WordPress ist das meistgenutzte CMS der Welt — und genau deshalb das meistattackierte. Bots scannen rund um die Uhr nach veralteten Plugins, schwachen Passwörtern und offenen Login-Formularen. Ein Sicherheits-Plugin ersetzt keine Grundhygiene (aktuelles Core, aktuelle Plugins, starke Passwörter), ist aber die zweite Verteidigungslinie, die ich auf praktisch jeder Kund:innen-Seite einrichte. Drei Namen dominieren den Markt: Wordfence, Sucuri und Solid Security.
Eine kurze Klarstellung vorweg, weil sie in meinen Schulungen regelmäßig für Verwirrung sorgt: Solid Security hieß bis 2023 iThemes Security. Der Hersteller wurde von SolidWP (Teil von Liquid Web) übernommen und umbenannt — Plugin-Slug, Codebasis und Funktionsumfang sind identisch geblieben, nur der Name und das Branding haben sich geändert. Wenn Sie also in älteren Tutorials, YouTube-Videos oder Foren-Posts noch „iThemes Security“ lesen, ist damit exakt das Plugin gemeint, das heute Solid Security heißt. Für diesen Vergleich verwende ich durchgehend den aktuellen Namen.
Die drei Tools im Überblick
Wordfence ist mit über 5 Millionen aktiven Installationen das meistgenutzte Sicherheits-Plugin für WordPress. Gratis-Tier mit eingebauter Firewall (Endpoint-Firewall, läuft im WordPress selbst) und Malware-Scanner. Premium (~149 $/Jahr pro Site) liefert Echtzeit-Bedrohungsdaten statt der 30 Tage verzögerten Gratis-Signaturen, plus Country-Blocking und Premium-Support.
Sucuri funktioniert anders als die anderen beiden: Das kostenlose Plugin im WordPress-Verzeichnis ist nur ein Audit- und Härtungs-Tool. Der eigentliche Schutz — die Cloud-basierte Web Application Firewall (WAF) — läuft als eigenständige Plattform vor Ihrem Server, über DNS umgeleitet. Preislich liegt die Sucuri-Plattform 2026 bei ca. 199–499 $/Jahr, gestaffelt nach Basic-, Pro- und Business-Tarif, inklusive CDN und im Ernstfall auch Malware-Cleanup durch das Sucuri-Team.
Solid Security (früher iThemes Security) ist ein klassisches Endpoint-Plugin mit Fokus auf Login-Sicherheit, 2FA und Datei-Integrität. Die Pro-Version kostet ca. 99–199 $/Jahr (Einzellizenz bis Multi-Site-Bundle) und bringt Zwei-Faktor-Authentifizierung, Brute-Force-Schutz, Malware-Scan und automatisierte Passwort-Erzwingung mit.
Vergleich auf einen Blick
| Kriterium | Wordfence | Sucuri | Solid Security |
|---|---|---|---|
| Preis Einstieg | 0 $ (Gratis-Tier) | 0 $ (Plugin), Plattform ab ~199 $/Jahr | 0 $ (Gratis-Tier) |
| Preis voller Funktionsumfang | ~149 $/Jahr | ~199–499 $/Jahr | ~99–199 $/Jahr |
| Firewall-Typ | Endpoint (im WordPress) | Cloud/DNS-Level (vor dem Server) | Endpoint (im WordPress) |
| Malware-Scan | ✅ Sehr gut | ✅ Sehr gut, plus Server-Side-Scan | ✅ Solide |
| 2FA | Premium | Nicht integriert (separates Tool nötig) | ✅ Gratis-Tier |
| Brute-Force-Schutz | ✅ | ✅ (auf WAF-Ebene) | ✅ Sehr stark |
| Login-Sicherheit | Gut | Eher Basis | Sehr gut (Kernfokus) |
| Performance-Impact | Mittel bis hoch | Sehr niedrig (läuft vor dem Server) | Niedrig |
| Deutschsprachiger Support | ❌ Nur Englisch | ❌ Nur Englisch | ❌ Nur Englisch |
Wordfence — der bekannte Alleskönner
Stärken: Die Firewall wird über die kostenlose „Threat Defense Feed“-Datenbank ständig aktualisiert, im Premium-Tarif in Echtzeit. Der Malware-Scanner vergleicht Core-, Theme- und Plugin-Dateien gegen die offiziellen WordPress-Repository-Versionen und findet damit auch subtile Datei-Manipulationen. Live-Traffic-Ansicht zeigt genau, wer wann welche URL Ihrer Seite aufruft — nützlich, um Angriffsmuster live zu beobachten.
