Ist die Website Ihrer gemeinnützigen Organisation sicher?

Die meisten Teams von gemeinnützigen Organisationen, mit denen ich spreche, wissen, dass Sicherheit wichtig ist, aber die Ratschläge im Internet sind voller Wörter wie „Firewall“, „Malware“ und „Härtung“, und es ist schwer zu wissen, wo man anfangen soll.

Ich war Mitbegründer einer gemeinnützigen Organisation und habe über 15 Jahre damit verbracht, Websites zu erstellen und zu betreiben. Ich habe gesehen, wie Websites aufgrund eines Hackers, eines Freiwilligen, der auf die falsche Schaltfläche klickte, oder weil ein Webserver einfach kaputt ging, ausgefallen sind. All diese Probleme sind behebbar und alle sind viel einfacher zu verhindern als zu bereinigen.

Diese Anleitung führt Sie Schritt für Schritt durch die Sicherung Ihrer WordPress-Website. Sie müssen kein Technikexperte sein. Jedes Mal, wenn ein Fachbegriff auftaucht, finden Sie eine kleine Box, die ihn in einfacher Sprache erklärt.

Am Ende haben Sie ein Sicherheit-Plugin, das Ihre Website scannt, sicherere Logins, einen Plan für Updates, Schutz vor Fehlern und Backups, auf die Sie sich verlassen können.

Was dieser Leitfaden enthält

Warum Non-Profit-Websites geschützt werden müssen

Viele kleine gemeinnützige Organisationen glauben, dass Hacker sie nicht belästigen werden. Leider funktionieren die meisten Angriffe nicht so.

Die meisten Angriffe sind automatisiert, sodass ein Programm Tausende von Websites nach Schwachstellen durchsucht, die es ausnutzen kann. Es ist ihm egal, ob Sie eine globale Wohltätigkeitsorganisation oder ein lokales Tierheim sind.

Ihre Website enthält auch Dinge, die Leute wollen. Sie enthält Spendernamen und E-Mail-Adressen, ein Spendenformular, das Karten akzeptiert, und einen guten Ruf, den Spammer gerne ausleihen würden.

Wenn ich die Sicherheit einer Website plane, gruppiere ich die Risiken in 3 Kategorien. Jede erfordert eine etwas andere Lösung, daher ist es hilfreich, sie auseinanderzuhalten.

Hacker und Bots

Dies ist das Risiko, an das jeder zuerst denkt. Bots versuchen Tausende von Passwörtern auf Ihrer Anmeldeseite. Andere suchen nach Plugins mit bekannten Sicherheitslücken, damit sie eindringen und schädlichen Code einschleusen können.

Die Zahlen steigen schnell. Der Bericht von Patchstack über den Stand der WordPress-Sicherheit im Jahr 2026 fand 11.334 neue Sicherheitslücken in WordPress-Plugins und -Themes im Jahr 2025. Davon befanden sich 91 % in Plugins, und WordPress selbst hatte nur 6.

Das zeigt Ihnen, worauf Sie sich konzentrieren müssen. WordPress wird gut gepflegt, und die Add-ons, die Sie installieren, sind die Quelle der meisten Probleme.

Menschliche Fehler

Nicht jedes Problem beginnt mit einem Hacker. Manchmal löscht ein Mitarbeiter die falsche Seite. Ein Freiwilliger verwendet möglicherweise ein schwaches Passwort wieder oder jemand antwortet auf eine gefälschte E-Mail, die nach seinen Anmeldedaten fragt.

Dies geschieht weitaus häufiger, als die Leute erwarten. Der 2025 Data Breach Investigations Report von Verizon ergab, dass etwa 60 % der Sicherheitsverletzungen eine Person betrafen, sei es durch einen Fehler, eine Täuschung oder Missbrauch von Zugangsdaten.

Serverprobleme

Ihre Website läuft auf einem Computer, der Ihrem Webhost gehört. Wie jeder Computer kann er ausfallen. Eine Festplatte kann versagen, ein Update auf der Seite des Hosts kann fehlschlagen oder das gesamte Rechenzentrum kann den Strom verlieren.

Sie können nicht verhindern, dass ein Server ausfällt. Sie können sicherstellen, dass ein Ausfall Sie nur eine Stunde kostet und nicht Ihre gesamte Website, und dafür ist der Sicherungsschritt in dieser Anleitung gedacht.

So sichern Sie Ihre Non-Profit-Website

Schritt 1: Sucuri Security installieren (unsere Top-Wahl)

Wenn Sie nur eine Sache aus dieser Anleitung tun, installieren Sie Sucuri Security. Es ist meine erste Empfehlung für Non-Profit-Organisationen, da das kostenlose Plugin viel abdeckt und es einen klaren Weg zu mehr Schutz gibt, wenn Sie bereit sind.

Warum Sucuri

Sucuri ist ein Unternehmen für Website-Sicherheit, und sein Plugin hat über 600.000 aktive Installationen auf WordPress.org. Die kostenlose Version bietet Ihnen mehrere Schutzschichten über ein einziges Dashboard.

Hier ist, was Sie kostenlos erhalten.

• Aktivitätsprotokollierung. Es wird aufgezeichnet, wer sich angemeldet hat und was auf Ihrer Website geändert wurde.
• Prüfung der Dateintegrität. Es vergleicht Ihre WordPress-Dateien mit den offiziellen Kopien und teilt Ihnen mit, wenn etwas geändert wurde.
• Remote-Malware-Scan. Sucuri scannt Ihre Website von außen und sucht nach schädlichem Code und Spam-Links.
• Blocklist-Überwachung. Es prüft, ob Google oder andere Dienste Ihre Website als unsicher eingestuft haben.
• Sicherheitshärtung. Es bietet Ihnen 1-Klick-Korrekturen für häufige Schwachstellen.
• Maßnahmen nach einem Hack. Es bietet Ihnen Werkzeuge zur schnellen Wiederherstellung, falls doch etwas schiefgeht.

So installieren Sie das kostenlose Sucuri Security Plugin

Die Installation von Sucuri funktioniert wie bei jedem anderen Plugin. Um loszulegen, gehen Sie in Ihrem WordPress-Dashboard zu Plugins » Plugin hinzufügen und geben Sie „Sucuri“ in das Suchfeld ein.

Suchen Sie nach Sucuri Security – Auditing, Malware Scanner und Security Hardening, klicken Sie dann auf Jetzt installieren und Aktivieren. Dies dauert weniger als eine Minute.

Wenn Sie einen KI-Assistenten wie Claude oder ChatGPT verwenden, kann dieser Teil für Sie erledigt werden. WPVibe ist ein kostenloses Plugin, das Ihren KI-Assistenten mit Ihrer WordPress-Website verbindet, und sein kostenloser Plan deckt Plugin-Installationen ab.

Sobald Ihre Website verbunden ist, bitten Sie Ihren Assistenten, „Sucuri Security zu installieren und zu aktivieren“. WPVibe zeigt Ihnen zuerst die Plugin-Details an und installiert es erst, nachdem Sie bestätigt haben.

