Wordfence vs. Sucuri: Endpoint- oder Cloud-Firewall, und was jede dir überlässt

Wordfence vs. Sucuri: die kurze Antwort

Beide sind Sicherheitsprodukte für Websites, aber sie schützen an unterschiedlichen Stellen. Wordfence ist ein WordPress-Plugin: Firewall und Malware-Scanner laufen auf deinem Server, in WordPress, und prüfen jede Anfrage, nachdem sie angekommen ist. Sucuris bezahlte Plattform ist ein Dienst, den du per DNS-Änderung vor deine Website schaltest: Der Traffic deiner Besucher läuft zuerst durch Sucuris Netzwerk, und nur die Anfragen, die es durchlässt, erreichen deinen Server.

Dieser eine Unterschied erklärt fast alles andere: was jedes Produkt sieht, was es kostet und was du weiterhin selbst erledigen musst. Die Tabelle unten fasst es zusammen, die folgenden Abschnitte erklären, wie beide funktionieren.

So funktioniert Wordfence

Wordfence bezeichnet seine Firewall als Endpoint-Firewall: Sie läuft auf dem Server, eng mit WordPress verbunden, und laut Wordfence bricht sie anders als Cloud-Lösungen keine Verschlüsselung auf und lässt sich nicht umgehen. Zum selben Plugin gehört ein Malware-Scanner, der WordPress-Core, Themes und Plugins mit den Originalen auf WordPress.org vergleicht und nach Malware, Backdoors, SEO-Spam, schädlichen Weiterleitungen und eingeschleustem Code sucht. Dazu kommen Login-Schutz (Zwei-Faktor-Authentifizierung und Passkeys), Schutz vor Brute-Force-Angriffen und Warnungen zu verwundbaren Plugins und Themes, auch zu solchen, die auf WordPress.org geschlossen oder aufgegeben wurden.

Das kostenlose Plugin bietet all das, mit einem Haken: Neue Firewall-Regeln und Malware-Signaturen kommen bei kostenlosen Seiten 30 Tage später an als bei zahlenden Kunden, und geplante Scans laufen alle 3 Tage. Premium hebt die Verzögerung auf und ergänzt eine Echtzeit-Blockliste bekannter Angreifer-IPs sowie Länder-Sperren. Care und Response bringen Menschen ins Spiel: Das Wordfence-Team installiert und konfiguriert das Plugin, überwacht die Website und bereinigt und stellt sie nach einem Vorfall wieder her. Wordfence Central, ein Dashboard für viele Websites, ist für beliebig viele Seiten kostenlos.

Jede Plugin-Installation braucht eine eigene Lizenz. Eine Premium-Lizenz gilt zusätzlich für die Staging- und Entwicklungskopien derselben Website.

So funktioniert Sucuri

Sucuris Firewall ist ein Cloud-Dienst. Du aktivierst sie, indem du deine DNS-Einträge änderst, sodass Besucher zuerst bei Sucuris Servern landen. Dort prüft Sucuri den HTTP- und HTTPS-Traffic, blockt schädliche Anfragen, bevor sie deinen Server erreichen, wehrt DDoS-Angriffe auf den Ebenen 3, 4 und 7 ab und kann deine Seiten im eigenen CDN cachen. Mit virtuellem Patching schirmt sie außerdem veraltete Software ab, bis du sie aktualisierst. Weil sie vor dem Server arbeitet, hängt sie nicht von WordPress ab: Sucuri unterstützt jedes CMS und jedes Hosting.

Die Pläne der Website Security Platform kombinieren diese Firewall und das CDN mit Malware-Scans (je nach Plan alle 12 Stunden, 6 Stunden oder 30 Minuten), Blocklisten-Überwachung samt Entfernung und unbegrenzten Bereinigungen nach Malware und Hacks durch Sucuris Team, mit einer zugesagten Reaktionszeit von 30, 12 oder 6 Stunden.

Daneben gibt es ein kostenloses Sucuri-Plugin für WordPress mit Sicherheits-Protokoll, Dateiintegritäts-Überwachung, Blocklisten-Überwachung, Härtung und einem Remote-Malware-Scan. Die Firewall gehört nicht dazu. Der Remote-Scan nutzt SiteCheck, Sucuris kostenlosen Scanner, der sich ansieht, was ein Browser sieht: Laut Sucuri erkennt er nichts auf der Serverseite.

Was beide erkennen, und was sie dir überlassen

Wordfence sieht in WordPress hinein. Sein Scanner liest die Dateien auf dem Server und findet so auch eine veränderte Core-Datei oder eine Backdoor, die auf keiner öffentlichen Seite auftaucht, und seine Firewall weiß, welcher Nutzer eingeloggt ist. Die Kehrseite desselben Designs: Jede Anfrage, auch Angriffs-Traffic, erreicht weiterhin deinen Server und wird dort verarbeitet. Und das kostenlose Plugin wehrt neue Angriffe mit Regeln ab, die 30 Tage alt sind, solange du nicht für Premium zahlst.

Sucuri stoppt Traffic, bevor dein Server sich darum kümmern muss. Genau das willst du bei Anfrage-Fluten und DDoS-Angriffen, und das CDN kann die Website schneller machen. Nutzt du nur das kostenlose Plugin, gibt es allerdings keine Firewall, und sein Malware-Scan sieht nur, was SiteCheck von außen sieht. Der Schutz auf Serverseite kommt mit der bezahlten Plattform.

Zwei Dinge gehören bei beiden nicht zur Aufgabe. Ein Sicherheits-Plugin kann nicht für sich selbst bürgen: Wird es abgeschaltet oder geht es kaputt, enden auch die Warnungen, die es geschickt hätte. Und keines der beiden ist dafür gebaut, dir zu sagen, ob Checkout, Login oder Kontaktformular für Besucher noch funktionieren. Dafür ist ein separater Monitor da, mehr dazu am Ende.

