WordPress-Sicherheits-Dashboard für Agenturen: Verwaltung der Sicherheit auf allen Kunden-Websites

Warum ein Sicherheits-Dashboard für die Arbeitsabläufe in Behörden unverzichtbar ist

Sobald eine Agentur mehr als nur eine kleine Anzahl von Websites verwaltet, ist die Sicherheitsüberwachung von WordPress nicht mehr auf einzelne Aufgaben beschränkt, sondern erfordert eine koordinierte Vorgehensweise. Die Frage ist nicht mehr, ob Ihr Team weiß, wie man PHP-Versionen aktualisiert oder Schwachstellenberichte überprüft. Es geht vielmehr darum, ob diese Überprüfungen konsistent auf allen Websites durchgeführt werden, insbesondere auf denjenigen, die erst kürzlich hinzugefügt wurden oder seltener gepflegt werden.

In der Praxis konzentriert sich die Aufmerksamkeit auf aktive Projekte. Websites, die sich in der Entwicklung befinden, werden genau unter die Lupe genommen, während stabile Websites in den Hintergrund geraten. Im Laufe der Zeit führt dies – selbst bei bester Absicht – zu einer ungleichmäßigen Abdeckung. Die Verantwortung ist zwar vorhanden, die Sichtbarkeit jedoch nicht.

Aufgrund der schieren Menge ist diese Durchsicht sehr aufwendig. Patchstack hatim Jahr 2025 11.334 neue WordPress-Sicherheitslücken dokumentiert, was einem Anstieg von 42 % gegenüber 2024 entspricht. Niemand liest diesen Strom an Informationen Website für Website durch.

Das Sicherheits-Dashboard behebt genau dieses Problem. Damit können Sie jederzeit überprüfen, ob Ihre Sicherheitsstandards im gesamten Portfolio eingehalten werden – nicht nur auf den derzeit im Fokus stehenden Websites.

Lesen Sie auch:Über 30 bewährte Verfahren für die WordPress-Sicherheit im Jahr 2026

Was das Sicherheits-Dashboard anzeigt

Das Dashboard ist in zwei Ebenen unterteilt. Die Sichtbarkeitsebene ist in jedem WP Umbrella enthalten: Erkennung von Sicherheitslücken, Überwachung der PHP-Version und Warnmeldungenzum Systemzustand. Die Schutzeebene bildet das Sicherheits-Add-on: Firewall, Absicherung und das Protokoll der Sicherheitsaktivitäten.

Auf Flottenebene fasst die Übersichtsansicht vier Signale über alle Standorte hinweg zusammen. Auf Standortebene gliedert die Registerkarte „Sicherheit“ diese Übersicht in die Bereiche „Standortzustand“, „Sicherheitslücken“, „Firewall“, „Absicherung“ und „Aktivitätsprotokoll“ auf, wobei die Malware-Prüfung als „in Vorbereitung“ gekennzeichnet ist.

1. Bekannte Schwachstellen

Bekannte Schwachstellen sind öffentlich dokumentierte Sicherheitsprobleme, die WordPress-Plugins, Themes oder den WordPress-Kern betreffen. Jede Schwachstelle wird nach Schweregrad klassifiziert, der angibt, wie leicht sie ausgenutzt werden kann und welche potenziellen Auswirkungen eine Ausnutzung hätte. So können Agenturen zwischen Problemen unterscheiden, die sofortige Aufmerksamkeit erfordern, und solchen, die zeitlich geplant werden können.

Das Dashboard fasst diese Schwachstellen aller Standorte zusammen, sodass die Gefährdung auf Portfolioebene und nicht für jeden Standort einzeln bewertet werden kann.

Die Erkennung ist fester Bestandteil jedes Plans und kein zusätzliches Extra. Die Websites werdenalle 6 Stunden mit der Patchstack-Datenbank abgeglichen. Bekannte Probleme werden nach Plugins und Themes gruppiert und nach Schweregrad geordnet. Sobald ein Update ein Problem behebt, ist die Korrektur mit nur einem Klick verfügbar.

Ein Zähler mit Rückmeldung und eine bedarfsgesteuerte Neuabfrage sorgen dafür, dass die Liste aktuell bleibt. Warnungen, die Sie bewusst akzeptiert haben – wie beispielsweise eine vom Host festgelegte PHP-Version –, können Sie ignorieren, sodass das Panel eine echte To-Do-Liste bleibt.

2. PHP-Versionen

Im Abschnitt „PHP-Versionen“ wird angezeigt, welche Websites diederzeit von WordPress empfohlene PHP-Version verwenden und wie viele Websites dieser Empfehlung nicht entsprechen.

