In diesem Artikel beleuchten wir, warum ein sicherer Benutzername so wichtig ist, welche vorbereitenden Schritte erforderlich sind und welche Methoden dir zur Verfügung stehen, um den Benutzernamen zu ändern. Zudem zeigen wir dir, welche Maßnahmen du zusätzlich ergreifen solltest, um deine Website vor unbefugtem Zugriff zu schützen.

Warum ist die Änderung des WordPress-Benutzernamens wichtig?

Das Ändern des WordPress Benutzernamens ist aus verschiedenen Sicherheitsgründen von großer Bedeutung:

• Sicherheitsrisiko durch Standard-Benutzernamen: Wenn du den Standard-Benutzernamen „admin“ beibehältst, setzt du deine Website einem erhöhten Sicherheitsrisiko aus. Angreifer zielen häufig auf diesen Namen ab, da er oftmals der voreingestellte Name ist.
• Gefahren von Brute-Force-Attacken: Bei Brute-Force-Angriffen versuchen Hacker, sich durch wiederholtes Eingeben von Benutzernamen und Passwörtern Zugang zu verschaffen. Ein einfacher Benutzername wie „admin“ macht diesen Prozess leichter.

Deshalb ist es wichtig, deinen Benutzernamen zu ändern und einen neuen Benutzernamen zu wählen, der einzigartig und schwer zu erraten ist. Verwende dabei eine Kombination aus Buchstaben, Zahlen und Sonderzeichen, um die Sicherheit deines WordPress-Kontos zu erhöhen.

Vorbereitende Schritte vor der Änderung des Benutzernamens

Bevor du deinen Benutzernamen änderst, solltest du einige wichtige Vorbereitungen treffen.

Backup deiner WordPress-Seite

Erstelle ein vollständiges Backup deiner WordPress-Seite, um Datenverlust bei der Änderung zu vermeiden. Dies kann über das Hosting-Dashboard oder ein Backup-Plugin durchgeführt werden. Regelmäßige Backups sind unerlässlich und stellen sicher, dass du im Falle eines Fehlers oder Angriffs jederzeit zu einer früheren, funktionierenden Version deiner Website zurückkehren kannst.

Anleitung zum Erstellen eines Backups

1. Backup-Plugin installieren: Es gibt zahlreiche Plugins, die dir das Backup deiner WordPress-Website erleichtern. Beliebte Optionen sind UpdraftPlus, BackWPup und Duplicator.
2. Backup-Plugin konfigurieren: Konfiguriere das Plugin entsprechend deiner Bedürfnisse. Stelle sicher, dass das Plugin alle wichtigen Daten wie Datenbank, Themes, Plugins und Uploads sichert.
3. Backup durchführen: Führe das Backup durch, in dem du die entsprechende Option im Plugin auswählst. Die meisten Plugins bieten eine einfache, benutzerfreundliche Oberfläche, um den Backup-Vorgang zu starten.

Sicheres Passwort

Neben dem Benutzernamen ist ein sicheres Passwort entscheidend. Ein schwaches Passwort macht es Angreifern leichter, sich Zugang zu deiner Website zu verschaffen. Verwende bei deiner Wahl eine Kombination aus Groß- und Kleinbuchstaben, Zahlen und Sonderzeichen, um ein Passwort zu erstellen, das schwer zu knacken ist. Denke daran, dein Passwort regelmäßig zu aktualisieren, um die Sicherheit deines Kontos weiter zu erhöhen.

Methoden zur Änderung des WordPress-Benutzernamens

Es gibt mehrere Möglichkeiten, den Benutzernamen in WordPress zu ändern. Jede Methode hat ihre Vor- und Nachteile, und welche du wählst, hängt auch von deiner technischen Erfahrung und den spezifischen Anforderungen deiner Website ab. Hier sind die gängigsten Methoden:

• Änderung des Benutzernamens über ein Plugin: Die einfachste und benutzerfreundlichste Methode zur Änderung des WordPress-Benutzernamens ist die Verwendung eines Plugins. Es gibt verschiedene Plugins, die speziell für diese Aufgabe entwickelt wurden.
• Erstellen eines neuen Benutzers und Löschen des alten Benutzers: Eine alternative Methode, insbesondere wenn du keine Plugins verwenden möchtest, ist die Erstellung eines neuen Benutzers mit Administratorrechten und das anschließende Löschen des alten Benutzers.
• Änderung des Benuternamens über die Datenbank: Für technisch versierte Nutzer besteht die Möglichkeit, den Benutzernamen direkt in der WordPress-Datenbank zu ändern. Diese Methode erfordert Zugriff auf phpMyAdmin oder ein ähnliches Datenbank-Management-Tool.
• Änderung des Benutzernamens durch Code-Anpassung: Für Entwickler, die Zugang zum WordPress-Dateisystem haben, kann der Benutzernamen auch durch Hinzufügen von Code in der Datei functions.php des aktiven Themes geändert werden.

Neuen WordPress-Benutzer erstellen und alten löschen

Wenn du einen neuen Benutzer anlegen und den alten Benutzer entfernen möchtest, gehe wie folgt vor:

1. Neuen Benutzer mit WordPress Admin-Rechten anlegen: Gehe in deinem WordPress-Dashboard zu „Benutzer“ > „Neu hinzufügen“ und erstelle einen neuen Benutzer mit Administratorrechten. Gib diesem neuen User einen Benutzernamen, der einzigartig und sicher ist.
2. Mit dem neuen Benutzer einloggen: Melde dich mit dem neuen Benutzer an und überprüfe, ob alle Berechtigungen korrekt gesetzt sind.
3. Alten Benutzer löschen: Lösche den alten Benutzer und übertrage alle Inhalte auf den neuen Administrator, um Datenverlust zu vermeiden.

Falls nötig, kannst du zusätzlich ein Plugin wie Admin Renamer verwenden, um den neuen Benutzernamen nachträglich zu ändern oder anzupassen.

