WordPress-WAF-Plugins im Vergleich: Vorteile, Grenzen und passende Einsatzbereiche

Was leistet eine WAF bei WordPress?

Eine Web Application Firewall prüft eingehende Webanfragen und blockiert sie, wenn Regeln auf einen Angriff hindeuten. Das können SQL-Injection, Cross-Site-Scripting, Datei-Uploads, Pfadmanipulation, bekannte Plugin-Schwachstellen, auffällige Bots oder zu viele Anmeldeversuche sein.

Bei WordPress werden mehrere technisch unterschiedliche Produkte als „Firewall“ bezeichnet:

Modell	Wo wird gefiltert?	Typischer Vorteil	Typische Grenze
Plugin-Firewall	innerhalb von PHP oder WordPress	kennt WordPress-Routen, Benutzer und Anwendungslogik	erreicht den Server erst nach dem Angreifer
früh geladene lokale WAF	vor WordPress, aber auf demselben Server	blockiert, bevor Plugins und Theme geladen werden	benötigt passende Serverkonfiguration
Cloud-WAF	als vorgeschalteter Reverse Proxy	hält Angriffe und Last vom Herkunftsserver fern	DNS, Zertifikate, Datenschutz und Herkunftsschutz müssen stimmen
Virtual Patching	mit Regeln für konkrete bekannte Schwachstellen	überbrückt die Zeit bis zu einem Hersteller-Update	deckt nur bekannte und regelbasierte Angriffswege ab
statischer Request-Filter	anhand fester verdächtiger Muster	leichtgewichtig und einfach	weniger Kontext und geringere Anpassungsfähigkeit

Eine Funktionsliste allein reicht deshalb nicht. Entscheidend ist, wann die Firewall läuft, welche Regeln sie erhält, wie schnell diese aktualisiert werden und wer Fehlalarme prüft.

Welche Vorteile haben WordPress-Firewall-Plugins?

Der wichtigste Vorteil ist die schnelle, WordPress-nahe Schutzwirkung ohne eigene WAF-Entwicklung. Ein gutes Plugin kann bekannte Angriffsmuster erkennen, Loginversuche begrenzen, verdächtige IP-Adressen sperren und Hinweise liefern, die sonst erst in schwer zugänglichen Serverprotokollen auffallen.

• ✓bekannte schädliche Webanfragen vor der Verarbeitung blockieren
• ✓automatisierte Login- und XML-RPC-Angriffe begrenzen
• ✓auffällige Requests, IP-Adressen und Regelverstöße protokollieren
• ✓virtuelle Schutzregeln für bekannte Plugin-Schwachstellen bereitstellen
• ✓unbekannte Administratoren, Dateiänderungen oder veraltete Komponenten melden
• ✓einen Teil unnötiger Botlast reduzieren

Diese Vorteile gelten nicht automatisch nach der Installation. Lernmodus, Extended Protection, DNS-Umschaltung, API-Verbindung oder serverseitige Regeln müssen je nach Produkt erst eingerichtet werden. Eine zu aggressive Regel kann Formulare, Shop-Checkout, REST-API oder Suchmaschinen blockieren. Eine zu großzügige Ausnahme kann die Schutzwirkung aufheben.

Wordfence: umfassende lokale WordPress-Sicherheitslösung

Wordfence eignet sich für Betreiber, die Firewall, Malware-Scan, Login-Schutz und Aktivitätsinformationen in einer verbreiteten WordPress-Lösung bündeln möchten. Die Endpoint-Firewall läuft auf dem eigenen Server. Im optimierten Modus „Extended Protection“ wird sie vor WordPress geladen.

