Zum Hauptinhalt springen
How Can We Help?
< All Topics

Viele Kompromittierungen bleiben wochenlang unbemerkt, weil die Site „normal aussieht“. Monitoring sorgt dafür, dass Ausfälle, Angriffe und Manipulationen schnell auffallen.

Uptime und Verfügbarkeit

  • Externe Checks im Minutentakt (UptimeRobot, Better Stack, Hetrix, Oh Dear u. a.).
  • Nicht nur HTTP 200 prüfen, sondern ein Keyword auf der Seite. Eine gehackte Seite liefert auch 200.
  • Kritische Flows separat prüfen: Login-Seite, Checkout, Formular-Endpunkt.
  • TLS-Zertifikat und Domain-Ablauf überwachen.

Sicherheitsrelevante Ereignisse

Ein Activity-Log (z. B. WP Activity Log, Simple History, Stream) protokolliert:

  • Logins (erfolgreich und fehlgeschlagen), insbesondere von Admins und neuen IPs
  • Neue Benutzer und Rollenänderungen
  • Plugin-/Theme-Installationen, -Aktivierungen und -Updates
  • Änderungen kritischer Optionen (siteurl, home, admin_email, default_role, users_can_register)

Alarme per Mail/Slack für die wirklich kritischen Ereignisse einrichten, sonst gehen sie im Rauschen unter. Logs möglichst extern speichern, weil Angreifer lokale Logs löschen.

Integritätsprüfung

wp core verify-checksums
wp plugin verify-checksums --all

Täglich per Cron ausführen und bei Abweichungen alarmieren. Für Themes, Premium-Plugins und eigenen Code ist ein Abgleich mit Git (git status auf dem Server) oder ein File-Change-Monitoring (Wordfence-Scanner, Tripwire/AIDE auf Server-Ebene) nötig.

Besonders verdächtig: neue PHP-Dateien in uploads/, Änderungen an wp-config.php, .htaccess, index.php und neue Dateien in mu-plugins/.

Server- und PHP-Logs

  • Error-Log regelmässig auswerten: Fatale Fehler nach Updates, aber auch ungewöhnliche Warnungen aus unbekannten Dateien.
  • Access-Log: Häufungen von POST-Requests auf ungewöhnliche Pfade, viele 404 auf Plugin-Verzeichnisse (Scans), Requests auf .php-Dateien in Uploads.
  • Zentrale Auswertung bei vielen Sites: Loki/Grafana, Graylog, ELK oder ein Logdienst des Hosters.

Extern sichtbare Signale

  • Google Search Console: Meldungen zu Sicherheitsproblemen und plötzlich neue, fremde URLs im Index (SEO-Spam).
  • Blacklist-Checks (Google Safe Browsing, Spamhaus für die Mail-Domain).
  • Schwachstellen-Monitoring der eingesetzten Plugins (siehe Bedrohungslandschaft).

Performance-Monitoring

Real User Monitoring (Core Web Vitals aus CrUX oder eigenem RUM) und Server-Metriken (CPU, RAM, PHP-FPM-Auslastung, Slow-Query-Log). Plötzliche Lastspitzen können auch auf Missbrauch hinweisen, etwa durch Krypto-Mining oder Spamversand.

Weiterführende Artikel

Quellen und Dokumentation

Schlagwörter: