WordPress-Login absichern: 2FA, Login-Limit und eigene Login-URL
Die Login-Seite ist die am häufigsten attackierte Stelle einer WordPress-Installation – automatisierte Bots probieren rund um die Uhr Benutzernamen und Passwörter durch. Die gute Nachricht: Mit wenigen Maßnahmen wird dieser Angriffsweg praktisch wirkungslos, ohne dass du dich mit Plugins zumüllst.
1. Zwei-Faktor-Authentifizierung (2FA)
Die wirksamste Einzelmaßnahme. Selbst wenn ein Passwort geknackt oder geleakt ist, fehlt dem Angreifer der zweite Faktor – ein zeitbasierter Code aus einer Authenticator-App wie Google Authenticator oder Aegis. 2FA gibt es als schlankes Plugin; aktiviere es mindestens für alle Administrator-Konten, besser für jeden, der sich einloggen kann. Hinterleg beim Einrichten die Wiederherstellungscodes an einem sicheren Ort, damit du dich nicht selbst aussperrst.
2. Login-Versuche begrenzen
Brute-Force-Angriffe leben davon, beliebig oft probieren zu dürfen. Ein Login-Limit sperrt nach wenigen Fehlversuchen die IP für eine Weile – und macht das massenhafte Durchprobieren sinnlos. Viele Security-Plugins bringen das mit. Achte darauf, die Sperre nicht zu scharf zu stellen, damit sich legitime Nutzer nach einem Vertipper nicht dauerhaft aussperren.
3. Starke, einzigartige Passwörter
Klingt banal, ist aber die Basis. Jedes Admin-Konto bekommt ein langes, einzigartiges Passwort aus einem Passwortmanager. Und: Lösch den Standard-Benutzernamen „admin” – er ist die halbe Miete für jeden Angreifer, weil er dann nur noch das Passwort raten muss. Leg stattdessen einen neuen Admin mit eigenem Namen an, übertrag die Inhalte und entferne „admin”.
4. xmlrpc.php im Blick behalten
Ein oft übersehener Nebeneingang: Die Datei xmlrpc.php erlaubt es Angreifern, in einer einzigen Anfrage hunderte Passwörter durchzuprobieren – Brute Force im Schnelldurchlauf. Wenn du keine Dienste nutzt, die XML-RPC brauchen (etwa manche App-Anbindungen), lässt sich der Zugriff darauf sperren. Viele Security-Plugins bieten dafür einen Schalter.
5. Login-URL verschleiern (optional)
Das Verschieben der Login-Seite von /wp-login.php auf eine eigene Adresse hält die meisten automatisierten Bots fern. Es ist keine echte Sicherheitsmaßnahme (Security by Obscurity), reduziert aber die Last durch Bot-Anfragen spürbar. Als Ergänzung sinnvoll, nicht als Ersatz für 2FA und Login-Limit.
6. Schlüssel und Konstanten
Setz die Sicherheitsschlüssel in der wp-config.php neu (das invalidiert gestohlene Sessions) und deaktiviere den Datei-Editor im Backend, damit ein kompromittiertes Konto nicht direkt Code ausführen kann. Beides erzeugt dir der wp-config-Härtungs-Generator auf Knopfdruck.
Was wirklich zählt – in Reihenfolge
- 2FA für alle Admins.
- Login-Limit gegen Brute Force.
- Starke Passwörter, kein „admin”-Benutzer.
- xmlrpc.php sperren, falls nicht gebraucht.
- Schlüssel neu und Datei-Editor aus.
- Login-URL verschieben (Kür).
Mehr als ein Security-Plugin braucht es dafür nicht – im Gegenteil, mehrere gleichzeitig stören sich oft gegenseitig. Und die beste Login-Absicherung ersetzt keine laufende Pflege: Updates, Backups und Monitoring gehören dazu, wie im Sicherheits-Überblick beschrieben.
Du willst den Login sauber absichern, ohne fünf Plugins zu stapeln? Schreib uns kurz – wir härten Login und Backend gezielt ab.
Häufige Fragen
Wie sichere ich den WordPress-Login ab?
In dieser Reihenfolge: Zwei-Faktor-Authentifizierung für alle Administratoren, ein Login-Limit gegen Brute-Force-Angriffe, starke und einzigartige Passwörter ohne den Standard-Benutzer admin, neu gesetzte Sicherheitsschlüssel in der wp-config.php und ein deaktivierter Datei-Editor. Das Verschieben der Login-URL ist die optionale Kür. Zusammen machen diese Maßnahmen den häufigsten Angriffsweg praktisch wirkungslos.
Was ist die wirksamste Maßnahme gegen Brute-Force-Angriffe?
Die Zwei-Faktor-Authentifizierung. Selbst wenn ein Passwort geknackt oder aus einem fremden Leak bekannt ist, fehlt dem Angreifer der zweite Faktor aus der Authenticator-App. Ergänzt um ein Login-Limit, das die IP nach wenigen Fehlversuchen sperrt, wird massenhaftes Durchprobieren sinnlos – die beiden zusammen sind der Kern eines sicheren Logins.
Bringt eine geänderte Login-URL wirklich Sicherheit?
Nur begrenzt. Die Login-Seite von /wp-login.php auf eine eigene Adresse zu verschieben hält viele automatisierte Bots fern und reduziert die Serverlast durch Angriffsanfragen. Es ist aber Security by Obscurity, keine echte Sicherheitsmaßnahme: Wer die neue Adresse kennt, ist genauso dran wie vorher. Deshalb ist es eine sinnvolle Ergänzung, aber kein Ersatz für 2FA und Login-Limit.
Brauche ich ein Security-Plugin für WordPress?
Ein einziges, etabliertes Security-Plugin, das 2FA und Login-Limit mitbringt, reicht in der Regel aus. Mehrere Sicherheits-Plugins gleichzeitig sind sogar kontraproduktiv: Sie überschneiden sich in ihren Funktionen, stören sich gegenseitig und machen Fehler schwerer auffindbar. Weniger, aber richtig konfiguriert, ist hier klar besser als viel.
Passende Leistungen
Gründer & Full-Stack-Entwickler
20+ Jahre Erfahrung in der Webentwicklung. Spezialisiert auf Laravel, WordPress und individuelle Software für den Mittelstand.