Sie sehen nun ein neues Menü Sucuri Security auf der linken Seite Ihres Dashboards. Wenn Sie es zum ersten Mal öffnen, zeigt Sucuri möglicherweise ein Feld an, das nach einem Firewall-API-Schlüssel fragt. Sie können vorerst auf Vielleicht später klicken, da Sie diesen Schlüssel nur benötigen, wenn Sie die Firewall kaufen.

Überprüfen Sie Ihren Malware-Scan und die Dateintegrität

Um Ihre ersten Ergebnisse zu sehen, gehen Sie zu Sucuri Security » Vulnerability Scanning. Oben auf der Seite sehen Sie die Überprüfung der WordPress-Integrität.

Wenn Sucuri eine WordPress-Datei findet, die nicht mit der offiziellen Version übereinstimmt, listet es sie hier auf. Geraten Sie nicht in Panik, wenn Sie eine Warnung sehen. Einige Hoster fügen ihre eigenen Dateien hinzu, und diese werden ebenfalls angezeigt.

Sehen Sie sich jeden Dateinamen an. Wenn Sie einen nicht erkennen, fragen Sie Ihren Webhoster, bevor Sie etwas löschen. Wenn die Datei erwartet wird, können Sie sie als behoben markieren, damit sie nicht mehr angezeigt wird.

Scrollen Sie nach unten, um die Ergebnisse des Malware-Scans zu sehen. Sie möchten grüne Häkchen neben Einträgen wie „Kein bösartiger JavaScript-Code“ und „Kein Blackhat-SEO-Spam“ sehen, plus eine Liste von Blocklist-Diensten, die besagen, dass Ihre Website sauber ist.

Neben den Ergebnissen zeigt Sucuri eigene Sicherheitsempfehlungen für Ihre Website an. Halten Sie diese Liste offen, da sie mit den nächsten Schritten übereinstimmt.

Wenden Sie die Härtungsoptionen von Sucuri an

Um zu beginnen, gehen Sie zu Sucuri Security » Hardening & Prevention und Sie sehen eine Liste von Korrekturen, jede mit einem Hardening anwenden-Button.

Ich schlage vor, mit diesen Optionen zu beginnen, da sie für fast jede Website sicher sind.

• PHP-Dateien im Upload-Verzeichnis blockieren. Dies verhindert, dass jemand Code aus Ihrem Bildordner ausführt, was nach einem Einbruch ein gängiger Trick ist.
• WordPress-Version entfernen. Dies verbirgt Ihre WordPress-Versionsnummer, sodass Bots nicht leicht nach Lücken suchen können.
• Plugin- und Theme-Editor deaktivieren. Dies entfernt den integrierten Code-Editor, der Sie vor Hackern und versehentlichen Bearbeitungen schützt. Ich behandle dies in Schritt 4 erneut.
• Standard-Admin-Konto überprüfen. Dies prüft, ob Ihr Hauptkonto immer noch den Namen „admin“ verwendet, was der erste Name ist, den Bots erraten.

Wenden Sie jeweils 1 Option an und überprüfen Sie Ihre Website nach jeder einzelnen in einem anderen Browser-Tab. Wenn etwas kaputt aussieht, können Sie zurückgehen und auf Härtung rückgängig machen klicken.

Aktivieren Sie Audit-Protokolle und E-Mail-Benachrichtigungen

Sucuri beginnt mit der Aufzeichnung der Aktivitäten, sobald Sie es aktivieren. Um den Verlauf anzuzeigen, gehen Sie zu Sucuri Security » Events Reporting.

Sie werden dies nicht jeden Tag überprüfen wollen, also lassen Sie sich von Sucuri stattdessen per E-Mail benachrichtigen. Gehen Sie zu Sucuri Security » Settings und klicken Sie auf den Tab Alerts.

Fügen Sie zuerst die E-Mail-Adresse, die die Benachrichtigungen erhalten soll, unter Alerts Recipient hinzu. Scrollen Sie dann nach unten zu Security Alerts und aktivieren Sie die Ereignisse, die Ihnen wichtig sind.

Sucuri sendet diese Benachrichtigungen über Ihre WordPress-E-Mail. Wenn sie nicht ankommen, kann WP Mail SMTP das beheben, und ich erkläre, wie in der WP Mail SMTP-Sektion unten.

Für ein kleines Team würde ich diese Benachrichtigungen aktivieren und den Rest deaktiviert lassen, damit Ihr Posteingang nicht überfüllt wird. Jede einzelne beginnt auf dem Bildschirm mit „Receive email alerts“.

• Änderungen an den Einstellungen des Plugins
• Integritätsprüfungen des Kerns
• Neue Benutzerregistrierung
• Wenn ein Plugin installiert wird
• Wenn ein Plugin aktiviert wird
• Wenn eine Datei mit dem Theme/Plugin-Editor geändert wird

Wenn Sie fertig sind, klicken Sie auf Submit, um zu speichern. Von nun an wird Sucuri Ihnen eine E-Mail senden, wann immer eines dieser Dinge auf Ihrer Website passiert.

Fügen Sie die Sucuri Firewall hinzu, wenn Sie bereit sind

Das kostenlose Plugin überwacht Ihre Website und warnt Sie vor Problemen. Die kostenpflichtige Sucuri Firewall geht einen Schritt weiter und blockiert bösartigen Traffic, bevor er Ihre Website überhaupt erreicht.

Die Firewall von Sucuri läuft auf den eigenen Servern von Sucuri, nicht auf Ihren. Das bedeutet, dass blockierte Angriffe niemals Ihre Hosting-Ressourcen beanspruchen. Sie beinhaltet auch ein CDN und Schutz vor DDoS-Angriffen, was Ihre Website online hält, wenn eine Flut von gefälschtem Traffic eintrifft.

Als ich im September 2026 nachsah, begannen die Firewall-Pläne von Sucuri bei 9,99 $ pro Monat. Ihre vollständige Sicherheitsplattform, die unbegrenzte Malware-Entfernung hinzufügt, falls Ihre Website jemals gehackt wird, begann bei 229 $ pro Jahr.

Sobald Sie sich angemeldet haben, erhalten Sie einen API-Schlüssel. Um ihn zu verbinden, gehen Sie zu Sucuri Security » Firewall Management, fügen Sie den Schlüssel in das Feld Firewall API Key ein und klicken Sie auf Save.

Beginnen Sie kostenlos, rüsten Sie auf, wenn es sinnvoll ist. Wenn Ihre Website viele Spenden erhält oder bereits angegriffen wurde, ist die Firewall gut investiertes Geld. Wenn Sie gerade erst anfangen, werden Sie mit dem kostenlosen Plugin und den folgenden Schritten bereits den meisten Websites voraus sein.

Das ist Sucuri eingerichtet. Als Nächstes zeige ich Ihnen, wie Sie Ihre Anmeldungen viel schwerer zu knacken machen.

Schritt 2: Sichern Sie jeden Login

Wenn jemand dein Passwort erhält, kann er sich als du anmelden, und die meisten deiner anderen Schutzmaßnahmen werden ihn nicht aufhalten.

