Was seit etwa 15 Jahren als Grundregel für die Auswahl von sicheren Passworten gehalten wurde, ist nun endlich überarbeitet worden: möglichst Sonderzeichen, gemischte Groß- und Kleinschreibung sowie Zahlen sollte man verwenden, das Passwort möglichst alle 90 Tage ändern – so stand es in einer Richtline des National Institute of Standards and Technology (NIST). Bill Burr, der Erfinder dieser Richtlinien hat sich letztens dafür entschuldigt. Die Regeln des NIST (PDF) wurden letztens grundlegend überarbeitet. Keine Rede mehr von Sonderzeichen: längere, leicht zu merkende Phrasen sind offenbar sicherer, am besten mehrere Worte, die im normalen Sprachgebrauch nicht gemeinsam verwendet werden.

Der Grund: nach heutigem Stand der Technik kann ein Passwort mit 7 Stellen wie cFgHzTs in maximal etwa 8 Minuten erraten werden (und keine Sau kann sich das sinnvoll merken!) – bei WordPressIstFlauschig dauert das 16.044.779.517.127.800.000 Jahre(!) und Du hast es dir bereits gemerkt ;-)
Drüben bei 1pw.de gibts eine vollständige Zusammenstellung über den Zusammenhang zwischen Passwortlänge und maximal benötigter Zeit, die ein aktueller PC braucht, um das Passwort zu erraten.

Weiterhin sollte man allerdings nicht dasselbe Passwort für verschiedene Dienste verwenden(!!!) – wenn das Passwort in falsche Hände gerät oder die Datenbank EINES Anbieters gehackt wird, hat man sonst ein massives Problem! Um sich die verschiedenen Passworte zu merken, ist ein Passwortmanager sehr empfehlenswert. Ich verwende seit Jahren Lastpass und bin sehr zufrieden damit!

Dieser xkcd-Comic hat diese „neue“ Erkenntnis schon vor einigen Jahren thematisiert – „wir haben uns 20 Jahre lang angewöhnt, Passworte zu verwenden, die für Menschen schwer zu merken, aber für Computer einfach zu knacken sind“:

Update mit Hintergrundinformation: in diesem Video wird sehr gut erklärt und eindrucksvoll demonstriert, wie Passworte aus einer gehackten Datenbank ausgelesen werden können, obwohl sie dort üblicherweise verschlüsselt gespeichert sind – und wie das für das Knacken weiterer Datenbanken helfen kann (danke an Franz Strohmeier für den Hinweis!):

Einstieg:

• WordPress-Download deutsche Version
• Installationsanleitung
• Das WordPress-Handbuch für Admins & Webmaster sowie Anleitung für Autoren und Redakteure von perun.net sind Standards. Nicht kostenlos, aber gut angelegtes Geld.
• Unterschied WordPress.com vs. WordPress.org (Plattform vs. selbstgehostetes Blog)
• Texto.de – Infosammlung zu WP auf Deutsch
• WordPress Codex: umfassende Doku für Entwickler, dort findet man echt ALLES. Allerdings für Profis.

Sicherheit:

• WordPress installieren und sicherer machen – empfehlenswerte Tipps, wie man die Grundinstallation absichert.
• Checkliste: WordPress sicherer machen
• Sicherheit  in WordPress: 10 Schritte zum Absichern des Adminbereichs

Empfehlenswerte Provider in AT, um eigene WordPress-Website zu betreiben:

• Easyserver
• World4you

Vorlagen (Themes) und Vorlagensysteme:

• WordPress.org-Themes – kostenlose Vorlagen, meist frei von Schadcode
• Genesis-Theme – Vorlagensystem, Websites haben immer gleichen technischen Aufbau und werden oft nur durch Änderung des Stylesheets angepasst. Sehr leistungsfähig, gute SEO-Möglichkeiten, viele gute Child-Themes verfügbar. Nachteil: kostenpflichtig, zahlt sich aber aus. Mein Favorit als technische Basis.
• Why you should never search for free WordPress Themes – leider findet sich in vielen verfügbaren kostenlosen Themes Schadcode. Prüfung auf Schadcode z.b. mit Plugin WPantivirus

Mobile Websites / Responsive Designs

Entweder mit Anpassung des eigenen Themes oder via Plugin möglich. Gutes Plugin für mobile Website z.b. WordPress Mobile Pack. Anpassung der eigenen Seitenvorlage z.B. sehr einfach, wenn die Basis Genesis ist: How to mobilize your Genesis theme in less than an hour

Plugins -Grundausstattung für jede WP-Installation:

