WordPress-Login, Zugriff und Wiederherstellung

#Aus WordPress ausgesperrt, was tun

Aus der eigenen WordPress-Website ausgesperrt zu sein, ist ein Initiationsritus für jeden Entwickler, Site-Manager und Geschäftsinhaber. Das Gefühl ist instinktiv: Sie navigieren zu Ihrer Login-Seite, und sie ist weg. Oder Sie geben Ihr Passwort ein, und der Bildschirm wackelt einfach. Oder schlimmer noch, Sie werden von einem kalten, weißen Bildschirm des Todes (White Screen of Death - WSOD) begrüßt.

Im Jahr 2026 hat sich das WordPress-Ökosystem weiterentwickelt. Die Sicherheit ist strenger, das Caching aggressiver und die Komplexität des durchschnittlichen Stacks hat zugenommen. Zugriffsprobleme sind selten nur noch ein “Ich habe mein Passwort vergessen”. Es sind oft komplexe Kollisionen zwischen Sicherheits-Plugins, serverseitigem Caching, Datenbankkorruption und veralteten PHP-Versionen.

Dieser Leitfaden ist keine Liste grundlegender Tipps. Er ist ein umfassendes, technisches Handbuch zur Wiedererlangung der Kontrolle über Ihr Eigentum. Wir werden die Vordertür umgehen, das Schloss knacken und, wenn nötig, die Tür mit Datenbankzugriff und Befehlszeilentools aus den Angeln heben.

Kurze Antwort: Beginnen Sie mit wp-login.php und wp-admin/. Wenn beides scheitert, suchen Sie nach einem versteckten Login-Slug und gehen Sie dann zum Passwort-Reset und zu Methoden über die Datenbank über, etwa phpMyAdmin, WP-CLI oder das vorübergehende Deaktivieren von Plugins per FTP.

#Wie der WordPress-Login funktioniert

Bevor wir Fehler beheben, müssen wir verstehen, wie WordPress die Authentifizierung handhabt. Wenn Sie wp-login.php besuchen, löst WordPress eine Abfolge von Ereignissen aus:

1. Cookie-Check: Es überprüft Ihren Browser auf gültige Authentifizierungs-Cookies.
2. Nonce-Verifizierung: Es stellt sicher, dass die Login-Anfrage echt ist und kein CSRF-Angriff.
3. Datenbank-Suche: Es fragt die Tabelle wp_users nach dem Benutzernamen ab.
4. Passwort-Hashing: Es “salzt” und hasht Ihre Eingabe und vergleicht sie mit dem user_pass String in der Datenbank.
5. Berechtigungsprüfung (Capability Check): Es fragt wp_usermeta ab, um zu verifizieren, ob Sie die Rolle administrator (oder äquivalent) besitzen.
6. Weiterleitung: Es generiert ein neues Session-Cookie und sendet Sie zu wp-admin/.

Ein Fehler in JEDER dieser Phasen führt zu einer Sperrung.

#Wo finde ich die WordPress-Login-URL

Standardmäßig lauscht WordPress auf bestimmten Standardrouten. Sie sollten diese auswendig kennen:

• ihre-site.de/wp-login.php (Der physische Pfad zur Logik-Datei).
• ihre-site.de/wp-admin/ (Ein Verzeichnis, das eine Weiterleitung zum Login auslöst, wenn nicht authentifiziert).
• ihre-site.de/login und ihre-site.de/admin (Kurzweiterleitungen, die im Core eingebaut sind).

Die Kurz-URLs stammen aus der Core-Funktion wp_redirect_admin_locations(), eingeführt in WordPress 3.4. Sie leitet /admin und /dashboard auf wp-admin/ und /login sowie /login.php auf die Login-URL weiter. Sie greift nur, wenn die Anfrage sonst mit einem 404 enden würde und sprechende Permalinks aktiv sind. Auf einer Site mit einfachen Permalinks (?p=123) bewirkt /login nichts. Testen Sie deshalb wp-login.php direkt, bevor Sie annehmen, dass die Login-Seite verschoben wurde.