Schwächen: Weil die Firewall als PHP-Code innerhalb von WordPress läuft (Endpoint-Firewall), muss jede Anfrage erst den WordPress-Stack durchlaufen, bevor Wordfence sie blockieren kann. Bei DDoS-artigen Angriffen bringt das den Server trotzdem in Bedrängnis — die bösartige Anfrage wird zwar abgewiesen, hat aber schon Rechenzeit gekostet. Auf günstigem Shared-Hosting ist der Performance-Effekt spürbar.
Wann Wordfence: Wenn Sie ein starkes Gratis-Tier ohne laufende Kosten wollen und Ihre Seite auf ordentlichem Hosting läuft (VPS oder Managed WordPress). Gute Wahl für technisch aufgeschlossene Betreiber:innen, die die Live-Traffic-Logs auch tatsächlich lesen.
Sucuri — die Cloud-Firewall für ernsten DDoS-Schutz
Stärken: Weil die WAF vor dem Server sitzt (der DNS-Eintrag zeigt auf Sucuri, Sucuri leitet sauberen Traffic zum eigentlichen Server weiter), erreicht bösartiger Traffic Ihren Server oft gar nicht erst. Das ist der entscheidende Architekturvorteil gegenüber Wordfence und Solid Security: DDoS-Angriffe und Layer-7-Attacken werden abgefangen, bevor sie überhaupt WordPress-PHP-Code auslösen. Zusätzlich bietet Sucuri im Ernstfall einen professionellen Hack-Cleanup-Service — wenn die Seite bereits kompromittiert ist, übernimmt ein Team die Bereinigung.
Schwächen: Kein nennenswertes Gratis-Tier für echten Schutz — das WordPress-Plugin allein ist nur ein Monitoring-Tool, die eigentliche Firewall kostet ab dem ersten Tag. Setup ist technisch anspruchsvoller: DNS muss umgestellt werden, was bei komplexen Hosting-Setups (CDN bereits aktiv, E-Mail-Records) zur Stolperfalle wird. 2FA ist nicht eingebaut.
Wann Sucuri: Wenn Ihre Seite bereits Ziel von DDoS-Attacken war, wenn Sie eine Cloud-WAF wollen, die unabhängig vom Hosting-Stack arbeitet, oder wenn Sie im Ernstfall einen garantierten Cleanup-Service im Vertrag haben wollen. Auch sinnvoll bei mehreren Websites auf demselben Server, wo ein kompromittiertes Nachbar-Projekt sonst übergreifen könnte.
Solid Security — mein Standard für Login- und Zugriffs-Härtung
Stärken: Der Kernfokus liegt konsequent auf dem, was in der Praxis die meisten Hacks verursacht: schwache oder wiederverwendete Logins. Zwei-Faktor-Authentifizierung ist bereits im Gratis-Tier enthalten — bei Wordfence und Sucuri ist das entweder Premium oder gar nicht vorhanden. Brute-Force-Schutz mit automatischem IP-Lockout nach X Fehlversuchen, erzwungene Passwort-Regeln, versteckte Login-URL und Datei-Änderungs-Erkennung runden das Bild ab. Performance-Last ist gering, weil das Plugin schlank gebaut ist.
Schwächen: Kein Cloud-WAF-Layer — der Schutz greift erst, sobald der Request WordPress erreicht hat. Bei ernsten DDoS-Wellen ist Solid Security allein zu wenig. Der Malware-Scanner ist solide, aber nicht so tiefgehend wie bei Wordfence oder Sucuri.
Wann Solid Security: Für die meisten Solopreneur- und KMU-Seiten meine Standard-Empfehlung — starke Login-Sicherheit ab dem Gratis-Tier, überschaubare Kosten in der Pro-Version, geringe Performance-Last. Besonders sinnvoll für Seiten mit mehreren Redakteur:innen-Zugängen, wo Login-Härtung der wichtigste Hebel ist.
