So sichern Sie den WordPress-Login ab: eindeutige Passwörter, 2FA für Administratoren, ein Limit für fehlgeschlagene Versuche und weniger Administratorkonten.
Themen Hardening & checklists Login & access
Aktualisiert Veröffentlicht
Zum Absichern des WordPress-Logins brauchen Sie ein langes, eindeutiges Passwort, 2FA für die Administratoren und eine Obergrenze für fehlgeschlagene Versuche. Die meisten Kontoübernahmen beginnen in diesem Formular. Die URL umzubenennen schneidet nur das Rauschen der Scanner.
Wenn Sie die Werkzeuge einschalten wollen: Login-Schutz und Zwei-Faktor-Authentifizierung.
WordPress prüft Benutzer und Passwort, setzt ein Sitzungs-Cookie und vergibt Fähigkeiten nach Rolle. Wer angreift, versucht diese Kette auf mehreren Wegen zu brechen:
wp-login.phpSie machen den Login nicht unangreifbar. Sie können den automatisierten Angriff teuer und laut machen, sodass die Login-Seite lange genug standhält und die Bots abprallen, bevor es zählt.
Alle jeden Monat zum Passwortwechsel zu zwingen kommt oft schlechter heraus als lange, eindeutige Geheimnisse plus 2FA. Mehr dazu in Passwort-Tipps (auf Englisch).
Das Formular gehört auf HTTPS, damit Passwörter und Cookies nicht im Klartext reisen. Erzwingen Sie HTTPS im Hosting oder mit einer sorgfältig gesetzten Weiterleitung. Eine Administrationsseite mit gemischten Inhalten hebt den Rest dieser Anleitung auf.
Verlangen Sie 2FA von Administratoren und von allen, die Plugins installieren können. Authenticator-Apps sind die Vorgabe, die funktioniert. Codes per E-Mail gehen, wenn Sie diese Methode in Security Ninja aktivieren. Die englische Schrittfolge steht in 2FA in WordPress aktivieren. Verliert ein Administrator das Telefon, setzen Sie den Zugang über das Benutzerprofil zurück. Das Plugin druckt keine Wiederherstellungscodes.
2FA schneidet einen guten Teil der Vorfälle ab, bei denen das Passwort von woanders kam.
Bots hämmern auf die Standard-Login-URL, so lange es nötig ist. Mit dem Login-Schutz können Sie:
Umbenennen allein ist Verschleierung. Es gehört zu den Limits und zu 2FA. Das Video oben zeigt, wie das in Security Ninja aussieht.
Jeder Administrator ist ein weiteres Phishing-Ziel.
Vermeiden Sie auf neuen Websites den Standardbenutzer admin, wenn Sie können.
Härten ohne Sicht scheitert weiter still.
Das Ereignisprotokoll von Security Ninja hilft hier, sobald der Schutz eingeschaltet ist.
XML-RPC ist ein üblicher Weg für Brute Force, wenn es aktiv ist. Schalten Sie es nur ab, wenn nichts, das Sie nutzen, es braucht (manche mobilen Apps, Abläufe mit Jetpack, Remote-Veröffentlichung). Wenn Sie es lassen müssen, bevorzugen Sie Limits in der Firewall.
Beobachten Sie außerdem:
Anleitungen: Anzeichen eines Hacks (auf Englisch), Schritte zur Wiederherstellung (auf Englisch) oder Bereinigung beauftragen.
Heute
Diese Woche
Danach
Security Ninja Pro enthält Login-Schutz, 2FA, Firewall und Scan in einem Plugin. Wenn Sie noch nicht kaufen wollen, beginnen Sie mit den Sicherheitstests des kostenlosen Plugins.
Wie der Login-Schutz Brute-Force-Angriffe auf WordPress bremst.
Nützlich? Teilen Sie den Link.
Nutzen Sie lange, eindeutige Passwörter, verlangen Sie Zwei-Faktor-Authentifizierung von Administratoren, begrenzen Sie fehlgeschlagene Versuche, halten Sie die Zahl der Administratoren klein und sehen Sie die Login-Ereignisse an. Die URL umzubenennen hilft gegen laute Bots, wenn dazu Limits und 2FA aktiv sind.
Behandeln Sie sie als Angriffsfläche: starke Zugangsdaten, 2FA, eine Obergrenze für fehlgeschlagene Versuche und, wenn Sie wollen, einen anderen Namen für wp-login.php. Entfernen Sie ungenutzte Administratorkonten und schalten Sie die offene Registrierung ab, wenn Sie sie nicht brauchen. In Security Ninja Pro liegt das im Login-Schutz.
Setzen Sie eine Obergrenze für fehlgeschlagene Versuche pro IP, sperren Sie laute Quellen vorübergehend und ergänzen Sie 2FA, damit ein gestohlenes oder erratenes Passwort nicht reicht. Die URL umzubenennen senkt das Rauschen gelegentlicher Scanner. Wenn XML-RPC aktiv bleibt, braucht es dieselben Limits.
Es reduziert laute Scans gegen den Standardpfad. Entschlossene Bots und gezielte Angriffe brauchen weiterhin Limits und 2FA. Umbenennen ist nur Verschleierung.
In der Regel nein. Priorisieren Sie Administratoren und alle, die Plugins installieren oder Code bearbeiten können.
