Kostenloses WordPress-Sicherheits-Plugin: Was es prüfen sollte und was es nie tun darf

Im Plugin-Verzeichnis von WordPress.org stehen viele Plugins mit „Security“ im Namen, und fast alle haben eine kostenlose Version. Die Beschreibungen klingen ähnlich, und den Code werden Sie nicht lesen. Wie wählen Sie also aus?

Unten finden Sie fünf Kriterien, die Sie selbst beurteilen können: anhand des Verzeichniseintrags, der Einstellungsseite und des ersten Scans. Danach folgt eine Liste von Dingen, die ein kostenloses Plugin nicht tun sollte, mit Verweisen auf die Regeln des Verzeichnisses.

Was ein Plugin kann und was nicht

Ein Sicherheits-Plugin arbeitet innerhalb Ihrer Website. Es sieht die Dateien auf dem Server, die Datenbank, die Benutzerkonten und die Einstellungen. Ein Scan von außen sieht nichts davon, deshalb deckt ein gutes Plugin genau die Dinge ab, für die man Zugriff braucht.

Ein Plugin ist aber trotzdem ein Teil von WordPress. Wer die Website mit Administratorrechten übernimmt, kann es abschalten oder seine Einstellungen ändern. Deshalb bietet kein Plugin vollständigen Schutz, und kein seriöses verspricht ihn. Betrachten Sie es als eine Schicht, neben Updates, Backups und der Prüfung der Website von außen.

1. Es prüft und meldet und ändert nur etwas, wenn Sie es sagen

Der größte Nutzen kommt von Prüfungen, die nur lesen:

• Abgleich der Dateien von WordPress, Plugins und Themes mit den offiziellen Prüfsummen von WordPress.org für Ihre Version, was manipulierte Dateien aufdeckt,
• Suche nach PHP-Dateien im Upload-Ordner, wo sie nichts zu suchen haben,
• Liste aller Konten mit Administratorrechten,
• Suche nach Dateien, die der Server jedem ausliefert: Kopien von wp-config.php, Datenbank-Dumps, Archive mit einem Backup der Website,
• Erkennen von Einstellungen, die einen Einbruch erleichtern: eingeschalteter Debug-Modus, der Datei-Editor im Adminbereich, offene Benutzerregistrierung.

Änderungen, etwa das Abschalten von XML-RPC oder das Verschieben einer Datei in die Quarantäne, sollten erst passieren, nachdem Sie einen Knopf gedrückt haben. Automatische „Reparaturen“ können einen Shop lahmlegen: Das Plugin löscht eine Datei, die es für verdächtig hält, und die Datei stellt sich als Teil des Themes heraus.

So prüfen Sie es: Suchen Sie im Verzeichniseintrag einen Satz, der sagt, dass das Plugin ohne Ihre Zustimmung nichts ändert. Schauen Sie nach dem ersten Scan, ob die Ergebnisse nur angezeigt wurden oder ob schon etwas geändert wurde.

2. Es macht die Website nicht langsamer

Ein vollständiger Datei-Scan ist echte Arbeit für einen Server. Ein gutes Plugin teilt sie in kleine Schritte im Hintergrund auf, überspringt unveränderte Dateien und tut bei keinem Seitenaufruf etwas Aufwendiges.

So prüfen Sie es: Messen Sie die Ladezeit in PageSpeed Insights vor der Installation und einen Tag danach. Schauen Sie auch in Ihr Hosting-Panel, das meist die CPU-Auslastung anzeigt. Steigt sie nach der Installation deutlich und schickt Ihr Hoster Warnungen, stimmt etwas nicht.

3. Es spricht verständlich und schlägt nicht ständig falschen Alarm

Jeder Befund braucht drei Dinge: was er bedeutet, wie ernst er ist und was zu tun ist. „Verdächtiger base64-String in Datei“ ohne Erklärung sagt Ihnen nichts.

Für Benachrichtigungen gilt dasselbe. Ein Plugin, das Ihnen wegen jeder Kleinigkeit eine E-Mail schickt, landet innerhalb einer Woche in einem Ordner, den niemand liest. Besser ist es, wenn es nur über Probleme schreibt, die neu sind oder sich verschlimmert haben, und unsichere Ergebnisse als unsicher kennzeichnet, statt Alarm zu schlagen.

4. Es behält die Updates im Blick

Veraltete Plugins sind der häufigste Weg in eine WordPress-Website. Mehr dazu steht im Artikel über veraltete WordPress-Plugins.

