Brauche ich eine Firewall für WordPress, oder reicht ein Malware-Scanner?

Eine Firewall und ein Scanner haben unterschiedliche Aufgaben, und die meisten WordPress-Websites fahren mit beiden Arten von Schutz besser. Eine Firewall prüft jede Anfrage, bevor WordPress sie verarbeitet, und weist die ab, die zu einem Angriff passen. Ein Scanner prüft, was schon auf der Website liegt: Dateien, Konten, Einstellungen und Plugin-Versionen. Eine Firewall kann Ihnen nicht sagen, dass jemand letzten Monat eine Hintertür eingeschleust hat. Ein Scanner kann die Anfrage nicht aufhalten, die sie einschleust.

Die Firewall muss kein WordPress-Plugin sein. Bei vielen kleinen Websites kommt sie vom Hoster oder von einem CDN vor der Website.

Was eine Web Application Firewall leistet

Eine Web Application Firewall (WAF) sitzt zwischen dem Besucher und Ihrer Website. Bei jeder Anfrage vergleicht sie Adresse, Parameter, Formularfelder und Header mit einem Satz von Regeln und blockiert die Anfrage, bremst sie oder lässt sie durch. Typische Regeln erkennen SQL-Injection- und Cross-Site-Scripting-Versuche, Anfragen nach Dateien von Plugins mit bekannten Lücken, Fluten von Anmeldeversuchen und schädliche Bots.

Sie kann an drei Stellen laufen:

• Am Rand (Edge), in einem CDN oder Reverse Proxy, über den der gesamte Datenverkehr läuft. Eine blockierte Anfrage erreicht Ihren Server nie und kostet ihn nichts.
• Auf dem Server, als Modul des Webservers, das der Hoster für jede Website einsetzt, die er ausliefert.
• In WordPress, als Plugin. Es sieht eine Anfrage erst, nachdem sie Ihren Server erreicht und PHP gestartet ist, und verbraucht bei jeder Anfrage Prozessor und Arbeitsspeicher Ihres Hostings. Dafür kennt es WordPress: wer angemeldet ist und zu welchem Plugin eine URL gehört.

Was eine Firewall nicht kann

Eine Firewall beurteilt Anfragen einzeln, nach Regeln. Einige Lücken bleiben offen, egal wie die Regeln aussehen:

• Eine Anmeldung mit einem gestohlenen, aber gültigen Passwort sieht aus wie der Inhaber, der sich anmeldet.
• Eine Lücke in einem Plugin, für die noch niemand eine Regel geschrieben hat, geht durch. Regeln folgen veröffentlichten Schwachstellen, es gibt also immer ein Zeitfenster.
• Code, der schon auf dem Server liegt, läuft weiter. Eine Firewall, die nach einem Einbruch installiert wird, entfernt die Hintertür nicht.
• Änderungen von einem Administratorkonto aus, auch von einem übernommenen, sind für eine Firewall ganz normaler Datenverkehr.

Deshalb kommen Updates zuerst. Eine Firewall-Regel für eine bekannte Lücke verschafft Ihnen Zeit bis zum Update. Das Update ersetzt sie nicht.

Was ein Malware-Scanner leistet

Ein Scanner prüft den Zustand der Website. Ein guter Scanner für WordPress:

• vergleicht die Dateien von WordPress, Plugins und Themes mit den offiziellen Kopien auf WordPress.org für Ihre Version und findet so geänderte Dateien ohne Raten,
• sucht nach PHP-Dateien im Uploads-Ordner,
• listet die Administratorkonten auf und bemerkt neue,
• gleicht Plugin- und Theme-Versionen mit veröffentlichten Schwachstellen ab,
• findet Sicherungen und Kopien der Konfiguration, die jeder herunterladen kann.

Während eines Angriffs hält er nichts auf. Er sagt Ihnen danach, was sich geändert hat und was zu tun ist. Wie Sie solche Ergebnisse lesen, steht im Beitrag So prüfen Sie eine Website auf Malware.

Woher eine Firewall kommen kann

Von Ihrem Hoster. Viele Hoster filtern Anfragen für jede Website auf ihren Servern. Fragen Sie schriftlich nach: Steht vor meiner Website eine Web Application Firewall, wer aktualisiert ihre Regeln, und kann ich sehen, was sie blockiert hat? Lautet die Antwort ja, brauchen Sie womöglich keine weitere Schicht.

Von einem CDN vor der Website. Ein CDN wie Cloudflare sitzt zwischen den Besuchern und Ihrem Server und kann Anfragen am Rand filtern. Am 19. Oktober 2026 hieß es in der WAF-Dokumentation von Cloudflare (auf Englisch), das Free Managed Ruleset stehe in allen Cloudflare-Tarifen zur Verfügung und decke weit verbreitet ausgenutzte Schwachstellen mit hoher Auswirkung ab. Prüfen Sie nach der Einrichtung eines CDN zwei Dinge. Ihr Server sollte nicht auf Anfragen antworten, die das CDN umgehen und direkt an seine IP-Adresse gehen. Und Ihr Anmeldeschutz sollte die Adresse des Besuchers sehen, nicht die des CDN.

