Bei Security-Plugins wird mit Angst verkauft — und mit Feature-Zahlen. Beides hilft dir nicht. Was hilft: zu verstehen, wo ein Schutz ansetzt und welche Nebenwirkungen er hat. Denn Security-Plugins sind die Kategorie mit den meisten Wechselwirkungen: Sie können Websites verlangsamen, legitime Besucher aussperren und sich gegenseitig behindern. Der Reihe nach.
Das Wichtigste zuerst: Die Firewall-Ebene entscheidet
„Firewall“ steht auf fast jeder Verpackung — gemeint sind sehr verschiedene Dinge:
- Cloud-Ebene (vor deinem Server): Der Schadverkehr wird schon im Netz des Anbieters gefiltert und erreicht deinen Server nie. Wirksam und ressourcenschonend, aber ein laufender Fremd-Dienst mit eigenen Kosten und Datenschutz-Überlegungen (dein Traffic fließt durch den Anbieter).
- PHP-Ebene, VOR WordPress: Das Plugin klinkt sich so ein, dass jede Anfrage geprüft wird, bevor WordPress überhaupt startet. Sehr effizient und schützt auch Angriffsflächen außerhalb des WordPress-Kerns.
- WordPress-Ebene: Die Prüfung läuft als Teil von WordPress — sie kostet damit bei jeder Anfrage WordPress-Ressourcen und kann Angriffe, die vor WordPress ansetzen, prinzipbedingt nicht sehen.
Diese eine Unterscheidung erklärt die Hälfte aller Vergleichsergebnisse.
Die Kandidaten im Einzelnen
Wordfence — der bekannte Allrounder mit Appetit
Stärken: Das Komplettpaket aus Firewall, signaturbasiertem Malware-Scanner, Login-Absicherung (inkl. 2FA) und Einblick in den Live-Verkehr — kostenlos in beachtlichem Umfang, riesige Verbreitung und Dokumentation.
Schwächen: Zwei strukturelle: Die Firewall arbeitet auf PHP-Ebene und kann in den „erweiterten Schutz“ gehoben werden — in der Standard-Einrichtung läuft sie aber innerhalb von WordPress. Und in der kostenlosen Version kommen neue Firewall-Regeln mit deutlicher Verzögerung an — genau im Zeitfenster frischer Sicherheitslücken zählt aber jeder Tag. Dazu praktisch: Die Scans sind ressourcenhungrig; auf schwachem Hosting spürt man Wordfence in der Ladezeit.
Passt für: Betreiber, die eine bekannte Alles-in-einem-Lösung wollen und deren Hosting die Last verkraftet.
NinjaFirewall — die ernsthafte Firewall für Techniker
Stärken: Genau das, was der Firewall-Abschnitt oben beschreibt: Im „Full WAF“-Modus prüft NinjaFirewall jede PHP-Anfrage, bevor WordPress lädt — leichtgewichtig, schnell und mit sehr granularen Regeln. Aus unserer eigenen Betriebspraxis: eine der wirksamsten Schutzschichten, die man einer WordPress-Website geben kann.
Schwächen: Kein Wohlfühl-Produkt: Die Oberfläche ist funktional statt schön, die Einrichtung des Full-WAF-Modus hängt von der Hosting-Umgebung ab und gelingt nicht überall, und strenge Regeln erzeugen gelegentlich Fehlalarme, die man diagnostizieren können muss — sonst blockiert im Zweifel der eigene Seiteneditor.
Passt für: technisch versierte Betreiber und Profis. In falschen Händen frustrierend, in richtigen exzellent.
Solid Security — der Härtungs-Werkzeugkasten
Stärken: Konzentriert sich auf das, was still viel bringt: Login-Absicherung, 2FA, Brute-Force-Sperren, sinnvolle Härtungs-Schalter. Schlanker Ansatz, gut geführte Einrichtung.
Schwächen: Es ist kein vollwertiger Malware-Scanner und keine tiefe Firewall — wer „Komplettschutz“ erwartet, erwartet das Falsche.
Passt für: die solide Grund-Härtung, gern kombiniert mit Schutz auf einer tieferen Ebene.
Sucuri — Monitoring kostenlos, echter Schutz als Abo
Stärken: Das kostenlose Plugin taugt als Integritäts-Wächter (Kern-Dateien, Aktivitätsprotokoll, Härtung). Der eigentliche Schutz des Anbieters ist die kostenpflichtige Cloud-Firewall — die filtert auf der stärksten Ebene, nämlich vor deinem Server.
Schwächen: Ohne das Abo bleibt vom Schutzversprechen wenig übrig; mit Abo bist du in einem laufenden Fremd-Dienst mit den oben genannten Überlegungen.
Passt für: Websites mit Budget, die eine vorgelagerte Cloud-Filterung wollen.
All In One WP Security — viel Härtung für null Euro
Stärken: Eine bemerkenswert umfangreiche Härtungs-Sammlung komplett kostenlos, mit Punktesystem als Motivation. Login-Schutz, Nutzer-Hygiene, Datei-Härtung, Firewall-Grundregeln.
Schwächen: Ebenfalls kein ernsthafter Malware-Scanner; die schiere Menge an Schaltern verführt dazu, Dinge zu aktivieren, die man nicht versteht — und einzelne Regeln können mit Plugins oder Hosting kollidieren.
Passt für: sparsame Selbermacher mit Bereitschaft, sich einzulesen.
Die unbequemen Wahrheiten
- Zwei Security-Plugins sind nicht doppelter Schutz, sondern doppelte Wechselwirkungen. Eine Firewall, ein Scanner-Weg, klare Zuständigkeit.
- Kein Plugin ersetzt Updates. Der häufigste Einbruchsweg ist die bekannte Lücke im veralteten Plugin — dagegen hilft konsequente Update-Pflege, nicht Software obendrauf.
- Das Basis-Programm bringt mehr als jedes Einzel-Feature: so wenige Admin-Konten wie möglich, starke Passwörter, 2FA, Login-Härtung, xmlrpc deaktivieren — und ein getestetes Backup für den Fall der Fälle.
- Scanner von innen haben blinde Flecken: Eine kompromittierte Website kann ihrem eigenen Scanner die Sicht nehmen. Ernsthafte Überwachung kombiniert die Innen- mit einer Außensicht. Für den Ernstfall: gehackt — was tun.
Unsere Empfehlungslinie
| Situation | Empfehlung |
|---|---|
| Selbermacher, unkompliziert | Solid Security oder All In One WP Security für die Härtung — plus Update-Disziplin |
| Alles-in-einem gewünscht | Wordfence — mit Blick auf die Server-Last und im Wissen um die Regel-Verzögerung der Gratis-Version |
| Maximale Wirkung, Technik vorhanden | NinjaFirewall im Full-WAF-Modus — die tiefste Schutzschicht unter den Plugins |
| Budget für vorgelagerten Schutz | Cloud-Firewall-Dienst (z. B. Sucuri-Klasse) vor dem Server |
So machen wir es bei Ammera
Im Shield-Modul kombinieren wir genau diese Ebenen, statt auf ein einzelnes Plugin zu vertrauen: Firewall-Härtung auf PHP-Ebene, wo die Umgebung es erlaubt, tägliche Malware-Scans von innen und Prüfung von außen, Login-Härtung — und den Abgleich deiner installierten Plugins mit bekannten Sicherheitslücken, damit das Einfallstor Nummer eins gar nicht erst offen steht. Zu den Modulen oder erst der kostenlose Website-Check.