Verwenden Sie starke, eindeutige Passwörter

Ein starkes Passwort ist lang und zufällig. Ein gutes ist mindestens 16 Zeichen lang und wird nirgendwo anders verwendet.

Niemand kann Dutzende von Passwörtern wie diese auswendig lernen, und das musst du auch nicht. Ein Passwort-Manager erstellt und speichert sie für dich, sodass du dir nur 1 Hauptpasswort merken musst.

Die Wiederverwendung von Passwörtern ist die eigentliche Gefahr. Wenn dein E-Mail-Passwort von einer anderen Website durchgesickert ist und du es auch für WordPress verwendest, werden Bots es innerhalb weniger Tage auf deiner Website ausprobieren.

Aktivieren Sie die Zwei-Faktor-Authentifizierung

Zwei-Faktor-Authentifizierung fügt eine zweite Sperre zu deiner Anmeldung hinzu. Selbst wenn jemand dein Passwort stiehlt, kann er ohne dein Telefon nicht hineingelangen.

Sucuri beinhaltet 2FA, sodass du kein weiteres Plugin benötigst. Um es einzurichten, gehe zu Sucuri Security » Two-Factor Authentication.

Sucuri führt dich durch 4 kurze Schritte.

1. Öffne zuerst eine Authentifizierungs-App auf deinem Handy, wie z. B. Google Authenticator oder Microsoft Authenticator.
2. Scanne den QR-Code auf dem Bildschirm mit der App.
3. Gib den 6-stelligen Code aus der App in das Feld ein.
4. Klicke abschließend auf Setup, um es zu aktivieren.

Weiter unten auf der Seite kannst du 2FA für alle Benutzer auf einmal aktivieren. Bevor du das tust, informiere dein Team, da jede Person aufgefordert wird, es beim nächsten Login einzurichten.

Verwende nicht „admin“ als Benutzernamen

Ältere WordPress-Websites haben oft einen Benutzer namens „admin“. Bots wissen das, daher ist es der erste Benutzername, den sie ausprobieren.

WordPress erlaubt dir nicht, einen Benutzer umzubenennen. Erstelle stattdessen einen neuen Administrator mit einem anderen Benutzernamen, melde dich als dieser neue Benutzer an und lösche das alte „admin“-Konto. Wenn WordPress fragt, was mit den Inhalten dieses Benutzers geschehen soll, wähle, sie deinem neuen Konto zuzuweisen, damit nichts verloren geht.

Begrenzen Sie fehlgeschlagene Anmeldeversuche

Eine echte Person vergisst ihr Passwort selten 10 Mal hintereinander. Ein Bot tut dies den ganzen Tag. Die Begrenzung fehlgeschlagener Versuche sperrt Bots nach ein paar falschen Versuchen aus.

Die Sucuri Firewall beinhaltet Brute-Force-Schutz. Wenn du das kostenlose Plugin verwendest, kannst du trotzdem eine Benachrichtigung für Passwortversuche unter Sucuri Security » Settings » Alerts aktivieren, und ich behandle kostenlose Plugins, die diese Versuche blockieren, im Abschnitt andere Plugins.

Schritt 3: Halten Sie WordPress, Plugins und Themes aktuell

Updates sind der am wenigsten aufregende Teil der Website-Sicherheit. Sie sind auch einer der wichtigsten.

Warum Updates so wichtig sind

Wenn ein Entwickler ein Sicherheitsloch in seinem Plugin findet, veröffentlicht er ein Update, um es zu beheben. Das Problem ist, dass die Korrektur auch den Angreifern genau zeigt, wo das Loch war.

Angreifer handeln schnell. Der Patchstack-Bericht von 2026 untersuchte die Löcher, die Angreifer am häufigsten nutzten, und die mittlere Zeit bis zum ersten Angriff betrug nur 5 Stunden. Etwa die Hälfte der schwerwiegenden Löcher wurde innerhalb von 24 Stunden angegriffen.

Wenn also ein Update ansteht, gibt jeder Tag, an dem Sie es nicht durchführen, Bots einen weiteren Tag, um Sie zu finden.

Legen Sie eine einfache Update-Routine fest

Sie müssen nicht den ganzen Tag nach Updates suchen. Eine einfache wöchentliche Routine reicht für die meisten gemeinnützigen Organisationen aus.

1. Wählen Sie 1 Tag pro Woche, z. B. Montagmorgen.
2. Erstellen Sie zuerst ein Backup. Ich erkläre, wie das in Schritt 5 geht.
3. Gehen Sie dann zu Dashboard » Updates und aktualisieren Sie zuerst WordPress, dann die Plugins und dann die Themes.
4. Sobald das erledigt ist, öffnen Sie Ihre Homepage und Ihre Spendenseite, um sicherzustellen, dass sie noch richtig aussehen.

Bei Plugins, denen Sie vertrauen, können Sie auch automatische Updates aktivieren. Klicken Sie auf dem Bildschirm Plugins » Installierte Plugins neben jedem Plugin auf Automatische Updates aktivieren.

Sucuri hilft auch hier. Die Seite Post-Hack Actions enthält eine Liste aller Plugins und Themes, für die ein Update ansteht, sodass Sie alles an einem Ort sehen können.

Löschen Sie Plugins und Themes, die Sie nicht verwenden

Ein deaktiviertes Plugin befindet sich immer noch auf Ihrem Server. Wenn es eine Sicherheitslücke hat, kann es in einigen Fällen immer noch angegriffen werden.

Gehen Sie Ihre Plugins alle paar Monate durch. Wenn Sie ein Plugin eine Weile nicht verwendet haben, löschen Sie es. Behalten Sie 1 Standard-Theme als Reserve, z. B. das neueste „Twenty“-Theme, und löschen Sie die anderen Themes, die Sie nicht verwenden.

Weniger Plugins bedeuten weniger Dinge zu aktualisieren und weniger Angriffswege. Wenn Sie sich nicht sicher sind, welche Plugins eine gemeinnützige Website wirklich benötigt, ist meine Liste der besten WordPress-Plugins für gemeinnützige Organisationen ein guter Ausgangspunkt.

Installieren Sie Plugins nur aus vertrauenswürdigen Quellen

Manche Websites bieten kostenpflichtige Plugins kostenlos an. Diese werden als „Nulled Plugins“ bezeichnet, und ich würde niemals eines auf einer Website für gemeinnützige Organisationen installieren.

Sie sind aus gutem Grund kostenlos. Nulled Plugins enthalten oft versteckten Code, der einem Angreifer Zugang zu Ihrer Website verschafft. Außerdem erhalten sie keine Sicherheitsupdates, da sie nicht an eine echte Lizenz gebunden sind.

Um sicher zu bleiben, beziehen Sie Ihre Plugins von WordPress.org oder direkt von dem Unternehmen, das sie herstellt. Viele kostenlose Plugins auf WordPress.org haben auch eine kostenpflichtige Version, der Sie vertrauen können, wie Charitable.

Bevor Sie ein Plugin installieren, überprüfen Sie dessen WordPress.org-Seite auf diese Details.