Diese Ansicht ist besonders relevant in Umgebungen, in denen Hosting-Konfigurationen variieren oder PHP-Upgrades uneinheitlich gehandhabt werden. Anstatt sich auf regelmäßige Audits zu verlassen, können Agenturen sofort erkennen, ob die PHP-Versionen auf allen ihren Websites einheitlich sind.

3. Zusatzdeckung für Sicherheitsmaßnahmen

Das Sicherheits-Add-on ist die Schutzebene WP Umbrella, und die Abdeckungsansicht zeigt genau, wo es im Einsatz ist: Wie viele Websites haben es aktiviert und wie viele sind noch ungeschützt, sodass Lücken in der Abdeckung auf einen Blick erkennbar sind.

Das Add-on besteht aus drei Komponenten: einer Firewall mit Virtual Patching auf Basis vonPatchstack, Schaltflächen zur Sicherheitshärtung und einem sicherheitsorientierten Aktivitätsprotokoll. Virtual Patching verhindert die Ausnutzung bekannter Schwachstellen auf Anwendungsebene, noch bevor Sie die Möglichkeit hatten, ein Update durchzuführen. Falls Ihnen dieser Mechanismus noch unbekannt ist, lesen Sie zunächst nach,was Virtual Patching ist und wie es funktioniert.

Auf der Firewall-Seite gibt es eine Übersicht mit Einblicken: abgewehrte Angriffe, die IP-Adressen mit den meisten Verstößen, die am häufigsten ausgelösten Regeln. Das liefert Ihnen Belege für Kundengespräche und ist nicht nur ein Schalter, der anzeigt, dass der Schutz aktiv ist.

Mittlerweile nutzen mehr als 10.000 Websites das Sicherheits-Add-on. Die Aktivierung lässt sich an die Arbeitsweise der Behörden anpassen: entweder gesammelt über das Haupt-Dashboard oder die Sicherheits-Sammelansicht oder Website für Website über die Registerkarte „Sicherheit“.

Für das Add-on ist ein kostenpflichtiger WP Umbrella erforderlich; die Kosten betragen2 EUR oder 2 USD pro Website und Monat. Wie sich dieser Preis auf die Margen der Care-Tarife auswirkt, erfahren Sieim Preisleitfaden zum Sicherheits-Add-on. Ausführliche Informationen dazu, wie Exploits bereits vor der Veröffentlichung von Updates abgewehrt werden können,finden Sie im Abschnitt zum Sicherheits-Add-on.

Falls Sie diese Ebene unter dem Namen „Site Protect“ kannten: Es handelt sich um dasselbe Add-on, das im Juli 2026 umbenannt wurde und bei dem die ursprüngliche Firewall um Sicherheitsverstärkungsmaßnahmen sowie ein Aktivitätsprotokoll erweitert wurde. Einzelheiten finden Sie in den unten stehenden FAQ.

4. Globale Schutzbewertung

Der globale Schutzwert gibt an, wie stark Ihre Websites bekannten Sicherheitsrisiken ausgesetzt sind. Er gibt keinen Hinweis darauf, ob eine Website gehackt wurde.

Die Bewertung basiert in erster Linie auf dem Vorhandensein und dem Schweregrad bekannter Schwachstellen. Außerdem werden die PHP- und WordPress-Versionen, Probleme bei der Website-Konfiguration sowie die Frage berücksichtigt, ob das virtuelle Patching des Sicherheits-Add-ons aktiviert ist. Ziel ist es, einen allgemeinen Überblick über das Gesamtrisiko zu geben und Behörden dabei zu unterstützen, zu verfolgen, ob sich ihre Sicherheitslage im Laufe der Zeit verbessert oder verschlechtert.

Das Sicherheitsprotokoll: ein standortübergreifender Prüfpfad

Das sicherheitsorientierte Aktivitätsprotokoll ist die Zusatzkomponente, die aufzeichnet, was auf Ihren Websites tatsächlich geschieht. Es erkennt Angriffsversuche auf der Website:Brute-Force- und Credential-Stuffing-Anmeldeversuche, das massenhafte Löschen von Inhalten, die Ausweitung von Berechtigungen, Anmeldungen von ungewöhnlichen Standorten, Änderungen an der Dateiintegrität sowie Änderungen an kritischen Einstellungen.

Jede Erkennung liefert entsprechende Belege: die betroffenen Konten, die IP-Adressen und eine Zeitleiste mit den Ereignissen und deren Zeitpunkt. Wenn ein Kunde fragt, was am Dienstag auf seiner Website passiert ist, antworten Sie mit datierten Fakten statt mit einer rekonstruierten Darstellung.

