WordPress auf VPS absichern – Security-Guide 2026

Warum WordPress-Sicherheit auf dem VPS 2026 unverzichtbar ist

Im Jahr 2026 verzeichnen Sicherheitsforscher weltweit über 90.000 Angriffe pro Minute auf WordPress-Installationen. Allein in Deutschland entstehen durch kompromittierte Websites Schäden in Höhe von durchschnittlich 4.800 € pro Vorfall – hinzu kommen Reputationsverluste und entgangene Umsätze. Ein unmanaged VPS bietet maximale Kontrolle, erfordert aber auch deutlich mehr Eigenverantwortung als Shared Hosting.

WordPress betreibt laut W3Techs im Oktober 2026 etwa 43,7 % aller Websites weltweit und ist damit das mit Abstand populärste CMS. Diese Verbreitung macht die Plattform zum bevorzugten Ziel automatisierter Botnetze. Angreifer scannen ungeschützte VPS-Instanzen innerhalb von unter 60 Sekunden nach Veröffentlichung der IP-Adresse mit Tools wie WPScan oder Nuclei.

Ein typischer Brute-Force-Angriff testet pro Sekunde zwischen 500 und 2.000 Login-Kombinationen. Ohne Absicherung ist eine Standard-WordPress-Installation in weniger als 24 Stunden kompromittiert. Dieser Guide zeigt Ihnen Schritt für Schritt, wie Sie Ihre Instanz nach aktuellen Best Practices härten.

Die folgende Checkliste umfasst sieben Sicherheitsebenen: SSH-Zugang, Firewall, Intrusion Detection, WordPress-Konfiguration, Datenbank-Härtung, Backups und Monitoring. Jede Ebene ergänzt die nächste – erst die Kombination aller Maßnahmen bietet echten Schutz.

Den richtigen VPS-Anbieter wählen

Die Basis jeder sicheren WordPress-Installation ist ein vertrauenswürdiger VPS-Anbieter. Entscheidend sind Standort, DDoS-Schutz, Snapshot-Funktionen und die Qualität des Supports. Für deutsche Websites empfiehlt sich ein Rechenzentrum in Frankfurt oder München, da DSGVO-Konformität und geringe Latenzzeiten unter 15 ms garantiert werden.

Achten Sie bei der Auswahl auf KVM-Virtualisierung statt OpenVZ. KVM garantiert dedizierte Ressourcen und verhindert das sogenannte „Noisy Neighbor“-Problem, bei dem andere Kunden auf demselben Host Ihre Performance beeinträchtigen. Mindestens 2 vCPU-Kerne, 4 GB RAM und 80 GB NVMe-Speicher sind für eine mittelgroße WordPress-Seite (bis 100.000 Besucher/Monat) empfehlenswert.

Anbieter	Tarif	Preis/Monat	RAM	vCPU	Speicher	DDoS-Schutz	Standort
Hetzner	CX22	8,39 €	4 GB	2	40 GB NVMe	inklusive	Falkenstein/DE
Netcup	VPS 1000 G11	11,69 €	8 GB	4	128 GB NVMe	optional (3 €/Mo)	Wien/AT
IONOS	VPS XS	4,99 €	2 GB	1	40 GB SSD	in Basis	Karlsruhe/DE
Contabo	VPS 10	6,99 €	8 GB	4	100 GB NVMe	in Basis	Nürnberg/DE
DigitalOcean	Droplet 4GB	12,00 $	4 GB	2	80 GB SSD	kostenpflichtig	Frankfurt/DE

Für die meisten WordPress-Projekte ist Hetzner das beste Preis-Leistungs-Verhältnis. Der CX22 kostet aktuell 8,39 € monatlich, liefert DDoS-Schutz und bietet kostenlose Snapshots. Bei höherem Traffic empfiehlt sich der CX32 (16 GB RAM) für rund 17,49 € pro Monat.

SSH-Zugang absichern – die erste Verteidigungslinie

Der SSH-Port 22 ist weltweit der meistattackierte Dienst. Allein im Oktober 2026 registrierte das Shadowserver-Projekt 1,2 Milliarden Brute-Force-Versuche pro Tag gegen deutsche IP-Bereiche. Die Absicherung dieses Zugangs hat daher oberste Priorität.

