Sehen Sie in unter einer Minute, wo Ihre Website steht und was Sie selbst verbessern können.
Schritt 1 von 4: Adresse
Der Check arbeitet wie ein aufmerksamer Besucher: Er ruft Ihre Startseite ab und wertet aus, was dort ohnehin sichtbar ist. Die Reihenfolge entspricht der Anzeige während der Prüfung.
Ihre Seite sollte verschlüsselt über HTTPS laden, und wer nur http eintippt, sollte automatisch dorthin umgeleitet werden. Ohne HTTPS markieren Browser die Seite als unsicher, und Formulardaten gehen im Klartext durchs Netz.
Der Check erkennt an typischen Spuren im Quelltext, ob WordPress läuft. Steckt ein anderes System dahinter, sagt er das offen und vergibt keine Bewertung, statt WordPress-Maßstäbe an eine fremde Technik anzulegen.
Die sichtbare WordPress-Version wird mit der aktuellen Version von wordpress.org verglichen. Ein veralteter Kern ist ein bekanntes Einfallstor, denn behobene Lücken sind nach jedem Update öffentlich dokumentiert.
Theme und Plugins werden an geladenen Dateien, an Spuren im Quelltext und an ihren Schnittstellen erkannt und mit den aktuellen Versionen abgeglichen. Der Check meldet auch Plugins, die seit über zwei Jahren kein Update erhalten haben oder von wordpress.org entfernt wurden. Die Zahl der Plugins bleibt eine Untergrenze, denn nicht jede Erweiterung ist von außen sichtbar.
Die erkannten Versionen von WordPress, Theme und Plugins werden mit einer Datenbank bekannter Sicherheitslücken abgeglichen. Das Ergebnis nennt, wie viele Lücken offen sind und wie schwer sie wiegen. Geprüft werden kann nur, was seine Version von außen zeigt.
Einige bekannte Adressen verraten mehr als nötig: eine readme.html mit der Version, eine aktive XML-RPC-Schnittstelle, eine öffentliche Liste der Benutzerkonten, ein Upload-Ordner, der seinen Inhalt auflistet, oder ein frei abrufbares Fehlerprotokoll. Keiner dieser Punkte ist ein Einbruch, aber jeder erleichtert Angreifern die Vorbereitung.
Sicherheits-Header wie HSTS, Content-Security-Policy, Einbettschutz, nosniff und Referrer-Policy sind eine zweite Verteidigungslinie im Browser. Sie kosten wenige Zeilen Serverkonfiguration und fehlen trotzdem auf vielen Seiten.
Viele Server nennen in ihren Antworten die eingesetzte Software und die PHP-Version. Der Check gleicht die PHP-Version mit den Supportfristen des PHP-Projekts ab, denn ohne Sicherheitsupdates bleiben bekannte Lücken dauerhaft offen. Sendet Ihr Server diese Angaben nicht, gibt es hier keinen Befund.
Im Quelltext der Startseite ist sichtbar, ob Schriften von Google-Servern geladen werden und welche Dienste anderer Anbieter eingebunden sind, etwa Analyse, Videos oder Karten. Ob ein Einwilligungs-Tool den Abruf zurückhält, sieht der Check nicht. Er nennt deshalb, was eingebunden ist, und behauptet keinen Verstoß.
Der Check zählt die eingebundenen Skripte und Stylesheets und misst, wie schnell die Startseite bei dieser Prüfung antwortet. Sehr viele Dateien deuten auf einen Seitenbaukasten oder eine lange Plugin-Liste hin. Die Kennzahlen ersetzen keine Messung im Browser, zeigen aber, wo sich ein genauerer Blick lohnt.
Zum Schluss schaut der Check, ob Suchmaschinen und KI-Assistenten die Seite gut erfassen können: Seitentitel, Beschreibung, Hauptüberschrift, robots.txt, Sitemap und llms.txt. Diese Hinweise fließen nicht in die Bewertung ein, denn sie betreffen die Sichtbarkeit und nicht die Sicherheit.
Der Check wertet ausschließlich öffentliche Daten aus, die jeder Browser beim Seitenaufruf ebenfalls erhält. Das begrenzt, was er sehen kann: Serverkonfiguration, Backups oder Plugins, die nur im Adminbereich laufen, bleiben verborgen. Ein unauffälliges Ergebnis ist deshalb ein gutes Zeichen, aber kein vollständiges Sicherheitsaudit.
Die meisten Befunde lassen sich ohne Agentur beheben. Der größte Hebel sind Updates: Laut Patchstack stecken 96 Prozent der neuen WordPress-Sicherheitslücken in Plugins, nicht im Kern.
Der häufigste Befund überhaupt. Mit jeder neuen Version werden die behobenen Lücken der alten öffentlich.
Selbst beheben: Vor dem Update ein Backup ziehen, dann unter Plugins aktualisieren. Plugins, die Sie nicht mehr brauchen, löschen statt nur deaktivieren.
Manche Plugins erhalten seit Jahren kein Update mehr oder wurden von wordpress.org entfernt. Neue Lücken darin behebt niemand mehr.
Selbst beheben: Prüfen, ob Sie die Funktion noch brauchen. Falls ja, auf eine gepflegte Alternative umsteigen, falls nein, das Plugin löschen.
Kleinere Sicherheitsupdates spielt WordPress meist selbst ein, Hauptversionen bleiben dagegen oft liegen.
Selbst beheben: Hauptversionen nach einem Backup zeitnah nachziehen. Blockiert ein altes Plugin oder eine alte PHP-Version das Update, ist das ein Warnsignal für die ganze Installation.
