Trusted WordPress tutorials, when you need them most.
Beginner’s Guide to WordPress
WPB Cup
25 Million+
Websites using our plugins
16+
Years of WordPress experience
3000+
WordPress tutorials
by experts

14 wichtige Tipps zum Schutz Ihres WordPress-Adminbereichs (aktualisiert)

Suchen Sie nach Möglichkeiten, Ihren WordPress-Adminbereich zu schützen?

Durch den Schutz des Admin-Bereichs vor unberechtigtem Zugriff können Sie viele gängige Sicherheitsbedrohungen abwehren. Dies kann hilfreich sein, wenn Sie viele Angriffe auf Ihre WordPress-Website erleben.

In diesem Tutorial zeigen wir Ihnen einige der wichtigsten Tipps und Hacks zum Schutz Ihres WordPress-Adminbereichs.

Tips and hacks to protect WordPress admin area

Wir werden viele Tipps behandeln, und Sie können die nachstehenden Links verwenden, um zwischen ihnen zu wechseln:

1. Verwenden Sie eine Firewall

Eine Firewall überwacht den Website-Verkehr und verhindert, dass verdächtige Anfragen Ihre Website erreichen.

Es gibt zwar mehrere WordPress-Firewall-Plugins, wie z. B. Wordfence, aber wir empfehlen die Verwendung von Sucuri. Dabei handelt es sich um einen Website-Sicherheits- und Überwachungsdienst, der eine cloudbasierte Firewall zum Schutz Ihrer Website bietet.

Website Application Firewall

Der gesamte Datenverkehr Ihrer Website durchläuft zunächst den Sucuri Cloud Proxy, der jede Anfrage analysiert und verdächtige Anfragen davon abhält, Ihre Website zu erreichen. Dadurch wird Ihre Website vor möglichen Hacking-Versuchen, Phishing, Malware und anderen bösartigen Aktivitäten geschützt.

Eine weitere großartige Option ist Cloudflare, die wir jetzt auf WPBeginner verwenden. Weitere Einzelheiten finden Sie in unserem Artikel darüber , warum wir von Sucuri zu Cloudflare gewechselt haben.

2. Passwort-Schutz für das WordPress-Administrationsverzeichnis

Ihr WordPress-Verwaltungsbereich ist bereits durch Ihr WordPress-Passwort geschützt. Durch das Hinzufügen eines Passwortschutzes für Ihr WordPress-Administrationsverzeichnis erhalten Sie jedoch eine weitere Sicherheitsebene für Ihre Anmeldeseite.

Zunächst müssen Sie sich in Ihr WordPress-Webhosting cPanel-Dashboard einloggen und dann auf das Symbol „Passwortgeschützte Verzeichnisse“ oder „Verzeichnisschutz“ klicken.

Directory privacy

Als nächstes müssen Sie Ihren wp-admin-Ordner auswählen, der sich normalerweise im Verzeichnis /public_html/ befindet.

Auf dem nächsten Bildschirm müssen Sie das Kästchen neben der Option „Passwortschutz für dieses Verzeichnis“ aktivieren und einen Namen für das geschützte Verzeichnis angeben.

Klicken Sie anschließend auf die Schaltfläche „Speichern“, um die Berechtigungen festzulegen.

Password protect directory settings

Als nächstes müssen Sie auf die Schaltfläche „Zurück“ klicken und dann einen Benutzer anlegen. Sie werden aufgefordert, einen Benutzernamen und ein Kennwort einzugeben und dann auf die Schaltfläche „Speichern“ zu klicken.

Wenn nun jemand versucht, das WordPress-Admin- oder wp-admin-Verzeichnis auf Ihrer Website zu besuchen, wird er aufgefordert, den Benutzernamen und das Passwort einzugeben.

Enter password

Ausführlichere Anweisungen finden Sie in unserer Anleitung zum Passwortschutz des WordPress-Admin-Verzeichnisses (wp-admin).

3. Verwenden Sie immer sichere Passwörter

Always use strong passwords

Verwenden Sie stets sichere Passwörter für alle Ihre Online-Konten, auch für Ihre WordPress-Website. Wir empfehlen, eine Kombination aus Buchstaben, Zahlen und Sonderzeichen in Ihren Passwörtern zu verwenden. Dadurch wird es für Hacker schwieriger, Ihr Passwort zu erraten.

