WP Honeypot Guard
Ein kostenloses Plugin, das gefälschte Angriffspfade auf Ihrer WordPress-Seite anlegt. Kein echter Besucher ruft sie je auf – nur automatisierte Scanner, die nach bekannten kompromittierten Plugins und Backdoors suchen. Jede IP, die einen dieser Pfade berührt, wird für eine Stunde gesperrt.
Das Köder-Blocking läuft immer und birgt kein Aussperr-Risiko. Es gibt zusätzlich eine optionale Lock-Funktion, die standardmäßig aus ist – lesen Sie unten, bevor Sie sie aktivieren.
So funktioniert es
Automatisierte Scanner raten nicht bei Ihrer Seite herum – sie gleichen sie gegen eine Liste ab. Sie rufen die exakten URLs bekannter kompromittierter Plugins, alter admin-ajax-Exploits und Backdoor-Dateien aus früheren Hacks auf und schauen, was zurückkommt.
WP Honeypot Guard legt auf Ihrer Seite Köder-Versionen genau dieser URLs an. Es gibt nirgendwo einen Link darauf, also wird sie kein echter Besucher, kein echter Kunde und auch nicht Googles Crawler je aufrufen. Nur etwas, das gezielt nach einer bekannten Lücke sucht, tut das.
Sobald eine beliebige IP-Adresse einen dieser Köder-Pfade anfragt, wird diese IP für eine Stunde gesperrt. Sonst ändert sich nichts an der Seite – keine Plugin-Dateien angefasst, kein Theme bearbeitet, keine Einstellung, die ein echter Besucher je bemerken würde.
Warum das bei einer älteren Seite noch mehr zählt
Eine Seite mit altem Theme, alten Plugins und einer PHP-Version, die niemand anfassen will, wird von Angreifern nicht übersehen – sie wird häufiger ins Visier genommen. Automatisierte Scanner suchen gezielt nach genau dieser Kombination, weil ungepatchte, veraltete Software häufig vorkommt und sich im großen Stil billig ausnutzen lässt.
Der übliche Rat lautet „einfach alles aktualisieren". Das ist nicht immer realistisch. Manchmal bricht ein Update die Seite. Manchmal pflegt sie niemand mehr, und niemand will das Risiko eingehen. So oder so braucht die Seite trotzdem etwas Schutz, während sie ungepatcht dasteht.
WP Honeypot Guard patcht nichts und muss das auch nicht. Es greift in kein bestehendes Plugin, Theme oder Core-File ein – es legt lediglich eine Stolperdraht-Falle um die Seite, die genau die Scanner erwischt, die nach dem Ungepatchten suchen, bevor sie es finden.
Eine optionale zweite Schicht: Login-Seite sperren
Neben dem Honeypot enthält das Plugin einen optionalen „Backend-Lock", den Sie als Admin selbst aktivieren können. Ist er aktiv, antworten wp-login.php und /wp-admin gar nicht mehr – außer die Anfrage enthält eine von Ihnen festgelegte geheime URL. Ein Bot, der Ihr Passwort per Brute-Force knacken will, erreicht das Login-Formular gar nicht erst.
Diese Schicht ist standardmäßig deaktiviert. Sie zu aktivieren ist eine bewusste Entscheidung, denn sie bringt einen echten Trade-off mit sich – lesen Sie den nächsten Abschnitt, bevor Sie sie einschalten.
Wenn Sie sich aussperren
Wenn Sie den Backend-Lock aktivieren und dann die geheime URL verlieren – vergessen, die Notiz verlegt, egal wie – gibt es keinen eingebauten Umweg. Das ist kein Versehen. Gäbe es eine Hintertür um den Lock herum, wäre es kein Lock mehr, sondern nur eine zweite Sache, die ein Angreifer finden könnte.
Die Wiederherstellung läuft in diesem Fall über die Systemsteuerung Ihres Hosters – File Manager oder FTP – nicht über WordPress selbst. Zwei Wege zurück hinein, beide funktionieren:
- Die im Plugin-Readme dokumentierte Deaktivierungs-Konstante in die wp-config.php eintragen – das schaltet nur den Lock aus, das Köder-Blocking läuft weiter.
- Den Plugin-Ordner in wp-content/plugins/ per File Manager oder FTP umbenennen oder löschen. WordPress deaktiviert ein Plugin automatisch, sobald dessen Ordner verschwindet oder umbenannt wird.
Zur Klarheit: Das Köder-Blocking selbst läuft immer und birgt kein Aussperr-Risiko – es sperrt ausschließlich IPs, die einen Fake-Pfad aufrufen, den kein echter Besucher je berührt. Dieses Risiko entsteht nur, wenn Sie den optionalen Backend-Lock aktivieren. Lassen Sie ihn aus, betrifft Sie das Ganze überhaupt nicht.
Plugin herunterladen
Kostenlos. Geben Sie uns Ihre E-Mail-Adresse und wir schicken Ihnen den Download-Link.
Häufig gestellte Fragen
Ersetzt das ein vollständiges Sicherheits-Plugin oder eine Firewall?
Nein. Es ist eine schlanke zusätzliche Schicht, die automatisierte Scanner erwischt, die nach bekannten kompromittierten Plugins und Backdoor-URLs suchen. Ihr bisheriges Firewall- oder Sicherheits-Plugin läuft weiter parallel dazu.
Funktioniert es auf einer alten, nicht mehr gepflegten WordPress-Installation?
Ja – genau dafür ist es gebaut. Es greift in kein bestehendes Plugin, Theme oder Core-File ein, es gibt also nichts, womit es kollidieren könnte.
Was passiert, wenn ich mich aus wp-admin aussperre?
Das kann nur passieren, wenn Sie den optionalen Backend-Lock aktivieren und dann die geheime URL verlieren. Das Köder-Blocking selbst sperrt niemanden aus. Sollten Sie die URL verlieren, läuft die Wiederherstellung über die Systemsteuerung Ihres Hosters, nicht über WordPress.
Ist es wirklich kostenlos?
Ja, ohne Haken. Geben Sie uns eine E-Mail-Adresse und wir schicken Ihnen den Download-Link.
Brauchen Sie mehr als ein kostenloses Plugin? Unsere Vibe-Code-Sicherheitsaudits decken ein vollständiges, manuelles Review ab, oder sehen Sie sich unsere SEO-Services an.
Schützen Sie die Seite, die Sie nicht neu aufbauen können.
Kostenlos, ohne Codeänderung, funktioniert ab der Installation.