Die WooCommerce-Sicherheitscheckliste für 2026

Über WooCommerce läuft ein erheblicher Teil des weltweiten Onlinehandels — was den Shop zu einem lohnenden Ziel macht. Angreifer unterscheiden nicht nach Shopgröße: Automatisierte Scanner klopfen rund um die Uhr jede öffentliche WordPress-Installation auf veraltete Plugins, schwache Zugangsdaten und fehlkonfigurierte Server ab. Die gute Nachricht: Die große Mehrheit der Kompromittierungen lässt sich mit disziplinierten, gestaffelten Maßnahmen verhindern.

Diese Checkliste ist nach Schichten geordnet — von der Plattform selbst bis hinaus an den Netzwerkrand —, sodass Sie sie systematisch abarbeiten, Verantwortliche benennen und die Behebung nachverfolgen können. Jeder Punkt beruht auf allgemein anerkannten Best Practices; nichts davon erfordert exotische Werkzeuge oder Konzernbudgets.

Vilee LLC verbindet tiefe technische Expertise in WordPress-/WooCommerce-Entwicklung mit KI-gestützter Automatisierung und betreibt damit über 520 profitable Onlinegeschäfte im großen Maßstab.

1. Plattformhärtung

Die wirksamste einzelne Sicherheitsmaßnahme für WordPress und WooCommerce ist, jede Softwarekomponente aktuell zu halten. Die Mehrheit der erfolgreichen Angriffe nutzt öffentlich bekannte Schwachstellen aus, für die längst Patches bereitstehen.

WordPress-Core sofort aktualisieren, sobald ein Sicherheitsrelease erscheint. Aktivieren Sie mindestens automatische Updates für Minor-Releases.
WooCommerce aktuell halten. Verfolgen Sie das WooCommerce-Changelog und testen Sie Major-Updates in einer Staging-Umgebung, bevor Sie sie produktiv ausrollen.
Jedes installierte Plugin und Theme prüfen. Entfernen Sie alles Inaktive oder nicht mehr Gepflegte. Jedes ungenutzte Plugin ist Angriffsfläche ohne geschäftlichen Nutzen.
PHP 8.2 oder neuer betreiben. Ältere PHP-Zweige erreichen ihr Lebensende und erhalten keine Sicherheitspatches mehr. Prüfen Sie, ob Ihr Hoster die aktuelle stabile Version unterstützt.
Herkunft der Plugins prüfen. Installieren Sie nur aus dem offiziellen WordPress-Verzeichnis oder von Anbietern mit veröffentlichter Sicherheitsrichtlinie und einem Programm für verantwortungsvolle Offenlegung.
Den eingebauten Theme- und Plugin-Editor in der Produktion deaktivieren (siehe Abschnitt Datei- und Serversicherheit). Automatische Plugin-Updates sind in Ordnung, das Bearbeiten von Code im Browser nicht.

2. Zugriffskontrolle

Angriffe auf Zugangsdaten — Brute Force, Credential Stuffing, Phishing — gehören weiterhin zu den häufigsten Wegen in WordPress-Shops. Starke Identitätskontrollen sind nicht verhandelbar.

Starke, einmalige Passwörter erzwingen für alle Administrator- und Shop-Manager-Konten. Ein Passwortmanager nimmt die Reibung. Mindestens 16 Zeichen, keine Wörterbuchwörter.
Zwei-Faktor-Authentifizierung (2FA) aktivieren für jedes Konto mit erhöhten Rechten. TOTP-Apps (Authy, Google Authenticator) werden von Plugins wie WP 2FA oder Wordfence Login Security gut unterstützt.
Rollen nach dem Prinzip der geringsten Rechte vergeben. Eine Redakteurin braucht keine Shop-Manager-Rechte. Entwickler sollten unter einer eigenen Rolle arbeiten, nicht unter dem Haupt-Admin-Konto.
/wp-login.php umbenennen oder verlegen — etwa mit WPS Hide Login — oder den Zugriff über die WAF beziehungsweise die Nginx-/Apache-Konfiguration auf bekannte IP-Bereiche beschränken.
/wp-admin auf Serverebene sperren oder mit Passwortschutz versehen für IP-Bereiche, die nie darauf zugreifen müssen (etwa das offene Internet, wenn Ihr Team feste IPs hat).
XML-RPC deaktivieren, sofern Sie nicht Jetpack oder einen anderen Dienst nutzen, der es benötigt. XML-RPC ist ein häufiges Ziel für verstärkte Brute-Force-Angriffe.
Benutzerkonten vierteljährlich prüfen. Inaktive Konten entfernen, Zugangsdaten von Dienstkonten rotieren und sicherstellen, dass keine unbefugten Administratorkonten existieren.