#Szenario 1: “404 Not Found”

Wenn diese URLs einen 404-Fehler zurückgeben, fehlt die Datei nicht, sie ist versteckt. Ein Plugin oder eigener Code kann den Login-Slug auf etwas Benutzerdefiniertes geändert haben, z. B. /portal, /zugang oder /mein-geheimer-login.

Die Lösung: Wenn Sie eine Site geerbt haben und den benutzerdefinierten Slug nicht kennen, können Sie ihn nicht erraten. Sie müssen das Plugin deaktivieren, das diese Regel erzwingt.

1. FTP/SFTP-Zugriff: Verbinden Sie sich über FileZilla oder den Dateimanager Ihres Hostings mit Ihrem Server.
2. Navigation: Gehen Sie zu /wp-content/plugins/.
3. Identifikation: Suchen Sie nach Ordnern wie wps-hide-login (WPS Hide Login) oder better-wp-security (der wordpress.org-Slug von Kadence Security) oder nach einem anderen Security-Plugin mit eigener Login-URL.
4. Neutralisierung: Benennen Sie den Ordner um. Ändern Sie beispielsweise wps-hide-login in __wps-hide-login_DISABLED.
5. Test: WordPress hört sofort auf, dieses Plugin zu laden. Die benutzerdefinierte Routing-Regel verschwindet und die Standard-/wp-login.php funktioniert wieder.

#Szenario 2: Die unendliche Weiterleitungsschleife

Sie geben Ihre Daten ein, die Seite wird neu geladen und Sie sind wieder beim Login-Bildschirm. Keine Fehlermeldung. Einfach eine Schleife. Dies wird normalerweise durch ein Cookie-Missverhältnis oder einen SSL-Konflikt verursacht.

Die Lösung:

1. Browser-Cookies löschen: Löschen Sie die Cookies Ihrer Domain und melden Sie sich erneut an, bevor Sie eine Datei anfassen.
2. wp-config.php prüfen: Stellen Sie sicher, dass Ihre Site-URLs korrekt hardcodiert sind.

   // Fügen Sie dies zur wp-config.php hinzu
   define('WP_HOME', 'https://ihre-domain.de');
   define('WP_SITEURL', 'https://ihre-domain.de');

   Hinweis: Stellen Sie sicher, dass Sie https verwenden, wenn Sie ein SSL-Zertifikat haben. Die Verwendung von http hier, wenn der Server HTTPS erzwingt, verursacht eine Schleife.

#WordPress-Passwort ohne E-Mail zurücksetzen

Der Link “Passwort vergessen?” hängt von zwei fragilen Dingen ab:

1. Der Fähigkeit Ihres Servers, E-Mails zu senden (SMTP).
2. Ihrem Zugriff auf die im System hinterlegte E-Mail-Adresse.

Wenn die Site von einem vorherigen Entwickler erstellt wurde, könnte die Admin-E-Mail [email protected] lauten. Sie werden diesen Link niemals erhalten. Hier sind die Entwickler-Methoden, um die Authentifizierung zu überschreiben.

#WordPress-Passwort in phpMyAdmin ändern

Dies ist die universelle Methode. Sie funktioniert bei jedem Hoster (Kinsta, WP Engine, All-Inkl, Raidboxes).