Verwechseln Sie es nicht mit WP Umbrellaenthaltenen Aktivitätsprotokoll. Dieses protokolliert, was innerhalb der Plattform selbst geschieht: wer welches Plugin aktualisiert hat, wann ein Backup durchgeführt wurde. Das sicherheitsorientierte Protokoll überwacht die WordPress-Seiten selbst. Das eine ist das Prozessprotokoll Ihres Teams, das andere ist Ihr Angriffsprotokoll.

Über das gesamte Portfolio hinweg ergibt sich daraus ein Prüfpfad. Auf der Registerkarte „Sicherheit“ jeder Website befindet sich ein eigenes Protokoll, dessen Überprüfung in den unten beschriebenen wöchentlichen Rhythmus integriert ist. Für Agenturen, die ihren Kunden über Sicherheitsmaßnahmen berichten, ist dies das Ausgangsmaterial: echte Erkennungen mit Belegen auf der Website des Kunden.

Allgemeine Straffung der Haltung im gesamten Portfolio

Die Absicherung ist die zweite Komponente des Add-ons: Website-spezifische Schaltflächen, die häufige Angriffsflächen von WordPress auf Anwendungs- und .htaccess-Ebene schließen. Die erste Reihe dieser Schaltflächen wurde im Juli 2026 veröffentlicht, weitere werden folgen.

Bei der Portfolio-Frage geht es nicht darum, ob eine einzelne Website abgesichert ist, sondern darum, ob alle Websites auf die gleiche Weise abgesichert sind. Auf der Registerkarte „Sicherheit“ jeder Website gibt es eine Ansicht „Absicherung“, die wie eine Checkliste funktioniert: Was aktiviert und was deaktiviert ist, wird pro Website festgelegt und ist zum Zeitpunkt der Überprüfung einsehbar.

Diese Checkliste bildet den Mehrwert für den Betreiber. Wenn Sie einen neuen Kundenstandort einbinden, gehen Sie im Rahmen der Einrichtung die Schaltflächen durch, genauso wie Sie Backups und Überwachung konfigurieren. Bei bestehenden Kunden sollten Sie die Absicherung im Rahmen der planmäßigen Wartungsarbeiten überprüfen und nicht als Sonderprojekt behandeln.

Dies ist bewusst kein Tutorial zur Absicherung. Welche Einstellungen zu welcher Website passen, hängt von der jeweiligen Website ab: Ein WooCommerce-Shop und eine Prospekt-Website lassen unterschiedliche Einschränkungen zu. Das Dashboard bietet Ihnen die Möglichkeit, die Sicherheitslage einheitlich einzusehen und festzulegen, anstatt sich merken zu müssen, was Sie auf Website 47 getan haben.

Filterung und Massenaktionen im Sicherheits-Dashboard WP Umbrella

Unterhalb der globalen Übersicht wechselt das Dashboard von der Sichtbarkeit zum Handeln.

Filter für gezielte Überprüfung

Mithilfe von Filtern lässt sich die Liste der Websites nach dem Status des Sicherheits-Add-ons, der Schwachstellenpriorität oder den Signalen zur Website-Integrität eingrenzen. So wird aus einer portfolioweiten Überprüfung eine kurze, gezielte Liste: alle Websites ohne das Add-on, alle Websites mit einer kritischen Schwachstelle, alle Websites, bei denen die Website-Integrität Probleme anzeigt.

Verwenden Sie diese, wenn Sie auf eine bestimmte Risikoklasse reagieren, oder um Routineüberprüfungen so zu strukturieren, dass bei jedem Durchgang jeweils eine Frage zu beantworten ist.

Massenhafte Aktionen

Wählen Sie die gefilterten Standorte aus und führen Sie die gewünschten Aktionen für alle gleichzeitig durch. In der Sammelansicht können Sie das Sicherheits-Add-on aktivieren, Updates auslösen oder die Sicherheitsdaten für die gesamte Auswahl neu synchronisieren, ohne jeden Standort einzeln durchgehen zu müssen. Die Arbeit bleibt in Ihren Händen – die Routineaufgaben hingegen nicht.

Sind Sie bereit, die Sicherheit von einem zentralen Ort aus zu verwalten?Verschaffen Sie sich in einem einzigen Dashboard einen Überblick über die Schwachstellen, PHP-Versionen und den Schutzumfang aller Kundenstandorte und beheben Sie die erforderlichen Probleme in einem Schritt. Starten Sie Ihre kostenlose Testphase. Keine Kreditkarte erforderlich.