Der Einsatz von Plugins zur Benutzernamenänderung

Diese Plugins bieten dir eine einfache Möglichkeit zur Benutzernamenänderung in WordPress:

• Username Changer: Der Username Changer ermöglicht dir, den Benutzernamen direkt per Plugin über das WordPress-Dashboard zu ändern. Nach der Installation und Aktivierung findest du die entsprechenden Einstellungen unter „Benutzer“ > „Alle Benutzer“.
• Alternative Plugins: Weitere nützliche Plugins sind Easy Username Updater und WP Edit Username, die ähnliche Funktionen bieten und ebenfalls sehr einfach zu bedienen sind.
• Edit Author Slug: Dieses Plugin geht noch einen Schritt weiter und ermöglicht es dir, nicht nur den Benutzernamen, sondern auch den Autorenslug zu editen. Dies ist besonders hilfreich, wenn du den öffentlich sichtbaren Namen eines Autors auf deiner Website ändern möchtest.

Direkt in der Datenbank den Benutzernamen ändern

Für fortgeschrittene Benutzer, die mit MySQL-Datenbanken vertraut sind, kann auch die direkte Änderung in der Datenbank eine Option sein:

• Zugriff via phpMyAdmin: Melde dich bei deinem Hosting-Provider an und navigiere zum phpMyAdmin-Bereich.
• Benutzernamen ändern:
  1. Wähle die MySQL-Datenbank, welche zu deiner WordPress-Installation gehört. Du findest diese in der Regel in der Datei wp-config.php deines WordPress-Verzeichnisses.
  2. Öffne die Tabelle wp_users und finde den gewünschten Benutzer.
  3. Bearbeite das Feld user_login und ändere den Benutzernamen.
  4. Speichere die Änderungen und überprüfe, ob die Anpassungen korrekt vorgenommen wurden.
• Datensicherung vor Änderungen: Bevor du in der Datenbank Änderungen vornimmst, solltest du unbedingt ein Backup der gesamten Datenbank erstellen. Dies schützt dich vor Datenverlust, falls bei der Bearbeitung ein Fehler auftritt.

Zusätzliche Sicherheitsmaßnahmen nach der Benutzernamenänderung

Nachdem du den Benutzernamen geändert hast, solltest du weitere Sicherheitsmaßnahmen ergreifen, um deine Website bestmöglich zu schützen:

• Sicherheits-Plugins installieren: Plugins wie Limit Login Attempts Reloaded helfen, Brute-Force-Angriffe auf dein WordPress Backend zu verhindern, indem sie die Anzahl der Anmeldeversuche begrenzen und somit die Möglichkeiten von Angreifern limitieren.
• Admin-URL verbergen oder ändern: Verwende Plugins wie WPS Hide Login, um die Standard-Admin-URL zu ändern. Dies erschwert es Angreifern, die Anmeldeseite zu finden und potentiell zu attackieren.
• Sichere Benutzernamen und Passwörter verwenden: Vermeide einfache und unsichere Benutzernamen und Passwörter. Nutze stattdessen starke, komplexe Passwörter und ändere diese regelmäßig.

Schlussfolgerung: Ein sicherer WordPress-Benutzername als Schlüssel zur Webseiten-Sicherheit

Ein sicherer WordPress-Benutzername ist entscheidend für die Sicherheit deiner Website. Standard-Benutzernamen wie „admin“ sind leicht angreifbar und erhöhen das Risiko von Angriffen erheblich.

Wenn du den Benutzernamen einzigartig änderst und zudem ein sicheres Passwort verwendest, stellst du sicher, dass Angreifer es deutlich schwerer haben, sich Zugang zu deiner Website zu verschaffen. Durch die Implementierung zusätzlicher Sicherheitsplugins kannst du deine Website noch wirksamer vor unbefugtem Zugriff schützen.

Zusätzliche Maßnahmen wie das Verbergen der Admin-URL und regelmäßige Backups tragen weiter zur Sicherheit bei. Um dauerhaft geschützt zu bleiben, solltest du deine Sicherheitseinstellungen regelmäßig überprüfen und up-to-date halten.

The post Benutzernamen in WordPress anpassen: Mit Plugin oder manuell appeared first on UltraPress - Das WordPress Tutorial für Dein Business.

Egal, ob du eine neue Website erstellst, einen Produkt-Launch planst oder exklusive Informationen nur für bestimmte Nutzer zugänglich machen möchtest – der Passwortschutz ist eine einfache, aber wirkungsvolle Lösung, um deine Webseite oder bestimmte Teilbereiche von der Öffentlichkeit abzuschirmen.

In diesem Artikel zeigen wir dir, wie du deine WordPress-Seite oder einzelne Seiten und Beiträge durch einen passwortgeschützten Zugang absichern kannst, welche Tools und Methoden dir helfen können, und was du dabei in Bezug auf die DSGVO beachten solltest.

Einführung in den Passwortschutz bei WordPress

Der Passwortschutz spielt eine zentrale Rolle, wenn es darum geht, deine WordPress-Seite effektiv abzusichern.

Egal, ob du eine neue Website launchst, die Landingpage für eine bevorstehende Produkteinführung planst, einen internen Bereich für Teammitglieder erstellst oder einfach Inhalte vor unbefugtem Zugriff schützen möchtest – es gibt viele Situationen, in denen dir ein passwortgeschützter Bereich die notwendige Sicherheit bietet, um deine Inhalte nur für ausgewählte Nutzer zugänglich zu machen oder sie geheim zu halten, bis sie vollständig bereit sind. Du kannst sowohl gezielte Seiten als auch die gesamte Website ganz einfach mit einem Passwort schützen.

Gerade auch im Hinblick auf die DSGVO-Konformität deiner WordPress-Seite kann es wichtig sein, vertrauliche Inhalte durch ein Passwort abzusichern, um sicherzustellen, dass nur autorisierte Benutzer zugreifen können.

