Stell dir deine Website als Haus vor. Die Haustür ist dein WordPress-Login.
Und an dieser Tür rüttelt rund um die Uhr irgendwer. Probiert die Klinke, probiert einen Schlüssel, probiert’s zwei Sekunden später einfach noch mal. Tausendfach, automatisch, ohne Pause.
Kommt dir bekannt vor? Genau deswegen flattert dir die Panik-Mail deines Sicherheits-Plugins ins Postfach: „127 fehlgeschlagene Login-Versuche in der letzten Stunde.“ Der Puls geht hoch. Bricht da gerade wer ein?
Kurze Antwort: nein – solang deine Tür ordentlich verriegelt ist. Also keine Panik.
Hilfe, ich habe 100te Login-Versuche bei WordPress!
Die gute Nachricht zuerst: An deiner Tür rüttelt kein Mensch. Es sind automatisierte Bots.
Diese Skripte durchsuchen das Internet nach WordPress-Installationen wie deiner und probieren automatisch verschiedene Kombinationen aus Benutzername und Kennwort durch. Deshalb ist ein langes, komplexes Kennwort so wichtig – und nicht „passwort123″ oder „hallo“ (eines der meistgenutzten deutschen Passwörter überhaupt).
Findet ein Bot eine gültige Kombination, meldet er sich an und übernimmt die Kontrolle. Mittlerweile installiert er automatisch Plugins, verändert Dateien, nistet sich ein. Das ganze geht automatisch und binnen Sekunden, wenn das Kennwort erst einmal geknackt ist.
Warum wird ausgerechnet deine Website angegriffen?
Weil sie im Internet erreichbar ist.
Es geht nicht um dich persönlich, sondern schlicht darum, dass hier eine Tür steht. Kann sich ein Botnetz-Betreiber einloggen, missbraucht er deine Seite meistens für Spam – der taucht dann eventuell sogar in den Google-Suchergebnissen unter deiner Domain auf. Für deine Reputation bei Google, beim Mail-Versand und bei deinen Kund:innen ist das Gift.
Wie gefährlich sind diese Login-Versuche bei WordPress?
Setzt du – und alle anderen mit Zugriff auf dein WordPress! – lange, komplexe und einmalige Kennwörter ein, dann sind die Login-Versuche nicht gefährlich.
Die Kennwort-Listen der Bots sind endlich, ein echter Brute-Force-Angriff mit wirklich allen denkbaren Kombinationen ist wirtschaftlich einfach nicht sinnvoll. Auch die bösen Jungs rechnen sich das durch.
Login-Versuche sind wie Leute, die an deiner Haustür läuten.
Solange die Tür verschlossen bleibt, passiert nichts.
Das eigentliche Problem sitzt meiner Erfahrung nach woanders: bei den Panik-Mails, die dir Plugins wie Wordfence schicken. Die haben meiner Erfahrung nach keinen Mehrwert – außer dass sie dich nervös machen. Du bekommst schließlich auch nicht jedes Mal eine SMS, wenn jemand an deiner Haustür vorbeigeht.
Für die Entwickler dieser Plugins sind die Mails aber sehr wohl sinnvoll – sie zeigen dir „schau, wir beschützen dich“, damit du danach die Premium-Version kaufst. Angst funktioniert eben hervorragend im Marketing.
Mein Tipp: Setz die folgenden Maßnahmen um – und schalt die Benachrichtigungen danach einfach ab.
Maßnahmen zum Schutz des WordPress-Logins
Gegen die Login-Versuche selbst kannst du nichts tun – genauso wenig, wie du verhindern kannst, dass jemand an deiner Tür läutet. Was du tun kannst: dafür sorgen, dass es beim Anklopfen bleibt.
Vier einfache und grundlegende Maßnahmen reichen dafür völlig aus:
- Langes, komplexes Kennwort – für jeden Zugang, nicht nur für dich. Ein Passwort-Manager wie 1Password nimmt dir das Merken ab.
- Kein Benutzer mit dem Namen „admin“ – der wird am häufigsten angegriffen, weil ihn jeder Bot zuerst probiert.
- Eine echte Firewall vor WordPress – ich setze bei all meinen Kund:innen die NinjaFirewall ein. Diese Firewall blockt verdächtige Anfragen, bevor sie WordPress überhaupt erreichen, läuft ressourcenschonend im Hintergrund – und schickt dir keine einzige Panik-Mail, wenn du sie richtig einstellst.
