Schütze deine Website

Jede Kinsta-Website ist standardmäßig geschützt, ohne dass eine Einrichtung erforderlich ist. Hier erfährst du, was bereits für dich funktioniert – einschließlich Schutz vor Sicherheitslücken – und welche zusätzlichen Schutzmaßnahmen du selbst steuern kannst: Bot-Schutz, automatische Updates, Backups und Zugriffsbeschränkungen.

Was deine Website bereits schützt

• Firewall und DDoS-Schutz: Die Firewall auf Enterprise-Niveau von Cloudflare filtert eingehenden Datenverkehr und blockiert IP-Adressen, die mit Hacking-Versuchen und DDoS-Angriffen in Verbindung stehen, bevor sie deinen Server erreichen.
• Blockierung böswilligen Datenverkehrs: Die Abwehrmaßnahmen auf Plattformebene von Kinsta stoppen etwa 15–20 % des Datenverkehrs – den Anteil, der als böswillig eingestuft wird –, bevor er deine Website beeinträchtigt.
• Schutz vor Sicherheitslücken: Blockiert Versuche, bekannte Schwachstellen in deinen Plugins, Themes und deiner WordPress-Version auszunutzen – noch bevor ein Patch veröffentlicht wird.
• Tägliche Schwachstellen-Scans: MyKinsta überprüft jeden Tag jedes Plugin und jedes Theme auf bekannte Sicherheitslücken.
• Tägliche Backups und Verfügbarkeitsüberwachung: Deine Website wird jeden Tag automatisch gesichert und alle 3 Minuten überprüft.

Schutz vor Sicherheitslücken

Warum das wichtig ist: Die meisten Angriffe auf WordPress-Seiten zielen auf bekannte Sicherheitslücken in Plugins und Themes ab. Oft gibt es eine Lücke zwischen dem Bekanntwerden einer Sicherheitslücke und der Veröffentlichung sowie Installation eines Patches – und genau dann sind Seiten am stärksten gefährdet.

So funktioniert es: Der Schwachstellenschutz, bereitgestellt von Patchstack, überprüft deinen WordPress-Kern, deine Plugins und Themes anhand einer aktuellen Schwachstellendatenbank. Wenn er eine Schwachstelle findet, die deine Website betrifft, blockiert er Anfragen, die versuchen, diese auszunutzen – ohne deine Plugin- oder Theme-Dateien zu verändern. Er ergänzt die Firewall und den Bot-Schutz um eine weitere Schutzebene. Diese konzentrieren sich darauf, wer den Datenverkehr sendet, und filtern bekannte bösartige Quellen heraus. Der Schwachstellenschutz konzentriert sich darauf, was eine Anfrage zu tun versucht, sodass er einen Angriff auch dann blockieren kann, wenn er von einer Quelle stammt, die legitim aussieht.

So legst du los: Es muss nichts eingerichtet werden, und der Schutz ist ohne zusätzliche Kosten enthalten. Er wird automatisch als obligatorisches Plugin auf jeder WordPress-Seite installiert, die in MyKinsta erstellt wird. Neue Seiten verfügen ab dem 7. Oktober 2026 darüber, bestehende Seiten ab dem 14. Oktober 2026. Um zu überprüfen, ob es aktiv ist, schau dir die Statusanzeige auf der Info-Seite deiner Seite in MyKinsta an.

Beachte Folgendes:

• Es ist kein Ersatz für Updates: Es blockiert bekannte Ausnutzungsmöglichkeiten einer Sicherheitslücke, während ein Update den Code selbst behebt. Führe Updates durch, sobald Korrekturen veröffentlicht werden.
• Dein eigenes Patchstack-Plugin: Wenn du eines installiert hast, ist der Schwachstellenschutz von Kinsta auf dieser Website deaktiviert, und du benötigst deine eigene Patchstack-Lizenz. Entferne dein Plugin, und der Schutz von Kinsta wird innerhalb von 12 Stunden aktiviert.
• Es beugt vor, beseitigt aber keine Malware: Es sucht nicht nach vorhandener Malware und entfernt diese auch nicht; schau unter „Malware-Entfernung“ nach, falls deine Seite bereits kompromittiert wurde.
• Es lässt sich nicht deaktivieren: Wenn du glaubst, dass es auf deiner Website Probleme verursacht, wende dich an den Support, der dies untersuchen kann.

