WordPress-Firewalls im Vergleich: Wordfence, NinjaFirewall, Sucuri und Co.

WordPress selbst ist gut abgesichert. Das Risiko steckt fast immer in den Erweiterungen. Laut dem Sicherheitsbericht von Patchstack wurden 2025 im WordPress-Umfeld 11.334 neue Schwachstellen gemeldet, 42 % mehr als im Vorjahr. 91 % davon lagen in Plugins, 9 % in Themes, nur eine Handvoll im WordPress-Kern. Und es geht schnell: Ab Bekanntwerden einer Lücke vergehen im Mittel nur rund fünf Stunden, bis sie massenhaft ausgenutzt wird.

Kein Mensch schafft es, in diesem Tempo jedes Update einzuspielen. Genau dafür gibt es Firewalls: Sie erkennen typische Angriffsmuster und blockieren sie, bevor ein verwundbares Plugin überhaupt angesprochen wird. In diesem Beitrag zeige ich, welche Lösungen es gibt, wie sie sich unterscheiden und welche zu welcher Seite passt.

Drei Arten von Firewalls

Bevor es um einzelne Produkte geht, lohnt ein Blick darauf, wo eine Firewall arbeitet. Das entscheidet über Schutzwirkung, Serverlast und Datenschutz.

1. In WordPress (Plugin-Ebene)

Die Firewall startet zusammen mit WordPress. Sie ist einfach einzurichten und kennt WordPress genau. Der Nachteil: Sie läuft erst, wenn WordPress schon lädt, und verbraucht Rechenleistung Ihres Servers. Manche Angriffe auf einzelne Plugin-Dateien erreichen sie gar nicht.

2. Vor WordPress

Über eine PHP-Einstellung (auto_prepend_file) wird die Firewall vor jedem anderen PHP-Code geladen. Sie prüft also jede Anfrage, bevor WordPress oder ein Plugin sie zu sehen bekommt. Das ist schneller und gründlicher, setzt aber voraus, dass der Hoster diese Einstellung erlaubt.

3. In der Cloud, vor dem Server

Bei Sucuri oder Cloudflare läuft der gesamte Besucherverkehr über die Server des Anbieters, die Angriffe herausfiltern, bevor sie Ihr Hosting erreichen. Das entlastet den Server und schützt auch vor Überlastungsangriffen (DDoS). Im Gegenzug laufen alle Besucherdaten, auch die IP-Adressen, über einen Drittanbieter.

Die Lösungen im Einzelnen

Alle Preise mit Stand Oktober 2026, laut Hersteller, in der Regel zuzüglich Steuern.

Wordfence

Der Platzhirsch mit über 5 Millionen aktiven Installationen. Wordfence kombiniert Firewall, Malware-Scanner und Login-Schutz in einem Plugin. Im Modus «Extended Protection» lädt die Firewall vor WordPress, das sollten Sie unbedingt aktivieren.

• Gratis: Firewall, Malware-Scanner, Zwei-Faktor-Anmeldung, Begrenzung von Login-Versuchen. Aber: Neue Firewall-Regeln und Malware-Signaturen erhalten Gratis-Nutzer erst 30 Tage später als zahlende Kunden.
• Premium: Regeln in Echtzeit, Echtzeit-Sperrliste für bekannte Angreifer-IPs, Länder-Sperre. 149 US-Dollar pro Jahr und Seite. Mit Malware-Bereinigung durch Wordfence («Care») 590 US-Dollar.
• Zu beachten: Auf schwachem Shared Hosting kann Wordfence spürbar bremsen, besonders während der Scans. Der Hersteller sitzt in den USA. Die Teilnahme am Austausch von Angriffsdaten lässt sich abschalten.

Passt zu: Seiten, die eine Komplettlösung aus einer Hand wollen. Für Shops lohnt sich Premium, weil 30 Tage bei fünf Stunden bis zur Ausnutzung eine Ewigkeit sind.

NinjaFirewall

Weniger bekannt, bei Entwicklern aber sehr geschätzt: 4,9 von 5 Sternen auf wordpress.org. NinjaFirewall ist von Grund auf als Firewall vor WordPress gebaut und filtert alle Anfragen lokal auf Ihrem Server.

