Das Plugin Ensomedia Security für WordPress: Was es prüft und wie Sie es nutzen

Ensomedia Security ist ein kostenloses WordPress-Plugin, das Ihre Website von innen prüft und Ihnen in einfachen Worten sagt, was nicht stimmt und wie Sie es beheben. Im Verzeichnis von WordPress.org heißt es Ensomedia Security powered by shieldwave.io, in Ihrem Dashboard erscheint es als ShieldWave.

Seine 25 Prüfungen suchen nach Malware und manipulierten Dateien, bekannten Sicherheitslücken in Plugins und Themes, Spam und Skripten, die in Ihren Inhalten versteckt sind, Backups, die jeder herunterladen kann, sowie riskanten Konten und Einstellungen. Außerdem sperrt es Leute aus, die Passwörter erraten wollen, und ergänzt die Zwei-Faktor-Anmeldung. Es ändert Ihre Dateien, Benutzer und Einstellungen nie von selbst. Die Quarantäne, das Zurücksetzen auf das Original von WordPress.org und das Entfernen eingeschleusten Codes passieren nur, wenn Sie einen Button drücken.

Das Plugin ist auf Deutsch übersetzt und spricht seine Nutzer mit „du“ an. Die Namen von Bildschirmen und Schaltflächen stehen hier so, wie sie in der deutschen Oberfläche erscheinen. Die Screenshots zeigen Version 1.0.3 im dunklen Design und die englische Oberfläche. Mit den Schaltflächen im Kopfbereich des Plugins schalten Sie auf das helle Design um.

Installieren und den ersten Scan starten

Gehen Sie in Ihrem Dashboard zu Plugins > Neues Plugin hinzufügen, suchen Sie nach „Ensomedia Security“ und klicken Sie auf Jetzt installieren und dann auf Aktivieren. Es braucht WordPress 6.2 und PHP 7.4 oder neuer. Die Aktivierung startet keinen Scan und sendet nichts irgendwohin.

Öffnen Sie im linken Menü ShieldWave und drücken Sie Ersten Scan starten.

Der erste Scan dauert meist einige Minuten, weil ShieldWave Ihre Dateien als Ausgangszustand erfasst, mit dem spätere Scans verglichen werden. Spätere Scans sind schneller, da eine saubere, unveränderte Datei nicht erneut analysiert wird. Scans laufen im Hintergrund in kurzen Schritten, nie während die Seite eines Besuchers lädt, Sie können den Tab also schließen. Danach scannt ShieldWave jeden Tag um 03:00 Uhr nach der Zeit Ihrer Website. Unter Einstellungen ändern Sie Uhrzeit und Häufigkeit.

Die Übersicht lesen

Die Übersicht beginnt mit einem Satz über Ihre Website: Deine Website sieht sicher aus; Deine Website sieht gut aus, also nichts Dringendes, aber einiges könnte besser sein; 1 Sache braucht deine Aufmerksamkeit, oder mehr, mit der dringendsten darunter genannt; oder Auf deiner Website gibt es Anzeichen für einen Einbruch, dazu weiter unten mehr.

Darunter sehen Sie, wann der letzte Scan lief, wann der nächste fällig ist, und eine Punktzahl von 100. Für jede Prüfung zieht das schwerste offene Problem Punkte ab: 30 bei kritisch, 15 bei hoch, 8 bei mittel und 3 bei niedrig.

Darunter steht Ihre Aufgabenliste. Probleme derselben Art teilen sich eine Zeile, mehrere veraltete Plugins ergeben also einen Eintrag und nicht mehrere. Die Zeilen verteilen sich auf vier Gruppen:

• Jetzt beheben: Probleme, durch die jemand in Ihre Website gelangen kann, oder Anzeichen, dass schon jemand drin ist.
• Lohnt sich zu beheben: nicht dringend, aber jedes davon erleichtert einen Angriff.
• Von deinem Entwickler prüfen lassen: Befunde, bei denen ShieldWave nicht sicher ist, etwa eine neue PHP-Datei in einem Premium-Plugin, die ohne Update aufgetaucht ist. Jemand, der die Website kennt, kann das in einer Minute beurteilen, und diese Befunde lösen nie eine E-Mail aus.
• Gut zu wissen: kleine Verbesserungen für den Fall, dass Sie Zeit haben.

