So stoppen und verhindern Sie einen DDoS-Angriff auf WordPress

WordPress ist einer der beliebtesten Website-Builder der Welt, da es leistungsstarke Funktionen und eine sichere Codebasis bietet. Diese Popularität macht es jedoch zu einem Ziel für DDoS-Angriffe.

Hacker nutzen DDoS-Angriffe, um Websites zu verlangsamen und sie für Benutzer unzugänglich zu machen. Diese Angriffe können sowohl kleine als auch große Websites betreffen. Die Folgen eines DDoS-Angriffs können schwerwiegend sein und zu Einnahmeverlusten, beschädigtem Ruf und frustrierten Besuchern führen.

WPBeginner war Ziel vieler dieser Angriffe, und wir haben gelernt, wie wir Schritte unternehmen können, um das Risiko zu minimieren und unsere Website sicher zu halten. Sie fragen sich vielleicht, wie eine kleine Unternehmenswebsite, die WordPress verwendet, solche DDoS-Angriffe mit begrenzten Ressourcen verhindern kann.

Diese Anleitung zeigt Ihnen, wie Sie DDoS-Angriffe in WordPress verhindern und stoppen können, damit Sie die Sicherheit Ihrer Website souverän wie ein Profi gegen Angriffe verwalten können.

Was ist ein DDoS-Angriff?

DDoS (Distributed Denial of Service) ist eine Art von Cyberangriff, bei dem kompromittierte Computer und Geräte verwendet werden, um Daten von einem WordPress-Hosting-Server zu senden oder anzufordern. Ziel dieser Anfragen ist es, den Zielserver zu verlangsamen und schließlich zum Absturz zu bringen.

DDoS-Angriffe entwickelten sich aus DoS-Angriffen (Denial of Service). Im Gegensatz zu einem DoS-Angriff nutzen sie viele kompromittierte Maschinen oder Server aus, die über verschiedene Regionen verteilt sind.

Diese kompromittierten Maschinen bilden ein Netzwerk, das manchmal als Botnetz bezeichnet wird. Jede betroffene Maschine fungiert als Bot und startet Angriffe auf das Zielsystem oder den Zielserver. Dies ermöglicht es ihnen, eine Weile unbemerkt zu bleiben und maximalen Schaden anzurichten, bevor sie blockiert werden.

Selbst die größten Internetunternehmen sind anfällig für DDoS-Angriffe.

Im Jahr 2018 erlebte GitHub, eine beliebte Code-Hosting-Plattform, einen massiven DDoS-Angriff, der 1,3 Terabyte pro Sekunde an Datenverkehr auf ihre Server leitete.

Sie erinnern sich vielleicht auch an den berüchtigten Angriff auf DYN (einen DNS-Dienstanbieter) im Jahr 2016. Dieser Angriff erregte weltweite Nachrichten, da er viele beliebte Websites wie Amazon, Netflix, PayPal, Visa, Airbnb, The New York Times, Reddit und Tausende anderer Websites betraf.

DDoS-FAQs

Hier sind einige Antworten auf häufig gestellte Fragen zu DDoS-Angriffen.

Warum passieren DDoS-Angriffe?

Es gibt verschiedene Motivationen für DDoS-Angriffe. Hier sind einige gängige:

• Technisch versierte Leute, denen einfach langweilig ist, finden es abenteuerlich
• Personen und Gruppen, die einen politischen Standpunkt vertreten
• Gruppen, die Websites und Dienste eines bestimmten Landes oder einer bestimmten Region ins Visier nehmen
• Gezielte Angriffe auf ein bestimmtes Unternehmen oder einen Dienstleister, um finanziellen Schaden zu verursachen
• Erpressung, um Lösegeld zu kassieren

Was ist der Unterschied zwischen einem Brute-Force-Angriff und einem DDoS-Angriff?

Brute-Force-Angriffe versuchen, unbefugten Zugriff auf ein System zu erlangen, indem sie Passwörter erraten oder zufällige Kombinationen ausprobieren.

DDoS-Angriffe werden ausschließlich dazu verwendet, das angegriffene System zum Absturz zu bringen, wodurch es langsam oder unerreichbar wird.