3. Datei- und Serversicherheit

Fehlkonfigurationen am Server machen aus einer kleinen Schwachstelle eine vollständige Kompromittierung. Diese Maßnahmen sind schnell umgesetzt und erfordern selten eine Auszeit.

Korrekte Dateirechte setzen: Verzeichnisse auf 755, Dateien auf 644 und wp-config.php auf 440 oder 400. Nutzen Sie niemals 777 für eine Datei oder ein Verzeichnis.
wp-config.php absichern. Verschieben Sie die Datei eine Ebene über das Web-Root, falls Ihr Hoster das erlaubt, oder sperren Sie den Zugriff per .htaccess beziehungsweise Nginx-Location-Regel.
define('DISALLOW_FILE_EDIT', true); ergänzen in wp-config.php. Das entfernt Design > Editor und Plugins > Editor aus der Verwaltung und verhindert Codeänderungen im Browser, selbst wenn ein Admin-Konto kompromittiert ist.
SFTP oder SSH-Schlüssel für Dateiübertragungen nutzen. Einfaches FTP vollständig abschalten: Passwörter werden dort im Klartext übertragen und können in gemeinsam genutzten Netzsegmenten abgefangen werden.
Zugriff auf sensible Pfade beschränken (/wp-content/uploads/, /xmlrpc.php, readme.html, license.txt) auf Ebene des Webservers. Die readme.html verrät die WordPress-Version — entfernen oder sperren.
Betriebssystem und Webserver-Pakete im selben Takt patchen wie den Anwendungscode. Ein verwundbares OpenSSL- oder Nginx-Paket hebelt jede Maßnahme auf Anwendungsebene aus.

4. Schutz am Netzwerkrand

Ein gehärteter Edge vor dem Ursprungsserver wehrt einen großen Teil automatisierter Angriffe ab, bevor sie WordPress überhaupt erreichen.

Gesamten Verkehr über Cloudflare oder eine gleichwertige WAF/CDN führen. Schon Cloudflares kostenlose Stufe bietet DDoS-Abwehr und grundlegende WAF-Regeln; die Pro-Stufe ergänzt das OWASP Core Rule Set und Bot Management.
Rate Limiting aktivieren für /wp-login.php, /wp-json/ und den Checkout-Endpunkt. Strenge Limits an Authentifizierungsendpunkten stoppen Credential-Stuffing-Kampagnen sofort.
Bot Management aktivieren. Bekannte schädliche User-Agents und ASNs von Scanning-Infrastruktur blockieren. Cloudflare Bot Management und vergleichbare Werkzeuge erledigen das automatisch mit vertretbaren Falsch-Positiv-Raten.
HTTPS überall erzwingen mit automatischer Weiterleitung von HTTP auf HTTPS. Zertifikate gibt es kostenlos bei Let’s Encrypt oder über die Zertifizierungsstelle Ihres Hosters.
HSTS (HTTP Strict Transport Security) setzen mit einer max-age von mindestens einem Jahr. Erwägen Sie die Aufnahme in die HSTS-Preload-Liste, sobald Sie Ihrer HTTPS-Konfiguration vertrauen.
Eine Content Security Policy (CSP) konfigurieren, die einschränkt, welche Skripte, Stylesheets und Frames Ihre Seiten laden dürfen. CSP verringert die Reichweite einer XSS-Schwachstelle erheblich.
Direkten Zugriff auf die Origin-IP blockieren. Wenn aller legitime Verkehr über Cloudflare kommt, stellen Firewallregeln, die Verbindungen von Nicht-Cloudflare-IPs auf Port 80/443 verwerfen, sicher, dass Angreifer Ihre WAF nicht umgehen.

