FAQ
27. Mai 2026
Viele WordPress Webseiten nutzen Sicherheitsplugins wie Wordfence, NinjaFirewall oder ähnliche Lösungen. Diese Plugins enthalten häufig eine Web Application Firewall, kurz WAF. Eine solche Firewall soll schädliche Anfragen möglichst früh erkennen und blockieren. Damit eine WordPress Firewall ihren vollständigen Schutz entfalten kann, muss sie idealerweise vor WordPress selbst geladen werden. Dafür nutzen viele Sicherheitsplugins die PHP Direktive auto_prepend_file. Diese sorgt dafür, dass eine bestimmte PHP Datei automatisch vor dem eigentlichen WordPress Code ausgeführt wird. Durch die Umstellung auf PHP-FPM und die Auswertung der . user. ini kann es sinnvoll sein, den Status der eigenen WordPress Firewall einmal zu prüfen. Besonders wichtig ist das, wenn Wordfence, NinjaFirewall oder ein vergleichbares Sicherheitsplugin bereits vor längerer Zeit eingerichtet wurde. Wie prüfe ich WordPress Sicherheitsplugins wie Wordfence oder NinjaFirewall nach der PHP-FPM Umstellung? Prüfen Sie nach der Umstellung auf PHP-FPM, ob Ihre WordPress Firewall wirklich vorgelagert aktiv ist. Das bedeutet, dass die Firewall bereits geladen wird, bevor WordPress selbst ausgeführt wird. Das ist besonders wichtig bei Sicherheitsplugins mit Web Application Firewall, zum Beispiel: WordfenceNinjaFirewallvergleichbaren WordPress Sicherheitsplugins mit WAF FunktionDer zentrale technische Punkt ist die PHP Direktive auto_prepend_file. Ist diese korrekt gesetzt, wird die Firewall Datei automatisch vor WordPress geladen. Ist sie nicht gesetzt oder zeigt sie auf einen falschen Pfad, läuft die Firewall möglicherweise nur eingeschränkt. Warum ist auto_prepend_file für WordPress Firewalls wichtig? auto_prepend_file ist eine PHP Einstellung. Sie gibt an, welche Datei automatisch vor der eigentlichen PHP Anwendung geladen wird. Bei WordPress Sicherheitsplugins wird darüber häufig die Firewall Datei eingebunden. Dadurch kann die Firewall Anfragen prüfen, bevor WordPress, Themes oder Plugins ausgeführt werden. Das bietet einen besseren Schutz, weil verdächtige Zugriffe früher erkannt werden können. Ohne diese vorgelagerte Einbindung greift die Firewall oft erst, nachdem WordPress bereits gestartet wurde. Was hat sich durch PHP-FPM geändert? Bei älteren PHP Ausführungen wurden bestimmte PHP Einstellungen teilweise in der . htaccess hinterlegt. Unter PHP-FPM werden PHP Einstellungen in der Regel über die . user. ini oder über zentrale PHP Konfigurationen ausgewertet. Wenn ein Sicherheitsplugin früher eine Einstellung wie auto_prepend_file in der . htaccess hinterlegt hat, diese aber nicht vollständig wirksam war, konnte das unbemerkt bleiben. Es erschien nicht zwingend eine sichtbare Fehlermeldung. Die Firewall war dann zwar aktiv, aber eventuell nicht mit dem höchsten Schutzniveau. Durch die Nutzung von PHP-FPM und die korrekte Auswertung der . user. ini kann diese Einstellung nun zuverlässig greifen. Genau deshalb ist jetzt ein guter Zeitpunkt, die Firewall Konfiguration einmal zu kontrollieren. Wie prüfe ich den Status bei Wordfence? Öffnen Sie Ihr WordPress Dashboard und gehen Sie wie folgt vor: Melden Sie sich im WordPress Admin Bereich an. Öffnen Sie den Menüpunkt „Wordfence“. Wechseln Sie in den Bereich „Firewall“. Prüfen Sie den angezeigten Schutzstatus. Bei Wordfence sind besonders diese Angaben wichtig: Extended ProtectionDie Wordfence Firewall ist vorgelagert aktiv. Das ist der empfohlene Schutzmodus, weil die Firewall vor WordPress geladen wird. Basic ProtectionDie Wordfence Firewall ist aktiv, greift aber erst später im Ablauf. WordPress wird dabei bereits geladen, bevor die Firewall vollständig arbeiten kann. Wenn bei Ihnen „Basic Protection“ angezeigt wird, sollten Sie die Optimierung der Wordfence Firewall über die Plugin Oberfläche abschließen.