Ein gutes Sicherheits-Plugin zeigt, welches Plugin oder Theme eine bekannte Sicherheitslücke hat und welche Version sie behebt. Es warnt auch vor Plugins, die im Verzeichnis von WordPress.org geschlossen oder von ihrem Autor aufgegeben wurden, und erinnert daran, dass ein deaktiviertes Plugin weiterhin auf dem Server liegt. Mit dieser Liste wissen Sie, was Sie heute aktualisieren und was Sie löschen.

5. Es bietet Ihnen einen Weg zur Sicht von außen

Von innen sehen Sie nicht alles, was ein Besucher sieht. Servereinstellungen, die E-Mail-Einträge in Ihrem DNS, das Zertifikat so, wie das Internet es sieht, vergessene Subdomains: Das wird von außen geprüft. Ein gutes Plugin ruft entweder die eigene Website über das Internet auf, zum Beispiel um zu testen, ob private Dateien erreichbar sind, oder lässt sich mit einem Scan von außen verbinden.

Den Unterschied zwischen beiden Sichten erklärt der Artikel über Online-Sicherheitsscanner für Websites.

Was ein kostenloses Plugin nie tun sollte

Das Verzeichnis von WordPress.org hat ausführliche Richtlinien für Plugins (auf Englisch). Einige davon lassen sich direkt in Erwartungen übersetzen:

• Es sendet ohne Zustimmung keine Daten über Sie. Richtlinie 7 besagt, dass Plugins Benutzer nicht ohne deren Zustimmung verfolgen dürfen. Wenn ein Plugin mit einem externen Dienst spricht, sollte der Eintrag den Dienst nennen und sagen, wozu.
• Es nimmt nach einer Testphase keine Funktionen weg. Richtlinie 5 erlaubt im Verzeichnis keine Trialware, ein dort gelistetes Plugin sollte also nicht nach ein paar Tagen aufhören zu funktionieren.
• Es füllt Ihr Dashboard nicht mit Werbung für die Bezahlversion. Richtlinie 11 besagt, dass Plugins das Admin-Dashboard nicht kapern sollen. Ein Hinweis auf einen kostenpflichtigen Tarif ist normal. Banner auf jeder Seite sind es nicht.
• Es verspricht keinen vollständigen Schutz. Ein Versprechen totaler Sicherheit ist ein Grund, den Eintrag genauer zu lesen.

Eine Möglichkeit

Ein solches Plugin habe ich selbst gebaut: Ensomedia Security im Verzeichnis von WordPress.org, verbunden mit ShieldWave. Beurteilen Sie es nach denselben fünf Punkten wie jedes andere. Die Fakten aus seinem Eintrag:

• es führt 25 Prüfungen durch, und jede Prüfung, die geplanten Scans und die E-Mail-Benachrichtigungen sind kostenlos, ohne Konto und ohne Limits,
• es gleicht Dateien mit den Prüfsummen von WordPress.org ab und achtet auf Änderungen an Dateien, die WordPress.org nicht verifizieren kann,
• es scannt im Hintergrund in kurzen Schritten und analysiert unveränderte Dateien nicht erneut,
• es ändert Dateien, Benutzer und Einstellungen nur, wenn Sie einen Knopf drücken oder einen Schalter umlegen,
• es ist keine vollständige Web Application Firewall und bereinigt keine Dateien für Sie: Die Änderung, die es erklärt, nehmen Sie, Ihr Entwickler oder Ihr Hoster vor,
• es lässt sich optional mit dem Dashboard auf shieldwave.io verbinden, wo die Website neben ihrem Scan von außen erscheint.

Eine Anleitung Bildschirm für Bildschirm finden Sie in einem eigenen Artikel über das Plugin.

Was Sie nach der Installation eines Sicherheits-Plugins tun

1. Starten Sie den ersten Scan und lesen Sie zuerst die schwerwiegendsten Befunde.
2. Aktualisieren oder löschen Sie Plugins und Themes mit bekannten Sicherheitslücken.
3. Gehen Sie die Liste der Administratoren durch und entfernen Sie alle, die nicht mehr mit Ihnen arbeiten.
4. Planen Sie einen Scan ein. Einmal pro Woche reicht.
5. Prüfen Sie die Website von außen, um zu sehen, was das Plugin nicht sieht.

Prüfen Sie Ihre Website von außen. Geben Sie Ihre Adresse auf shieldwave.io ein. Das dauert etwa 90 Sekunden und braucht weder Passwort noch Plugin.