1. Zugriff auf die Datenbank: Loggen Sie sich in Ihr Hosting-Panel ein und öffnen Sie phpMyAdmin.
2. Tabelle lokalisieren: Finden Sie wp_users. (Hinweis: Das Präfix wp_ könnte anders sein, z.B. wp_823_users).
3. Benutzer finden: Lokalisieren Sie Ihren Benutzernamen (user_login) oder Ihre E-Mail.
4. Zeile bearbeiten: Klicken Sie auf “Bearbeiten”.
5. Passwort-Feld: Suchen Sie user_pass. Sie sehen eine lange Zeichenfolge aus zufälligen Zeichen (z.B. $P$B55D6Ljf...). Dies ist ein gehashtes Passwort. Sie können hier nicht einfach “passwort123” eingeben, da WordPress es nicht erkennen würde.
6. Der Zaubertrick:
   • Wählen Sie im Dropdown-Menü Funktion neben user_pass die Option MD5.
   • Löschen Sie im Feld Wert den Hash und geben Sie Ihr neues Passwort im Klartext ein (z.B. NeuesStarkesPasswort2026!).
   • Klicken Sie auf OK (Go/Save).
   • Was passiert? MySQL wendet MD5 auf Ihre Zeichenfolge an, bevor es sie speichert. wp_check_password() behandelt jeden gespeicherten Hash mit 32 Zeichen oder weniger als einfachen MD5-Hash und vergleicht ihn direkt. Nach einem erfolgreichen Login ruft der Core wp_password_needs_rehash() auf und speichert einen neuen Hash. Seit WordPress 6.8 ist das standardmäßig bcrypt, gespeichert mit dem Präfix $wp (zum Beispiel $wp$2y$10$...). Ältere $P$-Hashes von phpass werden weiterhin akzeptiert und beim nächsten Login auf dieselbe Weise neu gehasht.

#WordPress-Passwort über die MySQL-Kommandozeile zurücksetzen

Mit SSH-Zugang, aber ohne phpMyAdmin, nutzt die offizielle Reset-Anleitung auf wordpress.org direkt den mysql-Client:

1. Anmelden: mysql -u root -p, dann die Datenbank mit use ihre_datenbank; auswählen.
2. Die Benutzertabelle mit show tables; finden. Sie endet auf users und trägt Ihr Tabellenpräfix.
3. Den Inhalt prüfen: SELECT ID, user_login, user_pass FROM wp_users;
4. Das neue Passwort setzen und MySQL den MD5-Hash berechnen lassen:

   UPDATE wp_users SET user_pass = MD5('neues-passwort') WHERE ID = 1;

5. Das SELECT erneut ausführen, um die Änderung zu bestätigen, und mit Control-D beenden.

Laut derselben Anleitung funktioniert das auch dann, wenn die vorhandenen Passwörter gesalzene $P$-Hashes sind.

#WordPress-Passwort mit WP-CLI zurücksetzen

Wenn Sie SSH-Zugriff haben, ist die Verwendung der grafischen Oberfläche Zeitverschwendung. WP-CLI ist schneller, sicherer und hinterlässt einen Audit-Pfad im Shell-Verlauf.

1. Login: ssh user@ip-address
2. Navigation: cd /var/www/html (oder Ihr Site-Pfad).
3. Benutzer auflisten: Sie müssen genau wissen, wer die Admins sind.

   wp user list

   Ausgabe:

   +----+------------+--------------+--------------------------+
   | ID | user_login | display_name | user_email               |
   +----+------------+--------------+--------------------------+
   | 1  | admin      | administrator| [email protected]       |
   | 4  | mariusz    | Mariusz      | [email protected]     |
   +----+------------+--------------+--------------------------+

4. Passwort ändern:

   wp user update 1 --user_pass="KorrektPferdBatterieTacker2026"

5. Alternative: Neuen Admin erstellen: Manchmal ist das bestehende Admin-Konto beschädigt oder Sie wollen es nicht anfassen. Erstellen Sie sich eine Hintertür (“Backdoor Admin”).

   wp user create recovery_admin [email protected] --role=administrator --user_pass="MeinGeheimerSchluessel"

   Dies gewährt Ihnen Zutritt, ohne die bestehenden Benutzer zu alarmieren.

#WordPress-Passwort mit wp user reset-password zurücksetzen

wp user update --user_pass hinterlässt das neue Passwort im Shell-Verlauf. Der Befehl wp user reset-password erzeugt stattdessen ein zufälliges Passwort:

# Neues Passwort erzeugen und den Benutzer per E-Mail informieren
wp user reset-password admin

# Passwort im Terminal anzeigen, keine E-Mail senden
wp user reset-password admin --skip-email --show-password

# Nur das Passwort ausgeben, praktisch in Skripten
wp user reset-password admin --skip-email --porcelain

Standardmäßig schickt der Befehl dem betroffenen Benutzer eine E-Mail. --skip-email verhindert das, und --show-password sowie --porcelain kamen mit WP-CLI 2.8.0. Ein älteres WP-CLI ändert das Passwort also, ohne es Ihnen je anzuzeigen. Aktualisieren Sie WP-CLI zuerst, wenn Sie das Ergebnis lesen müssen.