- 2-Faktor-Authentifizierung (2FA) für alle Administrator-Konten. Die Anmeldung bestätigst du dann – wie eine Banküberweisung – mit einem Einmalcode vom Handy. Kommt dein Kennwort trotzdem abhanden, kann sich der Hacker damit noch immer nicht anmelden. Verwende hierfür das schlanke Plugin Two Factor von WordPress.
Setzt du diese vier Punkte um, ist dein Login-Schutz auf einem Niveau, das für 99,9 % aller Angriffe völlig ausreicht. Mehr brauchst du wirklich nicht.
Wasserdichte Angebote schreiben in nur 10 Minuten?
Hol dir die ultimative Angebotsvorlage für Webdesigner, Web-Programmierer und Online-Marketer.
Tool-Empfehlungen für Webdesigner:innen?
Hol dir die Webdesigner-Tool-Kiste und spar die die ewige Suche nach „dem“ richtigen Tool.
Hosting, Backup, Security, Recht… alles enthalten in der Tool-Kiste.
Ist deine Website datenschutzkonform?
Sei ehrlich: stehst du mit einem Bein im Knast und riskierst du Abmahnungen? Das muss nicht sein.
Mach den DSGVO-Selbsttest!
Bist du 100% sicher, dass deine Website datenschutzkonform ist? In nur 2 Minuten hast du Gewissheit.
Kennst du schon das Business-Membership für alle WordPress-Professionals?
Workshops, Live-Q&A’s, Austausch mit anderen Webdesigner:innen, Co-Working und natürlich professioneller Support für dich. Das sind die Website Heroes.
Elementor Pro um bis zu 20% günstiger!
Ein spezielles Angebot für dich – hole dir Elementor Pro unschlagbar günstig mit dem folgenden Rabatt-Gutschein:
Hol dir Divi bis zu 20% günstiger!
Ein spezielles Angebot für dich – hole dir Divi unschlagbar günstig mit dem folgenden Rabatt-Gutschein:
Login-Schutz, der nichts hilft & Plugins, von denen ich abrate
Die Anmelde-URL zu ändern (also /wp-admin auf /mein-geheimer-login umbenennen) klingt smart, bringt aber nichts. Bots interessiert deine URL nicht, die probieren stur alle bekannten Login-Pfade durch oder verwenden gleich die APIs von WordPress. Was du von der URL-Änderung hast: eine zusätzliche Fehlerquelle – nämlich dann, wenn du selbst mal die geheime URL vergisst und nicht mehr in dein eigenes Backend kommst oder Plugins nicht damit rechnen, dass die URL geändert wurde.
Auch von Plugins wie Limit Login Attempts Reloaded oder Wordfence rate ich mittlerweile ab. Nicht, weil sie technisch nichts tun – sie blocken tatsächlich IP-Adressen nach zu vielen Fehlversuchen. Aber: Sie schicken dir laufend Angst-Mails ohne echten Mehrwert, setzen erst innerhalb von WordPress an statt davor, und nerven dich zusätzlich mit ständigen Upsells auf die Premium-Version. Die schlanke NinjaFirewall gibt es zwar auch in einer Pro-Version, aber sie nervt nicht mit Upsells.
Von Captcha-Plugins halte ich persönlich nicht viel, weil sie den Login-Prozess unkomfortabler machen und deine Website mit den oben genannten Punkten schon perfekt abgesichert ist.
Ausgesperrt aus WordPress? So kommst du sofort wieder rein
Zwei Situationen, von denen ich immer wieder höre:
Beispiel 1: „Zu viele fehlgeschlagene Anmeldeversuche“
Du hast dich selbst ausgesperrt, weil du dein eigenes Kennwort ein paar Mal falsch eingegeben hast? Statt 20 Minuten (oder länger) zu warten, kannst du dich mit diesem Hack so sofort wieder bei WordPress anmelden.
Beispiel 2: 2FA-Code vergessen oder Handy verloren
Kommst du wegen der 2-Faktor-Authentifizierung nicht mehr rein, weil das Handy weg oder die App neu aufgesetzt ist? Auch das lässt sich einfach lösen.
