Für den Zugang zum WordPress-Backend genügen zwei Angaben: Benutzername und Passwort. Sind beide leicht zu erraten oder schon aus einem Datenleck bekannt, steht Angreifern die ganze Website offen. Ihre Werkzeuge probieren laut BSI vollautomatisch Zeichenkombinationen und ganze Wörterbücher durch und testen einmal veröffentlichte Zugangsdaten bei beliebigen Diensten.[1]
Ein Klick · kostenlosDr. Web bei Google bevorzugenMarkieren Sie drweb.de als bevorzugte Quelle. Dann sehen Sie unsere Artikel öfter unter den Top-Meldungen.Jetzt hinzufügenInhalt 7 Abschnitte
Dieser Ratgeber zeigt, welche Fehler den Login angreifbar machen, wie Sie ihn in sechs Schritten absichern und welche Plugins dabei helfen. Grundlage sind die Empfehlungen des BSI und die Sicherheitsdokumentation von WordPress, Stand Oktober 2026.
Das Wichtigste in Kürze
- Ein sicheres Passwort hat laut BSI mindestens acht Zeichen aus vier Zeichenarten oder mindestens 25 Zeichen bei geringerer Komplexität.
- Der Benutzername „admin“ gehört ersetzt, weil Angreifer ihn zuerst ausprobieren.
- WordPress bringt keine Zwei-Faktor-Authentifizierung mit, ein Plugin rüstet sie nach.
- Ohne Plugin erlaubt WordPress beliebig viele Login-Versuche.
- Ein neues Passwort ist spätestens fällig, sobald ein Hinweis vorliegt, dass Unbefugte das bisherige kennen.
Warum sind schwache Login-Daten so gefährlich?
Ein erbeuteter Administratorzugang öffnet weit mehr als die Inhalte. Laut WordPress-Dokumentation kann ein Angreifer damit Schadcode installieren, der im schlimmsten Fall den ganzen Server kompromittiert.[4]
Besucher bemerken einen Einbruch oft erst an fremden Inhalten oder an Weiterleitungen auf dubiose Seiten. Suchmaschinen warnen vor befallenen Websites, Besucher springen ab, und die Bereinigung kostet Zeit oder ein Honorar für Fachleute. Anbieter, die gehackte WordPress-Websites reinigen, stellt Dr. Web in einer eigenen Übersicht vor.
Brute-Force-Angriffe treffen jede Website mit offenem Login, nicht nur bekannte Marken. Die Zugriffe laufen automatisiert und oft verteilt über Botnetze, sodass schon erfolglose Versuche den Server mit Anfragen überlasten können.[3]
Besonders gefährlich ist ein Passwort, das schon bei einem anderen Dienst im Umlauf ist. Solche Zugangsdaten probieren Angreifer gezielt auf weiteren Websites aus.[1]
Welche Fehler machen den Login angreifbar?
Schwache oder mehrfach genutzte Passwörter
Namen, Geburtstage, Wörter aus dem Wörterbuch und einfache Muster wie „Passwort123“ fallen automatisierten Werkzeugen zuerst zum Opfer. Ein zusätzliches Sonderzeichen am Anfang oder Ende eines simplen Passworts empfiehlt das BSI ausdrücklich nicht.[1] Ebenso riskant ist ein starkes Passwort, das auf mehreren Websites gilt: Ein einziges Datenleck öffnet dann alle Konten auf einmal.
Mindestens 8 Zeichen aus Groß- und Kleinbuchstaben, Zahlen und Sonderzeichen.
Mindestens 25 Zeichen, dafür weniger verschiedene Zeichenarten.
Jeder Zugang bekommt ein eigenes Passwort, keines gilt für zwei Dienste.
Neues Passwort, sobald ein Hinweis vorliegt, dass Unbefugte das alte kennen.