Grundlagen des WordPress Passwortschutzes

Bevor du den Passwortschutz für deine WordPress-Seite einrichtest, ist es wichtig, die grundlegenden Einstellungen zu verstehen, die WordPress in Bezug auf Status und Sichtbarkeit bietet. Dir stehen verschiedene Optionen zur Verfügung, um festzulegen, wie deine Inhalte angezeigt werden:

• Öffentlich: Jeder kann den Inhalt sehen.
• Privat: Nur angemeldete Benutzer mit bestimmten Rechten können zugreifen.
• Passwortgeschützt: Der Inhalt ist durch ein Passwort gesichert, das eingegeben werden muss, um den Zugriff zu ermöglichen.

Indexierung durch Suchmaschinen

Ein wichtiger Punkt ist auch die Indexierung durch Suchmaschinen – passwortgeschützte Inhalte werden in der Regel nicht indexiert, wodurch sie für die Öffentlichkeit unsichtbar bleiben. Dies bietet zusätzlichen Schutz, vor allem wenn du sensible Daten oder vertrauliche Informationen auf deiner Website bereitstellst.

Auswahl des richtigen Passwortschutzes

Es gibt verschiedene Möglichkeiten, wie du deine WordPress-Seite mit einem Passwortschutz versehen kannst.

WordPress-Core-Funktionen

WordPress selbst bietet im Abschnitt vorher genannte grundlegende Funktionen, um Seiten und Beiträge zu schützen.

WordPress-Plugins

WordPress-Plugins wie Password Protected bieten erweiterte Optionen. Wenn du das Plugin installierst und aktiviert hast, kannst du damit beispielsweise Passwörter zeitlich begrenzen oder ganze Verzeichnisse schützen.

Die Wahl zwischen den WordPress-Core-Funktionen und einem Plugin hängt von deinen spezifischen Anforderungen und technischen Kenntnissen ab. Wenn du bereits Erfahrung mit WordPress hast und deine Seite nur grundlegend schützen möchtest, reichen die integrierten Funktionen oft aus. Für umfangreichere Anforderungen und mehr Kontrolle über den Passwortschutz kann jedoch ein Plugin die bessere Wahl sein.

WordPress-Website vollständig absichern

Wenn du deine WordPress-Seite vollständig absichern möchtest, gibt es hierfür Methoden, die über den einfachen Passwortschutz hinausgehen. Eine gängige Methode ist die Verwendung von .htaccess und htpasswd Dateien. Diese Dateien ermöglichen es dir, bestimmte Verzeichnisse, einzelne Seiten oder eben sogar die gesamte Website auf Serverebene zu schützen. Diese Methode ist auch dann gut geeignet, wenn du mehrere Sicherheitsebenen implementieren möchtest.

Testumgebung einrichten

Wenn du umfangreiche Änderungen an deiner WordPress-Seite vornehmen und sie deshalb vorübergehend vollständig absichern möchtest, empfiehlt es sich, eine Testumgebung einzurichten, um sicherzugehen, dass alle Anpassungen reibungslos funktioniert, bevor du sie live schaltest.

Hier eine kurze Anleitung, wie du dabei vorgehen kannst:

• Installation von WordPress: Installiere WordPress auf deinem Rechner.
• Klonen deiner Website: Nutze Plugins wie Duplicator, um eine exakte Kopie deiner Live-Website zu erstellen.
• Änderungen vornehmen: Teste neue Funktionen, .htaccess-Änderungen, Plugins oder Designanpassungen in dieser sicheren Umgebung.
• Ergebnisse überprüfen: Stelle sicher, dass alle Änderungen ordnungsgemäß funktionieren und keine Probleme auftreten.
• Live-Übertragung: Wenn alles einwandfrei funktioniert, kannst du die Änderungen auf deine Live-Website übertragen, indem du die aktualisierten Dateien und Datenbankänderungen hochlädst.

Mitgliedschaftssysteme

Ein weiterer effektiver Ansatz, um Inhalte deiner WordPress-Seite vor unbefugten Zugriffen zu schützen, ist die Implementierung von Mitgliedschaftssystemen. Mitgliedschaftssysteme erlauben es dir, exklusive Inhalte nur für registrierte Benutzer zugänglich zu machen.

Einzelne Beiträge und Seiten passwortgeschützt machen

Um einzelne Seiten und Beiträge deiner WordPress-Seite mit einem Passwort zu versehen, gehe wie folgt vor:

1. Seiten oder Beiträge bearbeiten, die du schützen möchtest.
2. Unter Status und Sichtbarkeit die Option „Passwortgeschützt“ auswählen.
3. Passwort festlegen und speichern.

Dies ist besonders praktisch, wenn du nur bestimmte Inhalte schützen möchtest, wie beispielsweise interne Blogposts oder exklusive Artikel und Downloads. Nachdem du ein Passwort festgelegt hast, können nur noch Benutzer, die das Passwort kennen, auf diesen Inhalt zugreifen.

Spezifische Plugins für erweiterten Schutz nutzen

Prevent Direct Access und Download Monitor

Für zusätzlichen Schutz deiner Inhalte gibt es spezialisierte Plugins. Zu den bekanntesten gehören Prevent Direct Access und Download Monitor. Diese Plugins erweitern die Standardfunktionen von WordPress und bieten benutzerfreundliche Lösungen, um Inhalte nicht nur passwortgeschützt, sondern auch vor direkten Downloads oder geschützte Dateien vor unbefugtem Zugriff zu schützen.

PPWP und Passster

Wenn du ein extra Plugin benötigst, um deine Website noch sicherer zu machen, bieten sich auch PPWP oder Passster an, die dir noch weitere Kontrolloptionen zum Schutz deiner Inhalte geben und sich zudem auch nahtlos in den WordPress Customizer integrieren lassen.

Umgang mit technischen Herausforderungen

Caching

Der Einsatz von einem Passwortschutz kann gelegentlich technische Herausforderungen mit sich bringen, insbesondere in Verbindung mit Caching. Wenn passwortgeschützte Inhalte im Cache gespeichert werden, könnten sie versehentlich ungeschützt angezeigt werden. In solchen Fällen solltest du das Caching für passwortgeschützte Inhalte deaktivieren oder spezielle Einstellungen vornehmen, um diese Inhalte korrekt zu schützen.