Verbinden Sie sich zunächst mit Ihrem Server und legen Sie einen neuen Benutzer an. Vermeiden Sie generische Namen wie admin oder webmaster, da diese zu den Top-10 der Angreifer gehören.

adduser wpadmin
usermod -aG sudo wpadmin
passwd wpadmin

Generieren Sie im nächsten Schritt ein starkes ED25519-Schlüsselpaar auf Ihrem lokalen Rechner. ED25519 ist sicherer und schneller als RSA und wird 2026 von allen aktuellen SSH-Versionen unterstützt.

ssh-keygen -t ed25519 -C "[email protected]" -f ~/.ssh/id_ed25519
ssh-copy-id -i ~/.ssh/id_ed25519.pub wpadmin@IHRE-SERVER-IP

Bearbeiten Sie anschließend die SSH-Konfiguration unter /etc/ssh/sshd_config und setzen Sie folgende Parameter:

Port 2222
PermitRootLogin no
PasswordAuthentication no
PubkeyAuthentication yes
MaxAuthTries 3
LoginGraceTime 30
AllowUsers wpadmin

Starten Sie den Dienst neu mit sudo systemctl restart sshd. Testen Sie unbedingt die Verbindung über den neuen Port, bevor Sie die alte Sitzung schließen – sonst sperren Sie sich selbst aus.

Firewall mit UFW konfigurieren

Uncomplicated Firewall (UFW) ist der einfachste Weg, eine Stateful Firewall unter Ubuntu einzurichten. Standardmäßig sind alle Ports geschlossen – das reduziert die Angriffsfläche um über 95 %. Erlauben Sie ausschließlich die Dienste, die Sie wirklich benötigen.

Installieren und aktivieren Sie UFW:

sudo apt update
sudo apt install ufw -y
sudo ufw default deny incoming
sudo ufw default allow outgoing
sudo ufw allow 2222/tcp comment "SSH"
sudo ufw allow 80/tcp comment "HTTP"
sudo ufw allow 443/tcp comment "HTTPS"
sudo ufw enable
sudo ufw status verbose

Überprüfen Sie nach der Aktivierung mit sudo ufw status numbered, dass nur die drei gewünschten Ports offen sind. Im Fehlerfall können Sie mit sudo ufw disable die Firewall kurzfristig deaktivieren, ohne Regeln zu verlieren.

Für zusätzlichen Schutz empfiehlt sich die GeoIP-Einschränkung. Mit dem Tool geoipupdate von MaxMind laden Sie monatlich aktualisierte Datenbanken und blockieren Zugriffe aus Ländern, die für Ihre Website irrelevant sind. In Deutschland reduziert dies den Bot-Traffic erfahrungsgemäß um 60–70 %.

sudo apt install xtables-addons-dkms -y
sudo geoipupdate
sudo iptables -A INPUT -m geoip --src-cc CN,RU,UA -j DROP

Fail2Ban gegen Brute-Force-Angriffe

Fail2Ban analysiert Logdateien in Echtzeit und sperrt IP-Adressen nach mehreren Fehlversuchen automatisch. In Kombination mit UFW entsteht ein zweistufiges Schutzsystem, das über 99 % aller automatisierten Angriffe abwehrt.

Installation und Konfiguration:

sudo apt install fail2ban -y
sudo cp /etc/fail2ban/jail.conf /etc/fail2ban/jail.local
sudo systemctl enable fail2ban

Bearbeiten Sie /etc/fail2ban/jail.local und passen Sie die Standardwerte an. Die folgenden Einstellungen sperren IPs nach 3 Fehlversuchen für 1 Stunde:

[DEFAULT]
bantime = 3600
findtime = 600
maxretry = 3
banaction = ufw

[sshd]
enabled = true
port = 2222
filter = sshd
logpath = /var/log/auth.log

[wordpress]
enabled = true
port = http,https
filter = wordpress
logpath = /var/log/nginx/access.log

Erstellen Sie für WordPress einen eigenen Filter unter /etc/fail2ban/filter.d/wordpress.conf, der fehlgeschlagene wp-login-Versuche erkennt. Starten Sie den Dienst anschließend neu und überwachen Sie die Sperrliste mit sudo fail2ban-client status sshd.

SSL/TLS-Zertifikate und HSTS aktivieren

Let's Encrypt stellt seit 2026 auch 6-Tages-Zertifikate kostenlos aus, was die Sicherheit weiter erhöht. Für die meisten Anwendungen genügt das Standard-Verfahren über Certbot, das alle 60 Tage automatisch verlängert.

Installation unter Nginx:

sudo apt install certbot python3-certbot-nginx -y
sudo certbot --nginx -d meineseite.de -d www.meineseite.de
sudo certbot renew --dry-run

Certbot passt die Nginx-Konfiguration automatisch an und leitet HTTP auf HTTPS um. Ergänzen Sie die Konfiguration um HSTS (HTTP Strict Transport Security), damit Browser Ihre Seite zukünftig ausschließlich verschlüsselt aufrufen.

add_header Strict-Transport-Security "max-age=63072000; includeSubDomains; preload" always;
add_header X-Frame-Options "SAMEORIGIN" always;
add_header X-Content-Type-Options "nosniff" always;
add_header Referrer-Policy "strict-origin-when-cross-origin" always;

Testen Sie Ihre Konfiguration regelmäßig unter ssllabs.com/ssltest. Das Ziel ist die Bestnote A+, die nur mit aktiviertem HSTS, TLS 1.3 und sicheren Cipher Suites erreicht wird.