Sie wollen nicht raten, welches Sicherheits-Setup zu Ihrer Seite passt? In meinem Online-Kurs zeige ich Ihnen, wie ich ein Sicherheits-Plugin in unter 30 Minuten produktiv einrichte — inklusive 2FA für alle Redakteur:innen und den Firewall-Einstellungen, die ich tatsächlich verwende. → Zum Online-Kurs
Direkter Vergleich: die Details, die zählen
| Feature | Wordfence | Sucuri | Solid Security |
|---|---|---|---|
| Firewall läuft | Im WordPress (Endpoint) | Vor dem Server (DNS/Cloud) | Im WordPress (Endpoint) |
| DDoS-Schutz | Begrenzt | Sehr stark | Begrenzt |
| CDN inklusive | ❌ | ✅ (in Plattform-Tarifen) | ❌ |
| Malware-Scan-Tiefe | Datei-Vergleich gegen Repository | Datei- + serverseitiger Scan | Datei-Änderungs-Erkennung |
| Hack-Cleanup-Service | Premium-Add-on separat | Im Plattform-Tarif enthalten | Nicht angeboten |
| 2FA-Methoden | App/E-Mail (Premium) | Nicht enthalten | App, E-Mail, U2F (Gratis-Tier) |
| Login-Härtung (versteckte URL, Lockouts) | Basis | Nicht Kernfokus | Sehr umfangreich |
| Country-Blocking | ✅ (Premium) | ✅ (Plattform) | ✅ (Pro) |
| Multisite-Support | ✅ | ✅ | ✅ |
| Setup-Komplexität | Niedrig | Mittel (DNS-Umstellung) | Niedrig |
Preise im Vergleich (Stand 2026)
- Wordfence: Gratis-Tier voll nutzbar. Premium ca. 149 $/Jahr pro Site, Care-Plan (mit Managed-Firewall-Support) ca. 590 $/Jahr, Response-Plan (inkl. Cleanup-Garantie) ca. 1.250 $/Jahr.
- Sucuri: Plugin gratis. Plattform Basic ca. 199–229 $/Jahr, Pro ca. 299–339 $/Jahr, Business ca. 499–549 $/Jahr — jeweils inkl. WAF, CDN und Malware-Monitoring, gestaffelt nach Traffic und Anzahl der Domains.
- Solid Security: Gratis-Tier solide nutzbar. Pro-Version ab ca. 99 $/Jahr für eine Einzellizenz, Solid-Suite-Bundles (mit Backup und weiteren Tools) ab ca. 199 $/Jahr, bis zu Multi-Site-Lizenzen für Agenturen.
Alle drei Anbieter passen die Preise regelmäßig an — die genannten Zahlen sind Richtwerte, prüfen Sie vor dem Kauf die aktuelle Preisseite des Herstellers.
Für wen eignet sich was?
Solopreneur:in mit Content-Seite oder kleinem Shop: Solid Security (Gratis- oder Pro-Tier). Der Fokus auf Login-Härtung und 2FA deckt das realistischste Risiko ab — kompromittierte Zugangsdaten —, ohne dass Sie sich mit DNS-Umstellungen beschäftigen müssen.
Agentur oder Betreiber:in mit mehreren Kund:innen-Seiten auf einem Server: Wordfence Premium, weil die Live-Traffic-Ansicht und die Echtzeit-Signaturen beim Monitoring mehrerer Installationen wirklich helfen — und weil ein Gratis-Einstieg pro Neukunde erlaubt, das Tool erst zu testen, bevor Sie upgraden.
Seite mit hohem Traffic, Vorgeschichte von DDoS-Attacken oder echtem Compliance-Bedarf (z. B. Shop mit sensiblen Kund:innendaten): Sucuri. Die Cloud-WAF ist die einzige der drei Lösungen, die Angriffe abfängt, bevor sie Ihren Server überhaupt erreichen — und der Cleanup-Service im Tarif ist eine Versicherung, die sich bei einem echten Vorfall auszahlt.