Von einem Firewall-Plugin. Das ist der Weg, wenn der Hoster nichts bietet und ein CDN nicht passt. Achten Sie vor der Auswahl in der Beschreibung oder der Dokumentation auf Folgendes:

• ob es vor den anderen Plugins geladen wird, sodass es eine Anfrage sieht, bevor der verwundbare Code sie sieht,
• wie oft seine Regeln aktualisiert werden und ob kostenlose Nutzer neue Regeln zur selben Zeit erhalten wie zahlende,
• einen Lern- oder Nur-Protokoll-Modus, damit Sie sehen, was es blockieren würde, bevor es zu blockieren beginnt,
• die Auswirkung auf Ihren Server. Messen Sie die Ladezeit vorher und einen Tag danach.

Setzen Sie pro Ebene eine Firewall ein. Zwei Firewall-Plugins auf einer Website erledigen dieselbe Arbeit doppelt, und wenn ein Kunde abgewiesen wird, lässt sich schwer sagen, welches von beiden es war.

Was Sie brauchen

• Filtert Ihr Hoster schon Anfragen? Dann deckt ein Scanner mit guten Gewohnheiten den Rest ab.
• Betreiben Sie einen Shop, einen Mitgliederbereich oder Formulare, die viele Menschen nutzen? Dort ist eine Firewall am Rand sinnvoll, weil es mehr anzugreifen und mehr zu verlieren gibt.
• Aktualisieren Sie Plugins innerhalb weniger Tage nach einer Veröffentlichung? Dann fängt eine Firewall vor allem Rauschen ab. Warten Updates wochenlang, deckt sie genau diese Lücke ab.
• Würden Sie bemerken, wenn sich heute Nacht eine Datei auf dem Server ändert? Wenn nicht, brauchen Sie einen Scanner, was auch immer Sie sonst haben.

Keines von beiden ersetzt eine Sicherung, die getrennt vom Server aufbewahrt wird. Nach einem Einbruch bringt eine saubere Kopie die Website zurück.

Worauf Sie achten sollten

• Fehlalarme. Eine Firewall, die Rückmeldungen Ihres Zahlungsanbieters oder Nachrichten aus dem Kontaktformular abweist, kostet Sie Bestellungen, und Sie sehen keinen Fehler. Lesen Sie in den ersten Wochen ihr Protokoll.
• Eine Firewall als Grund, Updates aufzuschieben. Die Regel kann später kommen als der Angriff.
• „Bereinigung“, die im Tarif versprochen wird. Malware zu entfernen ist Arbeit an Dateien, die jemand erledigt, der sie liest. Fragen Sie, wer das macht und wie er herausfindet, auf welchem Weg der Angreifer hereingekommen ist. Sonst bleibt derselbe Weg offen.

Wo Ensomedia Security einzuordnen ist

Ensomedia Security ist vor allem ein Scanner mit Anmeldeschutz und Härtungsschaltern. Seit Version 1.1.26 hat es außerdem eine Anfragen-Firewall, die aus bleibt, bis Sie sie einschalten. Sie besteht aus lokalen Regeln auf Ihrem Server, ist keine Cloud-WAF und bereinigt keine gehackte Website.

So schneidet sie bei der Liste oben ab:

• Sie lädt früh. Eine Must-Use-Datei prüft jede Anfrage, bevor die normalen Plugins geladen werden. Bei Hostern, die PHP über CGI oder FastCGI ausführen, startet die Einstellung Vor WordPress laden sie über die Datei .user.ini schon vor WordPress.
• Die Regeln kommen mit den Plugin-Updates und sind für jede Website gleich, denn das Plugin hat keine kostenpflichtige Version. Sie decken gängige Injections und hochgeladene ausführbare Dateien ab, dazu Sperren nach IP, Adressbereich und Land, Limits für Anfragen und 404-Fehler sowie eng gefasste Ausnahmen. Hinter Cloudflare funktioniert die Ländersperre mit den Cloudflare-Adressbereichen, die das Plugin seit Version 1.1.28 mitbringt. Normaler Verkehr (der WooCommerce-Checkout, der Block-Editor, die REST-API, Kommentare, Kontaktformulare und die Anmeldung) ist durch Tests abgedeckt und kommt mit allen Regeln durch.
• Sie hat den Modus Nur protokollieren. Beginnen Sie damit, lesen Sie ein bis zwei Wochen lang das Protokoll der Firewall und stellen Sie dann auf Blockieren um.
• Sie läuft auf Ihrem Server. Eine blockierte Anfrage hat Ihr Hosting also trotzdem erreicht und PHP gestartet, und die Firewall nimmt dem Server keine Last ab wie ein Filter am Netzwerkrand. Sie sendet keine Anfragedaten nach außen, und ihr Protokoll bleibt höchstens 30 Tage auf Ihrer Website.