5. Sicherheit auf Anwendungsebene

Auch mit WAF am Edge fängt die Überwachung auf Anwendungsebene ab, was durchrutscht, und erkennt Aktivität nach einer Kompromittierung früh.

Ein seriöses Sicherheits-Plugin installieren. Wordfence, Solid Security (früher iThemes Security) oder Sucuri Security bieten Malware-Scans, eine serverseitige Firewall und Login-Überwachung. Wählen Sie eines und konfigurieren Sie es vollständig, statt mehrere überlappende Plugins zu betreiben.
Automatische Malware-Scans einplanen, mindestens täglich. Warnungen zügig prüfen — eine kompromittierte Datei, die tagelang liegen bleibt, erlaubt Angreifern, sich festzusetzen.
Die REST-API absichern. Unauthentifizierten Zugriff auf Endpunkte mit Nutzerdaten deaktivieren (/wp-json/wp/v2/users ist das klassische Beispiel). Die REST-API von WooCommerce sollte API-Schlüssel mit minimal nötigen Berechtigungen verlangen.
Alle Eingaben bereinigen und validieren. Wer eigene Plugins oder Themes pflegt, prüft jeden Handler für $_POST, $_GET und $_REQUEST auf SQL-Injection, XSS und CSRF. Nutzen Sie WordPress-Nonces für alle Formularübermittlungen.
Integrität von Plugins und Themes prüfen. Manche Sicherheits-Plugins vergleichen Prüfsummen installierter Dateien mit dem offiziellen Verzeichnis. Unerwartete Abweichungen in Core- oder Plugin-Dateien sind ein Warnsignal.

6. Zahlungen und PCI-Konformität

WooCommerce-Shops, die Kartenzahlungen annehmen, müssen die Anforderungen von PCI DSS erfüllen. Der schnellste Weg dorthin — und das geringste Risiko mit Karteninhaberdaten — besteht darin, rohe Kartendaten gar nicht erst zu berühren.

Einen PCI-validierten Zahlungsdienstleister nutzen, etwa Stripe, Braintree oder PayPal, der Kartendaten vollständig in seiner eigenen PCI-konformen Umgebung verarbeitet. Ihre Checkout-Seite erfasst die Kartendaten in einem iFrame oder per Weiterleitung beim Dienstleister.
Niemals vollständige Kartennummern, Prüfziffern oder Magnetstreifendaten speichern — weder auf Ihrem Server noch in Ihrer Datenbank, unter keinen Umständen. Tokenisierung durch den Zahlungsdienstleister ist das richtige Muster.
Den gesamten Checkout über HTTPS führen. Mixed-Content-Warnungen im Checkout untergraben das Vertrauen und deuten auf ein Konfigurationsproblem hin, das Browser ohnehin bald blockieren.
Den Geltungsbereich SAQ-A anstreben. Wenn die gesamte Eingabe von Kartendaten per Weiterleitung oder iFrame zu einem PCI-zertifizierten Dienstleister erfolgt, reduziert sich Ihr Selbstauskunftsfragebogen auf SAQ-A — die einfachste Stufe mit den wenigsten zu dokumentierenden Maßnahmen.
Die Betrugswerkzeuge Ihres Zahlungsdienstleisters prüfen. Stripe Radar, die Risiko-Engine von PayPal und vergleichbare Werkzeuge blockieren riskante Transaktionen vor der Abwicklung, senken Rückbuchungen und schützen den Status Ihres Händlerkontos.

7. Datenschutz und Backups

Ein verlässliches Backup ist die letzte Verteidigungslinie gegen Ransomware, versehentliches Löschen und schwere Ausfälle. Nützlich ist es nur, wenn es getestet wurde.