Wir werden oft von Anfängern gefragt, wie man sich all diese Passwörter merken kann. Die einfachste Antwort ist, dass Sie das nicht müssen. Es gibt einige wirklich großartige Passwortmanager-Apps, die Sie auf Ihrem Computer und Telefon installieren können.

Weitere Informationen zu diesem Thema finden Sie in unserem Leitfaden über die beste Passwortverwaltung für WordPress-Anfänger.

4. Zwei-Schritt-Verifizierung auf dem WordPress-Anmeldebildschirm verwenden

WordPress login screen with Google Authenticator enabled

Die zweistufige Verifizierung, auch bekannt als Zwei-Faktor-Verifizierung, Zwei-Faktor-Authentifizierung oder 2FA, fügt Ihren Passwörtern eine weitere Sicherheitsebene hinzu. Anstatt nur das Passwort zu verwenden, werden Sie aufgefordert, einen Verifizierungscode einzugeben, der von der Google Authenticator-App auf Ihrem Telefon generiert wird.

Selbst wenn jemand in der Lage ist, Ihr WordPress-Passwort zu erraten, benötigt er den Google Authenticator-Code, um Zugang zu erhalten.

Eine detaillierte Schritt-für-Schritt-Anleitung finden Sie in unserer Anleitung zur Einrichtung der 2-Schritt-Verifizierung in WordPress mit Google Authenticator.

5. Anmeldeversuche begrenzen

Limit login attempts

Standardmäßig erlaubt WordPress seinen Nutzern, Passwörter so oft einzugeben, wie sie wollen. Das bedeutet, dass jemand immer wieder versuchen kann, Ihr WordPress-Passwort durch Eingabe verschiedener Kombinationen zu erraten. Außerdem können Hacker automatisierte Skripte verwenden, um Passwörter zu knacken.

Um dies zu beheben, müssen Sie das Plugin Limit Login Attempts Reloaded installieren und aktivieren. Gehen Sie nach der Aktivierung auf die Seite Einstellungen “ Anmeldesperre, um die Einstellungen des Plugins zu konfigurieren.

Detaillierte Anweisungen finden Sie in unserem Leitfaden, warum Sie die Anmeldeversuche in WordPress begrenzen sollten. Um mehr über das Plugin zu erfahren, können Sie auch unseren ausführlichen Testbericht Limit Login Attempts lesen.

6. Login-Zugang auf IP-Adressen beschränken

Eine weitere gute Möglichkeit, den WordPress-Login zu sichern, besteht darin, den Zugriff auf bestimmte IP-Adressen zu beschränken. Dieser Tipp ist besonders nützlich, wenn Sie oder nur einige wenige vertrauenswürdige Benutzer Zugang zum Admin-Bereich benötigen.

Fügen Sie einfach diesen Code in Ihre .htaccess-Datei ein:

AuthUserFile /dev/null
AuthGroupFile /dev/null
AuthName "WordPress Admin Access Control"
AuthType Basic
<LIMIT GET>
order deny,allow
deny from all
# whitelist Syed's IP address
allow from xx.xx.xx.xxx
# whitelist David's IP address
allow from xx.xx.xx.xxx
</LIMIT>

Vergessen Sie nicht, xx-Werte durch Ihre eigene IP-Adresse zu ersetzen. Wenn Sie mehr als eine IP-Adresse für den Internetzugang verwenden, müssen Sie diese ebenfalls hinzufügen.

Detaillierte Anweisungen finden Sie in unserer Anleitung zur Beschränkung des Zugriffs auf den WordPress-Admin mit .htaccess.

7. Login-Hinweise deaktivieren

Disabled login hints

Bei einem fehlgeschlagenen Anmeldeversuch zeigt WordPress Fehlermeldungen an, die den Benutzern mitteilen, ob ihr Benutzername oder das Passwort falsch war. Diese Anmeldehinweise können von jemandem für böswillige Versuche wie Brute-Force-Angriffe verwendet werden.

