Eine gehackte Schulwebsite ist mehr als ein technisches Ärgernis. Sie trifft das Vertrauen von Eltern, Kollegium und Schülerinnen und Schülern – und landet im schlimmsten Fall mit fremden Inhalten in der Google-Suche. Die gute Nachricht: Sie brauchen kein Informatikstudium, um Ihre Schulhomepage sicher zu betreiben. Sie brauchen ein paar klare Routinen und die richtigen Grundeinstellungen.
Dieser Beitrag richtet sich an Rektorinnen und Rektoren sowie an die Lehrkräfte, die intern für die Website zuständig sind. Wir zeigen Ihnen die neun wichtigsten Sicherheitsmaßnahmen – verständlich erklärt und praxisnah, damit Sie selbst einschätzen können, wo Ihre Schule schon gut aufgestellt ist und wo noch eine Lücke klafft.
1. Software aktuell halten
Die meisten erfolgreichen Angriffe auf WordPress-Seiten nutzen keine ausgeklügelten Tricks, sondern schlicht veraltete Software. WordPress selbst, das verwendete Theme (bei uns Divi 5) und alle Plugins bekommen regelmäßig Updates, die bekannte Sicherheitslücken schließen. Wer diese Updates einspielt, sperrt die häufigsten Einfallstore.
Wichtig ist, Updates nicht blind und nicht zwischen Tür und Angel einzuspielen, sondern nach einem Backup und mit einem kurzen Kontrollblick, ob die Seite danach noch sauber läuft. Genau dafür gibt es Wartungsverträge – damit sich niemand im Kollegium darum kümmern muss, ob gerade wieder ein Update ansteht.
2. Individuelle Zugänge statt geteilter Passwörter
Ein Login, das sich das halbe Kollegium teilt und auf einem Zettel im Lehrerzimmer klebt, ist das häufigste Sicherheitsrisiko an Schulen. Wer war wann eingeloggt? Wer hat welche Änderung gemacht? Das lässt sich nicht mehr nachvollziehen – und wenn eine Lehrkraft die Schule verlässt, bleibt der Zugang bestehen.
Besser ist ein eigener Zugang pro Person. Das schafft Nachvollziehbarkeit, und einzelne Zugänge lassen sich jederzeit deaktivieren, ohne dass alle anderen ein neues Passwort brauchen.
3. Starke, einzigartige Passwörter
Ein sicheres Passwort ist lang, nicht erratbar und wird nirgendwo sonst verwendet. „Schule2026“ oder der Name der Schule mit angehängter Jahreszahl sind in Sekunden geknackt. Empfehlenswert ist eine Passphrase aus mehreren zufälligen Wörtern oder ein Passwort-Manager, der für jeden Zugang ein eigenes, langes Passwort erzeugt und speichert.
4. Zwei-Faktor-Authentifizierung aktivieren
Selbst ein gutes Passwort kann in falsche Hände geraten. Die Zwei-Faktor-Authentifizierung (2FA) legt eine zweite Sperre davor: Nach dem Passwort wird zusätzlich ein Code abgefragt, den nur die berechtigte Person auf ihrem Smartphone hat. Für die Zugänge mit den weitreichendsten Rechten – allen voran das Administrator-Konto – sollte 2FA Pflicht sein.
5. Rollen und Rechte sinnvoll vergeben
Nicht jede Lehrkraft, die einen Vertretungsplan hochlädt, braucht Administratorrechte für die gesamte Website. WordPress kennt abgestufte Rollen: Wer nur Beiträge schreibt, ist als „Autor“ oder „Redakteur“ bestens bedient. Je weniger Konten volle Adminrechte haben, desto kleiner ist die Angriffsfläche – denn ein gekapertes Konto kann immer nur so viel Schaden anrichten, wie seine Rechte erlauben.
6. Den Login-Bereich schützen
Die Anmeldeseite ist das Tor zur Website – und genau dort setzen automatisierte Angriffe an, die im Sekundentakt Passwörter durchprobieren. Zwei einfache Maßnahmen helfen: die Zahl der Fehlversuche begrenzen (danach ist der Zugang für einige Minuten gesperrt) und den Standard-Benutzernamen „admin“ vermeiden. Ein individueller Benutzername, den niemand erraten kann, ist bereits die halbe Miete.
7. Regelmäßige, automatische Backups
Sicherheit heißt nicht nur, Angriffe zu verhindern, sondern auch, im Ernstfall schnell wieder handlungsfähig zu sein. Ein aktuelles Backup ist Ihre Lebensversicherung: Egal ob Hackerangriff, fehlgeschlagenes Update oder ein versehentlich gelöschter Bereich – mit einer sauberen Sicherung ist die Seite in kurzer Zeit wiederhergestellt.
Entscheidend ist, dass die Backups automatisch laufen, regelmäßig erstellt werden und getrennt von der Website gespeichert sind. Ein Backup, das auf demselben Server liegt wie die gehackte Seite, hilft im Zweifel nicht weiter.
8. HTTPS und ein Hosting, das mitdenkt
Ein SSL-Zertifikat (erkennbar am „https“ und dem Schloss in der Adresszeile) verschlüsselt die Verbindung zwischen Besucher und Website – heute Standard, und für die Anmeldung im Redaktionsbereich unverzichtbar. Ebenso wichtig ist der Hoster im Hintergrund: Ein Serverstandort in Deutschland und ein Anbieter, der Updates, Firewalls und Erreichbarkeit ernst nimmt, nimmt Ihnen einen großen Teil der Sicherheitsarbeit ab.
9. Aufräumen: weniger Plugins, weniger Risiko
Jedes zusätzliche Plugin ist Funktion – aber auch ein potenzielles Einfallstor. Plugins, die niemand mehr nutzt oder die seit Jahren kein Update mehr bekommen haben, gehören deinstalliert. Eine schlanke, gepflegte Website ist nicht nur sicherer, sondern auch schneller.
Ihre Sicherheits-Checkliste im Überblick
- Werden WordPress, Theme und Plugins regelmäßig aktualisiert?
- Hat jede Person einen eigenen Zugang – ohne geteilte Passwörter?
- Sind die Passwörter lang, einzigartig und gut verwahrt?
- Ist die Zwei-Faktor-Authentifizierung für Admin-Konten aktiv?
- Haben Lehrkräfte nur die Rechte, die sie wirklich brauchen?
- Ist der Login gegen automatisierte Angriffe geschützt?
- Laufen automatische Backups – getrennt von der Website?
- Ist die Seite über HTTPS erreichbar und liegt sie bei einem seriösen Hoster?
- Sind ungenutzte Plugins entfernt?
Sicher aufgestellt – ohne Mehraufwand fürs Kollegium
Sicherheit ist keine einmalige Aktion, sondern eine Routine im Hintergrund. Sie muss nicht Ihre Zeit oder die Ihrer Lehrkräfte kosten. Wenn Sie möchten, übernehmen wir genau diese Routine: aktuelle Software, automatische Backups, geschützte Zugänge und ein Hosting in Deutschland, um das Sie sich nicht kümmern müssen.
Sie sind unsicher, wie gut Ihre Schulwebsite aufgestellt ist? Sprechen Sie uns an – wir schauen gemeinsam auf Ihre Seite und sagen Ihnen ehrlich, wo Sie stehen.