Nach einem vermuteten Einbruch setzen Sie alle Administratoren auf einmal zurück:

wp user reset-password $(wp user list --format=ids --role=administrator)

Auch wp user update kennt --skip-email, wenn Sie ein bekanntes Passwort setzen wollen, ohne den Kontoinhaber zu benachrichtigen.

#WordPress-Passwort über die functions.php zurücksetzen

Warnung: Verwenden Sie dies nur als letzten Ausweg. Es beinhaltet die Änderung von Code auf einem Live-Server.

1. Verbinden Sie sich per FTP mit /wp-content/themes/ihr-aktives-theme/.
2. Laden Sie die Datei functions.php herunter.
3. Fügen Sie diese Zeile direkt nach dem öffnenden PHP-Tag in der ersten Zeile der Datei ein:

   wp_set_password('NotfallReset2026!', 1);

   (Ersetzen Sie 1 mit der Benutzer-ID, die Sie zurücksetzen möchten).
4. Laden Sie die Datei wieder hoch.
5. Laden Sie die Login-Seite neu. Das Passwort ist jetzt zurückgesetzt.
6. KRITISCHER SCHRITT: Löschen Sie diese Zeile sofort wieder aus der functions.php.
   • Warum? Die Zeile läuft bei jedem Seitenaufruf, also setzt WordPress das Passwort bei jeder Anfrage erneut zurück. Die Referenz zu wp_set_password() warnt, dass die Funktion für den einmaligen Einsatz gedacht ist und ein dauerhaft aktiver Aufruf eine Endlosschleife von Passwort-Resets auslöst, die Sie jedes Mal zurück zum Login-Bildschirm schickt.

#Notfall-Skript zum Zurücksetzen des WordPress-Passworts

Wenn keine der obigen Methoden verfügbar ist, verweist die Anleitung auf wordpress.org auf das Emergency Password Reset Script. Es ist eine eigenständige PHP-Datei, kein Plugin:

1. Kopieren Sie das Skript von der in der Anleitung verlinkten Seite in eine Datei namens emergency.php.
2. Laden Sie sie in das Stammverzeichnis der Installation hoch, also dorthin, wo wp-config.php liegt, niemals in das Plugin-Verzeichnis.
3. Öffnen Sie https://example.com/emergency.php, geben Sie den Benutzernamen des Administrators und das neue Passwort ein und senden Sie das Formular ab.
4. Das Skript ändert das Passwort und schickt eine E-Mail an die Administrator-Adresse. Das Passwort ändert sich auch dann, wenn diese E-Mail nie ankommt.
5. Löschen Sie emergency.php sofort. Wer die Datei findet, kann damit Ihr Passwort ändern.

Das Skript braucht den Benutzernamen des Administrators. Kennen Sie ihn nicht, lesen Sie ihn vorher mit einer der Datenbankmethoden oben aus der Spalte user_login aus.

#WordPress-Admin-E-Mail ändern, wenn das alte Postfach nicht mehr existiert

Hier zählen zwei verschiedene Adressen, und ein totes Postfach bedeutet meist, dass beide korrigiert werden müssen:

• Die Konto-E-Mail (user_email in wp_users) erhält den Link zum Zurücksetzen des Passworts. Setzen Sie sie mit wp user update 1 [email protected] --skip-email; beide Optionen stehen in der Referenz zu wp user update.
• Die Admin-E-Mail der Site (die Option admin_email) erhält den weiter unten beschriebenen Link zum Wiederherstellungsmodus. Eine Änderung in den Einstellungen wirkt nicht sofort: update_option_new_admin_email() schickt eine Bestätigungsanfrage an die neue Adresse, und diese wird erst nach der Bestätigung aktiv. Auf einer Site, die keine E-Mails verschickt, kommt diese Bestätigung nie an.