Sie können diese Login-Hinweise ganz einfach ausblenden, indem Sie den folgenden Code in die Datei functions.php Ihres Themes einfügen oder ein Code-Snippets-Plugin wie WPCode verwenden (empfohlen):

function no_wordpress_errors(){
return 'Something is wrong!';
}
add_filter( 'login_errors', 'no_wordpress_errors' );

Weitere Einzelheiten finden Sie in unserem Leitfaden zum Hinzufügen von benutzerdefiniertem Code in WordPress, ohne Ihre Website zu zerstören.

8. Benutzer zur Verwendung sicherer Passwörter verpflichten

Wenn Sie eine WordPress-Website mit mehreren Autoren betreiben, können diese Benutzer ihre Benutzerkonten bearbeiten und ein schwaches Passwort verwenden. Diese Passwörter können geknackt werden und jemandem Zugriff auf den WordPress-Administrationsbereich geben.

Um dies zu beheben, können Sie das SolidWP-Plugin installieren und aktivieren. Dann können Sie die Schritte in unserer vollständigen Anleitung zum Erzwingen sicherer Passwörter für Benutzer in WordPress befolgen.

9. Passwort für alle Benutzer zurücksetzen

Machen Sie sich Sorgen um die Passwortsicherheit auf Ihrer WordPress-Website mit mehreren Benutzern? Sie können ganz einfach alle Benutzer auffordern, ihre Passwörter zurückzusetzen.

Zunächst müssen Sie das Plugin “ Emergency Password Reset“ installieren und aktivieren. Gehen Sie nach der Aktivierung auf die Seite Benutzer “ Notfallkennwort zurücksetzen und klicken Sie auf die Schaltfläche „Alle Kennwörter zurücksetzen“.

Reset all passwords

Detaillierte Anweisungen finden Sie in unserer Anleitung zum Zurücksetzen von Passwörtern für alle Benutzer in WordPress

10. WordPress auf dem neuesten Stand halten

WordPress veröffentlicht häufig neue Softwareversionen. Jede neue Version des WordPress-Kerns enthält wichtige Fehlerbehebungen, neue Funktionen und Sicherheitskorrekturen.

Wenn Sie eine ältere Version von WordPress auf Ihrer Website verwenden, sind Sie anfällig für bekannte Sicherheitslücken und potenzielle Schwachstellen. Um dies zu beheben, müssen Sie sicherstellen, dass Sie die neueste Version von WordPress verwenden.

Weitere Informationen zu diesem Thema finden Sie in unserem Leitfaden darüber, warum Sie immer die neueste Version von WordPress verwenden sollten.

Auch die WordPress-Plugins werden häufig aktualisiert, um neue Funktionen einzuführen oder Sicherheits- und andere Probleme zu beheben. Stellen Sie sicher, dass auch Ihre WordPress-Plugins auf dem neuesten Stand sind.

Hinweis: Möchten Sie Ihre WordPress-Wartung lieber den Profis überlassen? Unser WPBeginner-Wartungsservice kann sich um alles kümmern, von Updates bis hin zur Entfernung von Malware, damit Sie sich ganz auf den Betrieb Ihrer Website konzentrieren können.

11. Benutzerdefinierte Anmelde- und Registrierungsseiten erstellen

Für viele WordPress-Websites müssen sich die Benutzer registrieren. Bei Websites für Mitglieder, Lernmanagement und Online-Shops müssen die Benutzer beispielsweise ein Konto erstellen.

Diese Benutzer können sich jedoch mit ihren Konten in den WordPress-Administrationsbereich einloggen. Dies ist kein großes Problem, da sie nur die Dinge tun können, die ihre Benutzerrolle und ihre Fähigkeiten zulassen.

Dadurch können Sie jedoch den Zugriff auf die Anmelde- und Registrierungsseiten nicht richtig einschränken, da Sie diese Seiten benötigen, damit sich die Benutzer anmelden, ihre Profile verwalten und sich einloggen können.

Dies lässt sich leicht beheben, indem Sie benutzerdefinierte Anmelde- und Registrierungsseiten erstellen, so dass sich die Benutzer direkt von Ihrer Website aus anmelden und registrieren können.

Eine detaillierte Schritt-für-Schritt-Anleitung finden Sie in unserem Leitfaden zum Erstellen von benutzerdefinierten Anmelde- und Registrierungsseiten in WordPress.

