Um die WordPress-Anmeldeseite abzusichern, kombinierst du sieben Schutzmaßnahmen in dieser Reihenfolge: lange, einmalige Passwörter, Zwei-Faktor-Authentifizierung für alle Konten, die veröffentlichen oder verwalten, eine Begrenzung der Anmeldeversuche, eine Anmeldeadresse, die nicht mehr wp-login.php lautet, deaktiviertes XML-RPC, Benutzernamen, die niemand erraten kann, und schließlich ein Anmeldeprotokoll. Jede Maßnahme stoppt einen anderen Angriff; keine reicht allein. Dieser Leitfaden zeigt dir die Prioritäten, die passenden Einstellungen für jede Art von Website und wie du dich nicht selbst aussperrst.
Jeder Maßnahme haben wir bereits einen eigenen Artikel gewidmet. Dieser hier ist der Überblick: womit du anfängst, was du kombinierst und was du je nach Website weglassen kannst.
Warum die Anmeldung die meistangegriffene Tür ist
Das Anmeldeformular ist auf allen WordPress-Websites gleich, unter derselben Adresse, und WordPress begrenzt die Zahl der Versuche standardmäßig nicht. Ein Brute-Force-Bot muss also nichts recherchieren: Er schickt Kombinationen aus Benutzername und Passwort aus Wörterbüchern oder Datenlecks, tausendfach am Tag. Er hat es nicht speziell auf deine Website abgesehen, sondern auf alle.
Die Anmeldung hat nicht nur eine Tür. Hier sind die Eingänge, die Bots ausprobieren, und die Gegenmaßnahme, die jeden davon schließt:
| Eingang | Was der Bot versucht | Wichtigste Gegenmaßnahme |
|---|---|---|
wp-login.php | Passwortversuche am laufenden Band | Begrenzung der Versuche, 2FA, verlegte Adresse |
xmlrpc.php | Hunderte Versuche pro Anfrage (system.multicall) | XML-RPC abschalten |
/?author=1, /wp-json/wp/v2/users | Benutzernamen abgreifen | Autoren verbergen |
| Passwort vergessen | Postfächer fluten, E-Mail-Adressen testen | Begrenzung, verlegte Adresse |
| Anwendungspasswörter | 2FA über die API umgehen | Deaktivieren, wenn du sie nicht brauchst |
Die sieben Maßnahmen nach Priorität
Die Reihenfolge richtet sich nach dem Verhältnis von Aufwand zu vermiedenem Risiko. Die ersten beiden schützen sogar vor einem Angreifer, der deine Anmeldeadresse und deinen Benutzernamen kennt; die übrigen senken die Zahl der Angriffe und das, was Bots über deine Website erfahren.
| Maßnahme | Stoppt | Aufwand | Priorität |
|---|---|---|---|
| Lange, einmalige Passwörter | Wörterbücher, Datenlecks | Gering | 1 |
| Zwei-Faktor-Authentifizierung | Gestohlenes oder erratenes Passwort | Mittel | 1 |
| Begrenzung der Versuche | Wiederholte Brute Force | Gering | 2 |
| Verlegte Anmeldeadresse | Generische Bots, Rauschen | Gering | 2 |
| XML-RPC abgeschaltet | Gebündelte Versuche | Gering | 2 |
| Verborgene Benutzernamen | Ausspähen der Konten | Gering | 3 |
| Anmeldeprotokoll | Unbemerkte Angriffe | Gering | 3 |
1. Lange, einmalige und nie wiederverwendete Passwörter
Das NIST verlangt in seiner 2025 überarbeiteten Richtlinie SP 800-63B mindestens 15 Zeichen für ein Passwort, das allein verwendet wird, keine erzwungenen Zusammensetzungsregeln und einen Abgleich mit Listen bereits geleakter Passwörter. Die eigentliche Gefahr ist die Wiederverwendung: Ein Passwort, das anderswo durchgesickert ist, wird auf deiner Website ausprobiert, das ist Credential Stuffing. Ein Passwortmanager löst das Problem für das ganze Team. Seit WordPress 6.8 werden Passwörter mit bcrypt gespeichert. Das bremst einen Angreifer, der die Datenbank stiehlt, schützt aber kein schwaches Passwort, das ins Formular eingetippt wird.
2. Zwei-Faktor-Authentifizierung für sensible Konten
Mit einem Einmalcode aus einer App (TOTP) reicht ein gestohlenes Passwort nicht mehr. WordPress bringt das nicht mit: Du brauchst ein Plugin. Mach es für Administratoren und Redakteure verpflichtend, richte Backup-Codes ein und sei vorsichtig mit Codes per SMS oder E-Mail, die sich leichter abfangen lassen. Die Methoden im Detail, Passkeys inklusive, findest du in unserem Leitfaden, um die Zwei-Faktor-Authentifizierung auszuwählen und einzuführen.