Vorteile:

• WordPress-spezifische Firewallregeln und generische Angriffsmuster
• Rate Limiting, Login-Schutz und Zwei-Faktor-Anmeldung
• Datei- und Malware-Scan sowie Vergleich mit offiziellen WordPress-Dateien
• Lernmodus und sichtbare Regelereignisse für die Fehlersuche

Zu beachten:

• Die Firewall verbraucht Ressourcen auf dem eigenen Hosting.
• Laut Wordfence erhalten kostenlose Installationen neue Firewallregeln und Malware-Signaturen mit 30 Tagen Verzögerung; Premium erhält sie nach Veröffentlichung.
• Extended Protection verändert je nach Server .user.ini, .htaccess oder PHP-Konfiguration und sollte nach Hostingwechseln geprüft werden.
• Ein Angreifer mit vollständigem Datei- oder Hostingzugriff kann auch eine lokale Firewall manipulieren.

Wordfence ist damit ein breites Werkzeug, aber nicht automatisch die beste Wahl für sehr knappes Shared Hosting oder Betreiber, die Datenverkehr bereits vollständig über eine externe WAF steuern.

NinjaFirewall: lokale WAF vor WordPress

NinjaFirewall richtet sich an Betreiber, die eine lokale Firewall möglichst früh vor WordPress ausführen und detailliert konfigurieren möchten. Das Plugin beschreibt sich als eigenständige WAF, die PHP-Anfragen vor WordPress und seinen Erweiterungen filtert.

Vorteile:

• Filterung vor WordPress und den übrigen Plugins
• Normalisierung und Prüfung unterschiedlicher Request-Codierungen
• Regeln für PHP-Skripte auch außerhalb des eigentlichen WordPress-Pakets
• Datenverkehr bleibt nach Herstellerangaben auf der eigenen Infrastruktur
• IPv4-, IPv6- und Multisite-Unterstützung

Zu beachten:

• Die Einrichtung ist technischer als bei einer einfachen Aktivieren-und-fertig-Lösung.
• Full-WAF-Modus und auto_prepend_file müssen zum Hosting passen.
• Die dokumentierten Voraussetzungen schließen Windows-Server aus.
• DDoS-Verkehr erreicht weiterhin den eigenen Server und die Internetanbindung.

NinjaFirewall passt besonders zu administrierbaren Linux-Hostingumgebungen. Vor dem Einsatz sollten Formulare, REST-Endpunkte, Uploads, WooCommerce und geplante Schnittstellen getestet werden.

Sucuri: vorgeschaltete Cloud-WAF mit WordPress-Integration

Sucuri ist im eigentlichen WAF-Betrieb ein Cloud-Dienst, der als Reverse Proxy vor Website und Server steht. Das kostenlose WordPress-Plugin bietet unter anderem Ereignisprotokollierung, Integritätsprüfung und Härtungsfunktionen. Die Website Firewall ist eine getrennte kostenpflichtige Leistung, die über einen API-Schlüssel im Plugin verwaltet werden kann.

Vorteile:

• schädlicher Verkehr und DDoS-Last können vor dem Herkunftsserver abgefangen werden
• virtuelle Regeln für bekannte Schwachstellen
• zentrale Zugriffsregeln, Caching und Firewall-Ereignisse
• die WAF funktioniert auch ohne installiertes WordPress-Plugin

Zu beachten:

• DNS und TLS-Terminierung müssen korrekt auf den Dienst umgestellt werden.
• Der Herkunftsserver darf nicht über eine bekannte direkte IP an der WAF vorbei erreichbar bleiben.
• Formulare, Shopfunktionen und APIs benötigen sorgfältig begrenzte Ausnahmen.
• Der kostenlose Sucuri-Scanner allein ist nicht mit der Cloud-WAF gleichzusetzen.
• Bei einem vorgeschalteten Dienst müssen Auftragsverarbeitung, Protokolldaten und Speicherorte geprüft werden.

Sucuri ist interessant, wenn Schutz und Last bereits vor dem Hosting ansetzen sollen. Für die eigentliche WordPress-Integrität bleiben Updates, Kontrollen und Wiederherstellung erforderlich.

MalCare: Cloud-gestützter Scan mit Plugin-Firewall

MalCare verbindet eine WordPress-Firewall mit cloudbasiertem Malware-Scan und zentraler Verwaltung. Die WordPress.org-Beschreibung nennt die Firewall bereits für die kostenlose Version; Firewallregeln werden dort laut Anbieter im kostenlosen Tarif alle sieben Tage und im bezahlten Angebot häufiger aktualisiert.