12. Erfahren Sie mehr über WordPress-Benutzerrollen und Berechtigungen

WordPress verfügt über ein leistungsstarkes Benutzerverwaltungssystem mit verschiedenen Benutzerrollen und -funktionen. Wenn Sie einen neuen Benutzer zu Ihrer WordPress-Website hinzufügen, können Sie eine Benutzerrolle für ihn auswählen. Diese Benutzerrolle legt fest, was der Benutzer auf Ihrer WordPress-Website tun kann.

Die Zuweisung falscher Benutzerrollen kann dazu führen, dass Personen mehr Fähigkeiten erhalten, als sie benötigen. Um dies zu vermeiden, müssen Sie verstehen, welche Fähigkeiten mit verschiedenen Benutzerrollen in WordPress verbunden sind.

Weitere Informationen zu diesem Thema finden Sie in unserem Leitfaden für Einsteiger zu WordPress-Benutzerrollen und -Rechten.

13. Beschränkung des Zugriffs auf das WordPress-Dashboard

Einige WordPress-Websites haben bestimmte Benutzer, die Zugang zum Dashboard benötigen, und einige Benutzer, die dies nicht tun. Standardmäßig können sie jedoch alle auf den Admin-Bereich zugreifen.

Um dies zu beheben, müssen Sie das Plugin Remove Dashboard Access installieren und aktivieren. Gehen Sie nach der Aktivierung auf die Seite Einstellungen “ Dashboard-Zugang und wählen Sie aus, welche Benutzerrollen Zugriff auf den Admin-Bereich Ihrer Website haben sollen.

Ausführlichere Anweisungen finden Sie in unserer Anleitung zur Einschränkung des Dashboard-Zugriffs in WordPress.

14. Untätige Benutzer abmelden

Idle user logout

WordPress meldet Benutzer nicht automatisch ab, bis sie sich ausdrücklich abmelden oder ihr Browserfenster schließen. Dies kann für WordPress-Websites mit sensiblen Daten ein Problem darstellen. Aus diesem Grund melden Websites und Anwendungen von Finanzinstituten Benutzer automatisch ab, wenn sie nicht mehr aktiv waren.

Um dies zu beheben, können Sie das Plugin Inactive Logout installieren und aktivieren. Gehen Sie nach der Aktivierung auf die Seite Einstellungen “ Inaktive Abmeldung und geben Sie die Zeit ein, nach der die Benutzer automatisch abgemeldet werden sollen.

Weitere Einzelheiten finden Sie in unserem Artikel über das automatische Abmelden untätiger Benutzer in WordPress.

Wir hoffen, dass dieser Artikel Ihnen geholfen hat, einige neue Tipps und Hacks zum Schutz Ihres WordPress-Administrationsbereichs zu lernen. Vielleicht interessieren Sie sich auch für unseren ultimativen Schritt-für-Schritt-Leitfaden für WordPress-Sicherheit für Anfänger und unsere Expertenauswahl der besten WordPress-Sicherheits-Plugins.

Wenn Ihnen dieser Artikel gefallen hat, dann abonnieren Sie bitte unseren YouTube-Kanal für WordPress-Videotutorials. Sie können uns auch auf Twitter und Facebook finden.

Offenlegung: Unsere Inhalte werden von unseren Lesern unterstützt. Das bedeutet, dass wir möglicherweise eine Provision verdienen, wenn Sie auf einige unserer Links klicken. Mehr dazu erfahren Sie unter Wie WPBeginner finanziert wird , warum das wichtig ist und wie Sie uns unterstützen können. Hier finden Sie unseren redaktionellen Prozess .

Avatar

Editorial Staff at WPBeginner is a team of WordPress experts led by Syed Balkhi with over 16 years of experience in WordPress, Web Hosting, eCommerce, SEO, and Marketing. Started in 2009, WPBeginner is now the largest free WordPress resource site in the industry and is often referred to as the Wikipedia for WordPress.

Das ultimative WordPress Toolkit

Erhalte KOSTENLOSEN Zugang zu unserem Toolkit - eine Sammlung von WordPress-bezogenen Produkten und Ressourcen, die jeder Profi haben sollte!