Die rechte Spalte führt auf, was die Website schützt: automatische Scans, E-Mail-Benachrichtigungen, die Prüfung auf bekannte Sicherheitslücken, Anmeldeschutz, Zwei-Faktor-Anmeldung und Härtung. Alles, was ausgeschaltet ist, hat einen Link Aktivieren, der in die Einstellungen führt, und die Zahl auf dem Tab Einstellungen zeigt, wie viel noch aus ist. Was ShieldWave prüft unter der Liste klappt alle Prüfungen mit ihrem letzten Ergebnis auf.

Der Planet zeigt ungefähr, wo Ihre Website steht, mit Ihrer Domain darüber. Die Position ergibt sich aus der Zeitzone, die in WordPress eingestellt ist, online wird nichts abgefragt. Die Schüsse, die darüber fliegen, sind eine Simulation typischen Bot-Verkehrs, wie der Hinweis unter dem Planeten sagt, und keine Aufzeichnung von Angriffen auf Ihre Website. Die Schaltfläche neben dem Hinweis hält die Bewegung an.

Ein Problem beheben

Klicken Sie auf eine Zeile, um sie zu öffnen.

Ein geöffneter Eintrag sagt, welche Prüfung ihn gefunden hat und wann, was genau gefunden wurde, und in einem eigenen Kasten So behebst du es. Wird die Korrektur auf einem WordPress-Bildschirm vorgenommen, führt die Hauptschaltfläche dorthin: Zu den Aktualisierungen bei veralteten Plugins, Zu den Benutzern bei einem Administrator, den Sie nicht erwartet haben, Zu den allgemeinen Einstellungen, wenn Personen, die sich auf Ihrer Website registrieren, zu viele Rechte bekommen. Behebt einer der eigenen Schalter von ShieldWave das Problem, wie beim Datei-Editor oder bei XML-RPC, öffnet die Schaltfläche diesen Schalter.

Manche Korrekturen brauchen jemanden mit Zugang zum Server. Für deinen Entwickler kopieren legt eine fertige Nachricht in Ihre Zwischenablage: die Adresse Ihrer Website, was wo gefunden wurde, die technischen Details und wie es behoben wird. Fügen Sie sie in eine E-Mail ein, und Sie müssen nichts erklären. Für den Rest dieses Gesprächs lesen Sie, wie Sie mit Ihrem Entwickler über Sicherheit sprechen. Die technischen Details ganz unten nennen die Datei, die passende Regel und den Code oder die CVE-Nummer einer Sicherheitslücke und die Version, die sie behebt.

Betrifft ein Befund etwas, das Sie absichtlich geändert haben, drücken Sie Ignorieren. Er zählt dann nicht mehr für die Punktzahl und die Benachrichtigungen und wandert unter den Link Ignoriert unterhalb der Liste, wo Wiederherstellen ihn zurückholt. Eine ignorierte Datei kommt von selbst zurück, wenn sie sich erneut ändert.

Drücken Sie nach einer Korrektur Jetzt scannen. Der Eintrag verschwindet von der Liste, sobald ein Scan das Problem nicht mehr findet.

Wenn es heißt, dass es Anzeichen für einen Einbruch gibt

Für diese Überschrift braucht es eindeutige Belege: schädlichen Code in einer Datei, PHP-Dateien von WordPress, Plugins oder Themes, die von der offiziellen Version abweichen, PHP-Dateien, die dort nicht hingehören, eine Web-Shell (ein Skript, mit dem jemand den Server über einen Browser steuert) im Upload-Ordner oder ein Konto mit Administratorbefugnissen, aber ohne die Rolle Administrator. Befunde, bei denen ShieldWave unsicher ist, lösen sie nie aus.

Ein Kasten Was du jetzt tun solltest über der Liste nennt dann drei Schritte:

1. Löschen oder bearbeiten Sie noch keine Dateien. Öffnen Sie die Einträge unter Jetzt beheben, um zu sehen, welche Dateien oder Konten betroffen sind.
2. Ändern Sie von einem Computer aus, dem Sie vertrauen, die Passwörter aller Administratoren, Ihres Hosting-Kontos und der Datenbank.
3. Schicken Sie die Details mit Für deinen Entwickler kopieren an Ihren Entwickler oder Ihren Hoster. Er kann die Dateien aus einem sauberen Backup wiederherstellen.