Die Seite ist zusätzlich unverschlüsselt erreichbar. Besucher und Suchmaschinen landen so auf der unsicheren Variante.
Selbst beheben: Bei den meisten Hostern genügt ein Schalter für die dauerhafte Weiterleitung auf HTTPS. Danach die Seitenadresse in den WordPress-Einstellungen prüfen.
Die REST-API nennt Benutzerkonten, und XML-RPC nimmt Anmeldeversuche entgegen. Zusammen erleichtern sie das Durchprobieren von Passwörtern.
Selbst beheben: Den Benutzer-Endpunkt für nicht angemeldete Besucher sperren und XML-RPC abschalten, sofern keine App oder kein externes Tool darauf angewiesen ist. Beides geht per Sicherheits-Plugin oder Serverregel.
Unter /wp-content/uploads/ ist jede hochgeladene Datei auffindbar, auch solche, die auf keiner Seite verlinkt sind.
Selbst beheben: Bei Apache in der .htaccess die Zeile Options -Indexes ergänzen, bei nginx autoindex off setzen. Oft erledigt das der Hoster auf Nachfrage.
Fast jede WordPress-Seite hat hier Lücken. Einzeln harmlos, zusammen eine verschenkte Schutzschicht.
Selbst beheben: HSTS, nosniff, Referrer-Policy und Einbettschutz lassen sich beim Hoster oder in der Serverkonfiguration ergänzen. Eine Content-Security-Policy braucht mehr Sorgfalt, weil sie Skripte blockieren kann.
Lädt die Seite Google Fonts direkt von Google, erfährt Google die IP-Adresse jedes Besuchers. Ohne Einwilligung war das in Deutschland bereits Anlass für Abmahnungen.
Selbst beheben: Die Schriften herunterladen und vom eigenen Server ausliefern. Viele Themes bieten dafür eine Einstellung, sonst hilft ein Plugin für lokale Schriften.
Ein eigenes CMS lohnt sich, wenn die Befunde nicht einmalig sind, sondern aus der Bauweise der Seite kommen. Einzelne veraltete Plugins beheben Sie mit einem Update. Hängt die Seite dagegen an vielen Erweiterungen, entsteht jeden Monat neue Arbeit.
Für eine kleine Seite mit wenigen Plugins reicht WordPress, dann genügen die Tipps oben. Das sagen wir auch, wenn es gegen unser eigenes Angebot spricht.
Individuelles CMS oder WordPress? Der Vergleich mit Zahlen zu Kosten, Sicherheit, DSGVO und Ladezeit, mit Checkliste, wann sich ein eigenes CMS lohnt.
Weg von WordPress, ohne Google-Rankings zu verlieren: warum Rankings beim Wechsel kippen, wie die Redirect-Map schützt und was Sie selbst prüfen können.
WordPress vs. WP Engine: der Rückblick auf 2025 mit Zahlen. Was aus der Klage wurde, warum Automattic 63 Prozent an Wert verlor und was das für Ihre Website heißt.
Was der Check sieht, was er nicht sieht und was mit Ihren Daten passiert.
Ja. Sie geben die Adresse ein und sehen das Ergebnis sofort, ohne Anmeldung und ohne E-Mail. Nur wenn Sie den ausführlichen Bericht möchten, fragen wir nach Ihrer E-Mail-Adresse.
Nein. Er stellt höchstens 16 lesende Anfragen an die Startseite und einige bekannte Pfade, weniger als ein gewöhnlicher Seitenaufruf mit Bildern und Skripten. Er meldet sich nirgends an, sendet keine Formulare ab und verändert nichts.
Prüfen Sie Ihre eigene Website oder eine Seite, die Sie im Auftrag betreuen. Der Check liest zwar nur öffentlich sichtbare Daten, das Ergebnis ist aber für die Betreiber gedacht.
Von außen sind nur Plugins sichtbar, die auf der Startseite Dateien laden. Erweiterungen, die nur im Adminbereich oder auf Unterseiten arbeiten, bleiben verborgen. Die tatsächliche Zahl ist deshalb meist höher.
Er gleicht die erkannten Versionen von WordPress, Theme und Plugins mit einer Datenbank bekannter Sicherheitslücken ab. Das Ergebnis nennt, wie viele Lücken offen sind und wie schwer sie wiegen. Welche Erweiterung betroffen ist und ab welcher Version die Lücke behoben ist, steht im ausführlichen Bericht, den nur Sie per E-Mail erhalten.
Nein. Er zeigt, was jeder Besucher und damit auch jeder Angreifer von außen sieht. Serverkonfiguration, Zugangsdaten, Backups und der Code der Plugins bleiben außen vor. Für eine erste Einschätzung und die häufigsten Lücken reicht er aber aus.
Wir speichern die geprüfte Adresse und das Ergebnis sieben Tage lang, danach werden sie gelöscht. Benutzernamen landen nie im Ergebnis, nur ihre Anzahl. Ihre E-Mail-Adresse erhalten wir nur, wenn Sie den Bericht anfordern.
Dann sagt Ihnen der Check das und nennt, soweit erkennbar, das verwendete System. Eine Bewertung gibt es in diesem Fall nicht, weil die Prüfschritte auf WordPress zugeschnitten sind.
Sie haben ein Ergebnis und wissen nicht, was davon dringend ist? Kian geht es mit Ihnen durch, unverbindlich und ohne Verkaufsdruck.
Mo–Fr · 9–18 Uhr · Aus Hamburg, für ganz Deutschland.
