Wer einmal in das Zugriffsprotokoll einer WordPress-Seite schaut, staunt meist: Auf den WordPress-Login prasseln täglich Versuche aus aller Welt. Fast immer stecken automatisierte Programme dahinter, die gängige Benutzernamen und Passwörter durchprobieren. Gegen gut geschützte Zugänge haben sie keine Chance.
1. Passwörter, die niemand errät
Ein sicheres Passwort ist lang, zufällig und wird nirgendwo sonst verwendet. Das Letzte ist der wichtigste Punkt: Wird irgendein Dienst gehackt, probieren Angreifer die erbeuteten Zugangsdaten auch bei anderen Websites aus.
Niemand kann sich dutzende solcher Passwörter merken. Das muss auch niemand. Ein Passwort-Manager erzeugt sie, speichert sie verschlüsselt und füllt sie beim Anmelden automatisch aus.
2. Zwei-Faktor-Anmeldung
Bei der Zwei-Faktor-Anmeldung reicht das Passwort allein nicht. Zusätzlich wird ein zweiter Nachweis verlangt, meist ein sechsstelliger Code aus einer App auf dem Smartphone, der alle 30 Sekunden wechselt. Selbst wer das Passwort kennt, kommt ohne das Handy nicht hinein.
- Pflicht für alle Konten mit Administrator- oder Redaktionsrechten
- Code aus einer Authenticator-App statt per SMS
- Wiederherstellungscodes sicher aufbewahren, zum Beispiel im Passwort-Manager
Alltagstauglich: Moderne Lösungen merken sich vertrauenswürdige Geräte für eine Weile. Die Zwei-Faktor-Abfrage kommt dann nicht bei jeder Anmeldung, sondern vor allem auf neuen Geräten.
3. Anmeldeversuche begrenzen
Nach einigen falschen Versuchen sollte eine Adresse für eine Weile gesperrt werden. Das bremst automatisiertes Durchprobieren drastisch aus. Diese Begrenzung kann eine Firewall auf dem Server oder ein schlankes Plugin übernehmen.
4. Benutzernamen nicht verraten
WordPress gibt Benutzernamen an manchen Stellen preis, etwa über Autorenseiten oder die Schnittstelle der Website. Angreifer müssen dann nur noch das Passwort erraten. Diese Stellen lassen sich abschalten oder umleiten. Das ist kein Ersatz für ein gutes Passwort, aber eine zusätzliche Hürde.
5. Rollen statt Admin für alle
Wer nur Beiträge schreibt, braucht keine Administratorrechte. Mit den passenden Rollen bleibt der Schaden klein, falls ein Konto doch einmal übernommen wird.
Was ich eher nicht empfehle
Die Anmeldeseite auf eine „geheime“ Adresse zu verschieben, hält manche automatisierten Programme ab, ist aber keine echte Sicherheit und sorgt im Alltag manchmal für ausgesperrte Redakteure. Starke Passwörter, Zwei-Faktor-Anmeldung und begrenzte Versuche wirken deutlich zuverlässiger.
Drei Dinge, die den WordPress-Login wirklich schützen
Ein gut geschützter WordPress-Login braucht drei Dinge: einzigartige Passwörter aus dem Passwort-Manager, eine Zwei-Faktor-Anmeldung und begrenzte Anmeldeversuche. Wenn Sie das für Ihre Website einrichten möchten, finden Sie auf der Seite Sicherheit mehr dazu.