Mit Shell-Zugang schreibt wp option update den Wert der Option direkt:

wp option update admin_email [email protected]

Reparieren Sie danach den E-Mail-Versand, sonst scheitert der nächste Passwort-Reset auf dieselbe Weise.

#WordPress-Login trotz richtigem Passwort nicht möglich

Sie haben das Passwort. Sie haben die URL gefunden. Aber Sie kommen immer noch nicht rein. Wir betreten nun das Reich des fortgeschrittenen Debuggings.

#1. Der Fehler “Sie haben nicht die erforderlichen Berechtigungen”

Sie loggen sich erfolgreich ein, aber WordPress zeigt Ihnen ein leeres Dashboard oder die Nachricht “Du bist leider nicht berechtigt, auf diese Seite zuzugreifen.” (so lautet der Text im deutschen Sprachpaket).

Diagnose: Ihr Benutzer existiert, aber Ihre Berechtigungen (Capabilities) sind beschädigt. Dies passiert oft nach einer schlechten Datenbankmigration (Search-and-Replace falsch auf serialisierten Daten ausgeführt).

Die Lösung (Datenbank):

1. Gehen Sie zur Tabelle wp_usermeta in phpMyAdmin.
2. Suchen Sie die user_id, die zu Ihrer ID passt (z.B. 1).
3. Suchen Sie den meta_key namens wp_capabilities (oder wp_xyz_capabilities).
4. Der meta_value sollte wie dieses serialisierte Array aussehen:

   a:1:{s:13:"administrator";b:1;}

5. Wenn es völlig anders aussieht, leer oder beschädigt ist, ersetzen Sie es durch den obigen String. Dies zwingt die Datenbank manuell dazu, Sie als Administrator zu erkennen.

#2. WordPress-Login ohne 2FA-Code

Sie haben 2FA (Google Authenticator) aktiviert, aber Ihr Telefon verloren. Jetzt sind Sie effektiv durch Ihre eigene Sicherheit ausgesperrt.

Die Lösung: Sie können den 2FA-Code nicht “erraten”. Sie müssen das Plugin deaktivieren, das ihn erzwingt.

1. FTP zu /wp-content/plugins/.
2. Finden Sie das 2FA-Plugin (z.B. google-authenticator, two-factor).
3. Benennen Sie den Ordner um in _disabled_google-authenticator.
4. Loggen Sie sich ein. WordPress wird meckern, dass das Plugin fehlt, aber es lässt Sie ohne Code rein.
5. Stellen Sie den Ordnernamen wieder her, gehen Sie zu Plugins und konfigurieren Sie es neu.

#3. Weißer Bildschirm (WSOD) beim WordPress-Login

Sie senden das Formular ab, und der Bildschirm wird weiß. Das ist ein kritischer PHP-Fehler (Fatal Error), der während des Authentifizierungsprozesses auftritt.

Diagnose: Um den Geist zu sehen, müssen Sie ihm eine Form geben. Wir brauchen Logs.

1. Öffnen Sie die wp-config.php.
2. Suchen Sie nach define('WP_DEBUG', false);.
3. Ersetzen Sie es durch diesen “Geschwätzigen Logging”-Block:

   // Debugging aktivieren
   define( 'WP_DEBUG', true );
   
   // Logs speichern unter /wp-content/debug.log
   define( 'WP_DEBUG_LOG', true );
   
   // Fehler NICHT auf dem Bildschirm anzeigen (Sicherheitsrisiko)
   define( 'WP_DEBUG_DISPLAY', false );
   @ini_set( 'display_errors', 0 );

4. Lösen Sie den Fehler erneut aus (versuchen Sie sich einzuloggen).
5. Öffnen Sie /wp-content/debug.log.
6. Sie werden eine Zeile sehen wie: PHP Fatal error: Uncaught Error: Call to undefined function... in /.../wp-content/plugins/schlechtes-plugin/index.php:45
7. Jetzt wissen Sie genau, welches Plugin der Verräter ist. Löschen Sie es per FTP.