3. Anmeldeversuche begrenzen
Eine IP-Adresse nach wenigen Fehlversuchen zu sperren, macht Brute Force zu langsam, um ans Ziel zu kommen. Die übliche Einstellung: 5 Fehlversuche in 15 Minuten, danach eine Sperre, die sich bei Wiederholung verlängert. Zwei Fallen: Hinter Cloudflare oder einem Proxy muss das Plugin die echte Adresse des Besuchers auslesen, sonst sperrt es alle aus; und eine Sperre nach Benutzername statt nach IP erlaubt es jedem, dein Konto zu blockieren. Schwellenwerte und Fehlalarme erklären wir in Anmeldeversuche begrenzen.
4. Die Anmeldeadresse verlegen
Wenn wp-login.php mit 404 antwortet, ziehen generische Bots zur nächsten Website weiter: weniger Last, lesbare Logs. Die Maßnahme schützt kein Konto, dessen Passwort geleakt wurde, sie senkt die Menge. Damit sie hält, darf /wp-admin/ anonyme Besucher nicht auf die neue Adresse umleiten, und die Anmeldeseite muss aus dem Cache herausbleiben. Die Fallstricke (WooCommerce, Passwort vergessen, Cache) findest du unter die wp-login.php-Adresse ändern.
5. XML-RPC und ungenutzte Zugänge schließen
xmlrpc.php nimmt Hunderte Passwortversuche in einer einzigen Anfrage an. Wenn du weder Jetpack noch eine ältere Publishing-App nutzt, schalte es komplett ab (siehe XML-RPC deaktivieren). Mach dieselbe Bestandsaufnahme bei den Anwendungspasswörtern: Sie öffnen die REST-API ohne Zwei-Faktor-Authentifizierung, nützlich für eine Integration, sonst überflüssig.
6. Benutzernamen nicht auf dem Silbertablett servieren
Standardmäßig leitet /?author=1 auf eine Adresse um, die den Benutzernamen des Autors enthält, die REST-API listet die Autoren auf, und die Fehlermeldung bei der Anmeldung verrät, ob ein Benutzername existiert. Ein Angreifer, der den Benutzernamen kennt, muss nur noch das Passwort erraten. Verwende einen Anmeldenamen, der sich vom angezeigten Namen unterscheidet, und verbirg die Autoren (siehe Benutzer-Enumeration verhindern).
7. Anmeldungen protokollieren
Ein Protokoll erfolgreicher und fehlgeschlagener Anmeldungen, mit IP-Adresse und Uhrzeit, zeigt dir, was die anderen Maßnahmen nicht aufgehalten haben: eine Administrator-Anmeldung um 3 Uhr nachts aus einem unbekannten Land, ein grundlos angelegtes Konto. Auf einer kleinen Website genügt eine E-Mail-Benachrichtigung bei jeder Administrator-Anmeldung.
Der Weg eines Anmeldeversuchs
Jede Schicht stoppt einen anderen Angreifertyp. Die Animation begleitet drei Besucher: einen generischen Bot, einen Angreifer, der die neue Adresse kennt, und dich.
Welche Konfiguration für welche Website?
Nicht jede Maßnahme wiegt auf jeder Website gleich schwer. Fang mit der Zeile an, die zu dir passt:
| Art der Website | Unverzichtbar | Empfohlen | Achte auf |
|---|---|---|---|
| Blog, ein einziger Administrator | Einmaliges Passwort, 2FA | Verlegte Adresse, XML-RPC aus | Backup-Codes aufbewahren |
| Firmenwebsite, mehrere Autoren | 2FA-Pflicht je Rolle, Begrenzung | Anmeldeprotokoll, verborgene Autoren | Konten ehemaliger Dienstleister |
| WooCommerce-Shop | 2FA fürs Team, Begrenzung | Verlegte Admin-Anmeldung | Die Kundenanmeldung unter „Mein Konto“ bleibt öffentlich |
| Agentur, viele Websites | 2FA, Begrenzung, persönliche Konten | Dieselbe Einstellung auf alle Websites exportiert | Keine geteilten Benutzernamen unter Kollegen |
Die Fehler, mit denen du dich aussperrst
- Die neue Adresse vergessen: Speichere sie vor dem Aktivieren in deinem Passwortmanager und teste sie in einem privaten Fenster.
- Das 2FA-Handy verlieren, ohne Backup-Codes zu haben: Drucke sie aus oder lege sie im Team-Tresor ab.
- Sich selbst sperren durch die Begrenzung hinter einem falsch konfigurierten Proxy: Prüfe im Protokoll, ob die erfasste Adresse wirklich deine ist.
- Die Anmeldeseite cachen: Das Formular-Token läuft ab und niemand kann sich mehr anmelden. Nimm sie von jeder Cache-Regel aus.
- Zwei Plugins stapeln, die die Anmeldung verlegen oder Versuche begrenzen: Sie widersprechen sich. Ein Plugin pro Funktion.
Halte dir immer einen Notausgang offen: FTP- oder SFTP-Zugriff auf wp-config.php. Die meisten Sicherheits-Plugins bieten eine Konstante, die sie vorübergehend aussetzt, bis du wieder Zugriff hast. Wenn du serverseitig weitergehen willst (wp-admin per IP-Adresse oder HTTP-Passwort schützen), lies wp-admin auf Serverebene schützen.