Mein Fazit
Solid Security bleibt meine Standard-Empfehlung für die meisten WordPress-Seiten, die ich betreue — starke Login-Sicherheit inklusive 2FA schon im Gratis-Tier, überschaubarer Preis in der Pro-Version, geringe Performance-Last. Wenn Ihre Seite eine Cloud-Firewall braucht, die unabhängig vom Server-Stack arbeitet — etwa weil Sie bereits DDoS-Erfahrungen gemacht haben oder ein CDN sowieso einrichten wollten —, ist Sucuri die richtige Wahl, auch wenn es die teuerste Option der drei ist. Wordfence bleibt eine sehr kompetente Alternative, vor allem wenn Sie das etablierteste Gratis-Tier am Markt wollen und Ihre Seite auf solidem Hosting läuft.
Keines der drei Tools ersetzt die Grundlagen: aktuelles WordPress-Core, aktuelle Plugins, starke individuelle Passwörter und regelmäßige Backups. Ein Sicherheits-Plugin ist Verteidigungslinie zwei, nicht eins.
Häufige Fragen
Ist Solid Security wirklich dasselbe wie iThemes Security?
Ja. iThemes Security wurde 2023 in Solid Security umbenannt, nachdem der Hersteller von SolidWP (Teil von Liquid Web) übernommen wurde. Plugin-Slug und Codebasis sind identisch geblieben — es handelt sich nicht um ein neues Produkt, nur um einen neuen Namen und ein neues Branding.
Kann ich zwei dieser Plugins gleichzeitig installieren?
Technisch teilweise ja, aber nicht empfehlenswert. Zwei Endpoint-Firewalls (Wordfence + Solid Security) konkurrieren um dieselben Hooks und verdoppeln die Performance-Last ohne echten Sicherheitsgewinn. Sucuri als Cloud-WAF lässt sich dagegen problemlos mit Wordfence oder Solid Security als zusätzlicher Endpoint-Schicht kombinieren.
Reicht das Gratis-Tier für eine kleine Business-Seite?
Bei Wordfence und Solid Security: in den meisten Fällen ja. Bei Sucuri: nein — das kostenlose Plugin ist nur ein Audit-Tool, echter Schutz kommt erst mit dem kostenpflichtigen Plattform-Tarif.
Was tue ich, wenn meine Seite bereits gehackt wurde?
Zuerst Backup vom aktuellen (kompromittierten) Zustand ziehen, dann Zugangsdaten aller Nutzer:innen zurücksetzen, dann bereinigen. Sucuri bietet einen expliziten Cleanup-Service im Tarif an; bei Wordfence gibt es das als separates Premium-Add-on. Details zur Vorbereitung in meinem Beitrag WordPress Backup-Strategie 2026.
Brauche ich zusätzlich ein 2FA-Plugin?
Bei Solid Security nicht — 2FA ist bereits im Gratis-Tier enthalten. Bei Wordfence (Premium) und Sucuri müssen Sie entweder upgraden oder ein separates 2FA-Tool ergänzen. Einen tieferen Vergleich der 2FA-Optionen finden Sie in meinem Beitrag Zwei-Faktor-Authentifizierung für WordPress im Vergleich.
Bremst ein Sicherheits-Plugin meine Seite spürbar aus?
Bei Sucuri kaum, weil die Firewall vor dem Server läuft. Bei Wordfence und Solid Security hängt es vom Hosting ab — auf gutem Managed-WordPress-Hosting kaum spürbar, auf günstigem Shared-Hosting eher merkbar. Mehr zu Performance-Hebeln generell in meinem Pillar-Beitrag WordPress-Plugins 2026: Welche brauchen Sie wirklich?.
Weitere Vergleiche rund um WordPress-Formulare finden Sie in meinem Beitrag Fluent Forms vs. WPForms vs. Gravity Forms, alle Tool-Vergleiche gesammelt in der Übersicht WordPress-Tool-Vergleiche 2026.
Wenn Sie Ihre eigene Seite absichern wollen, statt drei Anbieterseiten zu vergleichen, ist mein Online-Kurs der schnellere Weg: gemeinsam richten wir das passende Sicherheits-Setup für Ihr konkretes Projekt ein — inklusive 2FA, Backup-Strategie und Firewall-Konfiguration. → Zum Online-Kurs
Bildquelle Featured & Inline: eigens erstellte Illustrationen im pletzenauer-Design (keine Stock-Fotos).
Tags