#E-Mail zum WordPress-Wiederherstellungsmodus nach einem Fatal Error

Seit WordPress 5.2 fängt der Core schwere Fehler ab, die ein Plugin oder Theme verursacht, statt nur einen weißen Bildschirm zu zeigen. Die Mechanik steckt in der Klasse WP_Recovery_Mode und ist oft der schnellste Weg zurück in eine Site, die direkt beim Login abstürzt.

So funktioniert es laut Core-Referenz:

• Die E-Mail: Bei einem Fatal Error schickt WordPress einen Link an die Adresse in der Konstante RECOVERY_MODE_EMAIL, sofern sie definiert und gültig ist, sonst an die Admin-E-Mail der Site (get_recovery_mode_email_address()).
• Das Versandlimit: Standardmäßig geht höchstens eine E-Mail pro Tag hinaus (Filter recovery_mode_email_rate_limit). Haben Sie die erste verpasst oder gelöscht, erzeugt ein erneuter Fehler keine neue, bis dieses Fenster abgelaufen ist.
• Die Gültigkeit des Links: Der Link gilt mindestens so lange wie das Versandlimit, standardmäßig also einen Tag (Filter recovery_mode_email_link_ttl).
• Pausierte Erweiterungen: Im Wiederherstellungsmodus wird das Plugin oder Theme, das den Fehler ausgelöst hat, pausiert (WP_Recovery_Mode::store_error). Das Dashboard lädt, und Sie können es deaktivieren oder aktualisieren.
• Modus verlassen: Abmelden beendet die Wiederherstellungssitzung.

Die Schwachstelle ist dieselbe wie beim Link zum vergessenen Passwort: Die E-Mail geht an die Admin-Adresse. Ist dieses Postfach tot, hinterlegen Sie vor dem nächsten Vorfall eine funktionierende Adresse in der wp-config.php:

define( 'RECOVERY_MODE_EMAIL', '[email protected]' );

Es gibt auch den umgekehrten Schalter. wp_is_fatal_error_handler_enabled() gibt false zurück, wenn WP_DISABLE_FATAL_ERROR_HANDLER in der wp-config.php auf true steht, und schaltet damit den ganzen Mechanismus ab. Das hilft auf einem Entwicklungsrechner, auf dem Sie den rohen PHP-Fehler sehen wollen. In der Produktion entfällt damit die Wiederherstellungs-E-Mail, also lassen Sie die Konstante dort undefiniert. Der passende Filter wp_fatal_error_handler_enabled läuft, bevor Plugins geladen werden. Plugins, MU-Plugins und Themes können ihn deshalb nicht nutzen.

#WordPress hängt nach einem Update im Wartungsmodus fest

Ein fehlgeschlagenes oder abgebrochenes Update kann auf jeder URL, auch auf wp-login.php, die Meldung “Diese Website ist aufgrund planmäßiger Wartungsarbeiten vorübergehend nicht verfügbar. Bitte versuche es in wenigen Minuten erneut.” hinterlassen. Ursache ist eine Datei namens .maintenance im WordPress-Stammverzeichnis. wp_is_maintenance_mode() liest den Zeitstempel $upgrading aus dieser Datei und hält die Site nur so lange im Wartungsmodus, wie die Datei jünger als 10 Minuten ist.

Bleibt die Meldung länger stehen oder können Sie nicht warten:

1. Verbinden Sie sich per FTP oder SFTP und öffnen Sie das Verzeichnis mit der wp-config.php.
2. Schalten Sie in Ihrem Client die Anzeige versteckter Dateien ein, denn der Name beginnt mit einem Punkt.
3. Löschen Sie .maintenance.
4. Laden Sie wp-login.php neu und prüfen Sie Dashboard > Aktualisierungen, denn das Update, das die Datei angelegt hat, ist womöglich nicht fertig geworden.

Eine Datei maintenance.php in wp-content ist etwas anderes: ein optionales Drop-in, das die Standard-Wartungsmeldung ersetzt. Verwechseln Sie die beiden nicht.