Vorteile:

• Scanverarbeitung wird weitgehend außerhalb des eigenen Servers ausgeführt
• Firewall, Login-Schutz, Traffic- und Loginprotokolle in einem Dienst
• zentrale Verwaltung mehrerer Websites
• zusätzliche Bereinigungs- und Härtungsfunktionen in kostenpflichtigen Angeboten

Zu beachten:

• Für die Nutzung ist ein MalCare-Konto und die Verbindung zum Dienst erforderlich.
• Detailansicht gefundener Dateien und automatische Bereinigung sind lizenzabhängig.
• Die Aussagen zur Erkennungs- und Bereinigungsleistung stammen vom Anbieter und ersetzen keine eigene Abnahme.
• Datenschutz, Zugriffsrollen und übertragene Website-Daten müssen vor Einsatz geprüft werden.

MalCare ist vor allem für Agenturen oder Betreiber interessant, die mehrere Websites über eine zentrale Oberfläche verwalten und Scanlast auslagern möchten.

Patchstack: virtuelle Patches für bekannte Schwachstellen

Patchstack konzentriert sich stärker auf verwundbare WordPress-Komponenten und virtuelle Schutzregeln als auf eine klassische Allzweck-Firewall. Die kostenlose Variante meldet bekannte Schwachstellen und kann gezielte Updates unterstützen. Bezahlte Angebote ergänzen Virtual Patching, eigene Firewallregeln und Härtung.

Vorteile:

• Fokus auf Sicherheitslücken in Plugins, Themes und WordPress-Core
• virtuelle Patches können bekannte Exploitpfade blockieren, bevor ein Hersteller-Update verfügbar ist
• zentrale Hinweise und Verwaltung für mehrere Websites
• hilfreich bei Erweiterungen, die nicht sofort aktualisiert werden können

Zu beachten:

• Virtual Patching ist kein Ersatz für das spätere echte Update oder Entfernen der Komponente.
• Eine Regel schützt nur gegen den erfassten Angriffsweg.
• Allgemeiner Bot-, DDoS- und Infrastruktur-Schutz ist nicht der alleinige Schwerpunkt.
• Die eigentliche automatische Schutzfunktion ist lizenzabhängig.

Patchstack kann gut zu einem Wartungsprozess passen, der Schwachstellenmeldungen schnell bewertet. Es ist keine Aussage darüber, ob eine Website bereits Schadcode enthält.

All-In-One Security: Firewallregeln und Härtung für einen einfachen Einstieg

All-In-One Security, kurz AIOS, kombiniert Login-Schutz, Dateiüberwachung, Härtung und PHP- beziehungsweise .htaccess-Firewallregeln. Die Oberfläche ordnet Funktionen nach Schwierigkeitsstufen und eignet sich damit für Betreiber, die Einstellungen schrittweise aktivieren möchten.

Vorteile:

• kostenlose Firewall- und Loginfunktionen
• 6G-Regeln, Schutz wichtiger Dateien und Einschränkung auffälliger Requests
• Zwei-Faktor-Anmeldung und Dateiänderungshinweise
• viele Härtungsoptionen in einer Oberfläche

Zu beachten:

• .htaccess-Regeln gelten nicht unverändert für jede Nginx- oder Managed-Hosting-Umgebung.
• Pauschale Sperren von REST, XML-RPC oder POST-Anfragen können legitime Funktionen stören.
• Regelpakete gegen allgemeine Angriffsmuster sind nicht dasselbe wie sofortige virtuelle Patches für jede neue Plugin-Lücke.
• Ein Sicherheitswert in der Oberfläche beweist keine sichere Gesamtkonfiguration.

AIOS ist eine verständliche Grundlage für kleinere Websites, wenn Änderungen einzeln getestet und dokumentiert werden.

Shield Security: Botbewertung, Login-Schutz und lokale Firewallregeln

Shield Security setzt einen Schwerpunkt auf automatisches Bot- und Login-Verhalten sowie lokale WordPress-Schutzmaßnahmen. Die kostenlose Dokumentation nennt Regeln gegen typische WordPress-Angriffsmuster, passive Botprüfung, XML-RPC- und REST-Schutz sowie Datei- und Kontoüberwachung.

Vorteile:

• automatische Bewertung auffälliger Besucher und Loginversuche
• lokale Firewallregeln, Zwei-Faktor-Anmeldung und Sitzungsbeschränkungen
• Aktivitätsprotokoll und Schutz der eigenen Plugin-Einstellungen
• Integration mit dem gemeinschaftlichen IP-Reputationsdienst CrowdSec

Zu beachten:

• IP-Reputation ist nur ein Signal; wechselnde oder gemeinsam genutzte IP-Adressen begrenzen ihre Aussage.
• Bot- und Login-Schutz ersetzt keine Regeln für jede konkrete Plugin-Schwachstelle.
• Sitzungsbindung oder strenge REST-Regeln müssen zu mobilen Nutzern und Schnittstellen passen.
• Welche Funktionen kostenlos oder kostenpflichtig sind, sollte vor dem Einsatz geprüft werden.

Shield ist eine Option für Websites, bei denen automatisierte Bots und Kontozugriffe einen großen Teil der beobachteten Angriffe ausmachen.

BBQ Firewall: schlanker Filter für bekannte schädliche Requests

BBQ Firewall ist eine bewusst einfache und leichte Lösung, die verdächtige Request-Muster ohne umfangreiches Sicherheitsdashboard blockiert. Nach Aktivierung prüft das Plugin eingehende Anfragen unter anderem auf auffällige Zeichenfolgen und ungewöhnlich lange Requests.

Vorteile:

• sehr geringer Einrichtungsaufwand
• kleiner Funktionsumfang und dadurch überschaubare Bedienung
• sinnvoll als Grundfilter, wenn umfangreiche Suiten unerwünscht sind

Zu beachten:

• kein gleichwertiger Ersatz für verwundbarkeitsspezifisches Virtual Patching
• weniger Kontext, Ereignisanalyse und zentrale Verwaltung
• kein umfassender Malware-Scan oder Incident-Response-Werkzeugkasten
• statische Muster können sowohl Angriffe übersehen als auch legitime Spezialanfragen treffen

BBQ eignet sich für einfache Websites mit bewusst kleinem Schutzumfang. Wer verwundbare Erweiterungen betreibt oder detaillierte Protokolle benötigt, braucht zusätzliche Maßnahmen.

Vergleich: Welches WordPress-WAF-Plugin passt zu welchem Bedarf?

Die Auswahl sollte mit Hosting, Risikoprofil und Betriebsaufwand beginnen, nicht mit der längsten Funktionsliste.

Lösung	Schutzmodell	Besondere Stärke	Eher passend für	Wichtige Grenze
Wordfence	lokale Endpoint-WAF	breite WordPress-Suite	einzelne bis mehrere klassische WordPress-Seiten	Ressourcenbedarf und verzögerte Regeln im kostenlosen Tarif
NinjaFirewall	früh geladene lokale WAF	Filterung vor WordPress	administrierbare Linux-Hostingumgebungen	technische Einrichtung und Hostingabhängigkeit
Sucuri	Cloud-Reverse-Proxy	Schutz vor dem Herkunftsserver	Websites mit Bedarf an vorgeschaltetem WAF- und DDoS-Schutz	kostenpflichtiger Dienst und DNS-/Origin-Konfiguration
MalCare	Plugin plus Cloud-Dienst	ausgelagerter Scan und zentrale Verwaltung	Agenturen und mehrere Websites	Konto-, Datenschutz- und Lizenzabhängigkeit
Patchstack	Virtual Patching	Regeln für konkrete Komponentenlücken	Websites mit vielen Drittanbieter-Erweiterungen	kein Ersatz für Updates und breiten Infrastruktur-Schutz
AIOS	PHP- und Serverregeln	einfacher Einstieg und Härtung	kleinere Websites und Selbstbetreiber	pauschale Regeln, Serverabhängigkeit
Shield Security	lokale Regeln und Botbewertung	Login- und Bot-Schutz	Websites mit viel automatisiertem Missbrauch	kein vollständiger Schutz jeder neuen Komponentenlücke
BBQ Firewall	statischer lokaler Filter	Einfachheit und geringer Umfang	kleine Websites mit minimaler Administration	schmalerer Schutz- und Analyseumfang