Impressum und Datenschutzerklärung

Ein weiteres wichtiges Thema ist der Zugriff auf rechtlich relevante Seiten wie Impressum und Datenschutzerklärung. Auch wenn deine gesamte Seite durch die pflichtmäßige Eingabe des Passworts geschützt ist, muss der gesamte Inhalt dieser Seiten weiterhin zugänglich bleiben, um den gesetzlichen Anforderungen zu entsprechen.

WordPress-Login Seite und DSGVO-Konformität

Wenn Benutzer sich auf deiner Website anmelden müssen, um auf bestimmte geschützte Inhalte zuzugreifen, ist die Gestaltung einer DSGVO-konformen WordPress-Login-Seite essentiell. Die gesetzlichen Anforderungen umfassen klare Hinweise auf die Verwendung von Benutzernamen und Passwörtern sowie Links zu Impressum und Datenschutzerklärung. Auch die Sichtbarkeit und der Zugriff auf diese Seiten sollte gewährleistet sein, selbst wenn andere Teile deiner Website passwortgeschützt sind.

• Benutzernamen und Passwort: Sicherstellen, dass die Eingabe benutzerfreundlich und sicher ist.
• Sichtbarkeit: Alle rechtlich relevanten Informationen wie z.B. Impressum und Datenschutzerklärung müssen klar sichtbar sein.

Mit einer sorgfältig gestalteten Login-Seite stellst du sicher, dass deine Website nicht nur sicher, sondern auch rechtlich auf der sicheren Seite ist.

Regelmäßige Aktualisierung und Überwachung

Ein effektiver Passwortschutz erfordert regelmäßige Updates und kontinuierliche Überwachung. Deine aktivierten Schutzmaßnahmen sollten stets auf dem neuesten Stand gehalten werden, damit du gegen aktuelle Bedrohungen optimal gewappnet bist. Plugins helfen dir dabei, sicherzustellen, dass dein Schutz wirksam bleibt. Regelmäßige Updates schließen potenzielle Sicherheitslücken und verbessern die Gesamtleistung deiner Website.

Fazit und Empfehlungen

Zusammenfassend lässt sich sagen, dass der Passwortschutz ein zentraler Bestandteil für die Sicherheit deiner WordPress-Website ist. Ob du die gesamte Website absichern, ganze Seiten und Beiträge schützen oder spezifische Inhalte mit einem Passwort versehen willst – die richtigen Tools und Einstellungen helfen dir, deine Website sicher zu machen und sensible Inhalte effektiv zu schützen.

Meine Empfehlung ist dementsprechend, starke Passwörter zu verwenden, regelmäßig den Passwortschutz zu überprüfen und bei Bedarf zusätzliche Sicherheitsmaßnahmen zu ergreifen. So bleibt deine WordPress-Seite sicher und ist stets optimal geschützt.

The post WordPress-Website effektiv mit Passwort schützen appeared first on UltraPress - Das WordPress Tutorial für Dein Business.

WordPress Security Plugins

Neben den Backups empfiehlt sich als Standard ein Sicherheitssystem, das durchgehend überwacht, was auf Deiner Seite passiert. Dazu gehören vor allem die Überwachung der Dateien, Anmeldeversuche, Scans auf Malware und andere Bedrohungen.

Diese Überwachung erledigen allgemeine Security Plugins , die daneben noch eine Reihe weiterer Sicherheitsfunktionen erfüllen und auf jeden Fall auf Deiner Website im Hintergrund laufen sollten.

Security Plugins , die sich großer Beliebtheit erfreuen, sind beispielsweise:

• NinjaFirewall
• iThemes Security 
• WordFence
• Sucuri

Das Beispiel NinjaFirewall arbeitet insbesondere als eigenständige Firewall, die dem WordPress CMS vorgeschaltet ist. Da wir mit dem Plugin arbeiten, hier ein paar Details dazu, um einen Überblick zu bekommen, was so ein Security Plugin sonst noch so macht:

WordPress Sicherheit Plugin: NinjaFirewall als Beispiel

Blick ins Unter-Menü von Ninja Firewallt, somit auch auf Dateien, die von Hackern hochgeladen wurden.

• Filtern: HTTP/HTTPS-Anfragen scannen, bereinigen oder auch ablehnen zum Schutz der Skripte aus den Installationsverzeichnissen und Unterverzeichnissen (Umgehungs- und Verschleierungstaktiken von Hackern können so beispielsweise erkannt werden).
• Brute-Force-Angriffsschutz: Mit Verarbeitung von HTTP-Anfragen, die der eigentlichen WordPress-Installation vorgeschaltet ist.
• Echtzeiterkennung: Erkennen jedes Zugriffs auf eine PHP-Datei, somit auch auf Dateien, die von Hackern hochladen.
• Dateien überwachen: Erkennen jeder Änderung an einer Datei, egal ob in Bezug auf Dateiinhalt, Dateiberechtigungen, Dateibesitz oder Zeitstempel.
• Traffic loggen: Verfolgen des Website Traffics in Echtzeit.
• Benachrichtigungen: Info via Email über bestimmte Ereignisse auf Deiner Seite, so dass Du im Notfall manuell eingreifen kannst (zum Beispiel Administratoranmeldung, Änderungen von Administratorkonten, neue oder geänderte Plugins und Themes, WordPress-Updates, ausstehende Sicherheitsupdate in Plugins und Themes).
• Aktueller Schutz vor WordPress-Sicherheitsschwachstellen: NinjaFirewall kann Sicherheitsregeln automatisch täglich, zweimal täglich oder auch stündlich aktualisieren, wenn neue Schwachstellen gefunden wurden.
• Datenschutz: Filterung des Datenverkehrs auf Deinem Server, wodurch sensible Daten (Kontaktformularnachrichten, Anmeldeinformationen usw.) auf Deinem Server verbleiben, anstatt in die Cloud auf die Server von Drittunternehmen zu gelangen.
• IPV6-Unterstützung: IPv6 steht für IP-Version 6 und ist die neueste Generation des Internet-Protokolls (IP), was Hackern und Co. die Arbeit wieder etwas erschwert.
• Option für eigenen PHP-Code vor der Firewall: Eigene Sicherheitsregeln greifen, bevor WordPress und alle seine Plugins laden, was natürlich eher eine Funktion für Profis ist.
• Unix-Shared-Memory-Nutzung: Kommunikation zwischen einzelnen Prozessen und verbesserter Performance.
• Zugriffskontrolle: IPs, Rollen, Länder (Geo-Lokalisierung), URLs, Bots
• Antispam: Für Kommentar- und andere Formulare.
• Blockierung: Aggressive Bots, Crawler, Web Scraper und HTTP-Angriffe können geblockt werden.
• Response-Body-Filter: Ausgabe von HTML-Seiten scannen, bevor sie an den Browser des Website-Besuchers gesendet werden.

