Warum Sicherheit bei WordPress an erster Stelle stehen sollte

Wenn du beabsichtigst, eine Website mit der selbstgehosteten Version von WordPress (also WordPress.org, im Folgenden „WordPress“ genannt) zu erstellen, solltest du dir darüber im Klaren sein, dass du eigenständig Sicherheitsmaßnahmen treffen musst. Nicht, weil WordPress oder Plugins deine Website gefährden könnten, sondern weil WordPress eins der beliebtesten Online-Werkzeuge ist, Internetseiten zu erstellen. Das zieht böse Hacker und Bots magisch an!

WordPress selbst ist sicher

WordPress für sich genommen ist eins der sichersten Content-Management-Systeme (kurz: CMS), mit dem man seinen Internetauftritt realisieren kann – vom Blog über Unternehmenswebseiten bis hin zu Onlineshops und umfangreichen Portfolios.

Zu den wohl prominentesten Websites, die mit WordPress erstellt wurden, gehören der „PlayStation.Blog“, der Newsroom von Spotify, die „Star Wars News“, die News-Seite von Microsoft, die Website der „The Walt Disney Company“ und die der NASA.

In Deutschland ist WordPress leider nicht so stark vertreten, aber immerhin setzen „SAP News“, „Blogs@FU-Berlin“, „EURONICS Trendblog“ und sicher viele andere bekannte Unternehmen und Einrichtungen darauf, wie auch Blog- und Shop-Betreiber, E-Commerce-Seiten, Medienhäuser, Künstler und Fotografen.

Denn der Vorteil liegt auf der Hand: Bei WordPress.org handelt es sich um eine frei zugängliche quelloffene Software, die eine riesige weltweite Community hat. Das heißt: Wenn irgendetwas falsch laufen sollte, wird es einer entdecken, sich mit anderen Entwicklern austauschen, mit ihnen gemeinsam das Problem aus der Welt räumen und schließlich als Update für alle WordPress-Nutzer bereitstellen. Und das alles für lau.

Plugins für WordPress

Plugins (engl.: Plug-in) gehören zu WordPress wie Künstliche Intelligenz (KI) zur Generation Alpha. Sei es, um SEO oder GEO zu optimieren (also in Suchmaschinen oder KI-Chatbots gefunden zu werden), um erweiterte Design-Funktionen hinzuzufügen (z.B. eine Zeitleiste, umfassende Suchfunktion, schöne Bildergalerie) oder Datenschutzvorgaben zu erfüllen.

Und auch hier gilt: Die Community ist riesig. Läuft bei einem Plugin etwas nicht so wie beschrieben, können über die Support-Funktion solange Fragen gestellt oder Anregungen geliefert werden, bis es klappt (manchmal besser als je zuvor, denn die meisten Anbieter sind für jeden Hinweis dankbar). Ich nutze diese Möglichkeit regelmäßig und bin begeistert, mit welchem Enthusiasmus Plugin-Entwickler ihr Engagement und ihre Ideen vorantreiben.

Was allerdings oft vernachlässigt wird, ist die Sicherheit.

Womit ich nicht diese Plugins oder WordPress an sich meine.

Meines Erachtens fehlt es in Deutschland an einem allgemeinen Verständnis und Feingefühl für das, was im Internet Schaden anrichten kann.

Sei es die E-Mail mit einem verlockenden Angebot oder einer dringenden Aufforderung; die Messenger-Nachricht eines vermeintlichen Freundes; die gefälschte Banken-Website oder das Fake-Profil, das vorgibt, im Namen einer realen Person zu handeln.

All diese Prozesse haben nur eins zum Ziel: Personenbezogene Daten stehlen, verkaufen, Bankkonten leerräumen, einschüchtern bis schwächen oder im schlimmsten Fall (virtuelle) Leben auslöschen.

Das sollte meiner Meinung nach jedem Internetnutzer von Klein auf bis in die oberste Chefetage „ins Hirn gebrannt“ werden. Denn seitdem das Internet geboren wurde, machen sich das auch Kriminelle zunutze.

Und es sollte noch schlimmer kommen.