Datenbank und wp-config.php absichern

Die Datenbank ist das Herzstück jeder WordPress-Installation. MySQL 8.0 oder MariaDB 10.11 bieten starke Authentifizierungsmechanismen, die jedoch manuell aktiviert werden müssen. Verwenden Sie niemals den Standard-Benutzer root für WordPress.

Legen Sie einen dedizierten Datenbankbenutzer an:

sudo mysql -u root -p
CREATE DATABASE wordpress_db CHARACTER SET utf8mb4 COLLATE utf8mb4_unicode_ci;
CREATE USER 'wp_user'@'localhost' IDENTIFIED BY 'S!ch3r3sP@ssw0rt_2026!';
GRANT ALL PRIVILEGES ON wordpress_db.* TO 'wp_user'@'localhost';
FLUSH PRIVILEGES;
EXIT;

Bearbeiten Sie die wp-config.php und ergänzen Sie folgende Sicherheitsschlüssel. Diese werden von WordPress zur Verschlüsselung von Cookies und Nonces verwendet und sollten niemals öffentlich werden.

define('AUTH_KEY',         'individueller-64-zeichen-string');
define('SECURE_AUTH_KEY',  'individueller-64-zeichen-string');
define('LOGGED_IN_KEY',    'individueller-64-zeichen-string');
define('NONCE_KEY',        'individueller-64-zeichen-string');
define('AUTH_SALT',        'individueller-64-zeichen-string');
define('SECURE_AUTH_SALT', 'individueller-64-zeichen-string');
define('LOGGED_IN_SALT',   'individueller-64-zeichen-string');
define('NONCE_SALT',       'individueller-64-zeichen-string');

define('DISALLOW_FILE_EDIT', true);
define('WP_DEBUG', false);
define('WP_DEBUG_LOG', false);

Setzen Sie zusätzlich die Dateiberechtigungen korrekt: wp-config.php sollte nur dem Webserver-Benutzer gehören und 440 (read-only) sein.

sudo chown www-data:www-data /var/www/wordpress/wp-config.php
sudo chmod 440 /var/www/wordpress/wp-config.php

WordPress-Benutzer und 2-Faktor-Authentifizierung

Der Standard-Admin-Benutzer admin existiert in 38 % aller kompromittierten WordPress-Installationen – so ergab eine Studie von Sucuri aus 2026. Ändern Sie den Benutzernamen direkt nach der Installation oder legen Sie einen neuen Administrator an und löschen Sie das Standard-Konto.

Erzwingen Sie sichere Passwörter mit dem Plugin Force Strong Passwords. Mindestens 14 Zeichen, Groß- und Kleinschreibung, Zahlen und Sonderzeichen erhöhen die Knackzeit exponentiell. Ein 14-stelliges Passwort mit allen Zeichenarten benötigt auf einem modernen Rechner über 800 Jahre zum Erraten.

Aktivieren Sie zusätzlich 2FA mit dem Plugin WP 2FA oder Two Factor. Eine Authenticator-App wie Aegis oder Google Authenticator generiert TOTP-Codes, die alle 30 Sekunden wechseln. SMS-basierte 2FA gilt 2026 als unsicher und sollte vermieden werden.

Mindestens 14 Zeichen Passwortlänge
2FA für alle Administratoren verpflichtend
Benutzername niemals „admin" oder Domain-Name
Login-Versuche auf 3 pro Stunde begrenzen
Benachrichtigung bei neuen Admin-Accounts

File-Permissions und Verzeichnisschutz

Falsche Dateiberechtigungen sind die Ursache für etwa 27 % aller WordPress-Hacks laut Wordfence 2026. Die folgenden Werte entsprechen den Empfehlungen des WordPress-Codex und verhindern sowohl Auslesen sensibler Daten als auch das Einschleusen von Schadcode.

sudo find /var/www/wordpress/ -type d -exec chmod 755 {} \;
sudo find /var/www/wordpress/ -type f -exec chmod 644 {} \;
sudo chmod 440 /var/www/wordpress/wp-config.php
sudo chown -R www-data:www-data /var/www/wordpress/

Schützen Sie das Verzeichnis /wp-admin zusätzlich mit einer HTTP-Authentifizierung. Dies erfordert eine zweite Passworteingabe und stoppt die meisten automatisierten Angriffe, bevor sie WordPress überhaupt erreichen.