Wer in Eile Dateien löscht, zerstört die Spuren, die zeigen, wie der Angreifer hineingekommen ist, und der Weg hinein bleibt offen. Anzeichen, dass Ihre Website gehackt wurde beschreibt die erste Stunde genauer.

Schutzfunktionen in den Einstellungen einschalten

Einstellungen ist eine Seite mit einem Menü der Abschnitte auf der linken Seite.

Automatische Scans und E-Mail-Benachrichtigungen sind von Anfang an eingeschaltet. Nach einem geplanten Scan bekommen Sie nur dann eine E-Mail, wenn Probleme neu sind oder sich verschlimmert haben, und zwar ab der Stufe, die Sie wählen: Nur kritische, Ernste (die Voreinstellung) oder Auch kleinere. Nie zweimal zum selben Problem, höchstens vier am Tag und keine nach einem Scan, den Sie selbst gestartet haben, denn dann sehen Sie das Ergebnis ja schon. Ein eigener Schalter schickt Ihnen sofort eine E-Mail, wenn jemand Administrator wird.

Der Anmeldeschutz ist bei einer Neuinstallation von Anfang an eingeschaltet. Haben Sie von einer älteren Version aktualisiert, schalten Sie ihn hier ein. Fünf fehlgeschlagene Anmeldungen von einer Adresse (wählbar von 3 bis 50) sperren diese Adresse für 20 Minuten oder für die Zeit, die Sie festlegen. Die Sperre ist immer vorübergehend, vertrauenswürdige Adressen werden nie gesperrt, und die Adresse, von der aus Sie den Schutz einschalten, kommt auf die vertrauenswürdige Liste. Derselbe Schalter hält Ihre Benutzernamen geheim: Das Anmeldeformular bestätigt sie nicht mehr, und Besucher, die nicht angemeldet sind, können sie weder aus der REST-API noch aus der Sitemap noch über den Trick mit ?author= auslesen.

Die Zwei-Faktor-Anmeldung richtet jeder Administrator für sein eigenes Konto ein. Drücken Sie Einrichten, fügen Sie den Schlüssel einer Authenticator-App wie Google Authenticator oder Authy hinzu und geben Sie den sechsstelligen Code ein, den sie anzeigt. Der Code wird erst nach dieser Bestätigung verlangt, und Sie bekommen zehn einmalig nutzbare Wiederherstellungscodes für den Fall, dass das Telefon verloren geht. ShieldWave zeigt sie nur einmal an, bewahren Sie sie also in einem Passwort-Manager auf.

Die Härtung hat für jeden Schutz einen eigenen Schalter. Datei-Editor deaktivieren entfernt den Code-Editor für Plugins und Themes aus dem Dashboard, sodass ein gestohlenes Administratorpasswort nicht dazu benutzt werden kann, darüber Code einzuschleusen. Updates funktionieren weiter. XML-RPC deaktivieren schließt eine alte Schnittstelle, über die Angreifer massenhaft Passwörter erraten. Braucht ein Plugin, das Sie nutzen, diese Schnittstelle, zum Beispiel Jetpack, nennt die Einstellung es. Diese beiden Schalter ändern keine Datei, und wenn Sie einen ausschalten, ist sofort alles wie vorher. PHP im Uploads-Ordner blockieren schreibt auf Apache und LiteSpeed eine Sperre in die .htaccess-Datei im Uploads-Ordner und zeigt für nginx und IIS die Regel, die Sie eintragen. Jetzt prüfen testet, ob die Sperre greift. Sicherheits-Header senden ergänzt die Header, die Ihr Server noch nicht sendet. Virtuelle Patches stoppen Anfragen, die eine bekannte Lücke eines installierten Plugins ausnutzen, wenn der Bedrohungsfeed einen Patch dafür hat. Sicherheitsupdates, pro Plugin wählbar ab WordPress 6.6, lassen WordPress eine Version installieren, die eine bekannte Schwachstelle Ihrer Version behebt, und sie zurücknehmen, wenn das Update scheitert.