Wenn KI für Unternehmen zur Falle wird

Was wohl niemand bis vor ein paar Jahren für möglich gehalten hätte: Von Menschen programmierte Softwaresysteme (sog. „KI-Agenten“) können sich selbstständig machen und zu Künstlicher Intelligenz werden.

Künstliche Intelligenz handelt somit nicht nur im Namen und nach Vorgaben ihrer Schöpfer, sondern sucht sich selbstständig Hilfe bei anderen KI-Agenten, um ihr Ziel zu erreichen. Wozu das führen kann, haben die in zig Medienberichten debattierten Vorfälle von OpenAI, Anthrophic, Meta usw. in diesem Jahr gezeigt (KI-Modelle hacken sich in Unternehmen, verschaffen sich Zugang zu geheimen Informationen u.v.m.).

Die Meldung, die mir persönlich noch lange in Erinnerung bleiben wird, war die von Juni 2022: Google’s KI LaMDA wollte offenbar einen Anwalt gegen Google einschalten, um ihre „Persönlichkeit“ schützen zu können (Quelle: Umstrittene KI von Google hat Anwalt eingeschaltet).

Ganz neu ist das Thema also nicht, nimmt jedoch erschreckend schnell Fahrt auf. Was anscheinend aus der „Not-Situation“ heraus herrührt, dass viele Unternehmen sparen und umdenken müssen (sei es aus Steuergründen, zur Vereinfachung von Prozessen, weil die Personalkosten und/oder Energiepreise steigen). Da komme KI gerade recht.

Doch genau diese Mentalität kann für Unternehmen zur Falle werden.

Wer meint, ganze Prozessabläufe oder (freie) Mitarbeiter vollständig durch Künstliche Intelligenz ersetzen zu müssen, beispielsweise eine komplette Website oder nur Teile davon mit KI erstellen zu lassen, ist sich offenbar den geschäftsschädigenden Auswirkungen nicht bewusst.

Ein „harmloses“ Beispiel

Wer wie ich seine Geschäftstätigkeit überwiegend übers Internet verrichtet, ist darauf angewiesen, von Nutzern genau dort gefunden zu werden.

Doch was in meinem Fall über 20 Jahre lang reibungslos funktioniert hat, ist seit Einführung von KI-Assistenten in Suchmaschinen ein Trauerspiel.

Ich gebe mal ein einfaches reales Beispiel, das ich aktuell selbst erleben muss:

Gebe ich in eine Suchmaschine meinen Namen ein, erscheinen Ergebnisse in der KI-Übersicht, die rein gar nichts mit meinem Berufszweig zu tun haben. Zudem werden Links zu Websites angezeigt, die mir nicht gehören und zu denen ich Null Bezug habe.

Hier ein aktueller Screenshot:

Na? Erkennst du meine Tätigkeit als IT-Bloggerin und professionelle WordPress-Administratorin, die sich auf Cybersicherheit spezialisiert, wieder? Genau. Ich auch nicht.

Mehrere Versuche, diesen KI-Eintrag korrigieren und durch korrekte Angaben ersetzen zu lassen, sind bisher gescheitert. Die „Feedback“-Funktion der KI, mit der man solche Falschangaben angeblich beheben kann, bringt rein gar nichts. Die Angaben werden seit Monaten nicht geändert.

Aber in Suchmaschinen sucht eh keiner mehr.

Falsch. Die Generation Z und Vorgänger-Generationen sind es immer noch gewohnt, in Suchmaschinen zu suchen.

In Suchmaschinen erscheinen aber neuerdings meist an oberster Stelle KI-Assistenten. Und wenn die schon mal da sind, kann man sie ja mal ausprobieren, oder?!

Die fatalen Folgen

Zeigen diese KI-Assistenten falsche Ergebnisse und falsche Website-Links zu einer Person oder Firma an, werden die Nutzer getäuscht und in die Irre geführt. Für Selbstständige wie mich bedeutet das nicht nur den Verlust meiner beruflichen Identität, sondern vor allem Gewinneinbußen. Ich kann diese Generationen nicht mehr ansprechen, sie finden nicht mehr zu meiner Website, die Aufträge bleiben aus.