Firewall für WordPress Systeme – Der Burggraben Deiner Website

Eine Website Firewall blockiert grob gesprochen den schädlichen Traffic, bevor er Deine Website erreicht.

Wenn Dein allgemeines Sicherheits-Plugin keine eigene Firewall enthält, solltest Du anderweitig einen solchen Schutzwall aufbauen. Dabei gibt es zwei generelle Arten von Plugins:

• Website Firewall via Cloud – Diese Firewalls leiten Deinen Website Traffic über eigene Server in der Cloud.
• Firewall auf Anwendungsebene – Solche Plugins untersuchen den Datenverkehr bei Erreichen Deines Servers, bevor die meisten WordPress-Skripte geladen werden.

Regelmäßige Backups – für zusätzliche Sicherheit

Nichts ist 100-prozentig sicher – auch nicht Deine WordPress Website, egal wie gut Du sie absicherst. Du kannst Dir aber eine Art Rückversicherung in Form von Backups gegen jede Art von Angriff auf Deine Website oder sonstige technische Probleme aufbauen.

Mit einem Backup kannst Du Deine Seite schnell wiederherstellen, falls mal etwas Blödes passiert.

Im Idealfall sorgst Du für eine Speicherung der Backups auf einem externen Server. Also nicht da, wo auch Deine WordPress Website liegt.

Für das automatische und regelmäßige Erstellen von Backups gibt es zum Glück eine Reihe von guten Plugins. BackupBuddy, UpdraftPlus oder BackWPup sind gute Beispiele. Für UltraPress.de lassen wir die Backups immer im Rahmen unserer regelmäßigen WordPress Wartung durch unseren Partner WP-Wartung24 mit einem eigenen Tool machen, das separat vom Server läuft. Als zusätzliche Fallback-Lösung setzt das Team auf BackWPup.

WordPress Updates – WordPress Sicherheit aktuell halten

Ein dynamisches System wie WordPress benötigt regelmäßige Pflege und eine neuere WordPress Version. Aktuelle WordPress Updates sind dabei essentiell, um Deine Webseite sicher zu halten. Sie sind nicht nur für neue Funktionen und verbesserte Performance zuständig, sondern adressieren entscheidend neu aufgedeckte Sicherheitsprobleme.

Indem Du aktuell bleibst und diese Updates zeitnah einspielst, stellst Du sicher, dass Deine Seite stets geschützt ist und sich gegen die neuesten Bedrohungen wehrt. Das Vernachlässigen von Aktualisierungen könnte Tür und Tor für potenzielle Angriffe öffnen. Es liegt in Deiner Hand, Deine Webseite und ihre Besucher zu schützen.

Eine neuere PHP-Version

PHP ist die Programmiersprache, auf der WordPress aufbaut. Aber keine Sorge, Du musst jetzt kein PHP lernen, sondern nur dafür sorgen, dass bei Deine Website die neueste PHP-Version verwendet. Und das entscheidet sich bei Deinem Hosting.

So sieht die Wahl der PHP-Version beispielsweise bei unserem Hoster All-Inkl aus:

PHP-Version wählen bei Hoster All-Inkl

Bei der Wahl des Hosters ist daher wichtig, dass dieser immer die neuesten PHP-Versionen unterstützt. Denn je älter eine PHP-Version, umso anfälliger wird das Ganze für Probleme und Angriffe.

Eigene Sicherheitsmaßnahmen

Das Bewusstsein für die eigene digitale Sicherheit ist fundamental. Viele von uns nehmen an, gewisse Grundsicherheitsmaßnahmen bereits zu kennen, doch es lohnt sich, sie erneut hervorzuheben.

Das einfache Öffnen eines Links aus einer dubiosen E-Mail kann eine Tür für Angreifer öffnen. Besonders bei Nachrichten von unbekannten Absendern sollte stets Vorsicht geboten sein. Aber nicht nur E-Mails bergen Risiken. Ein verlockendes Angebot auf einer Webseite, ein vermeintlicher Freund in einem sozialen Netzwerk, der einen seltsamen Link teilt, kann ebenfalls gefährlich sein.

Es ist daher unerlässlich, jeden Klick zu hinterfragen und regelmäßige Sicherheitsupdates aller verwendeten Software durchzuführen. Ein fundiertes Wissen über Sicherheitsbedrohungen und proaktive Schutzmaßnahmen schützt nicht nur die eigene WordPress-Website, sondern auch die digitale Identität und Integrität. Es ist immer besser, vorsichtig zu sein, als später die Folgen von Sicherheitslücken zu bereuen.

Login ins WordPress Backend schützen

Username „admin“ austauschen

Programmierer sind eigentlich kreative Menschen, da Sie die unglaublichsten technischen Konstruktionen erschaffen. Doch manchmal sind sie auch nicht besonders kreativ. So kam es, dass früher als WordPress-Admin-Benutzername der Name „admin“ standardmäßig eingesetzt wurde.

So ein Benutzernamen macht immerhin die Hälfte der Anmeldeinformationen aus, was für Hacker schon die Andeutung eines roten Teppichs ist.

Glücklicherweise läuft das bei WordPress mittlerweile anders. Direkt bei der WordPress-Installation bist Du quasi gezwungen einen eigenen Benutzernamen zu definieren.

Allerdings kann es Dir bei One-Click-WordPress-Installern passieren, dass sich der Admin-Benutzername automatisch auf „admin“ setzt. Das wäre schon mal ein schlechtes Zeugnis für Deinen Hoster.

Was kann man da machen, außer den Hoster zu wechseln? Da es bei WordPress nicht möglich ist, Benutzernamen zu ändern, ist die naheliegendste Option, einfach einen neuen Admin-Benutzer zu erstellen und den alten zu löschen.

Es gibt zum Ändern von Benutzernamen zwar auch noch Plugins und einen Weg über die Datenbank. Dies lassen wir hier aber mal außen vor, da es die Sache in meinen Augen unnötig verkomplizieren würde.

Anmeldeversuche limitieren

Da sich Benutzer bei WordPress so oft hintereinander anmelden können, wie sie möchten, ist Deine Website von Haus aus anfällig für sogenannte Brute-Force-Angriffe. Hacker versuchen dabei, Passwörter zu knacken, indem sie ganz stumpf zig verschiedene Benutzer-Passwort-Kombinationen automatisiert eingeben.

Das kannst Du recht einfach unterbinden durch das Begrenzen fehlgeschlagener Anmeldeversuche eines Benutzers. Ein Firewall-Plugin wie Ninja Firewall erledigt so etwas automatisch mit.

Ohne ein solches Firewall Plugin kannst Du zum Beispiel auch das Login LockDown-Plugin oder das Plugin Limit Login Attempts Reloaded nehmen.

Mit Zwei-Faktor-Authentifizierung anmelden

In der Zwei-Faktor-Authentifizierung müssen sich Benutzer immer in zwei Schritten anmelden:

Der erste Schritt besteht ganz normal aus Benutzername und Passwort.
Im zweiten Schritt musst Du Dich mit einer separaten App (in der Regel auf dem Handy) authentifizieren.

Sowas kennst Du sicher von den ganz großen Playern Google, Facebook, aber Du kannst die gleiche Funktionalität auch für Deine Website nutzen.

Installiere dazu das Zwei-Faktor-Authentifizierungs-Plugin auf Deiner Website sowie eine Authentifizierungs-App auf Deinem Handy, wie beispielsweise Google Authentificator oder Authy.

Das Handling Deiner Website wird so für Dich leider etwas unkomfortabler. Von daher ist es auch im gewissen Maße Abwägungssache, ob Du das so für Dich einsetzen willst.

Passwort sicher machen

Die Sicherheit von Passwörtern sollte eigentlich eine Selbstverständlichkeit sein, und gerade für die Sicherheit von WordPress Websites ist sie ein zentraler Baustein. Passwörter sind logischerweise häufig Ziel von Hackern, denn damit lässt sich einfach eine Menge Unsinn anstellen.

Für die Passwörter Deiner WordPress Website gilt es folgende Punkte zu beherzigen:

• Vermeide gängige Wörter oder Phrasen.
• Verwende Kombination aus Groß- und Kleinbuchstaben, Zahlen und Sonderzeichen.
• Gib Deinem Passwort mindestens 16 Zeichen.
• Verwende nicht dasselbe Passwort für mehrere Konten.
• Ändere Dein Passwort immer mal wieder, zum Beispiel alle drei Monate als Routine.
• Hast Du einen Verdacht auf Kompromittierung Deiner Website, ändere das Passwort sofort.
• Nutze einen Passwort-Generator wie beispielsweise den von LastPass, um sichere Passwörter zu erstellen, die zufällig, komplex und schwer zu knacken sind. Ergänzend dazu eignet sich ein Passwort-Manager, damit Du Deine Passwörter nicht vergisst.

Viele der genannten Punkte zur Passwort-Sicherheit kannst Du auch direkt mit einem solchen Passwort-Generator checken.

Sicherheitsfragen beim WordPress Login

Eine weitere Sicherheitsstufe, die Du sicher auch von anderen Online Tools mit Login kennst, sind Sicherheitsfragen. Der Nutzer muss diese beantworten, sonst kann er oder sie sich nicht ins Backend einloggen.

Solche Sicherheitsfragen kannst Du zur weiteren WordPress Security mit einem zusätzlichen Plugin umsetzen. Ein Beispiel ist das Plugin Two Factor Authentication, das auch noch ein paar weitere sicherheitsrelevante Funktionen im Gepäck hat.

Wenn ein Benutzer eine Frage beantwortet, checkt das Plugin die Antwort. Ist die Antwort richtig, wird der Benutzer zur nächsten Seite weitergeleitet. Ansonsten bekommt er die Möglichkeit, die Frage nochmal zu beantworten oder sich per Email oder anderweitig zu verifizieren.

Inaktive Benutzer automatisch abmelden

Ist ein Benutzer nicht mehr aktiv, sollte er oder sie auch nicht mehr eingeloggt bleiben. Auch diese Sicherheitsmaßnahme kannst Du mit einem kostenlosen Plugin umsetzen: Inactive Logout.

In der Konfiguration des Plugins kannst Du noch verschiedene Nachrichten für ausgeloggte Benutzer und einige weitere Stellschrauben individuell einstellen. Dazu gehört vor allem die Zeit, nach der ein Benutzer automatisch abgemeldet wird.

Das Plugin „Inactive Logout“ im WordPress Backend

Anstatt der automatischen Abmeldefunktion kannst Du auch einfach nur die Option „Nur Warnmeldung anzeigen“ aktivieren. Dann bekommt der User nur eine Warnmeldung angezeigt, aber er bleibt angemeldet.

The post WordPress Sicherheit verstärken: So machst du Deine Seite sicherer appeared first on UltraPress - Das WordPress Tutorial für Dein Business.

