Was sind notwendige Sicherheitsmaßnahmen?

[Edit Jörg: die folgenden Beiträge wurden aus diesem Thread abgetrennt]

Vielen Dank Jörg für deine Antwort und Erklärung!

Was sind denn deiner Meinung nach notwendige Sicherheitsmaßnahmen?

Vielen Dank für deine Erklärungen!

Statisch bedeutet, dass die Website keine interaktiven Elemente enhält, also z.B. auch kein Kontaktformular?

Bindet die Website externe Dateien ein (Bilder, CSS- oder JavaScript-Dateien, HTML-Dateinen in einem Iframe etc.)?

Gibt es private Bereiche mit einem Zugangsschutz?

Wird die Website verschlüsselt übertragen?

Was hältst du von den sogenannten securityheaders?

Das sind HTTP-Header mit sehr unterschiedlichen Anwendungsfällen. Ob einer oder mehrere davon sinnvoll sein können, hängt auch wieder vom Einzelfall ab.

Eine rein statische, nicht-interaktive Webseite, die keine externen Elemente (nach)lädt, bietet keine wirklichen Angriffsflächen, die abgesichert werden müssten, zumindest was das HTML und CSS anbelangt.

Bei JavaScript muss man noch etwas achtgeben. Damit könnten theoretisch auch externe Scripte nachgeladen werden und bei Verwendung von JavaScript-Biliotheken wie jquery sollte auf Aktualität geachtet werden. Ich gehe mal davon aus, dass "ein ganz kleines bisschen js" nicht irgendwelche Ajax-Requests absetzt oder ähnliches?

Und natürlich solltest du den Zugang zum Webhosting-Account, SFTP etc. gut absichern mit starken Passwörtern, ggf. 2FA.

Ein Extra-Thema ist die Privatsphäre / Datenschutz der Besucher. Dafür setzt du ja bereits HTTPS ein. Mit den HTTP-Headern Strict-Transport-Security und Referrer-Policy könntest du da ggf. auch noch nachlegen, wenn das vom Inhalt der Website wichtig erscheint (z.B. bei Gesundheitsthemen sicher wichtiger als bei Katzenfotos)

Das Thema WordPress-Sicherheit ist sehr umfangreich, deswegen hier nur zwei grundsätzliche Anmerkungen.

1. mit jedem zusätzlichen Plugin wird die Angriffsfläche erhöht. Weniger ist da oft mehr (Sicherheit).

Natürlich stets die Updates für WordPress, Plugins und das Theme durchführen.

Und das möglichst zeitnah. Automatische Updates gibt es ja inzwischen auch für einige Plugins.

Plugins, die keine Updates mehr erhalten, würde ich kurz- bis mittelfristig entfernen oder austauschen. Bei einer größeren Anzahl von Plugins, insbesondere auf Multisites, kann der regelmäßige Einsatz von Plugin-Report einen guten Überblick verschaffen. Ich würde allerdings schon bei der Auswahl neuer Plugins darauf achten, dass die Kenndaten positiv sind. "Keine Daten verfügbar" kann u.U. problematischer sein als die rot gefärbten Werte.

2. auf das Worst-Case-Szenario vorbereitet sein: d.h. ein regelmäßiges Backup von Verzeichnis und Datenbank für den Fall, dass die Website trotz aller Vorsichtsmaßnahmen nach einem Hack neu aufgesetzt werden muss. Wobei ich ältere Backups nicht sofort entsorgen würde, jüngere könnten ja auch bereits "kontaminiert" sein.

Ansonsten finden sich mit den Suchbegriffen "WordPress härten" zahlreiche Tipps, wie die eigene WordPress-Installation weitergehender abgesichert werden kann. Einige mögliche hast du ja auch schon genannt. Wobei das Abschalten der Emojis eher aus Performance-Gründen gemacht wird :)