Bot-Schutz

Warum das wichtig ist: Nicht jeder unerwünschte Besucher ist eindeutig böswillig. Scraper, Spam-Bots und aggressive Crawler können deine Website verlangsamen, deine Analysedaten verfälschen und auf dein Kontingent angerechnet werden. Mit dem Bot-Schutz kannst du entscheiden, wie streng dieser Datenverkehr gehandhabt wird.

Wähle eine Schutzstufe:

• Bösartigen Datenverkehr blockieren (Standard): Blockiert Angriffe, DDoS-Angriffe und missbräuchlichen Datenverkehr. Für die meisten Websites im Alltag geeignet.
• Automatisierungen blockieren: Blockiert auch bestätigten automatisierten Datenverkehr. Nützlich, wenn du unerklärlichen Datenverkehr oder Ressourcenverbrauch feststellst.
• Bots herausfordern: Fordert zudem mutmaßliche Bots auf, eine Verifizierungsprüfung zu bestehen. Nützlich gegen gefälschte Kaufvorgänge, Formular-Spam, Login-Angriffe und Scraping.
• Alle herausfordern: Fordert jeden Besucher auf, eine Verifizierungsprüfung zu bestehen. Nutze diese Option für kurze Zeiträume während eines aktiven Angriffs oder eines Starts mit hohem Datenverkehr.

Verifizierte Bots wie Googlebot und Bingbot sind auf jeder Stufe zugelassen, sodass deine Suchrankings nicht beeinträchtigt werden. Ein Besucher, der eine Überprüfung bestanden hat, wird mindestens 10 Tage lang auf demselben Browser und derselben IP-Adresse nicht erneut überprüft.

Wann du die Stufe erhöhen solltest: bei einem plötzlichen Traffic-Anstieg, wenn du unerklärliche Leistungsprobleme feststellst oder vor einem Sale oder Launch. Nutze die Diagramme zu Besuchen und Leistung in Analytics, um diese zu erkennen; siehe Deinen Traffic und deine Nutzung verstehen.

So fängst du an: Gehe zu „Websites“ > „Webseitenname“ > „Bot-Schutz“ und klicke unter „Schutzstufe“ auf „Ändern“. Um mehrere Websites gleichzeitig zu ändern, wähle sie auf der Seite „Websites“ aus und nutze „Aktionen“ > „Bot-Schutz“ > „Bot-Schutzstufe ändern“.

Achte auf Folgendes:

• Plugins und Integrationen: Oberhalb der Standardstufe können Plugins und Dienste, die mit deiner Website verbunden sind, blockiert werden. Dazu gehören Form-to-CRM-Verbindungen, SEO-Tools, Zapier und Zahlungs-Webhooks. Aktiviere „Typische WordPress-Automatisierungen zulassen“ oder füge für jeden Dienst eine Ausnahme hinzu.
• Besuchererlebnis: Wenn du alle Besucher aufforderst, sich zu authentifizieren, kommt ein kurzer Verifizierungsschritt hinzu, und manche Aufforderungen können für Besucher, die assistive Technologien nutzen, schwierig sein. Verwende diese Stufe nur für kurze Zeiträume.
• Andere Sicherheitsdienste: Der Bot-Schutz kann nicht mit einem Reverse-Proxy oder Drittanbieterdiensten wie Sucuri, einem anderen CDN, AWS oder Azure verwendet werden.

Ausnahmen: Du kannst bis zu 50 Regeln hinzufügen, die eine bestimmte IP-Adresse, einen Pfad, einen User-Agent oder ein Land immer zulassen, abfragen oder blockieren. Wenn sich Regeln überschneiden, hat „Zulassen“ Vorrang vor „Abfragen“ und „Abfragen“ Vorrang vor „Blockieren“. Ausnahmeregeln für „Zulassen“ setzen den Schwachstellenschutz und die zugrunde liegenden Sicherheitsmaßnahmen von Kinsta nicht außer Kraft, sodass Exploit-Versuche auch von Quellen, die du zugelassen hast, weiterhin blockiert werden.

KI-Crawler blockieren

Warum das wichtig ist: KI-Crawler sammeln Inhalte, um KI-Tools zu trainieren oder zu betreiben. Manche senden eine große Anzahl von Anfragen, die deine Ressourcen beanspruchen und deine Traffic-Zahlen in die Höhe treiben können.

Wann du diese Funktion nutzen solltest: Wenn KI-Crawler inhaltsreiche Seiten scrapen, deinen Server belasten oder Premium- oder geschützte Inhalte sammeln.

