Stellen Sie sich vor, Sie besitzen einen Tresor. Ein Hacker möchte ihn knacken. Um an den Inhalt zu kommen, braucht er zwei Dinge: Den Benutzernamen und das Passwort. Wenn Ihr Benutzername „admin“ lautet, haben Sie dem Dieb bereits die Hälfte der Arbeit abgenommen. Er kennt nun eine der beiden Komponenten und kann seine gesamte Energie (und Rechenleistung) darauf verwenden, nur noch das Passwort zu erraten.

Der Klassiker: Das „admin“-Problem

WordPress hat früher bei der Installation standardmäßig den Benutzernamen „admin“ vergeben. Da Hacker wissen, dass viele Menschen Gewohnheitstiere sind, lassen sie ihre Bots zuerst auf diesen Namen los.

Ein sogenannter Brute-Force-Angriff probiert in Sekundenbruchteilen tausende Passwörter für genau diesen einen Namen aus. Wenn Ihr Login dann noch unter der Standard-Adresse deine-seite.de/wp-admin erreichbar ist, steht die Tür für automatisierte Angriffe sperrangelweit offen.

Drei goldene Regeln für einen sicheren Login

Um diese „offenen Scheunentore“ effektiv zu schließen, gibt es bewährte Methoden, die jede WordPress-Seite sofort sicherer machen. Hier sind die wichtigsten Schritte, die Sie umsetzen sollten:

  1. Individuelle Benutzernamen wählen: Nutzen Sie niemals „admin“ oder den reinen Namen Ihrer Website als Login. Ein kreativer, untypischer Benutzername ist die erste unsichtbare Mauer, an der automatisierte Bots oft schon scheitern.

  2. Die Login-Seite verstecken: Standardmäßig ist jede WordPress-Seite über /wp-admin erreichbar. Mit einfachen Mitteln (wie dem Plugin WPS Hide Login) können Sie diesen Zugang an einen „geheimen Ort“ verschieben (z. B. /mein-geheimer-zugang-99). Wenn ein Bot die Tür nicht findet, kann er auch nicht versuchen, sie aufzubrechen.

  3. Die „virtuelle Luftschleuse“ einrichten: Begrenzen Sie die Anzahl der erlaubten Login-Versuche. Wer beispielsweise dreimal hintereinander ein falsches Passwort eingibt, sollte für einige Stunden komplett gesperrt werden. So nehmen Sie Brute-Force-Attacken den Wind aus den Segeln.

Was Sie jetzt tun können

Prüfen Sie Ihre eigene Website: Melden Sie sich mit „admin“ an? Wenn ja, sollten wir handeln. Man kann Benutzernamen in WordPress nicht einfach umbenennen, aber man kann einen neuen Administrator-Account mit sicherem Namen anlegen und den alten „admin“ löschen.

Vorsicht: Löschen Sie den alten Account nur, wenn Sie alle vorhandenen Inhalte (Beiträge/Seiten) auf den neuen User übertragen!

Fühlt sich Ihr Website-Login noch sicher an?

Wir führen einen Sicherheits-Check durch und eliminieren die typischen Einfallstore für Bots und Hacker.

Jetzt Sicherheits-Check anfragen