• Antispam Bee – gegen Kommentarspam, leistungsfähiger als das serienmäßige Akismet (das ich daher deaktiviere).
• Antivirus – verhindert Schadcode in Vorlagendateien
• Bad Behavior – sperrt bekannten Spambots den Zugriff auf die Website, noch bevor diese versuchen können, Spamkommentare zu hinterlassen.
• Limit Login Attempts – limitiert die Anzahl der Loginversuche von einer Adresse. Daher kann der Admin-Zugang nicht einfach durch Ausprobieren herausgefunden werden.
• WordPress Database Backup – alt, aber gut: Backup der WordPress-Datenbank innerhalb des Admin-Bereichs, lässt sich auch automatisieren (z.b. tägliches Backup mit Mailversand)
• WordPress Backup – automatisiertes Backup von Plugins, Theme und Uploads.
• TinyMCE Advanced: erweitert den grafischen Editor von WordPress um verschiedene Buttons, weiters lassen sich die verfügbaren Buttons anpassen. Ich deaktiviere damit z.b. für Kunden meist Schriftart, Schriftfarbe, Hintergrundfarbe.

Plugins für spezielle Zwecke – meine Favoriten:

• WordPress Multilanguage – DAS Plugin, um mehrsprachige Websites mit WordPress zu betreiben. Pro-Version kostenpflichtig.
• Events Manager – Verwaltungs- und Buchungssystem für Veranstaltungen. Pro-Version kostenpflichtig.
• NextGen Gallery – Fotogalerie mit umfangreichen Funktionen. Empfehlenswert für jede „bildlastige“ Website. Kostenlos!
• Types – benutzerdefinierte Beitragstypen erstellen, um beliebigen Content zu verwalten.
• Wysija – leistungsfähiges Newsletter-Plugin, Pro-Version kostenpflichtig.
• MapsMarker – einfach Landkarten mit Markern erstellen.
• Gravity Forms – Formulare mit vielen Funktionen erstellen. Kostenpflichtig, aber definitiv das beste Formularplugin am Markt.
• All in One SEO – bietet verschiedenste Optionen zur Verbesserung der Suchmaschinentauglichkeit der Website
• Google XMl  Sitemap – erstellt automatisiert eine Sitemap für Google. Verbessert Suchmaschinentauglichkeit.

Hab ich etwas vergessen? Hinweise, Anregungen und Ergänzungen bitte in die Kommentare (oder frag mich direkt)!

Der Tipp der Expertin: man sollte nur Themes aus zuverlässigen Quellen verwenden. Beispielsweise kann man auf diesen  Websites fündig werden:

• Theme Shaper
• ThemeLab
• Theme Hybrid
• Arras Theme
• Smashing Magazine

Mit den folgenden Plugins kann man Themes auf möglichen Schadcode prüfen:

• Theme Authenticity Checker
• Exploit Scanner
• Theme Check

Wenn man base64-codierte Zeilen in einem Theme entdeckt hat, kann man diese mit folgenden Tools decodieren:

• $o= Ottoâ€s decoder
• $_F=__FILE__:
• eval(gzinflate(base64_decode('...')));:
• eval(str_rot13(' ... '));
• Other codes
• Manual base64 decode

Eine sichere Quelle für dein persönliches WordPress-Theme ist die EGM-Website-Werkstatt. Denn meine Vorlagendateien sind zwar nicht kostenlos, dafür sind sie auf dich oder deine Firma maßgeschneidert und enthalten keinerlei Schadcode. Garantiert :-)

• praegnanz.de: 3 zusammenhangslose Gedanken zum Webdesign -insbesondere dem Abstandstipp kann ich nur zustimmmen
• JQuery File Upload Plugin Script – Demo – Uploadify -wie man mit Jquery einen Flash-Uploader in Formulare einbinden kann
• The TTFTitles WordPress Plugin – Titel in WordPress in beliebigen Schriftarten darstellen
• Small Security Tipps for your WordPress Install – Wie man eine WordPress-Installation absichert

• PHPBuilder.com: PHP Filters – an important security feature – Artikel über php-Filter zur Validierung von Eingaben
• Turn any webform into a powerful wizard with jQuery (FormToWizard plugin) – Webformulare mit jQuery in mehrere Schritte unterteilen
• Showcase: Kontakt-Formulare von Portfolio Sites | Dr. Web Magazin – Ideensammlung für Kontakt-Formulare auf Websites
• Realtime Related Tweets Bar: Another jQuery Plugin – Twitter-Feeds in Echtzeit in Websites einbinden
• bassistance.de » jQuery plugin: Validation – jQuery-Plugin zum Validieren von HTML-Formularen

• Michael Jackson’s Regret – Warum Jacko die falsche Wahl traf
• 12 Essential Security Tips and Hacks for WordPress – Sicherheitstipps für WordPress
• Save Firefox Bookmark Searches to Create Dynamic Folders – Suchläufe in den Lesezeichen von Firefox kann man speichern. So lassen sich dynamische Lesezeichen-Ordner erstellen