Der Benutzername „admin“
Bei der Installation fragt WordPress nach einem frei wählbaren Benutzernamen.[5] In älteren Installationen existiert mitunter trotzdem ein Konto namens „admin“. Die WordPress-Dokumentation rät von Namen wie „admin“ oder „webmaster“ ab, weil Angreifer sie zuerst ausprobieren.[4]
Fehlender zweiter Faktor
WordPress selbst bringt keine Zwei-Faktor-Authentifizierung mit.[3] Ohne Plugin reicht deshalb ein erbeutetes Passwort für den vollen Zugriff. Mit zweitem Faktor brauchen Angreifer zusätzlich einen Code aus einer App oder vom Smartphone.
Zu viele Administratoren
Jedes Konto mit Administratorrechten vergrößert die Angriffsfläche. Die WordPress-Dokumentation empfiehlt, die Zahl der Administratoren klein zu halten und für die tägliche Arbeit Rollen mit weniger Rechten zu nutzen, etwa Redakteur oder Autor.[3]
Ein Admin-Login ohne zweiten Faktor ist heute kein Restrisiko mehr, sondern ein Versäumnis. Die Einrichtung kostet weniger Zeit als das Aufräumen nach einem einzigen Einbruch.
Markus Seyfferth, Chefredakteur Dr. Web
Wie sichern Sie den Login Schritt für Schritt?
Die folgenden sechs Schritte setzen die Empfehlungen der WordPress-Dokumentation und des BSI um. Für die meisten genügen das Dashboard und ein Plugin.
Neues Administratorkonto anlegen, das Konto „admin“ löschen.
Zufällig erzeugt und im Passwort-Manager gespeichert.
Per Plugin, denn WordPress selbst bringt keinen mit.
Fehlversuche begrenzen, am besten schon in einer vorgeschalteten Firewall.
Eigene Zugänge für Apps und Schnittstellen, einzeln widerrufbar.
Alte Konten löschen, wenige Administratoren.
Schritt 1: Den Admin-Namen ersetzen
Im Profil lässt sich der Benutzername eines bestehenden Kontos nicht ändern. Der Weg führt deshalb über ein neues Konto:
- Legen Sie unter „Benutzer“ ein neues Konto mit der Rolle Administrator und einem schwer zu erratenden Benutzernamen an.
- Melden Sie sich mit dem neuen Konto an und löschen Sie den alten Benutzer „admin“. WordPress fragt dabei, welchem Konto die bisherigen Inhalte zugeordnet werden.
- Stellen Sie im Profil einen öffentlichen Namen ein, damit Autorenzeilen nicht den Benutzernamen zeigen.
Schritt 2: Ein starkes Passwort aus dem Passwort-Manager
Beim Ändern des Passworts zeigt WordPress eine Stärkeanzeige.[3] Sicherer als jede eigene Idee ist ein zufällig erzeugtes Passwort aus einem Passwort-Manager, das Sie nie abtippen müssen. Das BSI empfiehlt solche Programme ausdrücklich: Sie merken sich ein starkes Masterpasswort und verwenden trotzdem überall unterschiedliche Passwörter.[1]
Für Agenturen und Redaktionen mit vielen Kundenzugängen zählt außerdem, wie ein Programm Passwörter im Team teilt, ohne sie per E-Mail oder Chat zu verschicken; worin sich die Anbieter unterscheiden, zeigt der Vergleich der Passwort-Manager.