Reader Interactions

134 KommentareEine Antwort hinterlassen

  1. Syed Balkhi says

    Hey WPBeginner readers,
    Did you know you can win exciting prizes by commenting on WPBeginner?
    Every month, our top blog commenters will win HUGE rewards, including premium WordPress plugin licenses and cash prizes.
    You can get more details about the contest from here.
    Start sharing your thoughts below to stand a chance to win!

  2. anthony says

    This is great information which I will be implementing ASAP!I have already experienced having my blog hacked so have been worried about these issues.Many thanks!!

  3. Jessica says

    I’m currently learning wp development. I want to make a ecommerce site with wordpress using the WP e-Commerce plugin. Does anyone know if these tips will keep my ecommerce site secure.

  4. Ursula Comeau says

    Wow – this is an AWESOME post! Thank you so much for sharing all this information – and some great plugins as well!

    In a world where security has become top priority, these are very important things to be aware of with a WordPress installation. Really appreciate your transparency and willingness to share this information! I’ll be tweeting this one. ;)

  5. Lilia says

    The problem with plugins is that they’re not always compatible with every version, and they aren’t always updated.

    • Editorial Staff says

      Most plugins are compatible with newer versions, and if the developer decides to leave development of the plugin, others often pick up and create a plugin with fixes for the future releases. You just have to stay active in the community.

      Admin

  6. Dagmar says

    There are also some paid plugins – i.e. „WP Secure“ which also claims it is going to make your WP secure from hackers. It also works on the summary of couple of the principles above – i.e. custom made login page, one IP confirmation etc.

    Is it worthy to purchase? = anybody knows if it is easier to use for non-techie than some of the above mentioned?

  7. Kjetil says

    Hi
    Thanks a lot for your tips.
    Regarding tip 8, I wonder how to insert the code
    `add_filter(’login_errors’,create_function(’$a’, “return null;”));`
    What is the complete function to use?
    I’d like to try since I already use AskApache Password Protect and that plugin is incompatible with Secure WordPress.
    Thanks,
    Kjetil
    http://www.dolcevita.no

    • Editorial Staff says

      You go to functions.php and insert that code. Thats all if we understand your question clearly. If this has not answered it, then please reply to the comment and we will surely take a look at it.

      Admin

  8. Robinoz says

    Thanks for this invaluable information. I’ve just suffered a malware attack that put my blog off line for a day or two while I had my WordPress programmer sort it out. Ver inconvenient.

    I’ll be implementing some of the suggestions you’ve made in the next day or so.

    Robinoz
    http://www.e1jobs-blog.com (All About Jobs blog“

  9. secure server says

    good tips for securing wordpress. as time goes we are going to see hosts either become more stringent and secure or cms packages need to implement on install a few more security initiatives.

  10. John Macpherson says

    It took me a few minutes to work this one out but you have the wrong kind of quotes around this function

    add_filter(’login_errors’,create_function(’$a’, “return null;”));

    It should be:

    add_filter(‚login_errors‘,create_function(‚$a‘, “return null;”));

    Other than that, great post.

  11. jakesjohn says

    What you can from Wp-PreventCopyBlogs WordPress Plugin

    1.Track the visitors who try to copy your content.

    2.Record the ip of the user who tries to do fraudulent copy with their landing url of your site and referral url.This can help you to do necessary measures if you notice something bad.

    3.Enable Message displayed to your user upon user’s choice.

    4.Disable Selection of you text and Right Click for users depending on the option.

  12. Henry says

    Regarding #6, if you use the following .htaccess file you will be able to login from other locations in a two-step process. This requires you to add a htpasswd file (read your server documentation).

    AuthUserFile ’some htpasswd file‘
    AuthGroupFile /dev/null
    AuthName “WordPress Admin Access Control”
    AuthType Basic

    order deny,allow
    deny from all
    Require valid-user
    # whitelist Syed’s IP address
    allow from xx.xx.xx.xxx
    # whitelist David’s IP address
    allow from xx.xx.xx.xxx
    # whitelist Amanda’s IP address
    allow from xx.xx.xx.xxx
    # whitelist Muhammad’s IP address
    allow from xx.xx.xx.xxx
    # whitelist Work IP address
    allow from xx.xx.xx.xxx
    Satisfy Any

    The „require valid user“ and „satisfy any“ lines will force the Apache Server to request a Username and Password before you can access the WordPress Login screen. Please DO NOT use the same Username and Password in the htpasswd file that you use for your WordPress access, or you will defeat the purpose of the extra level of security.