Los geht’s, so umgehst du den Login-Schutz von WordPress:
- Verbinde dich per FTP/SFTP mit deinem Server (die Zugangsdaten bekommst du von deinem Hoster) oder verwende das WebFTP deines Hosters.
- Navigiere zum Ordner
/wp-content/plugins/. - Benenne den Ordner des Firewall- oder 2FA-Plugins um (z. B. „two-factor“ auf „two-factor-off“).
- WordPress deaktiviert das Plugin dadurch automatisch – du kommst wieder mit Benutzername und Kennwort rein.
- Danach: Richte das Plugin neu ein, damit dir das nicht nochmal passiert.
Wenn du dir bei diesen Schritten nicht ganz sicher bist, lass lieber die Finger davon, bevor du versehentlich die falsche Datei löschst. Hast du dagegen gar keinen Zugang mehr zu WordPress – etwa weil eine vorige Agentur untergetaucht ist – findest du in „Ausgesperrt aus WordPress? So hackst du dich wieder hinein“ die detaillierte Anleitung für den härteren Fall.
Oder du beauftragst einen Website-Hero.
Fazit: chill the base!
Login-Versuche an sich sind kein Grund zur Panik – ein sauber abgesichertes WordPress hält dieses „Grundrauschen des Internets“ problemlos aus. Setzt du die oben genannten Punkte um kannst die Panik-Mails für immer abschalten.
Willst du dir darüber gar keine Gedanken mehr machen? Genau dafür gibt’s meine WordPress-Wartung: NinjaFirewall, 2FA und alle Updates sind von Anfang an Teil des Setups – du musst nicht einmal wissen, dass es diesen Artikel gibt. Und falls doch mal was ist, fragst du einfach mich. Kein Ticketsystem, kein Rätselraten, wer gerade zuständig ist.
Lass uns sichere Websites bauen,
Michael
Häufige Fragen
Muss ich mir wegen fehlgeschlagener Login-Versuche bei WordPress wirklich Sorgen machen?
Nein – solang du ein langes, komplexes Kennwort verwendest, keinen „admin“-Benutzer hast und 2FA aktiv ist. Dann sind das Bots, die gegen eine verschlossene Tür rennen. Schalt die Panik-Mails ab und schlaf ruhig weiter.
Ist NinjaFirewall DSGVO-konform?
Ja. Die Firewall läuft komplett auf deinem eigenen Server, es werden (im Unterschied zu z.B. WordFence) keine Daten an Dritte geschickt oder in eine Cloud hochgeladen. Du kannst zusätzlich IP-Adressen anonymisieren lassen.
Eine Sache musst du aber selbst einstellen: die Aufbewahrungsdauer der Logs. Standardmäßig löscht NinjaFirewall die nicht automatisch – ich empfehle meinen Kund:innen 30 bis 45 Tage, danach weg damit.
Was kostet die NinjaFirewall für WordPress?
Die kostenlose Version bringt bereits vollen Firewall-Schutz mit und reicht in 99% der Fälle aus. Willst du mehr Kontrolle – etwa erweiterte Regeln oder Priority-Support – kannst du auf die Pro-Version upgraden.
Muss ich mich jetzt selbst um all das kümmern?
Nein, wenn du nicht willst gibt’s dafür meine WordPress-Wartung: NinjaFirewall, 2FA, externe Backups und eine zweite Firewall richte ich für dich sauber ein. Du musst dich anschließend um nichts mehr kümmern – und bekommst auch keine Panik-Mails mehr, weil ich die dann bekomme, nicht du.
Was, wenn meine WordPress-Website trotzdem gehackt wird?
Auch mit gutem Schutz und zwei Firewalls gibt’s leider keine 100-prozentige Garantie. Aber im Falle einer laufenden Wartung hast du immer noch ein externes, aktuelles Backup. Damit ist eine gehackte Seite ein Ärgernis von einer Stunde und keine Katastrophe, die tagelang Umsatz kostet.
Reicht 2FA nicht allein aus, ohne Firewall?
Ein zweiter Faktor schützt dein Login, aber nicht deine Website und alle darauf laufenden Scripts und Plugins vor anderen Angriffsarten wie SQL-Injections oder bösartigen Datei-Uploads. Deshalb kombiniere ich immer beides: Firewall gegen Angriffe auf die Seite, 2FA gegen Angriffe auf den Login.
