WordPress nach NIS2-Maßstäben härten — die Kernmaßnahmen auf die Website übersetzt

Seit dem 6. Dezember 2025 ist das deutsche NIS2-Umsetzungsgesetz in Kraft. Rund 29.500 Unternehmen fallen darunter — ab 50 Mitarbeitern oder 10 Millionen Euro Umsatz in 18 Sektoren. Sie müssen die Kernmaßnahmen des § 30 BSIG umsetzen, Sicherheitsvorfälle binnen 24 Stunden melden und riskieren bei Verstößen Bußgelder bis 10 Millionen Euro oder 2 % des Umsatzes.

In den Projekten dazu geht es um Firewalls, Notfallpläne und Lieferketten — und die WordPress-Website läuft ungehärtet nebenher. Dabei ist sie oft das exponierteste System überhaupt: öffentlich erreichbar, voller Plugins von Drittanbietern, nicht selten seit Jahren ohne Update-Prozess. Eine gehackte Firmenwebsite ist ein meldepflichtiger Vorfall wie jeder andere.

Die Kernmaßnahmen, auf die Website übersetzt

Der § 30 BSIG verlangt unter anderem Risikomanagement, Zugriffskontrolle, Backups, Patch-Management und Vorfallserkennung. Für WordPress heißt das konkret:

1. Patch-Management: Updates als Prozess, nicht als Zufall. Core, Themes und Plugins zeitnah aktualisieren — mit festem Rhythmus, Backup vor jedem Update und einem kurzen Nachtest. „Wird schon gemacht, wenn jemand dran denkt” ist kein Prozess und lässt sich auch nicht nachweisen.
2. Zugriffskontrolle: 2FA und Rechte-Minimierung. Zwei-Faktor- Authentifizierung für alle Admin-Konten. Jedes Konto nur mit der Rolle, die es braucht — die Agentur von 2021 und der Ex-Praktikant brauchen keinen Admin mehr. Verwaiste Konten löschen.
3. Backups nach 3-2-1 — mit Wiederherstellungstest. Drei Kopien, zwei Speicherarten, eine außer Haus (nicht beim selben Hoster wie die Seite). Und der Punkt, den fast alle auslassen: einmal wirklich zurückspielen. Ein Backup, das nie getestet wurde, ist eine Hoffnung, kein Backup.
4. Vorfallserkennung: Logging und Monitoring. Fehlgeschlagene Logins protokollieren, Datei-Änderungen überwachen, Erreichbarkeit prüfen. Die 24-Stunden-Meldepflicht setzt voraus, dass Sie einen Vorfall überhaupt binnen 24 Stunden bemerken.
5. Risikomanagement: dokumentieren. Welche Plugins laufen, wer hat Zugriff, wie ist der Update-Prozess, wo liegen Backups — aufgeschrieben. Ohne Dokumentation existiert die Maßnahme für einen Prüfer nicht.

Selbermach-Checkliste

1. Benutzerliste durchgehen: unbekannte und verwaiste Konten entfernen
2. 2FA für alle verbleibenden Admin-Konten aktivieren
3. Update-Stand prüfen: Core, Themes, Plugins — Ungenutztes ganz löschen
4. Backup-Lage klären: Wo liegen sie, wie alt, wann zuletzt getestet?
5. Eine Test-Wiederherstellung auf einer Kopie durchführen
6. Login-Protokollierung einrichten (Security-Plugin)
7. Alles Obige kurz dokumentieren — Datum, Zuständigkeit, Rhythmus

Wie alt Ihre Installation wirklich ist, zeigt unser WordPress-Alters-Check; ob die Sicherheits-Header sitzen, der Security-Header-Check — beide kostenlos.

Warum das kein Projekt ist, sondern Dauerbetrieb

Patch-Management ist eine Dauerpflicht: Nächste Woche erscheint das nächste Plugin-Update, nächsten Monat die nächste Sicherheitslücke. Eine einmal gehärtete Seite ohne laufenden Prozess ist in einem Jahr wieder da, wo sie war — nur mit besserer Dokumentation. Was NIS2 im Detail von Ihrem Unternehmen verlangt, klärt eine Anwältin oder ein Anwalt; die Website-Seite davon lässt sich unabhängig davon sauber aufstellen.

Wenn Sie das lieber abgeben

Die NIS2-Härtung für WordPress (599 € Festpreis) setzt genau diese Maßnahmen um: Bestandsaufnahme, 2FA und Rechte-Minimierung, Update-Prozess, 3-2-1-Backups mit Wiederherstellungstest, Protokollierung — und übergibt die Dokumentation als Baustein für Ihre Compliance-Akte.