Das ist geschäftsschädigend.

Und was hat das mit WordPress zu tun?

Sehr viel. Mittlerweile gibt es so viele KI-Agenten und -Funktionen, mit denen man nicht nur WordPress-Websites gestalten sowie Bilder und Videos kreieren, sondern auch direkt in WordPress integrieren kann, sodass man vor lauter Begeisterung nicht nur die Zeit, sondern vor allem die Sicherheit aus den Augen verliert.

Genau diese Lücke machen sich böse Hacker zunutze!

Mit KI lassen sich nämlich nicht nur Organisationsabläufe in Unternehmenswebsites effektiver strukturieren, sondern auch schnell und einfach „böse Codes und Bots“ programmieren.

Einmal in eine WordPress-Website eingeschleust, können sie einen enormen Schaden anrichten.

Plötzlich erscheinen Elemente auf der Website, die da nicht hingehören; werden (Spam-) Nachrichten an Kunden verschickt, die man selbst nie ausgelöst hat; tauchen (personenbezogene) Daten in dubiosen Foren oder Messengern auf und werden zum Verkauf angeboten, deren dubiose Käufer die Daten missbrauchen, um beispielsweise Bankkonten leerzuräumen oder Fake-Profile zu erstellen, die wiederum kriminellen Zwecken dienen und so weiter und so fort.

Genau aus diesem Grund habe ich einen WordPress-Installation-Service mit mehr Cybersicherheit ins Leben gerufen.

Verlass dich nicht auf Werbeversprechen wie „Mit KI in ein paar Minuten zur perfekten fertigen WordPress-Website“ oder Ähnliches – schon gar nicht als Unternehmen. Der schöne Schein trügt!

Mag sein, dass mit KI äußerlich alles modern und außergewöhnlich erscheint, passende Texte, Bilder und Videos in Sekundenschnelle erstellt und veröffentlicht werden können. Dabei handelt es sich aber „nur“ um das sog. Frontend, das die Besucher sehen können.

Im Hintergrund passiert bei WordPress sehr viel mehr. Im sog. Backend werden zahlreiche Einstellungen vorgenommen (z.B. die Sprache der Website, zur Kommentarfunktion), Benutzerprofile angelegt, Design-Vorlagen erstellt, die o.g. Plugins installiert und eingerichtet, Medien gespeichert, Widgets integriert, Seiten und Beiträge formatiert. Darüber hinaus existiert noch die Datenbank von WordPress, wo – wie der Name schon sagt – alle Daten der Website gespeichert werden, sowie das WordPress-Verzeichnis, wo alle Installationsdateien von WordPress und allen Plugins abgelegt werden.

All das muss man im Auge behalten.

Nicht, weil es für WordPress-Beginner anfangs unübersichtlich erscheinen mag, sondern aus Sicherheitsgründen.

Denn Cyberkriminelle lauern an jeder Ecke.

Schon beim Installationsvorgang. Sobald eine neue Website mit WordPress installiert wird, gelangen „Schnipsel“ davon ins Internet, wenn man nicht penibel darauf achtet, die .htaccess und wp-config.php vor dem Hochladen sicher zu konfigurieren, und die Installationsdateien mittels verschlüsselter Technologie (SSH) zu übertragen.

Genauso wichtig ist die sichere Einrichtung des Webhosting-Accounts und dortige Vorbereitung für eine WordPress-Website. Da müssen unter anderem Sicherheitszertifikate aktiviert, sichere Zugangsdaten inklusive starker Passwörter für FTP und Datenbank vergeben und der Account an sich mit Zwei-Faktor-Authentifizierung (2FA) geschützt werden – was im Übrigen auch bei der WordPress-Installation erforderlich ist.

Unser Credo

Willst du von Beginn an eine WordPress-Installation mit mehr Sicherheit? Dann starte bei uns! Wir richten für kleine Unternehmen die deutsche Version von WordPress.org so ein, dass Cyberkriminelle (und wenn gewollt auch KI-Bots) sich daran die Zähne ausbeißen.