Eine vorgeschaltete Lösung wie Cloudflare kann zusätzlich sinnvoll sein. Cloudflare dokumentiert verwaltete Regeln mit WordPress-Tags sowie ein kostenloses Regelpaket für ausgewählte, besonders relevante Schwachstellen. Es handelt sich nicht um ein WordPress-Plugin. Auch hier müssen Planumfang, Regelaktivierung, Fehlalarme und der direkte Schutz des Herkunftsservers geprüft werden.

Warum kann eine Website trotz WAF gehackt werden?

Eine WAF schützt nur die Angriffswege, die sie sieht und deren Regeln sie erkennt. Keine der verglichenen Lösungen kann garantieren, dass ein Angriff scheitert.

• ✕gestohlene Administrator-, Hosting-, E-Mail- oder Domainzugänge
• ✕bereits vor Installation vorhandene Webshells und Backdoors
• ✕manipulierte Plugins, Themes oder Lieferketten
• ✕direkter Zugriff über SFTP, SSH, Datenbank oder ungeschützte Serverdienste
• ✕eine zweite kompromittierte Website im selben Hostingkonto
• ✕legitime Administratoraktionen mit einem übernommenen Konto
• ✕neue oder ungewöhnliche Angriffsvarianten ohne passende Regel
• ✕Fehlkonfigurationen, zu breite Ausnahmen oder ein direkt erreichbarer Herkunftsserver

Eine blockierte Anfrage bedeutet, dass diese konkrete Anfrage nicht verarbeitet wurde. Sie beweist weder, dass es keinen anderen Einstieg gab, noch dass die Website sauber ist. Umgekehrt ist ein einzelner Alarm noch kein Beweis für eine erfolgreiche Kompromittierung.

Was ist nach einem erfolgreichen Hack zusätzlich nötig?

Nach einer Kompromittierung müssen Schadcode, Persistenz und Eintrittsweg soweit möglich getrennt untersucht werden. Eine saubere Bereinigung umfasst mehr als das Ersetzen einer gemeldeten Datei:

1. vorhandene Dateien, Datenbank, Konten und Protokolle sichern;
2. unbekannte Administratoren, Sitzungen und Anwendungspasswörter prüfen;
3. WordPress-Core, Plugins und Themes mit vertrauenswürdigen Quellen vergleichen;
4. Uploads, Cache, Backups, geplante Aufgaben und Serverregeln untersuchen;
5. weitere Websites und Zugänge im Hostingkonto einbeziehen;
6. betroffene Zugangsdaten und Schlüssel in sinnvoller Reihenfolge erneuern;
7. die Website technisch und funktional abnehmen;
8. erst danach eine zum tatsächlichen Risiko passende WAF und Überwachung einrichten.

Wir helfen bei der WordPress-Bereinigung, wenn ein Hack trotz Security-Plugin erfolgreich war oder unklar ist, ob noch Schadcode vorhanden ist. Bei der anschließenden individuellen WordPress-Absicherung geht es nicht darum, möglichst viele Schalter in einem Plugin zu aktivieren. Wir prüfen unter anderem Hosting, Administratorzugänge, Updatewege, Dateirechte, Protokolle, Backups und die tatsächlich benötigten Schnittstellen.

Das ist gezielter als ein Security-Plugin allein: Die WAF wird als eine Schutzebene in eine konkrete Umgebung eingeordnet. Nicht benötigte Angriffsflächen werden entfernt, kritische Konten getrennt geschützt und Ausnahmen so eng wie möglich gehalten. Für eine erste Einordnung können Sie eine kostenlose Ersteinschätzung anfordern, ohne Zugangsdaten über das Formular zu senden.