Wo dies in einem mehrschichtigen Sicherheitsstack angesiedelt ist

Die Sicherheit von WordPress ist mehrschichtig aufgebaut. An der Außengrenze filtert eine Firewall wiedie WAF von Cloudflareböswilligen Datenverkehr heraus, bevor er Ihre Websites erreicht. Auf der Serverebene kümmert sich Ihr Hosting-Anbieter um die Isolierung und die Absicherung des Servers. WP Umbrella auf der Anwendungsebene: virtuelles Patching, Absicherung und Erkennung direkt innerhalb von WordPress.

Das Add-on verhindert die Ausnutzung bekannter Sicherheitslücken. Es bereinigt keine bereits infizierte Website, und der Malware-Scan wird auf der Registerkarte „Sicherheit“ als „in Vorbereitung“ angezeigt. Halten Sie sich an Ihre Update-Routine und erstellen Sie regelmäßig Backups; diese Maßnahmen ergänzen sich gegenseitig.

Was es jedoch ersetzt, ist die Vielzahl an Sicherheits-Plugins mit Einzweckfunktion auf der Anwendungsebene. Wenn Sie diese Vielzahl abwägen möchten, sehen Sie sichden Vergleich der Sicherheits-Plugins an.

Wie das Sicherheits-Dashboard das tägliche Sicherheitsmanagement verändert

Das Dashboard ersetzt regelmäßige manuelle Prüfungen durch einen festen Rhythmus. Hier ist der Arbeitsrhythmus, den es unterstützt.

1. Die Woche im Plus beginnen

Öffnen Sie am Montagmorgen, bevor die Arbeit für die Kunden beginnt, die Übersicht über die Sicherheitslage. Sie sehen vier Zahlen: neue Schwachstellen nach Schweregrad, PHP-Konformität, Abdeckung der Add-ons und die Entwicklung des globalen Schutzwerts. Wenn alles im Lot ist, dauert die Überprüfung zwei Minuten, und Sie machen weiter.

Wenn sich etwas verändert hat, haben Sie es am Montag bemerkt – solange es sich noch um routinemäßige Wartungsarbeiten handelt und nicht um einen Vorfall, bei dem ein Kunde am Telefon ist. Dieser zeitliche Unterschied macht den größten Teil des Nutzens des Dashboards aus.

2. Überwachung der Patch-Compliance und der Zeit bis zur Behebung

Zwei Kennzahlen geben Aufschluss darüber, ob Ihr Sicherheitsbetrieb funktioniert: Wie viele bekannte Schwachstellen gibt es im gesamten Portfolio, und wie lange bleiben sie unbehoben? Das Dashboard liefert Ihnen beide Informationen. Die Schwachstellen werden nach Schweregrad aggregiert angezeigt, und der Zähler für behobene Schwachstellen zeigt den Fortschritt der Arbeiten an.

Die meisten Fehlerbehebungen erfolgen über Updates, die mit einem Klick aus der Liste der Sicherheitslücken aufgerufen werden können. Falls noch keine korrigierte Version vorliegt, werden die Websites, auf denen das Add-on läuft, in der Zwischenzeit durch virtuelles Patching abgesichert. Auch die Zeit bis zur Behebung ist eine Kennzahl, die es sich lohnt, den Kunden zu präsentieren: nicht, ob Probleme auftreten – denn das tun sie immer –, sondern wie schnell sie behoben werden.

3. Triage nach Schweregrad, nicht nach Erinnerung

Wenn die Überprüfung Website für Website erfolgt, erfolgt die Priorisierung auf Basis des Gedächtnisses: Zuletzt bearbeitete Websites erhalten Aufmerksamkeit, stabile Websites geraten in den Hintergrund. Das Dashboard macht die Prioritäten deutlich. Kritische Schwachstellen werden noch heute behoben, solche mit hohem Schweregrad in dieser Woche, und der Rest landet in der geplanten Wartung.

Filter sorgen für eine konkrete Priorisierung: Man ruft die Liste der Websites mit kritischen Sicherheitslücken ab, geht diese durch und erweitert dann den Umfang. Die Aufmerksamkeit richtet sich nach dem Risiko, nicht nach der Aktualität.

4. Sehen Sie sich das Aktivitätsprotokoll an, bevor Kunden danach fragen

Sehen Sie sich einmal pro Woche das Sicherheitsprotokoll an, um nach Ereignissen im gesamten Portfolio zu suchen: Anmeldeangriffe, Berechtigungserweiterungen, Dateiänderungen. In den meisten Wochen ist alles ruhig. In den Wochen, in denen dies nicht der Fall ist, haben Sie den Account, die IP-Adresse und den zeitlichen Ablauf parat, noch bevor jemand danach fragt.

An dieser Stelle wird auch die Sicherheit zu einem meldepflichtigen Thema. Nachweise von Feststellungen direkt beim Kunden vor Ort machen eine Position im Betreuungsplan zu etwas, das der Kunde konkret erkennen kann.