Die Anmeldung mit WP Masquerade
WP Masquerade deckt die meisten dieser Maßnahmen mit einer einzigen Einstellung ab, ohne die Core-Dateien anzufassen:
- Kostenlose Version: eigene Anmeldeadresse, vor der Aktivierung getestet;
wp-login.phpundwp-adminunsichtbar für nicht angemeldete Besucher; XML-RPC und Pingbacks blockiert; Bots, die nach Lücken suchen, werden gezählt. - Pro: Begrenzung der Anmeldeversuche, Zwei-Faktor-Authentifizierung per App mit Backup-Codes und Pflicht je Rolle, verborgene Autoren (
/?author=, REST-API, Sitemaps), Aktivitätsprotokoll der Administratoren und Benachrichtigungen per E-Mail. - Notausgang: Die Zeile
define('CMS_MASQUERADE_DISABLE', true);inwp-config.phpsetzt alle Änderungen aus und gibtwp-login.phpwieder frei;define('CMP_DISABLE_2FA', true);setzt die Zwei-Faktor-Authentifizierung von Pro aus.
WP Masquerade ist weder Firewall noch Virenscanner noch Backup: Kombiniere es mit einer externen Kopie deiner Daten und bei Bedarf mit einer Web Application Firewall. Wie die verborgene Seite funktioniert, steht auf der Seite zur eigenen Anmeldeseite von WP Masquerade.
Das Wichtigste in Kürze
- Zuerst einmalige Passwörter und Zwei-Faktor-Authentifizierung: Nur diese Maßnahmen halten einem Angreifer stand, der deine Adresse und deinen Benutzernamen kennt.
- Begrenzung der Versuche, verlegte Adresse und abgeschaltetes XML-RPC senken die Zahl der Angriffe und die Serverlast.
- Verstecke das Kundenformular eines Shops nicht: Begrenze es.
- Ein Plugin pro Funktion, Anmeldeseite außerhalb des Cache, Notausgang in
wp-config.php. - Ein Anmeldeprotokoll zeigt, was die anderen Schichten nicht aufgehalten haben.
Häufige Fragen
Reicht es, die Anmeldeadresse zu ändern, um WordPress abzusichern?
Nein. Damit wirst du die meisten generischen Bots los und entlastest den Server, aber ein Angreifer, der die Adresse findet oder ein geleaktes Passwort besitzt, kommt trotzdem hinein. Kombiniere sie mit der Begrenzung der Versuche und der Zwei-Faktor-Authentifizierung.
Wie viele Anmeldeversuche sollte man erlauben?
Fünf Fehlversuche in fünfzehn Minuten, danach eine Sperre der IP-Adresse, die sich bei Wiederholung verlängert, passen für die meisten Websites. Sperre nach IP-Adresse statt nach Benutzername, damit kein Fremder dein Konto blockieren kann.
Lohnt sich ein CAPTCHA auf der Anmeldeseite?
Es bremst einfache Bots, stört aber die Nutzer und hält weder ein gestohlenes Passwort noch XML-RPC auf. Begrenzung der Versuche und Zwei-Faktor-Authentifizierung bringen mehr bei weniger Reibung; ein CAPTCHA lohnt sich vor allem bei einem stark angegriffenen öffentlichen Formular.
Muss die Zwei-Faktor-Authentifizierung für alle Benutzer Pflicht sein?
Nicht unbedingt. Schreibe sie für die Rollen vor, die veröffentlichen, Plugins installieren oder Konten verwalten können (Administrator, Redakteur, Shop-Manager). Abonnenten oder Kunden bietest du sie an, ohne sie zu verlangen.
Was tun, wenn ich mich aus meiner Website ausgesperrt habe?
Verbinde dich per FTP oder SFTP und trage in wp-config.php die Notfall-Konstante deines Plugins ein, oder benenne seinen Ordner in wp-content/plugins um. Bei WP Masquerade gibt define('CMS_MASQUERADE_DISABLE', true); wp-login.php wieder frei. Entferne die Zeile, sobald das Problem gelöst ist.
Schütze deine Anmeldeseite in wenigen Minuten
Die kostenlose Version verlegt die Anmeldung, verbirgt wp-login.php und wp-admin und schaltet XML-RPC ab. Pro ergänzt die Begrenzung der Anmeldeversuche, Zwei-Faktor-Authentifizierung je Rolle, das Aktivitätsprotokoll und Benachrichtigungen.
Quellen
- WordPress Developer Resources: Brute Force Attacks (externer Link, öffnet in neuem Tab)
- WordPress Developer Resources: Hardening WordPress (externer Link, öffnet in neuem Tab)
- OWASP: Authentication Cheat Sheet (externer Link, öffnet in neuem Tab)
- NIST SP 800-63B: Authentication and Authenticator Management (externer Link, öffnet in neuem Tab)