• Gratis (WP Edition): vollwertige Firewall, Schutz vor Brute-Force-Angriffen auf Login und XML-RPC, Überwachung von Dateiänderungen, Live-Protokoll.
• WP+ Edition: zusätzlich Länder- und Bot-Sperren, Begrenzung der Anfragen pro IP, Spam-Schutz. 99 US-Dollar pro Domain und Jahr, ohne automatisches Abo.
• Zu beachten: Kein klassischer Malware-Scanner, nur eine Prüfung auf veränderte Dateien. Die Oberfläche ist technisch. Bei einzelnen Hostern lässt sich der volle Modus nicht aktivieren.

Passt zu: Allen, die eine schlanke, schnelle Firewall ohne Datenübermittlung an Dritte wollen. Meine Empfehlung für die meisten Firmenwebseiten.

Sucuri

Sucuri gehört zu GoDaddy und ist eine reine Cloud-Firewall. Sie stellen die DNS-Einträge Ihrer Domain um, danach läuft der Verkehr über Sucuri, inklusive CDN und DDoS-Schutz.

• Wichtig: Das kostenlose Plugin «Sucuri Security» ist keine Firewall. Es bietet Aktivitätsprotokoll, Dateiprüfung und einen Scan von außen.
• Bezahlt: Firewall ab 9,99 US-Dollar pro Monat, Komplettpaket mit unbegrenzter Malware-Bereinigung ab 229 US-Dollar pro Jahr.
• Zu beachten: Der Server muss so eingestellt werden, dass er nur Anfragen von Sucuri annimmt, sonst lässt sich die Firewall umgehen. Anbieter mit Sitz in den USA, Server unter anderem in Frankfurt.

Passt zu: Seiten mit viel Traffic oder Angriffsdruck und allen, die Malware-Bereinigung im Paket wollen.

Patchstack

Patchstack verfolgt einen anderen Ansatz: Statt allgemein nach Angriffsmustern zu filtern, liefert es gezielte virtuelle Patches für bekannte Lücken in genau den Plugins, die Sie installiert haben. Die Lücke ist so geschlossen, bevor der Plugin-Hersteller ein Update liefert.

• Gratis: Warnung per E-Mail bei bekannten Schwachstellen, aber kein aktiver Schutz.
• Bezahlt: virtuelle Patches ab 5 US-Dollar pro Seite und Monat, für Agenturen ab 69 US-Dollar pro Monat für 25 Seiten.
• Zu beachten: Kein Malware-Scanner und keine Breitband-Firewall. Daten liegen bei AWS in den USA.

Passt zu: Shops und Seiten mit vielen Plugins, als gezielte Ergänzung zu den Sicherheitsmaßnahmen des Hosters.

All-In-One Security (AIOS)

Von Team Updraft, den Machern von UpdraftPlus, mit über einer Million Installationen. Die PHP-Firewall lädt seit Version 5 ebenfalls vor WordPress.

• Gratis: Firewall-Regeln, Zwei-Faktor-Anmeldung, Login-Sperre, Schutz vor dem Auslesen von Benutzernamen, Spam-Schutz, Prüfung auf veränderte Dateien.
• Premium: Länder-Sperre, wöchentlicher Malware-Scan, Uptime-Überwachung. Ab 89 US-Dollar pro Jahr für zwei Seiten, im ersten Jahr zum halben Preis.
• Zu beachten: Viele Funktionen setzen auf .htaccess-Regeln, die auf Nginx-Servern nicht greifen.

Passt zu: Einsteigern, die viele Schutzfunktionen in einer übersichtlichen Oberfläche wollen.

Solid Security

Früher iThemes Security, mit rund 700.000 Installationen. Die kostenlose Version bietet Zwei-Faktor-Anmeldung, Passwortregeln, Brute-Force-Schutz und einen Schwachstellen-Scan. Die Pro-Version mit virtuellen Patches von Patchstack ist inzwischen im Kadence-Paket von Liquid Web aufgegangen (ab 299 US-Dollar pro Jahr). Nach dem Markenwechsel 2026 ist die Produktzukunft weniger klar als bei den anderen.