Eine Firewall beim Hoster oder im CDN und diese arbeiten auf verschiedenen Ebenen und können zusammen laufen. Betreiben Sie sie nicht neben einem anderen Firewall-Plugin. Sperrt sie Sie einmal aus, erklären die FAQ des Plugins, wie Sie sie ohne Dashboard abschalten.

Was es außerdem leistet:

• Es prüft zuerst die offiziellen Prüfsummen. WordPress-Kern, Plugins und Themes aus dem Verzeichnis werden mit den Dateien verglichen, die WordPress.org für Ihre Version veröffentlicht hat.
• Es verändert die Website nie von selbst. Dateien, Benutzer und Einstellungen ändern sich nur, wenn Sie eine Schaltfläche drücken oder einen Schalter einschalten. Eine Datei mit einem Befund der Schwere „mittel“ oder höher kann mit einer Schaltfläche in die Quarantäne gehen, und Wiederherstellen holt sie zurück. Seit Version 1.1.21 ersetzt eine Schaltfläche eine geänderte Datei von Kern, Plugin oder Theme durch ihr Original von WordPress.org und behält die geänderte Datei in der Quarantäne, sodass ihre Wiederherstellung die Reparatur rückgängig macht. Seit Version 1.1.25 entfernt es auch Code, der in ein Theme, ein eigenes Plugin, den Uploads-Ordner, Beiträge oder Optionen eingeschleust wurde: Es zeigt die genaue Änderung, legt eine Sicherung an und wendet sie erst an, wenn Sie zustimmen, und jede solche Bereinigung lässt sich rückgängig machen. Jede andere Bereinigung, die es erklärt, ist Sache von Ihnen, Ihrem Entwickler oder Ihrem Hoster.
• Es begrenzt fehlgeschlagene Anmeldungen pro Adresse und pro Benutzername. Es zählt nur die Adresse der Verbindung selbst, nie einen Header, den eine Anfrage fälschen kann. Hinter einem CDN oder Proxy tragen Sie dessen Adressen als vertrauenswürdige Proxys ein und wählen den Header, der die Adresse des Besuchers enthält.
• Seit Version 1.1.27 hat es optionale Anmeldeprüfungen: Anmeldung mit einem Passkey ohne Passwort, eine Bot-Prüfung bei Anmeldung, Registrierung und Passwort-Zurücksetzung, das Ablehnen von Passwörtern aus Datenlecks, eine verborgene Anmeldeadresse und Spam-Fallen für Kommentare, Registrierung und Kontaktformulare. Alle bleiben aus, bis Sie sie einschalten.
• Es hat Härtungsschalter, alle aus, bis Sie sie einschalten: den Datei-Editor, XML-RPC, eine Sperre für PHP im Uploads-Ordner und Sicherheits-Header. Ein Header, den Ihr Server, Ihr CDN oder ein anderes Plugin schon sendet, bleibt unverändert.
• Es hat virtuelle Patches, die bewusst eng gefasst sind. Bei eingeschaltetem Live-Bedrohungsfeed kann eine kleine Must-Use-Datei eine Anfrage stoppen, die eine bekannte Schwachstelle eines von Ihnen installierten Plugins ausnutzt, solange Ihre installierte Version betroffen ist. Die Patches blockieren, wenn Sie nach der Aktivierung das Angebot annehmen, den Schutz einzuschalten. Sonst protokollieren sie passende Anfragen nur. Er prüft nicht den gesamten Datenverkehr, wie es eine Firewall tut.

Die Prüfungen, der tägliche geplante Scan und die E-Mail-Benachrichtigungen sind kostenlos, ohne Konto und ohne Begrenzung. Die Firewall, die Anmeldeprüfungen, der Live-Bedrohungsfeed, die Schwachstellenabfrage und die KI-Zweitmeinung bleiben aus, bis Sie sie einschalten. Sie finden das Plugin im WordPress.org-Verzeichnis als Ensomedia Security, und die Plugin-Seite listet auf, was jeder optionale Dienst sendet. Ein direkter Vergleich mit Wordfence, mit dem, was jedes Plugin hat und was ihm fehlt, steht auf der Vergleichsseite (auf Englisch).

Prüfen Sie Ihre Website von außen. Geben Sie Ihre Adresse auf shieldwave.io ein. Das dauert etwa 90 Sekunden und braucht weder ein Passwort noch ein Plugin.