Wie prüfe ich den Status bei NinjaFirewall? Bei NinjaFirewall können Sie den Status über die Plugin Oberfläche und über eine PHP Information prüfen. Gehen Sie dafür wie folgt vor: Melden Sie sich im WordPress Admin Bereich an. Klicken Sie links in der Navigation auf "NinjaFirewall". Im Plugin-Dashboard finden Sie nun unter "Mode" den Button " Activate Full WAF mode". Öffnen Sie Ihre info. php-Datei und suchen dort nach auto_prepend_file. Wenn auto_prepend_file korrekt gesetzt ist, sollte dort ein Pfad zur Firewall Datei von NinjaFirewall stehen. Ist das Feld leer, wird aktuell keine vorgelagerte Firewall Datei über auto_prepend_file geladen. Hinweis: Manchmal kann es bis zu 5 Minuten dauern, bis die Einstellung greift. Wie prüfe ich auto_prepend_file allgemein über phpinfo? Wenn Sie unabhängig vom Plugin prüfen möchten, ob eine vorgelagerte Firewall Datei geladen wird, können Sie eine phpinfo Ausgabe verwenden. Suchen Sie dort nach:
Wichtig ist, dass der eingetragene Pfad wirklich zur Firewall Datei des verwendeten Sicherheitsplugins gehört. Was sollte ich tun, wenn auto_prepend_file leer ist? Wenn auto_prepend_file leer ist, ist das kein Grund zur Panik. Es bedeutet zunächst nur, dass aktuell keine Datei automatisch vor WordPress geladen wird. Prüfen Sie dann im jeweiligen Sicherheitsplugin, ob eine Optimierung oder Aktivierung der erweiterten Firewall angeboten wird. Bei Wordfence finden Sie die entsprechende Funktion im Bereich „Firewall“. Bei NinjaFirewall finden Sie die Hinweise direkt im Firewall Bereich des Plugins. Die Hersteller stellen in der Regel eine Schritt für Schritt Anleitung direkt innerhalb der Plugin Oberfläche bereit. Folgen Sie dieser Anleitung und prüfen Sie anschließend erneut, ob auto_prepend_file korrekt gesetzt wurde. Was bedeutet es, wenn Wordfence nur Basic Protection anzeigt? „Basic Protection“ bedeutet, dass Wordfence aktiv ist, aber nicht im optimalen vorgelagerten Modus läuft. In diesem Zustand wird WordPress bereits geladen, bevor die Firewall vollständig greift. Für viele einfache Schutzfunktionen kann das weiterhin funktionieren. Der stärkere Schutz wird jedoch erst mit „Extended Protection“ erreicht. Wenn Sie „Basic Protection“ sehen, sollten Sie die Wordfence Firewall Optimierung abschließen. Kann eine falsche auto_prepend_file Einstellung Probleme verursachen? Ja. Wenn auto_prepend_file auf eine Datei verweist, die nicht mehr existiert oder verschoben wurde, kann dies zu PHP Fehlern führen. In manchen Fällen kann die Webseite dann nicht mehr korrekt laden. Typische Ursachen sind: das Sicherheitsplugin wurde gelöschtdie Firewall Datei wurde verschobender Pfad wurde durch einen Umzug der Webseite ungültigdie . user. ini enthält noch einen alten Eintragmehrere Sicherheitsplugins überschreiben sich gegenseitigPrüfen Sie deshalb immer, ob der eingetragene Pfad tatsächlich existiert und zum aktuell verwendeten Sicherheitsplugin gehört. Sollte ich mehrere WordPress Firewalls gleichzeitig verwenden? Nein, denn in der Regel sollten Sie nicht mehrere WordPress Firewalls mit vorgelagerter WAF Funktion gleichzeitig verwenden. Der Grund: Über auto_prepend_file kann nur eine Datei automatisch vor der Anwendung geladen werden. Wenn mehrere Sicherheitsplugins versuchen, diese Einstellung zu verwenden, kann es zu Konflikten kommen. Nutzen Sie daher möglichst nur eine zentrale Web Application Firewall (WAF) für Ihre WordPress Installation und richten Sie diese sauber ein. Wir hoffen, Ihnen konnte dieser Artikel weiterhelfen! 😊Sollte dies nicht der Fall sein, wenden Sie sich gerne an den Support per Mail, Live-Chat oder Telefon. Mehr Infos und Kontaktdaten unter: www. webgo. de/support➡️ Für Verbesserungen oder Vorschläge von FAQ Themen schicken Sie uns eine Mail an faq@webgo. de