• Die Anzahl der aktiven Installationen zeigt, wie viele Websites es bereits verwenden.
• Die Sternebewertung und die Rezensionen sagen Ihnen, wie es für andere funktioniert.
• Das Datum der letzten Aktualisierung zeigt an, ob das Team es noch pflegt.
• Der Kompatibilitätshinweis sagt Ihnen, ob es mit Ihrer WordPress-Version getestet wurde.

Setzen Sie auf seriöse Unternehmen, die schon länger am Markt sind. Ein bekanntes Team behebt eine Sicherheitslücke mit weitaus größerer Wahrscheinlichkeit schnell.

Testen Sie große Updates auf einer Staging-Site

Die meisten Updates sind klein und sicher. Ein großes Update, wie eine neue Hauptversion Ihres Themes, kann manchmal das Aussehen oder die Funktionsweise Ihrer Website verändern.

Viele Webhoster bieten Staging mit einem Klick in ihrem Control Panel an. Fragen Sie Ihren Hoster, ob Ihrer das tut. Wenn Sie gerade einen Hoster auswählen, ist dies eines der Dinge, auf die ich achte, und ich behandle Hoster im Detail in Schritt 5.

Schritt 4: Schützen Sie Ihre Website vor menschlichem Versagen

Non-Profits haben oft viele Leute, die an der Website arbeiten. Mitarbeiter kommen und gehen, Freiwillige helfen für eine Saison, und Vorstandsmitglieder benötigen manchmal auch Zugang. Jeder zusätzliche Login ist eine weitere Chance für einen Fehler.

Die meisten menschlichen Fehler lassen sich mit ein paar Einstellungen leicht begrenzen.

Geben Sie Personen nur den Zugriff, den sie benötigen

WordPress hat unterschiedliche Benutzerrollen, und jede Rolle kann unterschiedliche Dinge tun. Nur 1 oder 2 vertrauenswürdige Personen sollten Administratoren sein.

Hier ist eine einfache Möglichkeit zu entscheiden, wer was bekommt.

• Administrator. Geben Sie dies der Person, die die Website verwaltet, und vielleicht einer Backup-Person.
• Redakteur. Geben Sie dies dem Mitarbeiter, der sich um Ihren Blog und Ihre Seiten kümmert.
• Autor oder Mitarbeiter. Geben Sie dies Freiwilligen, die gelegentlich Beiträge schreiben.
• Kampagnenmanager. Wenn Sie Charitable verwenden, kann diese Rolle jemandem die Verwaltung von Kampagnen und Spenden ermöglichen, ohne die Einstellungen von Charitable ändern zu können. Die Anleitung von Charitable zu Benutzerrollen und Berechtigungen erklärt genau, was sie tun kann.

Um die Rolle einer Person zu ändern, gehen Sie zu Benutzer » Alle Benutzer, klicken Sie auf den Namen der Person und wählen Sie eine neue Rolle aus dem Dropdown-Menü Rolle.

Entfernen Sie den Zugriff, wenn Personen gehen

Wenn ein Mitarbeiter oder Freiwilliger geht, bleibt sein Login oft zurück. Monate später erinnert sich niemand mehr daran, und es verwendet immer noch dasselbe alte Passwort.

Fügen Sie den Website-Zugang zu Ihrer Checkliste für das Offboarding hinzu. An dem Tag, an dem jemand geht, löschen Sie sein Konto oder reduzieren Sie seine Rolle auf Abonnent und weisen Sie seine Beiträge einem anderen Benutzer zu.

Sucuri kann Ihnen helfen, alte Konten zu erkennen. Die Seite Letzte Logins zeigt an, wer sich kürzlich angemeldet hat, sodass jeder, der sich lange nicht angemeldet hat, auffällt.

Deaktivieren Sie den integrierten Dateieditor

WordPress enthält einen Editor, mit dem Administratoren Plugin- und Theme-Code über das Dashboard ändern können. Ein einziger Tippfehler kann Ihre gesamte Website lahmlegen, und es gibt keine Rückgängig-Taste.

Es ist auch eines der ersten Dinge, die ein Hacker nutzt, sobald er drin ist. Das Ausschalten schützt Sie vor beiden Problemen.

Die Lösung haben Sie bereits in Schritt 1 gesehen. Gehen Sie zu Sucuri Security » Hardening & Prevention und klicken Sie auf Hardening anwenden bei Plugin- und Theme-Editor deaktivieren.

Wenn Sie jemals benutzerdefinierten Code hinzufügen müssen, wie z. B. ein Tracking-Skript oder einen Ausschnitt aus einem Tutorial, verwenden Sie WPCode anstelle der Bearbeitung Ihrer Theme-Dateien. Ich behandle es im Abschnitt WPCode unten.

Bringen Sie Ihrem Team bei, Phishing zu erkennen

Phishing-E-Mails sind eine der häufigsten Methoden, mit denen Menschen ihre Passwörter verlieren. Sie sind oft so gestaltet, dass sie aussehen, als kämen sie von Ihrem Webhost, WordPress oder Ihrem eigenen Verzeichnis.

Teilen Sie diese 3 Warnzeichen mit jedem, der sich auf Ihrer Website anmeldet.

• Die E-Mail besagt, dass etwas Dringendes passieren wird, es sei denn, Sie melden sich sofort an.
• Der Link führt zu einer Webadresse, die sich geringfügig von der echten unterscheidet.
• Die Nachricht fragt nach Ihrem Passwort, was kein echtes Unternehmen jemals per E-Mail tun würde.

Die sicherste Gewohnheit ist, sich niemals über einen Link in einer E-Mail anzumelden. Geben Sie stattdessen Ihre Website-Adresse selbst ein.

Schritt 5: Bereiten Sie sich mit Backups auf Serverausfälle vor

Ihr Webhost kümmert sich um die Hardware, aber Sie entscheiden, wie schnell Sie sich erholen können, wenn etwas kaputt geht.

Wählen Sie einen Hoster, dem Sicherheit wichtig ist

Ein guter Host hält seine Server auf dem neuesten Stand, achtet auf Angriffe und hilft Ihnen, wenn etwas schiefgeht.

Wenn Sie Hosts vergleichen, stellen Sie diese Fragen.

• Enthält der Plan ein kostenloses SSL-Zertifikat?
• Erstellt der Host tägliche Backups selbst und wie lange bewahrt er sie auf?
• Gibt es eine Staging-Site, die Sie nutzen können?
• Können Sie den Support schnell erreichen, wenn Ihre Website ausfällt?

Ich habe die Optionen Seite für Seite in meinem Leitfaden für das beste Webhosting für Non-Profits verglichen, einschließlich welcher Hosts Rabatte für Non-Profits anbieten.

Stellen Sie sicher, dass Ihre Website HTTPS verwendet

Schauen Sie sich Ihre Website-Adresse in Ihrem Browser an. Wenn sie mit „https“ beginnt und ein kleines Vorhängeschloss anzeigt, sind Sie bereit. Wenn sie mit „http“ ohne das „s“ beginnt, beheben Sie dies zuerst.

Spender achten auf das Vorhängeschloss, bevor sie ihre Daten eingeben. Die meisten Browser warnen Besucher auch vor Seiten ohne dieses Symbol. Die meisten Hosts bieten ein kostenloses SSL-Zertifikat an, und ihr Support-Team kann es für Sie aktivieren.