Weitere Details finden Sie in unserem Leitfaden, wie Sie Brute-Force-Angriffe auf WordPress blockieren.

Welchen Schaden kann ein DDoS-Angriff verursachen?

DDoS-Angriffe können die Leistung einer Website beeinträchtigen oder sie unzugänglich machen. Dies führt zu einer schlechten Benutzererfahrung, Geschäftsverlusten und den Kosten für die Abwehr des Angriffs, die Tausende von Dollar betragen können.

Hier ist eine Aufschlüsselung dieser Kosten:

• Geschäftsverlust aufgrund der Unerreichbarkeit der Website
• Kosten für Kundensupport zur Beantwortung von Anfragen im Zusammenhang mit Dienstunterbrechungen
• Kosten für die Abwehr von Angriffen durch Beauftragung von Sicherheitsdiensten oder Support
• Die größten Kosten sind die schlechte Benutzererfahrung und die Markenreputation

Wie kann ich DDoS-Angriffe in WordPress stoppen und verhindern?

DDoS-Angriffe können raffiniert getarnt und schwer zu bewältigen sein. Mit einigen grundlegenden Sicherheitspraktiken können Sie jedoch DDoS-Angriffe verhindern und leicht stoppen, damit sie Ihre WordPress-Website nicht beeinträchtigen.

Hier sind die Schritte, die Sie unternehmen müssen, um DDoS-Angriffe auf Ihrer Website zu verhindern und zu stoppen:

1. DDoS- / Brute-Force-Angriffs-Vertikalen entfernen
2. Aktivieren Sie eine WAF (Website Application Firewall)
3. Identifizieren Sie, ob es sich um einen Brute-Force- oder einen DDoS-Angriff handelt
4. Was tun während eines DDoS-Angriffs
5. So halten Sie Ihre WordPress-Website sicher

DDoS- / Brute-Force-Angriffs-Vertikalen entfernen

Das Beste an WordPress ist seine hohe Flexibilität. WordPress ermöglicht die Integration von Drittanbieter-Plugins und Tools in Ihre Website, um neue Funktionen hinzuzufügen.

Dazu stellt WordPress Programmierern verschiedene APIs zur Verfügung. Diese APIs sind Methoden, mit denen Drittanbieter-WordPress-Plugins und -Dienste mit WordPress interagieren können.

Einige dieser APIs können jedoch auch während eines DDoS-Angriffs ausgenutzt werden, indem eine Tonne von Anfragen gesendet wird. Sie können diese sicher deaktivieren, um diese Anfragen zu reduzieren.

XML RPC in WordPress deaktivieren

XML-RPC ermöglicht Drittanbieter-Apps die Interaktion mit Ihrer WordPress-Website. Zum Beispiel benötigen Sie XML-RPC, um die WordPress-App auf Ihrem Mobilgerät zu verwenden.

Wenn Sie wie die überwiegende Mehrheit der Benutzer sind, die die mobile App nicht zum Betreiben ihrer Website verwenden, können Sie XML-RPC deaktivieren, indem Sie einfach den folgenden Code zu Ihrer .htaccess-Datei hinzufügen:

# Block WordPress xmlrpc.php requests
<Files xmlrpc.php>
order deny,allow
deny from all
</Files>

Alternative Methoden finden Sie in unserer Anleitung, wie Sie XML-RPC in WordPress einfach deaktivieren können.

REST-API in WordPress deaktivieren

Die WordPress JSON REST API ermöglicht Plugins und Tools den Zugriff auf WordPress-Daten, das Aktualisieren von Inhalten und/oder sogar das Löschen. Hier erfahren Sie, wie Sie die REST API in WordPress deaktivieren können.

Wir empfehlen die Verwendung des WPCode-Plugins. Dies ist das beste Code-Snippet-Plugin, mit dem Sie die REST API mit nur wenigen Klicks deaktivieren können.

Weitere Informationen finden Sie in unserer Anleitung zum Thema Deaktivieren der JSON REST API in WordPress.

Alternativ können Sie das Plugin Disable WP Rest API verwenden. Das Plugin funktioniert sofort und deaktiviert die REST-API für alle nicht angemeldeten Benutzer.

