8. August 2026
WordPress ist das meistgenutzte CMS der Welt. Das hat einen Haken: Wer möglichst viele Websites auf einmal angreifen will, nimmt sich zuerst WordPress vor. Die meisten Angriffe laufen vollautomatisch und suchen nach immer denselben Schwachstellen.
Ist WordPress deshalb unsicher? Nein. In der Praxis scheitern Seiten selten am System selbst. Meistens sind es schwache Passwörter, ungeschützte Logins und Plugins, die seit Monaten kein Update gesehen haben.
Wo die Gefahren liegen
Die Login-Seite liegt bei jeder WordPress-Installation an derselben Adresse. Bots probieren dort rund um die Uhr Kombinationen aus Benutzername und Passwort durch. Ist Ihr Passwort kurz oder wurde es schon einmal bei einem anderen Dienst geleakt, ist ein erfolgreicher Login nur eine Frage der Zeit.
Noch häufiger kommen Angreifer über Plugins herein. Der Großteil der bekannten Sicherheitslücken im WordPress-Umfeld steckt nicht im Kern, sondern in Erweiterungen von Drittanbietern. Wird ein Plugin nicht mehr gepflegt oder ein Update liegengelassen, bleibt die Lücke offen.
Drei Maßnahmen, die viel bringen
Zwei-Faktor-Authentifizierung (2FA). Beim Login wird zusätzlich zum Passwort ein Code abgefragt, den eine App auf Ihrem Smartphone alle 30 Sekunden neu erzeugt. Ein gestohlenes Passwort allein reicht dann nicht mehr. WordPress bringt 2FA nicht von Haus aus mit, ein Plugin rüstet die Funktion aber in wenigen Minuten nach.
Wordfence. Das Sicherheits-Plugin arbeitet wie eine Firewall mit Alarmanlage. Es begrenzt Login-Versuche, sperrt auffällige IP-Adressen, durchsucht Ihre Dateien nach Schadcode und warnt Sie, wenn ein installiertes Plugin eine bekannte Lücke hat. 2FA ist ebenfalls gleich mit eingebaut. Für viele Seiten reicht die kostenlose Version. Der Unterschied zur Premium-Version: Neue Firewall-Regeln kommen dort sofort an, in der Gratisversion erst mit 30 Tagen Verzögerung.
Regelmäßige Updates. Halten Sie den WordPress-Kern, Ihr Theme und alle Plugins aktuell. Und löschen Sie, was Sie nicht mehr brauchen. Auch ein deaktiviertes Plugin liegt noch auf dem Server und kann angreifbar sein.
Und wie sieht es bei TYPO3 aus?
TYPO3 kommt aus der Unternehmenswelt und setzt andere Schwerpunkte. Das Rechte- und Rollensystem ist sehr fein einstellbar, die Zwei-Faktor-Anmeldung ist seit Version 11 fester Bestandteil des Kerns, und ein eigenes Security-Team kümmert sich um Lücken. Dazu kommt der kleinere Marktanteil: TYPO3-Seiten geraten seltener ins Visier automatisierter Massenangriffe.
Wartungsfrei ist TYPO3 aber auch nicht. Updates müssen genauso eingespielt werden, und Einrichtung und Pflege sind deutlich aufwendiger als bei WordPress. Für eine kleine Firmenseite ist das oft mehr System als nötig.
Fazit
WordPress lässt sich sehr gut absichern, es passiert nur nicht von allein. Mit 2FA, Wordfence und konsequenten Updates wehren Sie den Großteil der typischen Angriffe ab. Planen Sie ein großes Unternehmensportal mit vielen Redakteuren und komplexen Rechten, lohnt sich ein Blick auf TYPO3.
Sie möchten sich nicht selbst darum kümmern? Mit einem Wartungsvertrag von MainzMedia halten wir Ihre Website auf dem aktuellen Sicherheitsstand, und Sie haben den Kopf frei für andere Dinge.