  13. Constantine says

    Hi, I have been blogging for 3 years. My blog got hacked in June 2009 and google banned for 30 days, my pageviews immediately slide from 800 a day to less than 100 a day.
    I highly recommend installing wordpress firewall plugin. The plugin will send your an email every time someone tries to hack your blog together with the hackers IP address. The plugin detects and blocks strange requests, redirecting the attack to the homepage.
    On monday i got an email of six attempted hack attempts over the weekend. The hacker tried the admin page three times when that failed he tried searching wordspew plugin which i dont use.

    To all newbies good luck

    • Renee Fischer says

      Once a hack is successful the bot or human hacker will keep your data and keep retrying your website files looking for a way back in. they will continue to be relentless. if they have happened to hack your email or computer or server they will keep going until they have hacked everything you touch. they are like cockroaches that found crumbs that led to your house.

    • Editorial Staff says

      You give them the special URL that you created if you trust them enough. For the most part, guest authors should not even be allowed in the admin panel unless they are authors of your site. If someone has written multiple posts for your site then they can be trustable so you can give them the special url /login or /googlogin or whatever you created.

      Most top blogs take guest posts via email and if those guest authors become regular authors, only then they are allowed in the admin panel.

      Admin

  14. Tim says

    Great tips.

    For the involved readers there is an inaccuracy in #6.

    „The downside to this hack is that if you ever want to access the admin panel from some other place, you won’t be able to do so unless you add that extra IP in your .htaccess file.“

    If the ip-address you allow is a box you can can SSH into, you can SSH tunnel through it (I use foxyproxy, because it makes the switch very easy). Also, if you are using nginx instead of apache you can evaluate the URI w/ regular expressions to block everything from wp-app.php to wp-trackback.php (or selectively choose which ones you do not want to block). I cover this @ http://www.phrison.com/securing-arbitrary-uris/ but it is not for the unexperienced.

    I have a large collection of tin-foil hats.

  15. Jo says

    This site is a happy new find for me (FYI,thanks to @Problogger on Twitter), and I’m looking forward to further exploration. This article is the kind of tight, clear writing that is too rare these days. Thanks for some genuinely helpful information.

    • Editorial Staff says

      We are glad that you like our site, and we are also very glad that Darren found the article useful enough to tweet it. We hope you follow us on twitter so you can stay up to date with all the nice tutorials.

      Admin

  16. Marc says

    Wow – I’m fairly new to WP and had no idea there were so many gateways for hackers. I’m sure they won’t find their way in after adding a few of these.

    Thanks.

  17. Roger Duck says

    WordPress security is a growing issue and these steps are critical for securing a WordPress site. Beefing up security helps the entire community as well as your own site to take time to implement these ideas. Well done.

  18. James Morrison says

    A good list of vital tips to secure your site. I particularly like #8 I’ve never done this before but will from now on!

    Regarding #7 – Remove ‚admin‘ username:

    I don’t remove the admin username, I create a new admin account then change the ‚admin‘ users account type to subscriber.

    That way, even if someone does crack the password it’s a useless account. If you remove it, someone can register that username…

  19. Cheap Sites says

    Thank you for all the suggestions, I’m working on a few big projects and this will certainly help once the blogs are up and running.

    First time here and I’m loving the blog, good job!

    Dan

    • Editorial Staff says

      Yes you can do that, but in this article we were only talking about WordPress Admin Panel not the entire site in general. There are many other ways to protect your site entire WordPress blog.

      Admin

  20. Rafi says

    Hey this is a wonderful collection of tips and hacks, very useful. I recommend every WP blogger to go through the list and follow the steps as well as any other useful resources available elsewhere. After all we have NOT set up our blogs so someone shall take control of our lives. Damn.

    Thanks for sharing, WPBeginner.

Eine Antwort hinterlassen

Danke, dass du einen Kommentar hinterlassen möchtest. Bitte beachte, dass alle Kommentare nach unseren kommentarpolitik moderiert werden und deine E-Mail-Adresse NICHT veröffentlicht wird. Bitte verwende KEINE Schlüsselwörter im Namensfeld. Lass uns ein persönliches und sinnvolles Gespräch führen.