Schritt 3: Zwei-Faktor-Authentifizierung einschalten
Das Plugin Two Factor stammt vom WordPress.org-Team und läuft auf mehr als 100.000 Websites. Jeder Nutzer richtet den zweiten Faktor im eigenen Profil ein, zur Wahl stehen Codes aus einer Authenticator-App, Codes per E-Mail und Backup-Codes für den Notfall.[6]
Scannen Sie den QR-Code mit der Authenticator-App und legen Sie die Backup-Codes an einem sicheren Ort ab, damit ein verlorenes Smartphone Sie nicht aussperrt. Noch einen Schritt weiter gehen Passkeys: Die WordPress-Dokumentation empfiehlt sie über ein gepflegtes Plugin und rät, je Administrator mindestens zwei Geräte oder Schlüssel zu registrieren.[3]
Schritt 4: Login-Versuche begrenzen
Ohne Zusatz erlaubt WordPress beliebig viele Login-Versuche. Ein Plugin wie Limit Login Attempts Reloaded begrenzt die Fehlversuche und sperrt auffällige IP-Adressen.[7] Noch wirksamer ist eine dem Server vorgeschaltete Begrenzung, etwa in einer Web Application Firewall oder beim Hoster, weil die Anfragen WordPress dann gar nicht erst erreichen.[3]
Die Schnittstelle XML-RPC schalten Sie ab, sofern keine App sie braucht. Andernfalls sollte die Begrenzung auch für sie gelten.[3]
Schritt 5: Anwendungspasswörter für Schnittstellen
Externe Dienste wie Apps oder Automatisierungen brauchen nicht das Passwort eines Administrators. Seit WordPress 5.6 stehen dafür Anwendungspasswörter bereit, die Sie im Profil anlegen und einzeln widerrufen, ohne das eigene Passwort zu ändern.[3]
Schritt 6: Konten und Rechte aufräumen
Prüfen Sie unter „Benutzer“, wer noch Zugang hat. Konten ehemaliger Mitarbeiter, Dienstleister und Testnutzer löschen Sie, alle anderen bekommen nur die Rolle, die ihre Aufgabe verlangt. Administratorrechte behalten nur die Personen, die Plugins, Themes und Einstellungen tatsächlich pflegen.
Welche Plugins schützen den WordPress-Login?
Die meisten Sicherheits-Plugins decken mehrere Schritte zugleich ab. Installieren Sie ein umfassendes Plugin statt mehrerer, deren Funktionen sich überschneiden, denn doppelte Sperrregeln erschweren die Fehlersuche.
| Plugin | Schwerpunkt | Aktive Installationen |
|---|---|---|
| Wordfence Security[9] | Firewall, Malware-Scan, Login-Schutz | mehr als 5 Millionen |
| Limit Login Attempts Reloaded[7] | Begrenzung der Login-Versuche, Firewall, 2FA | mehr als 1 Million |
| Kadence Security, früher iThemes Security[8] | Passwortregeln, 2FA, Schutz vor Brute-Force-Angriffen | mehr als 700.000 |
| Two Factor[6] | Zwei-Faktor-Authentifizierung | mehr als 100.000 |
| Login Lockdown & Protection[10] | Begrenzung der Login-Versuche | mehr als 100.000 |
Stand der Zahlen: Plugin-Verzeichnis von wordpress.org am 23. Oktober 2026. Wordfence und Kadence Security decken als Komplettpaket auch Firewall und Passwortregeln ab. Für einzelne Lücken genügt die Kombination aus Two Factor und einer Begrenzung der Login-Versuche.
Wie halten Sie den Schutz dauerhaft aktuell?
Ein neues Passwort ist laut BSI auf jeden Fall fällig, sobald ein Hinweis vorliegt, dass Unbefugte das bisherige kennen. Als Hinweis nennt das BSI etwa die Aufforderung eines Anbieters, Meldungen über gestohlene Passwörter oder einen Befall mit Schadprogrammen. Im letzteren Fall bereinigen Sie zuerst das Gerät und ändern erst danach die Passwörter.[2]
Updates für WordPress, Plugins und Themes schließen Lücken, über die Angreifer den Login ganz umgehen. Aktivieren Sie automatische Updates, wo Ihre Website das verkraftet, und prüfen Sie die Protokolle der Sicherheits-Plugins auf gehäufte Fehlversuche.[3]
Fehlt im Team die Zeit für diese Pflege, übernimmt eine WordPress-Agentur Updates, Sicherungen und Kontrollen. Weitere typische Störungen samt Lösung sammelt der Ratgeber zu den häufigsten WordPress-Fehlern.