Überwachen Sie die Uptime Ihrer Website

Wenn Ihre Website am Samstagabend ausfällt, möchten Sie es wissen, bevor ein Spender Sie deswegen kontaktiert. Ein Uptime-Monitor überprüft Ihre Website alle paar Minuten und benachrichtigt Sie per E-Mail, wenn sie nicht mehr geladen wird.

Viele Hosts bieten grundlegende Uptime-Benachrichtigungen an, und es gibt auch kostenlose Monitoring-Dienste. Die Einrichtung dauert nur wenige Minuten.

Sichern Sie alles, testen Sie dann das Backup

Backups sind die einzige Lösung, die bei allen 3 Risiken in diesem Leitfaden funktioniert.

Wenn Sie gehackt werden, stellen Sie eine saubere Kopie wieder her. Wenn ein Freiwilliger Ihre Spendenseite löscht, stellen Sie sie wieder her. Wenn der Server ausfällt, verschieben Sie Ihr Backup auf einen neuen Server.

Testen Sie Ihr Backup mindestens einmal. Bis Sie es wiederhergestellt haben, wissen Sie nicht sicher, ob es funktioniert.

Mein bevorzugtes Werkzeug ist Duplicator, das über 1 Million aktive Installationen hat. Die kostenlose Version erstellt vollständige Backups, ermöglicht die Wiederherstellung mit einem Klick und kann jedes Backup mit einem Passwort sperren.

Ich habe dazu eine vollständige Schritt-für-Schritt-Anleitung geschrieben, daher werde ich hier nicht alles wiederholen. Folgen Sie meiner Anleitung zur Sicherung Ihrer Non-Profit-Website, um Ihr erstes Backup zu erstellen, es zu planen und eine Wiederherstellung zu testen.

Bewahren Sie eine Kopie außerhalb Ihres Servers auf

Hier ist ein Fehler, den ich oft sehe. Das Backup wird auf demselben Server wie die Website gespeichert. Wenn dieser Server ausfällt, verschwinden die Website und das Backup zusammen.

Die Backups Ihres Hosts sind hilfreich, aber sie befinden sich bei Ihrem Host. Behalten Sie mindestens 1 Kopie, die Sie kontrollieren. Meine Anleitung zur Speicherung von Non-Profit-Website-Backups behandelt die einfachsten Orte dafür.

Schritt 6: Schützen Sie Ihre Spendenformulare

Spendenformulare akzeptieren Kartenzahlungen, daher ziehen sie eine Art von Bot an, die andere Seiten nicht anziehen.

Warum Spendenformulare ins Visier genommen werden

Kriminelle, die gestohlene Kartennummern kaufen, müssen wissen, welche Karten noch funktionieren. Spendenformulare sind ein einfacher Ort, um sie zu testen, da ein Geschenk von 1 $ nicht seltsam aussieht.

Sie bemerken einen Kartentest-Angriff möglicherweise auf einige Arten.

• Sie sehen Dutzende von kleinen Spenden oder fehlgeschlagenen Zahlungen in kurzer Zeit.
• Die Spendernamen und E-Mail-Adressen sehen zufällig aus.
• Ihr Zahlungsanbieter sendet Ihnen eine Warnung oder berechnet Ihnen Rückbuchungsgebühren.

Fügen Sie Ihren Formularen ein CAPTCHA hinzu

Ein CAPTCHA ist eine schnelle Überprüfung, die Menschen und Bots unterscheidet. Moderne sind fast unsichtbar, sodass echte Spender sie kaum bemerken.

Wenn Sie Charitable für Spenden verwenden, ist ein CAPTCHA bereits im kostenlosen Plugin integriert. Ich zeige Ihnen, wo Sie es im Charitable-Bereich unten finden.

Verwenden Sie ein vertrauenswürdiges Zahlungs-Gateway

Ihr Zahlungs-Gateway ist das Unternehmen, das jede Kartenzahlung tatsächlich abwickelt. Bekannte Gateways wie Stripe und PayPal führen ihre eigenen Betrugsprüfungen für jede Zahlung durch, zusätzlich zu allem, was Ihre Website tut.

Überprüfen Sie auch die eigenen Betrugseinstellungen Ihres Gateways. Stripe-Konten verfügen über Radar, das verdächtig aussehende Zahlungen blockiert, und PayPal-Geschäftskonten verfügen über kostenlose Betrugsschutz-Tools im Bereich Geschäftstools. Hilfe bei der Auswahl eines Gateways finden Sie in meiner Zusammenfassung der besten Zahlungs-Gateways für Non-Profits.

Sucuri ist meine erste Wahl, aber ich würde auch gerne ein paar andere Plugins empfehlen.

Andere WordPress-Plugins, die helfen, Ihre Website sicher zu halten

Jede Website ist anders, und einige Teams bevorzugen ein Plugin, das ihre Firewall direkt auf ihrem eigenen Server ausführt. Hier sind die Tools, denen ich vertraue, und wann jedes einzelne sinnvoll ist.

Führen Sie nur 1 Sicherheit-Plugin mit einer Firewall aus. Wenn Sie 2 Firewalls gleichzeitig ausführen, kann dies Ihre Website verlangsamen und sie können miteinander in Konflikt geraten.

Wordfence Security

Wordfence ist das am weitesten verbreitete WordPress-Sicherheits-Plugin mit über 5 Millionen aktiven Installationen. Seine kostenlose Version enthält eine Firewall, die auf Ihrem eigenen Server läuft, einen Malware-Scanner, 2FA und ein CAPTCHA für Ihre Anmeldeseite.

Kostenlose Benutzer erhalten neue Firewall-Regeln und Malware-Signaturen 30 Tage nach zahlenden Kunden. Das ist immer noch ein solider Schutz, aber es reagiert langsamer auf brandneue Bedrohungen.

Wordfence ist eine gute Wahl, wenn Sie heute eine kostenlose Firewall und Anmeldebeschränkungen wünschen und bereit sind, sein Dashboard ab und zu zu überprüfen.

Kadence Security

Kadence Security, das früher Solid Security und davor iThemes Security hieß, konzentriert sich auf Anmeldungen. Es hat über 700.000 aktive Installationen.

Die kostenlose Version enthält 2FA, Schutz vor Brute-Force-Angriffen, Passwortregeln für Ihre Benutzer und einen Scanner, der bis zu 4 Mal täglich nach bekannten Sicherheitslücken in Ihren Plugins und Themes sucht. Es ist eine gute Wahl, wenn Ihr größtes Anliegen darin besteht, dass viele Mitarbeiter und Freiwillige sich anmelden.

WP Activity Log

WP Activity Log speichert eine sehr detaillierte Aufzeichnung jeder Änderung auf Ihrer Website, einschließlich Anmeldungen, fehlgeschlagener Anmeldungen, Seitenbearbeitungen, Plugin-Änderungen und Benutzerrollenänderungen.

Sucuri speichert bereits ein Audit-Protokoll, sodass die meisten kleinen Teams dies nicht benötigen. Es ist hilfreich für größere Teams, bei denen Sie genau wissen müssen, wer was und wann geändert hat.