Passt zu: Bestehenden Nutzern. Für Neuinstallationen würde ich derzeit eine der anderen Lösungen wählen.

Cloudflare

Kein WordPress-Plugin, sondern ein Netzwerk vor Ihrem Server, ähnlich wie Sucuri. Viele kennen Cloudflare als CDN, die Firewall ist aber ein starkes Argument.

• Gratis: unbegrenzter DDoS-Schutz, ein Grundregelsatz gegen weit verbreitete, kritische Lücken, fünf eigene Regeln, etwa um den Login-Bereich abzusichern.
• Pro: umfangreiche verwaltete Regelsätze inklusive OWASP, 20 US-Dollar pro Monat bei jährlicher Zahlung.
• Zu beachten: Der gratis enthaltene Schutz ist nicht auf WordPress zugeschnitten. US-Anbieter, der gesamte Verkehr läuft über Cloudflare.

Passt zu: Als zusätzliche Schicht vor einer Plugin-Firewall, besonders bei Angriffswellen.

Die Übersicht

Die wichtigste Regel: nur eine Firewall im Plugin

Zwei Sicherheits-Plugins mit Firewall gleichzeitig schützen nicht doppelt, sie stören sich gegenseitig. Nur eine Anwendung kann sich vor WordPress einklinken, und doppelte Login-Sperren oder Regeln führen zu ausgesperrten Administratoren und schwer auffindbaren Fehlern.

Sinnvoll kombinieren lässt sich dagegen eine Cloud-Firewall wie Cloudflare oder Sucuri mit einer Plugin-Firewall. Die Cloud fängt Massenangriffe ab, das Plugin kennt WordPress im Detail.

Datenschutz nicht vergessen

Für Unternehmen im deutschsprachigen Raum gehört die Firewall in die Datenschutzerklärung, sobald Daten das eigene Hosting verlassen. Bei Cloud-Firewalls läuft der gesamte Verkehr über den Anbieter, bei Wordfence und Patchstack gehen Daten in die USA. Schließen Sie in diesen Fällen den Vertrag zur Auftragsverarbeitung ab, den alle genannten Anbieter bereitstellen. NinjaFirewall filtert vollständig auf Ihrem eigenen Server und ist hier die unkomplizierteste Lösung.

Eine Firewall allein reicht nicht

Eine Firewall ist ein Sicherheitsgurt, kein Ersatz für vorsichtiges Fahren. Diese Punkte gehören immer dazu:

1. Updates zeitnah einspielen, für Plugins am besten automatisch.
2. Plugins ausmisten. Jedes Plugin ist eine mögliche Lücke. Was nicht gebraucht wird, wird gelöscht, nicht nur deaktiviert.
3. Zwei-Faktor-Anmeldung für alle Konten mit Administrator- oder Redakteursrechten.
4. Tägliche Backups, außerhalb des Servers gespeichert und regelmäßig getestet.
5. Gutes Hosting mit serverseitiger Firewall und Malware-Scanner. Mehr dazu in meinem Beitrag Hostinger im Praxischeck.

Meine Empfehlung

• Firmenwebseite mit wenigen Plugins: NinjaFirewall gratis, dazu Zwei-Faktor-Anmeldung und automatische Updates.
• Online-Shop oder Seite mit vielen Plugins: Wordfence Premium oder virtuelle Patches von Patchstack, damit neue Lücken ohne Verzögerung geschlossen werden.
• Viel Traffic oder wiederholte Angriffe: Zusätzlich Cloudflare oder Sucuri vor den Server.

Welche Lösung Sie auch wählen: Richten Sie sie sorgfältig ein und testen Sie danach Login, Kontaktformular und Checkout. Eine Firewall, die echte Kunden aussperrt, kostet mehr als sie schützt.

Ihre Seite wurde bereits gehackt?

Ich prüfe WordPress-Seiten auf Schadsoftware, bereinige gehackte Installationen und richte Firewall, Updates und Backups so ein, dass es beim nächsten Mal gar nicht erst so weit kommt. Schreiben Sie mir, ich melde mich innerhalb von 24 Stunden.