Aktivieren Sie eine WAF (Website Application Firewall)

Das Deaktivieren von Angriffsvektoren wie REST API und XML-RPC bietet nur begrenzten Schutz vor DDoS-Angriffen. Ihre Website ist immer noch anfällig für normale HTTP-Anfragen.

Während Sie einen kleinen DDoS-Angriff abwehren können, indem Sie versuchen, die IP-Adressen der bösartigen Maschinen zu erfassen und sie manuell zu blockieren, ist dieser Ansatz bei einem großen Angriff weniger effektiv.

Der einfachste Weg, verdächtige Anfragen zu blockieren, ist die Aktivierung einer Web Application Firewall.

Eine Website-Anwendungsfirewall fungiert als Proxy zwischen Ihrer Website und dem gesamten eingehenden Datenverkehr. Sie verwendet einen intelligenten Algorithmus, um alle verdächtigen Anfragen abzufangen und zu blockieren, bevor sie Ihren Website-Server erreichen.

Wir empfehlen die Verwendung von Sucuri, da es das beste WordPress-Sicherheits-Plugin und die beste Website-Firewall ist. Es läuft auf DNS-Ebene, was bedeutet, dass es einen DDoS-Angriff abfangen kann, bevor er eine Anfrage an Ihre Website stellt.

Die Preise für Sucuri beginnen bei 199,99 US-Dollar pro Jahr.

Wir verwenden Sucuri auf WPBeginner. Sehen Sie sich unsere Fallstudie an, wie sie uns geholfen haben, Hunderttausende von Angriffen auf unserer Website zu blockieren.

Alternativ können Sie Cloudflare verwenden. Der kostenlose Dienst von Cloudflare bietet jedoch nur begrenzten DDoS-Schutz. Sie müssen mindestens deren Business-Plan abonnieren, um Layer-7-DDoS-Schutz zu erhalten, der rund 200 US-Dollar pro Monat kostet.

Sehen Sie sich unseren Artikel über Sucuri vs. Cloudflare für einen detaillierten Vergleich an.

Identifizieren Sie, ob es sich um einen Brute-Force- oder einen DDoS-Angriff handelt

Sowohl Brute-Force- als auch DDoS-Angriffe beanspruchen intensiv Serverressourcen, was bedeutet, dass ihre Symptome ziemlich ähnlich aussehen. Ihre Website wird langsamer und kann abstürzen.

Sie können leicht feststellen, ob es sich um einen Brute-Force-Angriff oder einen DDoS-Angriff handelt, indem Sie sich die Anmeldeberichte des Sucuri-Plugins ansehen.

Installieren und aktivieren Sie einfach das kostenlose Sucuri-Plugin und gehen Sie dann zur Seite Sucuri Security » Last Logins.

Wenn Sie eine große Anzahl zufälliger Anmeldeanfragen sehen, bedeutet dies, dass Ihr wp-admin einem Brute-Force-Angriff ausgesetzt ist. Um dies zu stoppen, lesen Sie unseren Leitfaden, wie Sie Brute-Force-Angriffe in WordPress blockieren.

Was tun während eines DDoS-Angriffs

DDoS-Angriffe können auch dann auftreten, wenn Sie eine Web Application Firewall und andere Schutzmaßnahmen haben. Unternehmen wie CloudFlare und Sucuri befassen sich regelmäßig mit diesen Angriffen, und meistens werden Sie nie davon hören, da sie diese problemlos abwehren können.

In einigen Fällen können diese Angriffe jedoch, wenn sie groß sind, Sie immer noch beeinträchtigen. In diesem Fall ist es am besten, auf die Bewältigung der Probleme vorbereitet zu sein, die während und nach dem DDoS-Angriff auftreten können.

Im Folgenden finden Sie einige Dinge, die Sie tun können, um die Auswirkungen eines DDoS-Angriffs zu minimieren.

1. Benachrichtigen Sie Ihre Teammitglieder

Wenn Sie ein Team haben, müssen Sie Ihre Kollegen über das Problem informieren.

Dies wird ihnen helfen, sich auf Kundenanfragen vorzubereiten, auf mögliche Probleme zu achten und während oder nach dem Angriff zu helfen.