Obwohl die Zeit bis zum Inkrafttreten der DSGVO am 25. Mai 2018 nicht mehr lang ist, besteht zunächst einmal kein Grund zur Panik. Für das einzelne Unternehmen stellen sich eine ganze Reihe von Fragen und auch gewisse Grauzonen. So wenden sich derzeit viele unserer Kunden  an uns mit der Frage, was sie konkret im Hinblick auf ihre Website tun müssen. 

Deshalb möchten wir in diesem Beitrag die 7 wichtigsten Aufgabenfelder erläutern, die Du als Website-Betreiber zu beachten hast, um Deine Website DSGVO-konform zu gestalten. Mit unserem Partner WP-Wartung24 geben wir Dir dazu auch konkrete Angebote zur Unterstützung mit, insbesondere einen DSGVO-Check.

(Dieser Artikel ersetzt keine Rechtsberatung. Wir haben uns intensiv mit den neuen Datenschutzbestimmungen beschäftigt und empfehlen Dir nun Maßnahmen, erheben aber nicht den Anspruch auf Vollständigkeit und Richtigkeit und übernehmen dafür keine Haftung.)

Worum geht es bei der DSGVO überhaupt?

Die Grundverordnung regelt in allen EU-Mitgliedsstaaten den Umgang mit personenbezogenen Daten. Dazu zählen:

• Name
• Adresse
• Email-Adresse
• Telefonnummer
• Geburtsdatum
• Kontodaten
• IP-Adressen
• Standortdaten
• Nutzerverhalten

Nur Daten, die gänzlich anonymisiert werden, gelten nicht mehr als personenbezogen.

Jedes Unternehmen erhebt, verwendet und speichert somit personenbezogene Daten. Auch als Webseitenbetreiber verarbeitest Du solche Daten. Dies erfolgt direkt oder auch indirekt an folgenden Stellen:

• WordPress-Kommentarfunktion
• Registrierungsmöglichkeiten (Shop, Mitgliederbereiche)
• Kontaktformular
• Analyse- und Tracking-Tools (Google Analytics, Facebook Pixel)
• diverse Plugins

Was kannst Du nun tun, um Deine Website DSGVO-konform zu betreiben? In den folgenden Aufgaben solltest Du Dich am besten von außen nach innen vorarbeiten. Zuerst kümmerst Du Dich um das, was nach außen auf Deiner Website sichtbar ist. Danach erstellst Du alle notwendigen Dokumente und Verzeichnisse.

Aufgabe 1: Mache eine Bestandsaufnahme.

Erstelle eine einfache Tabelle mit allen Informationen zur Datenerhebung auf Deiner Website. Erfasse genau, welche Daten Du direkt erhebst:

• Welche Formularfelder fragst Du ab?
• Warum fragst Du sie ab?
• Welche Felder sind Pflichtfelder? Und informierst Du über diese Erhebung?

Prüfe, welche Tools (Plugins, Newsletter-Systeme,…) auf Deiner Website indirekt Daten erheben.

• Sind die Kontaktformulare okay, erfolgt die Kommunikation SSL-verschlüsselt?
• Gibt es gegebenenfalls Optin- oder Optout-Möglichkeiten?
• Informierst Du schon über diese Erhebung?
• Gibt es hinsichtlich Blog-Kommentarfunktion, Emojis, Google Fonts, Youtube-Videos, etc. problematische Bereiche?

Möchtest Du das Durchchecken Deiner Website und die erforderlichen Maßnahmen nicht selbst machen, dann empfehlen wir Dir den DSGVO-Check von unserem Partner WP-Wartung24.

Aufgabe 2: Passe Deine Datenschutzerklärung an.

Die Datenschutzerklärung ist das, was am einfachsten zu kontrollieren ist. Deshalb solltest Du hier ein großes Hauptaugenmerk darauf legen. Informiere ausführlich und in leicht verständlicher Sprache darüber, welche Daten Du wo, warum und mit welcher Rechtsgrundlage erhebst.

Lasse Dich im Zweifel von einem Rechtsanwalt oder Datenschützer beraten, oder nutze den Service von eRecht24, die im Premium-Abo einen Generator zur Erstellung einer Datenschutzerklärung anbieten. Prüfe aber auch hier, ob alle Aspekte Deines Unternehmens und Deiner Website berücksichtigt werden.

Aufgabe 3: Sichere Anonymität bei der Datenübertragung.

Formulare

Bietest Du auf Deiner Website ein Kontaktformular an, so informiere direkt am Formular über die Verwendung der Daten und ergänze die Datenschutzerklärung entsprechend. Hör Dir dazu eine sehr interessante Stellungnahme über den DSGVO-konformen Einsatz von Kontaktformulare von Rechtsanwalt Stephan Hansen-Hoest.

Ein weiteres Formular auf Deiner Website ist das Kommentarformular. Hier speichert WordPress die IP-Adressen der Kommentarschreiber. Dies kannst Du zum Beispiel durch ein kleines Plugin Remove IP unterbinden.

Standardmäßig sind die Angabe von Name und Email-Adresse Pflichtangaben bei der Erstellung eines Kommentars. Im Dashboard unter „Einstellungen – Diskussion“ kann diese Voreinstellung deaktiviert werden. Informiere am Kommentarformular klar über die Verwendung der Daten.

SSL-Verschlüsselung

Ohne eine SSL-Verbindung ist keine sichere Datenübertragung möglich. Daher benötigst Du zwingend für Deine Website ein gültiges SSL-Zertifikat, wenn darüber User mit Dir kommunizieren. Dies ist beispielsweise der Fall, wenn Du ein Kontaktformular verwendest. Du erkennst eine sichere und verschlüsselte Website an dem HTTPS in der Adresszeile.

Die Umstellung auf HTTPS, also auf die SSL-Verschlüsselung kannst Du auch direkt über unseren Partner WP-Wartung24 machen lassen.

Aufgabe 4: Halte Theme und Plugins DSGVO-konform.