Cloudflare

Cloudflare ist kein Plugin, das Sie über das Dashboard installieren. Es sitzt vor Ihrer gesamten Website, ähnlich wie die Sucuri Firewall. Sein kostenloser Plan beinhaltet ein CDN und eine Einstellung namens Bot Fight Mode, die viele Bots blockiert, bevor sie Sie erreichen.

Die Einrichtung erfordert eine Änderung der Einstellungen bei dem Unternehmen, bei dem Sie Ihren Domainnamen gekauft haben. Bitten Sie Ihren Host um Hilfe, wenn das beängstigend klingt. Wenn Sie bereits für die Sucuri Firewall bezahlen, benötigen Sie Cloudflare nicht zusätzlich.

ActiveLayer

ActiveLayer fängt Spam in Ihren Kontaktformularen, Kommentaren und Anmeldeformularen ohne CAPTCHA ab. Es prüft jedes Formular im Hintergrund, sodass Ihre Besucher niemals beweisen müssen, dass sie menschlich sind.

Es funktioniert mit Formular-Plugins wie WPForms, Contact Form 7 und Gravity Forms sowie mit WordPress-Kommentaren. Es stammt von Syed Balkhi, dem Gründer von WPBeginner und Mitbegründer von WPForms, sodass es von einem Team mit einer langen Erfolgsbilanz in WordPress entwickelt wurde.

Das Plugin ist kostenlos, und ein kostenloses Konto gibt Ihnen 200 Spam-Prüfungen zum Ausprobieren. Bezahlte Pläne begannen bei 48 US-Dollar pro Jahr, als ich im September 2026 nachsah. Für Ihre Spendenformulare verwenden Sie das integrierte CAPTCHA und DonationGuard von Charitable, die ich im nächsten Abschnitt behandle.

WPCode

Tutorials bitten Sie oft, Code in die functions.php-Datei Ihres Themes einzufügen. Ein einziger Tippfehler kann Ihre Website lahmlegen, daher verwende ich stattdessen WPCode für benutzerdefinierten Code. Es ist kostenlos und hat über 3 Millionen aktive Installationen.

WPCode speichert jeden Codeausschnitt an einem Ort und prüft Ihren Code auf häufige Fehler, bevor Sie ihn speichern. Wenn ein Codeausschnitt ein Problem verursacht, können Sie ihn deaktivieren, ohne Ihr Theme zu berühren.

Wir verwenden es auch für Charitable. Unser Leitfaden zum Anpassen von Spendenformularen mit WPCode zeigt, wie es funktioniert.

WP Mail SMTP

WordPress sendet E-Mails standardmäßig direkt von Ihrem Webserver. Viele dieser E-Mails landen im Spam oder kommen gar nicht an.

WP Mail SMTP sendet die E-Mails Ihrer Website über einen echten E-Mail-Dienst wie Gmail, Outlook oder SendGrid, sodass Sie wichtige E-Mails von Ihrer Website nie verpassen. Dazu gehören die Sicherheitswarnungen von Sucuri, E-Mails zum Zurücksetzen des Passworts und Ihre Spendenquittungen.

Die kostenlose Version hat über 4 Millionen aktive Installationen, und ein Einrichtungsassistent führt Sie durch die Verbindung Ihres E-Mail-Dienstes.

WPConsent

Wenn Ihre Website Google Analytics, einen Facebook-Pixel oder andere Tracking-Tools verwendet, verlangen Datenschutzgesetze wie die DSGVO möglicherweise, dass Sie die Zustimmung eines Besuchers einholen, bevor diese Tools ausgeführt werden. Das vorherige Fragen zeigt den Spendern auch, dass Sie ihre Privatsphäre respektieren.

WPConsent fügt Ihrer Website ein Cookie-Zustimmungsbanner hinzu und scannt Ihre Seiten, um die verwendeten Cookies zu finden. Es blockiert auch Tracking-Skripte, bis der Besucher zustimmt, und es kann eine Cookie-Richtlinienseite für Sie erstellen.

Das kostenlose Plugin hat über 200.000 aktive Installationen. Die Regeln unterscheiden sich von Land zu Land. Wenn Sie sich also nicht sicher sind, was für Ihre Spender gilt, kann ein lokaler Berater Sie durch die Erwartungen Ihres Landes führen.

Duplicator

Ich habe Duplicator in Schritt 5 erwähnt, und es gehört auch auf diese Liste. Sicherheit-Plugins versuchen, Probleme zu verhindern. Ein Backup-Plugin ist die Methode, mit der Sie sich erholen, wenn doch einmal etwas durchrutscht.

Mit der kostenlosen Version können Sie vollständige Backups erstellen und sie mit einem Klick wiederherstellen und auf Ihrem Server oder in der Duplicator Cloud speichern. Die kostenpflichtige Version fügt geplante Backups und mehr Speicheroptionen wie Google Drive und Dropbox hinzu.

Wie Charitable helfen kann, Ihre Spenden sicher zu halten

Wenn Sie Spenden auf Ihrer WordPress-Website mit Charitable annehmen, haben Sie bereits mehrere Sicherheitstools integriert. Sie benötigen kein separates Plugin, um Ihre Spendenformulare zu schützen, und Ihre Spender bleiben die ganze Zeit auf Ihrer eigenen Website.

Alle diese Einstellungen befinden sich an einem Ort. Um sie zu finden, gehen Sie zu Spenden » Einstellungen » Sicherheit.

🆓 Ein integriertes CAPTCHA im kostenlosen Plugin

Das kostenlose Plugin Charitable enthält ein CAPTCHA für Ihre Spendenformulare, Registrierungsseiten und Formulare zur Kampagnenerstellung. Sie können aus 4 Anbietern wählen.

• Cloudflare Turnstile. Es ist kostenlos, unsichtbar und benötigt kein Google-Konto. Das Charitable Pro-Plugin kennzeichnet es als empfohlen.
• Google reCAPTCHA v3. Es bewertet jeden Besucher im Hintergrund und verbirgt sich vor den meisten Spendern.
• Google reCAPTCHA v2. Das kostenlose Plugin verwendet die unsichtbare Version, die nur verdächtig aussehende Besucher herausfordert. Das Charitable Pro-Plugin bietet auch die bekannte Checkbox.
• hCaptcha. Es ist eine datenschutzorientierte Option, die ebenfalls kein Google-Konto benötigt.

Um es zu aktivieren, wählen Sie einen Anbieter aus dem Dropdown-Menü Captcha-Anbieter, fügen Sie die Schlüssel dieses Anbieters hinzu und klicken Sie auf Änderungen speichern. Wenn Sie Captcha für eingeloggte Benutzer erforderlich auf Nein lassen, wird Ihr eigenes Team nicht ausgebremst.

Unser Team hat in Sichern Sie Ihre Spendenformulare mit neuer integrierter Sicherheit mehr darüber geschrieben, warum wir dies hinzugefügt haben.