2. Informieren Sie Kunden über die Unannehmlichkeiten

Ein DDoS-Angriff kann das Benutzererlebnis auf Ihrer Website beeinträchtigen. Wenn Sie einen WooCommerce-Shop betreiben, können Ihre Kunden möglicherweise keine Bestellung aufgeben oder sich in ihre Konten einloggen.

Sie können über Ihre Social-Media-Konten bekannt geben, dass Ihre Website technische Schwierigkeiten hat und bald alles wieder normal sein wird.

Wenn der Angriff groß ist, können Sie auch Ihren E-Mail-Marketing-Dienst nutzen, um mit Kunden zu kommunizieren und sie zu bitten, Ihren Social-Media-Updates zu folgen.

Wenn Sie VIP-Kunden haben, möchten Sie vielleicht Ihren Geschäftstelefonservice nutzen, um individuelle Anrufe zu tätigen und sie darüber zu informieren, wie Sie die Dienste wiederherstellen.

Kommunikation in diesen schwierigen Zeiten macht einen großen Unterschied, um den Ruf Ihrer Marke stark zu halten.

3. Kontaktieren Sie den Hosting- und Sicherheits-Support

Nehmen Sie Kontakt mit Ihrem WordPress-Hosting-Anbieter auf. Der Angriff auf Ihre Website könnte Teil eines größeren Angriffs auf deren Systeme sein. In diesem Fall können sie Ihnen die neuesten Informationen zur Situation geben.

Kontaktieren Sie Ihren Firewall-Dienst und informieren Sie ihn, dass Ihre Website unter einem DDoS-Angriff steht. Möglicherweise können sie die Situation noch schneller entschärfen und Ihnen weitere Informationen geben.

Mit Firewall-Anbietern wie Sucuri können Sie Ihre Einstellungen auch auf den „Paranoid-Modus“ setzen, der viele Anfragen blockiert und Ihre Website für normale Benutzer zugänglich macht.

So halten Sie Ihre WordPress-Website sicher

WordPress ist von Haus aus ziemlich sicher. Als weltweit beliebteste Website-Plattform wird es jedoch häufig von Hackern ins Visier genommen.

Glücklicherweise gibt es viele Sicherheitspraktiken, die Sie auf Ihrer Website anwenden können, um sie noch sicherer zu machen.

Wir haben einen vollständigen Schritt-für-Schritt WordPress-Sicherheitsleitfaden für Anfänger zusammengestellt. Er führt Sie durch die besten WordPress-Sicherheitseinstellungen, um Ihre Website und ihre Daten vor gängigen Bedrohungen zu schützen.

Möglicherweise möchten Sie auch einige andere Artikel zur Verbesserung Ihrer WordPress-Sicherheit lesen:

• So führen Sie eine WordPress-Sicherheitsprüfung durch (vollständige Checkliste)
• Die besten WordPress-Sicherheits-Plugins zum Schutz Ihrer Website (im Vergleich)
• Die besten WordPress-Sicherheits-Scanner zur Erkennung von Malware und Hacks
• So scannen Sie Ihre WordPress-Site auf potenziell bösartigen Code
• Top-Gründe, warum WordPress-Websites gehackt werden (& wie man sie verhindert)
• So schützen Sie Ihre WordPress-Website vor Brute-Force-Angriffen
• So finden Sie eine Hintertür in einer gehackten WordPress-Website und beheben sie
• So überwachen Sie Benutzeraktivitäten in WordPress mit Sicherheitsprotokollen
• So schützen Sie Ihre WordPress-Website mit HTTP-Sicherheitsheadern (Anfänger-Leitfaden)

Wir hoffen, dieser Artikel hat Ihnen geholfen zu lernen, wie Sie einen DDoS-Angriff auf WordPress blockieren und verhindern können. Möglicherweise möchten Sie auch unseren Leitfaden zum Verhindern von WordPress SQL-Injection-Angriffen und unsere wesentliche Checkliste mit wichtigen WordPress-Wartungsaufgaben, die regelmäßig durchgeführt werden müssen sehen.

Wenn Ihnen dieser Artikel gefallen hat, abonnieren Sie bitte unseren YouTube-Kanal für WordPress-Video-Tutorials. Sie finden uns auch auf Twitter und Facebook.