oder jede andere große Website, bei der du dir die administrative Arbeit teilen möchtest.

Das Teilen der Arbeitslast bedeutet jedoch auch, Verantwortung zu teilen. Deshalb kannst du auf WordPress.com verschiedene Rollen für jeden Benutzer festlegen, den du deiner Website hinzufügst. Jede Rolle hat unterschiedliche Berechtigungen:

• Mitarbeiter: Dies ist die am stärksten eingeschränkte Rolle: Ein Mitarbeiter kann nur Beitragsentwürfe erstellen, sie aber nicht veröffentlichen.
• Autor: Kann Beiträge veröffentlichen und Bilder hochladen, hat aber keinen Zugriff auf die Beiträge anderer Benutzer.
• Editoren: Können die Beiträge aller Benutzer bearbeiten oder veröffentlichen, Kommentare moderieren sowie Kategorien und Schlagwörter verwalten.
• Administratoren: Haben die volle Kontrolle über die Website – sie können sie sogar löschen.

Versuche beim Hinzufügen von Benutzern, die Rolle zu wählen, die am besten zu den Aufgaben passt, die sie auf deiner Website übernehmen sollen. Wenn du ein Konto für jemanden einrichtest, der nur ein paar Beiträge verfassen möchte, dann mache diese Person zum Mitarbeiter. Behalte die Rollen des Autors und des Editors vertrauenswürdigen Benutzern vor, die sich langfristig auf deiner Website engagieren.

Besonders vorsichtig solltest du mit der Administrator-Rolle sein. Wenn du einen anderen Benutzer zum Administrator machst, gibst du ihm vollen Zugriff, um beliebige Änderungen an der Website vorzunehmen. Füge nur Administratoren hinzu, denen du vertraust, und entferne sie wieder, wenn sie keinen Zugriff mehr auf die Website benötigen.

Das Jetpack-Aktivitätsprotokoll zeichnet alle Aktivitäten und Ereignisse auf deiner Website auf, damit du Änderungen oder unerwartete Vorkommnisse im Blick behältst. Überprüfe es regelmäßig, um über alle Aktionen auf deiner Website informiert zu bleiben.

Die Plugins und Themes deiner Website müssen regelmäßig aktualisiert werden, um Sicherheitslücken zu vermeiden und deine Website, ihre Inhalte und ihre Besucher zu schützen. Auf WordPress.com kannst du automatische Plugin- und Theme-Updates aktivieren.

Je mehr Themes und Plugins auf deiner Website installiert sind, desto mehr Angriffsmöglichkeiten bieten sich potenziellen Hackern. Lösche Plugins und Themes, die du nicht mehr benötigst – das verbessert nebenbei auch die Performance deiner Website.

Stelle sicher, dass E-Mails, die du von WordPress.com erhältst, tatsächlich echt sind.

• E-Mails von WordPress.com enden immer auf @wordpress.com
• WordPress.com-E-Mails stammen nie von @irgendwas.wordpress.com oder @irgendwas-wordpress.com
• Wenn du dir bei einer erhaltenen E-Mail unsicher bist, wende dich an uns, um ihre Echtheit zu überprüfen.

Wir werden dich niemals nach deinen Anmeldedaten fragen. Ebenso werden wir dich nie auffordern, dich anderswo anzumelden als über https://wordpress.com oder über dein eigenes WP-Admin-Dashboard unter yourgroovysite.com/wp-admin/, wobei du yourgroovysite.com durch deine gültige Website-Adresse ersetzt.

Dank der oben beschriebenen integrierten Sicherheitsmaßnahmen ist es sehr unwahrscheinlich, dass deine WordPress.com-Website gehackt wird. Solltest du in dem seltenen Fall ein Problem vermuten, folge unserem Schritt-für-Schritt-Ratgeber: Was tun, wenn du vermutest, dass deine Website gehackt wurde.

Bei anderen WordPress-Hostern installieren Website-Betreiber in der Regel ein Sicherheits-Plugin, um die Website zu überwachen, nach Malware zu scannen und Brute-Force-Angriffe sowie Anmeldeversuche zu blockieren. Beliebte Plugins sind zum Beispiel Wordfence und Sucuri Security.

Bei WordPress.com sind die Funktionen dieser Plugins jedoch bereits in die Plattform integriert. WordPress.com ist ein Managed-Hosting-Dienst, der alle wichtigen Funktionen bereitstellt, die ein Website-Betreiber normalerweise bei einer selbst gehosteten Website selbst einrichten müsste – einschließlich Sicherheit. 

Aus diesem Grund müssen Website-Betreiber von WordPress.com-Websites kein Sicherheits-Plugin installieren – tatsächlich können manche Sicherheits-Plugins sogar die bereits integrierten Sicherheitsprozesse auf deiner Website beeinträchtigen. Spare dir Zeit und Kosten, indem du die in diesem Ratgeber erläuterten Sicherheitsfunktionen nutzt. 

Wenn du Bedenken wegen der Sicherheit deiner Website hast, wende dich gerne an uns.