So fängst du an: Aktiviere „KI-Crawler blockieren“ unter „Bot-Schutz“. Im Gegensatz zu einigen anderen Cloudflare-Einstellungen werden hier nur KI- und Trainings-Crawler blockiert, nicht jedoch Googlebot, Bingbot oder andere große Suchmaschinen.

Was du beachten solltest: Das Blockieren von KI-Crawlern kann dazu führen, dass deine Inhalte seltener in KI-gestützten Suchergebnissen und Zusammenfassungen erscheinen. Beobachte deinen Traffic, nachdem du die Änderung vorgenommen hast.

Halte Plugins und Themes auf dem neuesten Stand

Warum das wichtig ist: Plugins sind der Ausgangspunkt für fast alle WordPress-Sicherheitsprobleme. Von den 11.334 neuen WordPress-Sicherheitslücken, die im Jahr 2025 gemeldet wurden, betrafen 91 % Plugins, und nur eine Handvoll betraf den WordPress-Kern. MyKinsta meldet täglich bekannte Sicherheitslücken, und der Schwachstellenschutz blockiert in der Zwischenzeit bekannte Exploits – doch nur ein Update behebt den zugrunde liegenden Codefehler. Führe Updates innerhalb weniger Tage nach Veröffentlichung eines Fixes durch.

So fängst du an: Überprüfe die markierten Einträge unter Plugins und Themes. Um Updates automatisch installieren zu lassen, füge „Kinsta Automatic Updates“ hinzu. Es aktualisiert deine Plugins und Themes täglich in einem von dir gewählten Zeitfenster und vergleicht Screenshots von bis zu fünf wichtigen Seiten vor und nach jedem Update. Wenn ein Update eine Seite sichtbar beschädigt, wird es automatisch zurückgesetzt und du erhältst eine E-Mail. Nach einer einmonatigen kostenlosen Testphase kostet es 3 $ pro Umgebung und Monat, und du kannst es mit Massenaktionen für mehrere Websites gleichzeitig aktivieren.

Achtung: Seiten mit sich ändernden Inhalten, wie Slider oder rotierende Banner, können auf den Screenshots unterschiedlich aussehen und eine Rückgängigmachung auslösen. Du kannst diese Elemente in den Einstellungen für „Automatische Updates“ vom Vergleich ausblenden.

Plane die Wiederherstellung

Warum das wichtig ist: Wenn etwas schiefgeht, entspricht die Zeitspanne zwischen deinem letzten Backup und dem Auftreten des Problems der Arbeit, die du verlieren könntest.

Was enthalten ist: Tägliche automatische Backups, die je nach Tarif 14 bis 30 Tage lang aufbewahrt werden, sowie Backups, die vor bestimmten Ereignissen automatisch erstellt werden. Ein Backup ist nur dann nützlich, wenn es sich wiederherstellen lässt. Stelle daher etwa einmal im Monat ein Backup in die Staging-Umgebung wieder her, um dies zu überprüfen.

Wann du mehr hinzufügen solltest: Wenn sich deine Website häufig ändert – zum Beispiel bei einem Shop, der den ganzen Tag über Bestellungen entgegennimmt –, solltest du die Add-ons für Backups alle 6 Stunden oder stündlich in Betracht ziehen. Um Kopien außerhalb von Kinsta zu speichern, nutze externe Backups. Für geschäftskritische Websites auf dedizierten Servern schau dir das Add-on „Disaster Recovery“ an. Preise findest du unter „Add-Ons“. Sollte deine Website jemals infiziert sein, schau dir den Abschnitt „Malware-Entfernung“ an.

Schränke den Zugriff ein, wenn es nötig ist

• Passwortschutz (htpasswd): Hält Staging-Seiten und Seiten im Aufbau privat. Er unterbricht auch die Verfügbarkeitsüberwachung, also entferne ihn, sobald die Seite live geht.
• IP-Adressen blockieren: Blockiert eine bestimmte Adresse, die Probleme verursacht.

In deiner Routine

• Wöchentlich: Führe Updates durch oder überprüfe die Benachrichtigungen zu Sicherheitslücken.
• Monatlich: Stelle ein aktuelles Backup auf der Staging-Umgebung wieder her, um zu prüfen, ob alles funktioniert, und überprüfe deinen Bot-Traffic.
• Vierteljährlich: Lösche Plugins und Themes, die du nicht mehr nutzt, und entferne Ausnahmen beim Bot-Schutz, die du nicht mehr benötigst.

Die vollständige Checkliste findest du unter Deine Wartungsroutine.