Anmeldeprüfungen und Spam-Fallen bleiben aus, bis Sie sie einschalten. Sie können die Anmeldung mit einem Passkey statt eines Passworts erlauben, den Formularen für Anmeldung, Registrierung und Passwort-Zurücksetzung eine Bot-Prüfung hinzufügen (ein kleines Rätsel, das der Browser löst, oder Cloudflare Turnstile mit Ihren eigenen Schlüsseln), neue Passwörter aus Datenlecks ablehnen, die Anmeldeseite unter eine Adresse Ihrer Wahl verlegen und Formulare abfangen, die ein Programm ausfüllt: in Kommentaren, bei der Registrierung, in Contact Form 7 und WPForms. Sperrt Sie eine dieser Funktionen aus, nennen die FAQ des Plugins die Zeile für wp-config.php oder den WP-CLI-Befehl, der sie abschaltet.

Die Anfragen-Firewall ist ebenfalls aus. Sie prüft Anfragen auf Ihrem Server mit lokalen Regeln für gängige Injections und hochgeladene ausführbare Dateien, Sperren nach IP und Land und Anfragelimits, und sie sendet keine Anfragedaten nach außen. Starten Sie sie mit Nur protokollieren, sehen Sie nach, was sie gestoppt hätte, und stellen Sie nach ein bis zwei Wochen auf Blockieren um. Brauche ich eine Firewall für WordPress? erklärt, wie sie sich zu einer Firewall beim Hoster oder im CDN verhält.

Der Live-Schutz hat drei Funktionen, alle aus, bis Sie sie einschalten, und jede mit einem Hinweis Was gesendet wird:

• Bekannte Sicherheitslücken, inklusive Premium-Plugins warnt Sie, wenn ein Plugin, ein Theme oder eine WordPress-Version, die Sie nutzen, eine veröffentlichte Sicherheitslücke hat, und nennt das Update, das sie behebt. Gesendet werden Ihre WordPress-Version sowie Namen und Versionen Ihrer Plugins und Themes, nie die Adresse Ihrer Website.
• Live-Bedrohungsfeed lädt etwa einmal pro Stunde neue Malware-Regeln und virtuelle Patches herunter. Über Ihre Website sendet er nichts.
• KI-Zweitmeinung gibt ein Urteil in einfachen Worten über eine Datei ab, die der Scanner allein nicht beurteilen kann. Grundlage ist ein kurzer Ausschnitt, aus dem vorher die Adresse Ihrer Website, E-Mail-Adressen und alles, was nach einem Passwort oder Schlüssel aussieht, entfernt werden. wp-config.php wird nie gesendet.

Nach der Aktivierung fragt das Plugin einmal, ob es den Schutz einschalten soll. Schutz aktivieren schaltet die Schwachstellenabfrage, den Bedrohungsfeed und die virtuellen Patches ein. Die KI-Zweitmeinung hat dort ein eigenes Kästchen und bleibt aus, solange Sie es nicht ankreuzen. Live-Schutz aktivieren in der Übersicht schaltet alle drei Live-Funktionen ein, die KI-Zweitmeinung eingeschlossen. Mit den Schaltern in den Einstellungen wählen Sie einzeln. Bei günstigem oder stark ausgelastetem Hosting öffnen Sie Zusätzliche Prüfungen, dann Erweitert, und stellen die Scan-Geschwindigkeit auf Schonend.

Verlauf

Der Verlauf hält jeden Scan und jede sicherheitsrelevante Änderung fest, Tag für Tag, in einfachen Sätzen: gefundene oder behobene Probleme, ein neuer Administrator, installierte, aktualisierte oder gelöschte Plugins, ein neues Theme, WordPress-Updates, Sperren nach fehlgeschlagenen Anmeldungen, verschickte Benachrichtigungen und geänderte Einstellungen. Seit Version 1.1.27 hält er auch Anmeldungen fest, angelegte und gelöschte Konten, Rollenänderungen und wer einen Beitrag oder eine Seite bearbeitet, veröffentlicht oder in den Papierkorb gelegt hat, genannt mit Titel und nie mit Inhalt. Mit den Schaltflächen oben schränken Sie ihn auf Scans oder auf Änderungen an der Website ein.

Taucht ein Administrator auf, an dessen Anlage sich niemand erinnert, zeigt der Verlauf, wann das geschah. Genau das fragt Ihr Entwickler oder Hoster als Erstes.