Glossar: Begriffe zur WordPress-Login-Sicherheit
Anwendungspasswort
Eigenes Passwort für eine App oder Schnittstelle, seit WordPress 5.6 im Profil anzulegen und einzeln widerrufbar.
Brute-Force-Angriff
Automatisiertes Durchprobieren von Kombinationen aus Benutzername und Passwort, bis eine passt.
Passkey
Anmeldung ohne Passwort über Fingerabdruck, Gesichtserkennung, Geräte-PIN oder Sicherheitsschlüssel. In WordPress per Plugin nachrüstbar.
Passwort-Manager
Programm, das Passwörter erzeugt, verschlüsselt speichert und einträgt. Ein einziges Masterpasswort schützt den Zugang.
Web Application Firewall
Filter vor der Website, der verdächtige Anfragen abfängt, bevor sie den Server erreichen.
XML-RPC
Ältere Schnittstelle von WordPress für den Fernzugriff durch Apps. Ohne Bedarf sollte sie abgeschaltet sein.
Zwei-Faktor-Authentifizierung
Anmeldung mit zwei unabhängigen Nachweisen, etwa Passwort und Code aus einer App.
FAQ: sicherer WordPress-Login
Wie ändere ich den Benutzernamen „admin“ in WordPress?
Im Profil lässt sich der Benutzername nicht ändern. Legen Sie ein neues Administratorkonto mit einem schwer zu erratenden Namen an, melden Sie sich damit an und löschen Sie den alten Benutzer. WordPress fragt dabei, welchem Konto die bisherigen Inhalte zugeordnet werden.
Wie lang sollte ein WordPress-Passwort sein?
Das BSI empfiehlt mindestens acht Zeichen aus Groß- und Kleinbuchstaben, Zahlen und Sonderzeichen oder mindestens 25 Zeichen bei weniger Zeichenarten. Für Administratorkonten eignet sich ein zufällig erzeugtes Passwort aus einem Passwort-Manager.
Hat WordPress eine eingebaute Zwei-Faktor-Authentifizierung?
Nein. Ein Plugin rüstet den zweiten Faktor nach, etwa Two Factor vom WordPress.org-Team oder ein Sicherheits-Plugin wie Wordfence.
Muss ich mein WordPress-Passwort regelmäßig ändern?
Laut BSI auf jeden Fall dann, sobald ein Hinweis vorliegt, dass Unbefugte das Passwort kennen, etwa nach einem Datenleck beim Anbieter oder einem Befall mit Schadprogrammen.
Was sind Anwendungspasswörter?
Eigene Passwörter für Apps und Schnittstellen, die WordPress seit Version 5.6 anbietet. Sie lassen sich im Profil anlegen und einzeln widerrufen, ohne das Passwort des Kontos zu ändern.
Welches Plugin schützt den WordPress-Login?
Als Komplettpaket eignen sich Wordfence Security oder Kadence Security. Für einzelne Lücken genügen Two Factor für den zweiten Faktor und Limit Login Attempts Reloaded für die Begrenzung der Login-Versuche.
Quellen
10 Quellen anzeigenQuellen ausblendenabgerufen am 23.10.2026
- [1] BSISichere Passwörter erstellen
- [2] BSIUmgang mit Passwörtern
- [3] WordPress Developer ResourcesBrute Force Attacks
- [4] WordPress Developer ResourcesHardening WordPress
- [5] WordPress Developer ResourcesHow to install WordPress
- [6] WordPress.orgPlugin Two Factor, Version 0.17.0
- [7] WordPress.orgPlugin Limit Login Attempts Reloaded
- [8] WordPress.orgPlugin Kadence Security, früher iThemes Security
- [9] WordPress.orgPlugin Wordfence Security
- [10] WordPress.orgPlugin Login Lockdown & Protection