Preise, Stand Oktober 2026

Wordfence (pro Website und Jahr): Free 0 $, Premium 149 $, Care 590 $, Response 1.250 $. Premium ist Selbstbedienung: Du bekommst Regeln und Signaturen in Echtzeit und Ticket-Support, aber keine Bereinigung. Care und Response enthalten die Bereinigung nach einem Vorfall; Response ergänzt Incident Response rund um die Uhr an 365 Tagen mit einer Reaktionszeit von einer Stunde.

Sucuri (pro Website und Jahr): Basic Platform 229 $, Pro Platform 339 $, Business Platform 549 $, jeweils mit Firewall, CDN und unbegrenzten Bereinigungen. Junior Dev deckt 5 Websites für 999,98 $ im Jahr ab. Wenn du nur Firewall und CDN willst, verkauft Sucuri sie pro Monat: 9,99 $ (Basic) oder 19,98 $ (Pro) pro Website.

Direkt verglichen: Der günstigste bezahlte Plan ist bei Wordfence Premium für 149 $ im Jahr, bei Sucuri die Basic Platform für 229 $ im Jahr, aber in Sucuris Preis steckt die Bereinigung, in Wordfence Premium nicht. Mit Bereinigung auf beiden Seiten stehen sich Wordfence Care für 590 $ und Sucuri Basic für 229 $ gegenüber; Care umfasst zusätzlich Installation, Konfiguration und ein jährliches Sicherheits-Audit durch das Wordfence-Team. Die Preise stammen von den Preisseiten der Anbieter im Oktober 2026; prüfe sie vor dem Kauf.

Wann du was nehmen solltest

Nimm Wordfence Free, wenn deine Website klein ist, du sie selbst betreust und Plugins zügig aktualisierst: Von beiden ist es das umfassendere kostenlose Plugin. Nimm Wordfence Premium, wenn neue Regeln und Signaturen am Tag ihrer Veröffentlichung ankommen sollen. Nimm Wordfence Care oder Response, wenn das Wordfence-Team die Website für dich einrichten, beobachten und bereinigen soll.

Nimm Sucuri, wenn Angriffe und DDoS gestoppt werden sollen, bevor sie deinen Server erreichen, du ein CDN im selben Produkt willst, deine Website nicht auf WordPress läuft oder du unbegrenzte Bereinigungen günstiger als mit Wordfence Care willst. Für die Einrichtung änderst du deine DNS-Einträge, also stell sicher, dass du das kannst.

Nimm für diese Aufgabe nicht Relvato. Wenn Angriffe geblockt oder eine gehackte Website bereinigt werden muss, wähle zuerst eines dieser beiden Produkte: Relvato blockt keinen Traffic und entfernt keine Malware.

Beide zusammen einsetzen

Weil sie auf unterschiedlichen Ebenen schützen, lassen sich beide kombinieren: Sucuris Firewall vor dem Server, Wordfence in WordPress. Wenn du das machst, leg fest, welches Produkt welche Aufgabe übernimmt, damit du nicht doppelt für denselben Scan zahlst oder dieselbe Einstellung von zwei Plugins härten lässt.

Egal, wofür du dich entscheidest: Die Grundlagen erledigen den größten Teil der Arbeit. Aktualisiere Plugins und Themes zügig, entferne, was du nicht nutzt, schütze Admin-Konten mit Zwei-Faktor-Authentifizierung und halte ein aktuelles Backup außerhalb des Servers bereit. Unsere Checkliste für gehackte WordPress-Seiten zeigt, was zu tun ist, wenn trotzdem etwas durchkommt.

Wo Relvato ins Spiel kommt

Relvato ist eine Monitoring-Plattform, keine Firewall. Sie überwacht deine Live-Website von außen und, mit dem kostenlosen Relvato-Plugin, aus WordPress heraus und warnt dich, wenn sich etwas ändert, das sich nicht ändern sollte. Von außen, ganz ohne Plugin, sucht sie nach Anzeichen eines Hacks (Spam-Seiten, Weiterleitungen, die nur Google oder Besucher von Google sehen, und Googles Liste unsicherer Websites), nach neuen Drittanbieter-Skripten auf deinen Seiten und nach offenen Türen wie erreichbaren Backup-Dateien oder einem offenen XML-RPC (Exposure-Scan). Mit dem Plugin kommen Dateiintegrität anhand offizieller Prüfsummen, Änderungen an Theme-Dateien, neue oder versteckte Administratoren und der Schwachstellen-Monitor dazu.

Offenlegung: Der Schwachstellen-Monitor nutzt die Schwachstellendaten von Wordfence Intelligence, die Wordfence kostenlos für private und kommerzielle Zwecke anbietet, optional ergänzt um WPScan. Deshalb ist er sich mit Wordfence auch einig, welche Plugin-Versionen verwundbar sind.

Im Free-Plan bekommst du jeden dieser Monitore für eine Website: Du klickst auf „Run“, oder sie laufen nach einem wöchentlichen Zeitplan, mit Warnungen in der App und einer E-Mail pro Monat, wenn ein Monitor zum ersten Mal ein Problem findet. Pro (29 $ im Monat) führt sie nach jedem Plugin-, Theme- oder Core-Update erneut aus, lässt sie täglich laufen, alarmiert per E-Mail, Slack, Teams, Discord und Webhook und ergänzt den Quarantäne-Modus: 48 Stunden genaue Beobachtung nach einer Bereinigung. Business ergänzt stündliche Läufe. Relvato sagt dir, dass sich etwas geändert hat; reparieren musst du es selbst, dein Hoster oder ein Bereinigungsdienst wie Wordfence Care oder Sucuri.