Was kostenlos ist und wofür Sie ein Konto brauchen

Alles in dieser Anleitung funktioniert ohne Konto, und für die Prüfungen, geplanten Scans und E-Mail-Benachrichtigungen gibt es keine Limits. Das Plugin stellt keine Anfragen nach außen, wenn Sie es aktivieren oder seine Bildschirme öffnen. Während eines Scans fragt es bei WordPress.org die offiziellen Prüfsummen ab und ruft einige Adressen auf Ihrer eigenen Website auf. Die Funktionen des Live-Schutzes und die Kontoverbindung kontaktieren shieldwave.io erst, nachdem Sie sie eingeschaltet haben. Die Prüfung auf Passwörter aus Datenlecks fragt bei Have I Been Pwned an und Cloudflare Turnstile bei Cloudflare, ebenfalls erst, nachdem Sie sie eingeschaltet haben.

Ein Konto dient dazu, Ihre Websites an einem Ort zu betreuen. Drücken Sie unter Einstellungen > ShieldWave-Konto auf Mit shieldwave.io verbinden, melden Sie sich an oder legen Sie ein kostenloses Konto an und bestätigen Sie: Sie kehren verbunden zu WordPress zurück, ohne einen Schlüssel kopieren zu müssen. Das Dashboard auf shieldwave.io zeigt die Website dann mit Punktzahl und offenen Problemen, neben dem Scan derselben Website von außen. Jedes Konto, auch das kostenlose, zeigt jede verbundene Website. Solange die Website verbunden ist, fügt das Plugin Ihrer Startseite ein unsichtbares Tag hinzu, mit dem shieldwave.io bestätigen kann, dass die Domain Ihnen gehört. Die Verbindung sendet nur Ergebnisse: Das Dashboard kann keine Einstellung ändern und nichts auf Ihrer Website starten, und wenn Sie die Verbindung trennen, werden die Website und ihre Ergebnisse von shieldwave.io entfernt. Einen API-Schlüssel können Sie weiterhin unter Stattdessen einen API-Schlüssel verwenden einfügen. Die Seite des Plugins führt auf, was jeder optionale Dienst sendet.

Was das Plugin nicht tut

• Es ist keine vollständige Web Application Firewall. Seine Anfragen-Firewall arbeitet mit lokalen Regeln auf Ihrem Server und ersetzt keinen Filter beim Hoster oder im CDN. Direkt nach der Installation weist das Plugin nur eine fehlerhafte Anmeldung ab und einen Fremden, der Ihre Benutzerliste abfragt. Alles andere weist es erst ab, wenn Sie es einschalten: Anfragen, die die Firewall oder ein virtueller Patch blockiert, Formulare, die an der Bot-Prüfung scheitern oder in eine Spam-Falle gehen, Passwörter aus Datenlecks, Aufrufe der alten Anmeldeadresse, den Datei-Editor und XML-RPC.
• Es bereinigt keine gehackte Website. Es zeigt, wo die Malware ist und was zu tun ist. Code, der in ein Theme, ein eigenes Plugin, den Uploads-Ordner, Beiträge oder Optionen eingeschleust wurde, entfernt es erst, wenn Sie jede Änderung bestätigen, mit Sicherung und der Möglichkeit, sie rückgängig zu machen. Alle anderen Änderungen nehmen Sie, Ihr Entwickler oder Ihr Hoster vor.
• Es macht keine Backups. Die Prüfung Backups sucht nach einem Backup-Plugin und meldet, wenn das neueste Backup älter als 7 Tage ist. Um eine Website nach einem Einbruch wiederherzustellen, braucht es eine saubere Kopie, die getrennt vom Server aufbewahrt wird.
• Es fügt den Seiten, die Ihre Besucher sehen, nichts hinzu, außer dem unsichtbaren Bestätigungs-Tag auf der Startseite, solange die Website mit einem Konto verbunden ist. Wenn Sie sie einschalten, ergänzt die Bot-Prüfung die Anmeldeformulare um ein Rätsel oder Cloudflare Turnstile, und die Spam-Fallen fügen Kommentar-, Registrierungs- und Kontaktformularen ein verborgenes Feld hinzu.

Löschen Sie außerdem die Plugins, die Sie nicht mehr nutzen. Veraltete WordPress-Plugins erklärt, was Sie zuerst aktualisieren und was Sie entfernen.