sudo apt install apache2-utils -y
sudo htpasswd -c /etc/nginx/.htpasswd wpadmin
sudo nano /etc/nginx/sites-available/wordpress.conf

Ergänzen Sie in der Nginx-Konfiguration den Location-Block für /wp-admin:

location /wp-admin {
    auth_basic "Admin Bereich";
    auth_basic_user_file /etc/nginx/.htpasswd;
    try_files $uri $uri/ /index.php?$args;
}

Blockieren Sie zudem den Zugriff auf kritische Dateien wie xmlrpc.php, wp-config.php und die .htaccess-Datei direkt über Nginx-Regeln. Die Datei xmlrpc.php ist für über 40 % aller Brute-Force-Angriffe verantwortlich und kann in den meisten Fällen deaktiviert werden.

Backups – die Versicherung gegen den Ernstfall

Selbst die beste Sicherheitsarchitektur kann versagen. Regelmäßige Backups sind die einzige Garantie für eine schnelle Wiederherstellung. Die 3-2-1-Regel hat sich als Industriestandard etabliert: 3 Kopien, auf 2 verschiedenen Medientypen, 1 Kopie offsite.

Backup-Lösung	Preis	Speicher	Verschlüsselung	Automatisierung
Hetzner Storage Box	3,81 €/Monat	1 TB	AES-256	Cron + Borg
Backblaze B2	6 $/TB	unbegrenzt	AES-256	Restic, Duplicati
Wasabi	7 $/TB	unbegrenzt	AES-256	Restic
Amazon S3 Glacier	3,60 $/TB	unbegrenzt	AES-256	aws-cli
Borgbase	2 €/Monat	50 GB	AES-256	Borg

Erstellen Sie tägliche inkrementelle Backups mit BorgBackup. Die Software unterstützt Deduplizierung, Verschlüsselung und Kompression – ideal für VPS-Umgebungen.

borg init --encryption=repokey ssh://[email protected]/./wpbackup
borg create ssh://[email protected]/./wpbackup::'{now}' /var/www/wordpress /etc/nginx
borg prune --keep-daily=7 --keep-weekly=4 --keep-monthly=6 ssh://[email protected]/./wpbackup

Testen Sie die Wiederherstellung mindestens einmal pro Quartal. Ein Backup, das nicht funktioniert, ist wertlos – dies zeigt die Praxis in 21 % aller Disaster-Recovery-Szenarien.

Monitoring und regelmäßige Wartung

Sicherheit ist kein einmaliger Akt, sondern ein kontinuierlicher Prozess. Richten Sie ein Monitoring ein, das Sie über Anomalien informiert, bevor Schaden entsteht. Tools wie UptimeRobot (kostenlos für 50 Monitore) prüfen die Erreichbarkeit, während Wazuh oder OSSEC die Server-Logs auf verdächtige Aktivitäten überwachen.

Erstellen Sie einen Cronjob für automatische Updates. WordPress 6.7+ unterstützt seit 2025 native Auto-Updates für Core, Plugins und Themes. Für geschäftskritische Sites empfiehlt sich jedoch ein Staging-System mit manueller Freigabe.

0 3 * * * wp cron event run --due-now --path='/var/www/wordpress' >/dev/null 2>&1
0 4 * * 0 sudo apt update && sudo apt upgrade -y

Führen Sie monatlich folgende Wartungsarbeiten durch:

Prüfung der installierten Plugins auf Aktualität
Scan mit Wordfence oder Sucuri Security
Review der Fail2Ban-Statistiken
Test-Backup-Wiederherstellung
Überprüfung der SSL-Zertifikatsgültigkeit
Analyse der Nginx-Access-Logs auf Auffälligkeiten

Planen Sie pro Quartal einen Sicherheits-Audit ein. Externe Tools wie securityheaders.com, observatory.mozilla.org und der WP-Scan von Pentest-Tools liefern detaillierte Reports zu Ihrer Konfiguration. Investieren Sie 2–4 Stunden pro Monat in Wartung, sparen Sie im Ernstfall bis zu 48 Stunden Wiederherstellungszeit.

Mit diesen zwölf Schritten haben Sie eine WordPress-Installation auf VPS-Niveau 2026, die aktuellen Bedrohungen standhält. Die Kombination aus SSH-Härtung, Firewall, Fail2Ban, starker Authentifizierung, korrekten Berechtigungen, verschlüsselten Backups und aktivem Monitoring reduziert das Risiko eines erfolgreichen Angriffs auf unter 0,1 % pro Jahr – ein Wert, der auch professionellen Anforderungen genügt.