DonationGuard wacht vor Bot-Angriffen

Ein CAPTCHA prüft jeweils einen Besucher. DonationGuard betrachtet alle Ihre Spenden zusammen. Es lernt, wie normale Spendenaktivitäten auf Ihrer Website aussehen, und kennzeichnet dann koordinierte Angriffe wie Kartentests, sobald sie beginnen.

Dies geschieht durch die Beobachtung mehrerer Signale gleichzeitig.

• Es bemerkt, wenn viele Zahlungen gleichzeitig fehlschlagen.
• Es erkennt Formulare, die von vielen verschiedenen Orten gleichzeitig gesendet werden.
• Es fängt Formulare ab, die viel schneller ausgefüllt werden, als eine Person tippen könnte.
• Es fügt 2 unsichtbare Fallen hinzu, die einfache Bots abfangen, bevor sie Ihr Zahlungs-Gateway erreichen.

Sie finden es unter Spenden » Einstellungen » Sicherheit » DonationGuard. Ein Klick auf Empfohlene Einstellungen anwenden gibt Ihnen einen sicheren Ausgangspunkt, und Sie können wählen, ob DonationGuard Angriffe blockiert oder sie nur zur Überprüfung aufzeichnet.

DonationGuard ist Teil des Charitable Pro-Plugins, Version 1.8.16 und höher, und ist vorerst auf dem Einstellungsbildschirm als Beta gekennzeichnet. Wenn etwas Ernstes passiert, erhalten Sie eine E-Mail mit einem Link direkt zum Angriffsdatensatz. Lesen Sie die vollständige Geschichte in Einführung von DonationGuard oder folgen Sie dem Einrichtungsleitfaden für DonationGuard.

Mehr Schutz in den kostenpflichtigen Plänen

Der gleiche Sicherheitsbildschirm hat im Charitable Pro-Plugin noch ein paar weitere Tabs. Sie können sie verwenden, um zusätzlichen Schutz hinzuzufügen, wenn Bots weiterhin Ihre Formulare angreifen.

• Ratenbegrenzung. Sie begrenzt, wie oft ein Besucher ein Formular in einem kurzen Zeitraum absenden kann.
• IP-Verwaltung. Sie können Adressen blockieren, die weiterhin angreifen, oder solche, denen Sie vertrauen, immer zulassen.
• Formulare & Kampagnen. Es aktiviert ein Honeypot, ein verstecktes Feld, das nur Bots ausfüllen, und eine Zeitfalle, die Formulare ablehnt, die schneller gesendet werden, als eine Person tippen könnte.
• E-Mail-Validierung. Es hilft, gefälschte E-Mail-Adressen zu erkennen, bevor eine Spende abgeschlossen wird.

Aufräumen nach einem Spam-Angriff

Wenn Bots Ihre Datensätze bereits mit gefälschten Spenden gefüllt haben, gibt es in Charitable ein Werkzeug, um diese zu bereinigen. Gehen Sie zu Charitable » Tools und öffnen Sie den Tab Misc. Wählen Sie unter Bulk Remove Donations ausstehende oder fehlgeschlagene Spenden aus und wählen Sie einen Datumsbereich, wenn Sie nur das Angriffsfenster bereinigen möchten.

Erstellen Sie ein Backup, bevor Sie es ausführen, da entfernte Spenden nicht wiederhergestellt werden können. Unser Leitfaden zur Behandlung von Spenden-Spam und Karten-Test-Angriffen führt Sie durch die gesamte Bereinigung.

Sicherer Zugriff für Ihr Team

Erinnern Sie sich an den Rat in Schritt 4, Personen nur den Zugang zu gewähren, den sie benötigen? Die Rolle Campaign Manager von Charitable wurde dafür entwickelt. Ihre Fundraising-Mitarbeiter können Kampagnen und Spenden sehen und Berichte exportieren, ohne Ihre Plugin-Einstellungen ändern zu können.

Spender können auch ihren eigenen sicheren Bereich haben. Das Spender-Dashboard, im Basic-Plan und höher, gibt jedem Spender einen privaten Login, wo er seinen Verlauf einsehen und Quittungen herunterladen kann, sodass Ihr Team keine persönlichen Aufzeichnungen hin und her mailen muss.

Informationen zu Datenschutzeinstellungen, wie z. B. wie lange Spenderdaten gespeichert werden, finden Sie im Leitfaden zum Datenschutz für Charitable-Benutzer.

Erste Schritte mit Charitable sind einfach

Wenn Sie Charitable noch nicht verwenden, können Sie an einem Nachmittag ein sicheres Spendenformular eingerichtet haben.

1. Installieren Sie Charitable unter Plugins » Plugin hinzufügen. Der Installationsleitfaden zeigt jeden Klick.
2. Verbinden Sie Stripe, PayPal oder Square. Stripe verbindet sich mit 1 Klick.
3. Erstellen Sie dann Ihre erste Kampagne mit dem visuellen Kampagnen-Builder.
4. Aktivieren Sie ein CAPTCHA unter Charitable » Einstellungen » Sicherheit.
5. Veröffentlichen Sie Ihre Kampagne und teilen Sie sie mit Ihren Unterstützern.

Sie können mit Charitable Lite kostenlos beginnen, mit unbegrenzten Kampagnen und Spenden. Wenn Sie DonationGuard, wiederkehrende Spenden und mehr wünschen, beginnen die kostenpflichtigen Pläne bei 69 US-Dollar pro Jahr und beinhalten eine 14-tägige Geld-zurück-Garantie.

Sie können vergleichen, was jede Version auf der Lite vs. Pro-Seite beinhaltet.

Jetzt Charitable erhalten »

Was tun, wenn Ihre Website gehackt wird

Die Erkenntnis, dass Ihre Website gehackt wurde, ist stressig. Das Wichtigste ist, ruhig zu bleiben und die Schritte der Reihe nach durchzugehen.

Anzeichen, dass Ihre Website gehackt sein könnte

Hacks sind nicht immer offensichtlich. Achten Sie auf diese Anzeichen.

• Besucher sagen, dass Ihre Website sie zu einer anderen Website weiterleitet.
• Google zeigt eine Warnung neben Ihrer Website in den Suchergebnissen an.
• Sie finden neue Admin-Benutzer, die Sie nicht erstellt haben.
• Sucuri benachrichtigt Sie per E-Mail über geänderte Dateien oder ein neues Plugin, das Sie nicht installiert haben.

Verwenden Sie die Sucuri Post-Hack-Aktionen

Sucuri hat eine ganze Seite für diesen Moment. Gehen Sie zu Sucuri Security » Post-Hack Actions.

Arbeiten Sie die Werkzeuge auf dieser Seite von oben nach unten durch.

1. Geheime Schlüssel aktualisieren. Dies meldet alle gleichzeitig ab, einschließlich des Angreifers. Sie müssen sich danach wieder anmelden.
2. Benutzerpasswort zurücksetzen. Dies sendet neue Passwörter an die von Ihnen ausgewählten Benutzer, sodass abgelaufene Passwörter nicht mehr funktionieren.
3. Installierte Plugins zurücksetzen. Dies ersetzt kostenlose Plugins durch frische Kopien von WordPress.org, falls der Angreifer deren Code geändert hat.
4. Verfügbare Plugin- und Theme-Updates. Dies zeigt alles an, was veraltet ist, was oft der Grund ist, wie der Angreifer eingedrungen ist.

