So schützen Sie wp-login.php vor Brute-Force-Angriffen

Wenn Sie eine WordPress-Seite haben, versucht sich gerade jetzt vermutlich jemand — genauer gesagt ein Bot — an Ihrer Admin-Seite anzumelden. Das ist nichts Persönliches: Automatisierte Programme scannen das Internet fortlaufend und probieren auf jeder WordPress-Seite Tausende Kombinationen aus Benutzername und Passwort. Das nennt man Brute-Force-Angriff, und das Ziel ist fast immer dieselbe Adresse: ihre-seite.de/wp-login.php. Die gute Nachricht: Die Abwehr besteht aus wenigen konkreten Schritten.

Warum wp-login.php ein Ziel ist

WordPress betreibt einen riesigen Teil des Internets, daher wissen Angreifer, dass die Login-Adresse fast immer an derselben Stelle liegt. Erraten sie das Passwort, erhalten sie die volle Kontrolle über die Seite — sie können Malware einschleusen, Besucher umleiten oder Daten stehlen. Der Angriff muss nicht einmal erfolgreich sein, um zu schaden: Tausende Versuche pro Minute belasten den Server und verlangsamen die Seite für echte Besucher.

Begrenzen Sie die Anzahl der Anmeldeversuche

Der erste und wichtigste Schritt ist die Begrenzung der Versuche. Standardmäßig erlaubt WordPress eine unbegrenzte Anzahl an Anmeldeversuchen, was ein Geschenk für Bots ist. Ein Login-Limit-Plugin (oder eine in ein Sicherheits-Plugin integrierte Funktion) sperrt eine IP-Adresse nach etwa 5 fehlgeschlagenen Versuchen für 15 Minuten. Das stoppt automatisierte Angriffe wirksam, weil der Bot nicht Tausende Kombinationen ausprobieren kann.

Aktivieren Sie die Zwei-Faktor-Authentifizierung

Selbst wenn ein Angreifer das Passwort errät, verlangt die Zwei-Faktor-Authentifizierung (2FA) einen zweiten Schritt — einen Code aus einer App auf Ihrem Telefon. Ohne diesen Code schlägt die Anmeldung fehl. Das ist einer der stärksten Schutzmechanismen und lohnt sich für jeden Administrator. Ausführlich erklärt haben wir das im Leitfaden zur Zwei-Faktor-Authentifizierung für Seitenbetreiber.

Verwenden Sie starke, einzigartige Passwörter

Brute-Force-Angriffe probieren zuerst die häufigsten Passwörter: „admin123“, „password“, den Firmennamen und Ähnliches. Ein langes, zufälliges Passwort mit 16+ Zeichen macht das Erraten praktisch unmöglich. Verwenden Sie niemals dasselbe Passwort an mehreren Stellen. Wie Sie das einfach pflegen, haben wir im Artikel über starke Passwörter und Passwortmanager geschrieben.

Zusätzliche Schutzschichten

• Ändern Sie den Standard-Benutzernamen: Verwenden Sie niemals „admin“ als Benutzernamen — das ist die halbe Arbeit für den Angreifer.
• Login-Seite verstecken oder umbenennen: Das Verschieben des Logins von /wp-login.php auf eine eigene Adresse wehrt die große Mehrheit automatisierter Bots ab.
• CAPTCHA beim Login: eine einfache Prüfung, die ein Bot nur schwer besteht.
• WAF auf Serverebene: eine Firewall, die Angriffe erkennt und blockiert, bevor sie WordPress überhaupt erreichen.

All das ist Teil des größeren Sicherheitsbildes, das wir im Leitfaden 9 Schritte zur WordPress-Sicherheit zusammengefasst haben. Wenn Angriffe gestoppt werden sollen, bevor sie Ihre Seite erreichen, ist auch gutes Hosting mit WAF/DDoS-Schutz entscheidend.

Häufig gestellte Fragen

Brauche ich ein Plugin oder reicht der Schutz des Hosters? Idealerweise beides. Die Host-WAF fängt Angriffe auf Serverebene ab, während ein Plugin Versuchsbegrenzung und 2FA auf WordPress-Ebene ergänzt. Zusammen decken sie jede Schicht ab.

Sperrt mich der Schutz aus meiner eigenen Seite aus? Wenn Sie das Passwort mehrmals falsch eingeben, werden Sie eventuell vorübergehend blockiert, aber die Sperre dauert meist kurz und Sie erhalten den Zugang immer über das Hosting-Panel oder durch Zurücksetzen des Passworts zurück.

Wie oft passieren diese Angriffe? Fortlaufend. Eine neue Seite erhält oft innerhalb weniger Stunden nach dem Livegang die ersten Anmeldeversuche, weshalb der Schutz sofort eingerichtet werden sollte.

Für eine ab dem ersten Tag geschützte Seite werfen Sie einen Blick auf unsere Hosting-Pakete mit WAF/DDoS-Schutz oder lesen Sie mehr über WordPress-Hosting.