Tägliche Vollbackups automatisieren — Datenbank und sämtliche Dateien. Plugins wie UpdraftPlus, BackupBuddy oder WP Migrate DB Pro schieben Backups automatisch an Ziele außerhalb des Servers.
Backups außerhalb des Servers ablegen, in einem getrennten Cloud-Konto (S3, Google Cloud Storage, Backblaze B2). Ein Backup, das nur auf demselben Server liegt, geht im selben Vorfall verloren.
Wiederherstellungen vierteljährlich testen. Ein Backup, das Sie nie zurückgespielt haben, ist ein Backup, dem Sie nicht trauen können. Dokumentieren Sie den Ablauf so, dass ihn jedes Teammitglied unter Druck ausführen kann.
Für alle Änderungen eine Staging-Umgebung nutzen. Plugin-Updates, Theme-Änderungen und Codeänderungen zuerst dort ausrollen, Funktion prüfen, dann produktiv gehen. Das verhindert die Klasse von Ausfällen, die entsteht, wenn 15 Plugins gleichzeitig im Livebetrieb aktualisiert werden.
Backups im Ruhezustand verschlüsseln, wenn sie personenbezogene Kunden- oder Bestelldaten enthalten. Die meisten Cloud-Anbieter bieten serverseitige Verschlüsselung — aktivieren Sie sie.

8. Monitoring und Incident Response

Maßnahmen senken das Risiko; Monitoring erkennt, wenn Maßnahmen versagen. Innerhalb von Minuten zu wissen, dass etwas nicht stimmt, ist dramatisch besser, als einen Einbruch Tage später aus einer Kundenbeschwerde zu erfahren.

Dateiintegritäts-Überwachung (FIM) aktivieren. Die meisten Sicherheits-Plugins bringen sie mit. Jede unerwartete Änderung an einer Core-, Plugin- oder Theme-Datei löst eine Warnung aus und sollte untersucht werden, bevor man sie für harmlos hält.
Ein WordPress-Audit-Log führen. Plugins wie WP Activity Log protokollieren Anmeldungen, Rollenänderungen, Beitragsbearbeitungen, Plugin-Aktivierungen und Einstellungsänderungen mit Zeitstempel und IP-Adresse. Dieses Protokoll ist bei der Aufklärung eines Vorfalls unverzichtbar.
Verfügbarkeits- und Performance-Alarme einrichten. Werkzeuge wie Better Uptime, UptimeRobot oder Cloudflare Health Checks melden binnen einer Minute, wenn die Website ausfällt — oft das erste Signal eines laufenden Angriffs oder eines fehlgeschlagenen Updates.
Ein Incident-Runbook schreiben, bevor Sie es brauchen. Dokumentieren Sie: wen man anruft, wie die Website in den Wartungsmodus geht, wie aus dem Backup wiederhergestellt wird, wie alle Zugangsdaten rotiert werden und wie betroffene Kunden informiert werden. Üben Sie das Runbook jährlich.
Fehlgeschlagene Anmeldungen und ungewöhnliche Bestellmuster überwachen. Eine Spitze fehlgeschlagener Logins, ein plötzlicher Schwall neuer Registrierungen oder auffällig viele eingelöste Gutscheine können jeweils auf einen laufenden automatisierten Angriff hindeuten.

Risikoübersicht

Risiko	Maßnahme	Priorität
Ausgenutztes veraltetes Plugin/Theme	Automatische Updates + ungenutzte Plugins entfernen	kritisch
Brute Force / Credential Stuffing	Starke Passwörter + 2FA + geschützte Login-Seite	kritisch
Schädlicher Datei-Upload / Web-Shell	Korrekte Dateirechte + FIM + Malware-Scan	hoch
DDoS / volumetrischer Angriff	Cloudflare bzw. WAF + Rate Limiting	hoch
Man-in-the-Middle im Checkout	HTTPS überall + HSTS + gehostete Zahlungsfelder	hoch
Offenlegung von Karteninhaberdaten	PCI-validierter Dienstleister + Tokenisierung (SAQ-A)	kritisch
Ransomware / Datenvernichtung	Automatische Backups außerhalb des Servers + getestete Wiederherstellung	hoch
Unentdeckte Kompromittierung	Dateiintegritäts-Überwachung + Audit-Log + Alarme	hoch
Rechteausweitung über die REST-API	Nur authentifizierte Endpunkte + eng gefasste API-Schlüssel	mittel
Lieferkette (schädliches Plugin)	Nur aus geprüften Quellen installieren + Prüfsummen verifizieren	mittel