Stellen Sie ein sauberes Backup wieder her oder holen Sie sich Expertenhilfe

Wenn Sie ein Backup von vor dem Hack haben, ist die Wiederherstellung oft die schnellste Lösung. Denken Sie daran, alles zu aktualisieren und danach sofort Passwörter zu ändern, sonst kann der Angreifer auf demselben Weg zurückkehren. Meine Schritte zur Wiederherstellung von Backups führen Sie durch den Prozess.

Wenn Sie kein sauberes Backup haben oder der Hack immer wieder auftritt, holen Sie sich professionelle Hilfe. Sucuris kostenpflichtige Plattform beinhaltet unbegrenzte Malware-Entfernung, und das Support-Team Ihres Webhosters kann Ihnen ebenfalls helfen.

Teilen Sie es schließlich den Personen mit, die es wissen müssen. Wenn Spenderinformationen möglicherweise eingesehen wurden, kann ein lokaler Berater Sie durch die Meldepflichten Ihres Landes führen.

Schnellstart: Ihre Checkliste für die Sicherheit von Non-Profit-Websites

Fühlen Sie sich etwas überfordert? Sie müssen nicht alles heute erledigen. Beginnen Sie diese Woche mit diesen 3 Schritten und erledigen Sie den Rest im nächsten Monat.

1. Installieren Sie Sucuri Security und wenden Sie die 4 Härtungsoptionen aus Schritt 1 an.
2. Aktivieren Sie die 2FA für jeden Administrator.
3. Erstellen Sie ein vollständiges Backup mit Duplicator, laden Sie eine Kopie herunter und testen Sie die Wiederherstellung.

Danach legen Sie einen wöchentlichen Update-Tag fest, bereinigen Sie Ihre Benutzerliste und aktivieren Sie ein CAPTCHA für Ihre Spendenformulare. Jede dieser Aufgaben dauert weniger als 30 Minuten.

Wenn Sie Ihre Website noch erstellen, zeigt Ihnen mein Leitfaden zur Erstellung einer gemeinnützigen Website, wie Sie sie von Anfang an mit diesen Gewohnheiten einrichten.

FAQs zur Sicherheit von Non-Profit-Websites

Ist Sucuri Security kostenlos?

Ja, das Sucuri Security Plugin ist kostenlos auf WordPress.org und beinhaltet Malware-Scans, Audit-Protokolle, Härtung, 2FA und Tools nach dem Hack. Die Firewall und der Malware-Entfernungsservice sind kostenpflichtige Extras.

Kann ich Sucuri und Wordfence zusammen verwenden?

Ich empfehle nicht, 2 Firewalls gleichzeitig zu betreiben, da sie sich gegenseitig stören und Ihre Website verlangsamen können. Wählen Sie 1 Hauptsicherheits-Plugin und bleiben Sie dabei.

Wie oft sollte eine gemeinnützige Organisation ihre Website sichern?

Wenn Sie täglich Spenden erhalten, sichern Sie täglich. Für eine ruhigere Website reicht wöchentlich normalerweise aus, plus ein zusätzliches Backup vor jedem größeren Update. Mein Leitfaden zur Sicherung von gemeinnützigen Websites, der in Schritt 5 verlinkt ist, zeigt Ihnen, wie Sie diese planen.

Werden kleine gemeinnützige Organisationen wirklich gehackt?

Ja. Die meisten Angriffe werden von Bots durchgeführt, die jede gefundene Website scannen, sodass die Größe Sie nicht schützt. Kleine Websites sind oft leichtere Ziele, weil niemand sie beobachtet.

Wie verhindere ich gefälschte Spenden auf meiner Website?

Fügen Sie zuerst ein CAPTCHA zu Ihren Spendenformularen hinzu. Wenn Sie Charitable verwenden, ist das CAPTCHA im kostenlosen Plugin integriert, und DonationGuard im Charitable Pro Plugin fügt eine Echtzeit-Erkennung von Kartenprüfungsangriffen hinzu.

Hält mein Webhost meine Website sicher?

Ein guter Hoster schützt seine Server, aber er kann Ihre Passwörter, Plugins oder Benutzer nicht kontrollieren. Die Sicherheit der Website wird zwischen Ihnen und Ihrem Hoster geteilt.

Was soll ich zuerst tun, wenn meine Website gehackt wurde?

Ändern Sie Ihre Passwörter und verwenden Sie das Tool Update Secret Keys von Sucuri, um alle abzumelden. Stellen Sie dann ein sauberes Backup wieder her oder fordern Sie eine professionelle Malware-Entfernung an.

Bleiben Sie verbunden für weitere Ressourcen für gemeinnützige Organisationen

Für weitere Tutorials und Videos, die auf gemeinnützige Organisationen zugeschnitten sind, abonnieren Sie unseren YouTube-Kanal. Wir veröffentlichen regelmäßig Expertentipps, Schritt-für-Schritt-Anleitungen zu Online-Spenden, Fundraising-Strategien und praktische Ressourcen, die Ihrer Organisation zum Erfolg verhelfen.

🗞️ Erhalten Sie wöchentliche Tipps und exklusive Anleitungen in Ihrem Posteingang
Melden Sie sich für unseren Newsletter an →  

🎥 Sehen Sie sich Schritt-für-Schritt-Tutorials und Erfolgsgeschichten an
Abonnieren Sie unseren YouTube-Kanal →  

👩🏽‍💻 Vernetzen Sie sich mit unserer Community und erhalten Sie tägliche Einblicke in gemeinnützige Organisationen
Folgen Sie uns auf LinkedIn →

🥳 Lustige Reels und Einblicke in gemeinnützige Organisationen
Folgen Sie uns auf Instagram → 

👀 Aufschlussreiche & unterhaltsame Videos, die Ihnen helfen, Ihre Sache voranzubringen
Folgen Sie uns auf TikTok→  

🌎 Abonnieren und folgen Sie uns für allgemeine Fundraising-Tipps
Holen Sie sich Fundraising-Tipps auf TikTok → 

Leistungsstarke Fundraising-Ressourcen

🤖 Nutzen Sie Charitable mit Ihrem KI-Assistenten

Erfahren Sie mehr über Charitable + KI →

⬇️ Laden Sie bewährte Strategien, Kampagnenideen und Experten-Tools herunter
Holen Sie sich das Fundraising-Kit →  

💸 Holen Sie sich kostenlose Fundraising-Ressourcen
Besuchen Sie den Charitable Fundraising Hub →

🤔 Haben Sie Fragen zu Charitable?
Charitable FAQs →

🏎️ Probieren Sie Charitable aus
Erstellen Sie Ihre Charitable Demo →

Verstehen Sie Begriffe und Jargon von gemeinnützigen Organisationen
Glossar für gemeinnützige Organisationen→

% Suchen Sie nach Angeboten und Rabatten für gemeinnützige Organisationen?
Beste Angebote und Rabatte für gemeinnützige Organisationen →