Plugins

Überprüfe Deine installierten Plugins und Widgets auf DSGVO-Konformität, da einige Plugins personenbezogene Daten weitergeben. Kritisch sind Plugins wie Akismet, Gravatar und Jetpack. Setze als Antispam-Schutz lieber auf Antispam Bee, das sich mit den richtigen Einstellungen DSGVO-konform einsetzen lässt.

Gravatare können im Dashboard unter Einstellungen deaktiviert werden.

Eine umfangreiche Liste mit WordPress-Plugins im DSGVO-Check hat Finn Hillebrandt von Blogmojo zusammengestellt.

Eine gute Sicherheitsüberwachung und regelmäßige WordPress- und Plugin-Updates sorgen außerdem für notwendige WordPress Sicherheit. Auch dazu kann ich wieder absolut die Spezialisten von WP-Wartung24 empfehlen.

Ob überhaupt einzelne Plugins bei Dir kritisch sein könnten, wird natürlich auch im DSGVO-Check untersucht.

Cookie Banner

Willst Du nicht mit Deiner Website abgemahnt werden, solltest Du unbedingt einen Cookie-Banner einsetzen und somit auf den Einsatz von Cookies hinweisen. Ausführliche Informationen zu der rechtlichen Seite von Cookies findest Du bei eRecht24. Bitte beachte, dass Dein Cookie-Banner in keinem Fall Deine Links zu Deinen Datenschutz- und Impressums-Seiten überdecken darf.

Aufgabe 5: Stelle Deine Marketing Tools DSGO-konform ein.

Google Analytics

Um das Analyse-Tool Google Analytics datenschutzkonform einsetzen zu können, müssen folgende Punkte umgesetzt werden:

• Auftragsverarbeitungsvertrag und Zusatz zur Datenverarbeitung mit Google abschließen
• Maskierung der IP-Adresse („anonymizeIP“)
• Widerspruchsmöglichkeiten (Opt-out): Deaktivierungs-Add-On und Disabling Tracking bieten. Google gibt dazu hier eine Hilfestellung.
• Entsprechende Hinweise in Deiner Datenschutzerklärung
• Keine Aktivierung der User-ID

Facebook-Marketing

Verwendest Du den Facebook Pixel ohne erweiterten Abgleich, musst Du darüber detailliert in der Datenschutzerklärung informieren und eine Opt-Out-Möglichkeit bieten. Nutzt Du den Facebook Pixel mit “Custom Audiences”,  ist zusätzlich eine Einwilligung, ein Opt-In notwendig. Eine Anleitung für einen rechtssicheren Einsatz bietet der Rechtsanwalt Dr. Schwenke.

Newsletter

Nutzt Du Email-Marketing? Dann müssen diese Prozesse angepasst werden. In den Anmeldeformularen darf nur die Email-Adresse als Pflichtfeld abgefragt werden. Unerlässlich ist das Double-Opt-In-Verfahren, mit dem der Empfänger nach der Anmeldung seine Email-Adresse und den Wunsch, in den Verteiler aufgenommen zu werden, bestätigt.

Informiere direkt am Formular über Inhalt und Versendehäufigkeit Deines Newsletters. Verlinke direkt auf Deine Datenschutzerklärung, in der Du nochmals ausführlich über Deinen Email-Marketing-Prozess informierst.

Aufgabe 6: Erstelle ein Verarbeitungsverzeichnis.

Die DSGVO verlangt von jedem Unternehmen den Nachweis des Datenschutzes. Kernstück ist das Verfahrensverzeichnis all Deiner Verarbeitungstätigkeiten.
Führe hier sämtliche Vorgänge Deines Unternehmens auf, bei denen Du personenbezogene Daten verarbeitest. Dazu gehören folgende Informationen:

• Name und Kontakt des Verantwortlichen
• Art und Zweck der Verarbeitung
• Betroffene Personengruppen und Datenkategorien
• Quelle der Daten
• Rechtsgrundlage für die Verarbeitung
• Interne und externe Empfänger der Daten (mögliche Auftragsverarbeiter)
• Vorgesehene Löschfristen der Daten (wenn möglich)
• Sicherheitskonzept

Muster für Verfahrensverzeichnisse:

GDD-Praxishilfe DS-GVO V: Verzeichnis von Verarbeitungstätigkeiten

Datenschutzverzeichnis mit Muster von Regina Stoiber

Muster der Activemind AG: Verzeichnis von Verarbeitungstätigkeiten nach DSGVO

Aufgabe 7: Schließe Auftragsverarbeitungsverträge (AVVs) ab.

Kommt ein Drittanbieter bei der Verarbeitung von personenbezogenen Daten mit ins Spiel, benötigst Du mit diesem Anbieter einen sogenannten Auftragsverarbeitungsvertrag (AVV) , der regelt, wie das Unternehmen die Daten in Deinem Auftrag verarbeitet und schützt.
Beispiele für solche Auftragsverarbeiter sind: Hoster, Newsletter-Dienste, Google Analytics, Affiliate-Programme, Cloud-Dienste.

Eine Liste mit Links zu den AVVs diverser Drittabieter findest Du bei Blogmojo: ADV-Verträge für Blogger & Online-Unternehmer.

Außerdem findest Du hier dazu Muster:

Bayerisches Landesamt für Datenschutzaufsicht | Muster für einen Auftragsverarbeitungsvertrag

GDD: Mustervertrag zur Auftragsverarbeitung

Unterstützung bei der Analyse und Anpassung Deiner Website

Dies war ein erster Überblick über die 7 wichtigen Maßnahmenblöcke, die Du als Website-Betreiber umsetzen solltest. 

Wenn Du das systematische Überprüfen Deiner eigenen Website und die erforderlichen Maßnahmen lieber abgeben möchtest, dann empfehlen wir Dir den DSGVO-Check von unserem Partner WP-Wartung24.

The post Die 7 wichtigen Aufgaben für eine DSGVO-konforme WordPress-Website appeared first on UltraPress - Das WordPress Tutorial für Dein Business.