In die Praxis bringen

Eine Checkliste ist nur so gut wie der Prozess dahinter. Benennen Sie je Abschnitt eine verantwortliche Person, legen Sie einen Prüfrhythmus fest (monatlich für Zugriffskontrolle und Updates; vierteljährlich für Backups, den Umfang von Penetrationstests und die PCI-Dokumentation) und verfolgen Sie offene Punkte in Ihrem Projektwerkzeug. Sicherheit ist keine einmalige Konfigurationsaufgabe, sondern eine laufende operative Disziplin.

Wenn Ihr Team diese Arbeit beschleunigen muss oder keine eigene WordPress-Sicherheitskompetenz hat, sehen Sie sich unsere Leistungen an — die Engineering-Teams von Vilee LLC haben WooCommerce-Umgebungen in Hunderten Shops und mehreren Rechtsräumen gehärtet. Sie können auch nachlesen, wie wir Sicherheit im Rahmen unserer Plattform betreiben, oder direkt Kontakt aufnehmen, um ein Sicherheitsprojekt für Ihren Shop zu besprechen.

Häufige Fragen

Wie oft sollte ich die WooCommerce-Sicherheitscheckliste durchgehen?

Eine vollständige Prüfung sollte mindestens vierteljährlich stattfinden. Einige Punkte verlangen jedoch häufigere Aufmerksamkeit: Plugin- und Core-Updates sollten binnen Tagen nach Erscheinen eingespielt werden (bei Sicherheitsreleases sofort), Audits der Zugriffskontrolle monatlich, und die Integrität der Backups sollte täglich automatisch geprüft werden, mit einem manuellen Wiederherstellungstest je Quartal. Behandeln Sie die Checkliste als lebendes Betriebsdokument, nicht als einmalige Einrichtung.

Brauche ich ein kostenpflichtiges Sicherheits-Plugin oder reicht eine kostenlose Variante?

Die kostenlosen Stufen von Wordfence und Solid Security decken die wesentlichen Maßnahmen für die meisten Shops ab: Malware-Scan, serverseitige Firewall, Login-Schutz und Dateiintegritäts-Überwachung. Kostenpflichtige Stufen ergänzen Echtzeit-Bedrohungsdaten, schnellere Malware-Signaturen und bevorzugten Support — das gewinnt an Bedeutung, wenn Ihr Shop im Transaktionsvolumen wächst oder hochwertige Bestellungen abwickelt. Starten Sie mit einer sauber konfigurierten kostenlosen Stufe und rüsten Sie nach Ihrem Risikoprofil auf, nicht auf Marketingdruck hin.

Was ist SAQ-A und warum ist es für WooCommerce-Shops wichtig?

SAQ-A ist die einfachste Stufe des PCI-DSS-Selbstauskunftsfragebogens. Sie qualifizieren sich dafür, wenn Ihre Checkout-Seite ein vollständig gehostetes Zahlungsformular eines PCI-zertifizierten Dienstleisters nutzt — Kartendaten laufen also nie über Ihren Server. Das verringert die Zahl der zu dokumentierenden Maßnahmen und den Prüfaufwand für Ihr Team erheblich. Die meisten modernen WooCommerce-Zahlungsanbindungen (Stripe, Braintree, PayPal) unterstützen SAQ-A-fähige Integrationen. Qualifiziert sich Ihre Integration nicht für SAQ-A, klären Sie den passenden SAQ-Typ mit einem Qualified Security Assessor.