#WordPress-Core neu installieren und Salts erneuern

Wenn Sie es mit einer gehackten Site oder einer völlig kaputten Installation zu tun haben, funktionieren chirurgische Eingriffe möglicherweise nicht. Hier sind die nuklearen Optionen.

#1. WordPress-Core-Dateien ersetzen

Manchmal sind die Core-Dateien selbst (wp-login.php, wp-admin Dateien) beschädigt oder mit Malware infiziert.

1. Laden Sie eine frische Kopie von WordPress von wordpress.org herunter.
2. Entpacken Sie sie auf Ihrem Computer.
3. Löschen Sie den Ordner wp-content aus dieser frischen Kopie (Sie wollen Ihren eigenen Inhalt nicht überschreiben!).
4. Löschen Sie die Datei wp-config-sample.php.
5. Laden Sie ALLES andere auf Ihren Server hoch und überschreiben Sie die vorhandenen Dateien.
   • Dies ersetzt alle Logik-Dateien durch frischen, sauberen Code.
   • Dies berührt nicht Ihre Datenbank, Ihre Bilder oder Ihr Theme.

#2. Alle Benutzer ausloggen (neue Salts)

Wenn Sie eine Session-Übernahme (Hijacking) vermuten oder sicherstellen wollen, dass niemand sonst eingeloggt ist, während Sie arbeiten:

1. Öffnen Sie https://api.wordpress.org/secret-key/1.1/salt/
2. Kopieren Sie die generierten Schlüssel.
3. Öffnen Sie die wp-config.php.
4. Ersetzen Sie die bestehenden Einzigartigen Authentifizierungsschlüssel und Salze durch die neuen.
5. Effekt: Jedes gültige Login-Cookie auf dem Planeten für Ihre Site wird sofort ungültig. Jeder (einschließlich Ihnen) wird ausgeloggt.

#WordPress-Login absichern

Den Zugriff wiederherzustellen ist stressig. Das Ziel sollte sein, ihn nie wieder zu verlieren. Hier ist Ihre Checkliste zur Härtung Ihrer Eingangstür.

#Minimale Rechte für WordPress-Benutzerrollen

Geben Sie niemals separaten Konten “Administrator”-Zugriff, es sei denn, sie sind technisch in der Lage, den Server zu verwalten.

• Redakteur: Kann Beiträge schreiben und veröffentlichen.
• Shop Manager: Kann WooCommerce-Bestellungen verwalten.
• Administrator: Kann die Site kaputt machen. Wenn Sie einen Kunden haben, geben Sie ihm Redakteur-Zugriff. Geben Sie Administrator-Zugriff nur, wenn er einen Haftungsausschluss unterschreibt.

#Hardware-Keys und Passkeys für WordPress

Im Jahr 2026 gelten Passwörter als unsicher. Die Branche hat sich zu Passkeys (FIDO2-Authentifizierung) bewegt.

• Verwenden Sie einen Hardware-Key wie YubiKey oder Titan Key.
• Installieren Sie ein Plugin, das WebAuthn fähig ist.
• Google und Apple unterstützen Passkeys jetzt nativ. Das bedeutet, Sie können sich mit Ihrer Face ID oder Touch ID bei WordPress einloggen. Es ist Phishing-sicher.

#Login-Versuche in WordPress begrenzen

Brute-Force-Angriffe sind Roboter, die tausende Passwörter pro Sekunde ausprobieren.

• Installieren Sie Limit Login Attempts Security (wordpress.org-Slug limit-login-attempts-reloaded).
• Stellen Sie es ein, um eine IP nach 3 fehlgeschlagenen Versuchen für 24 Stunden zu sperren.
• Auf den Seiten, auf denen wir das umgesetzt haben, nimmt es den größten Teil des automatisierten Login-Traffics vom Server. Wie stark die Last sinkt, hängt davon ab, wie viel Ihres Traffics überhaupt Bots sind.

#Von anderen WordPress-Sitzungen abmelden

Wenn Sie sich in einem öffentlichen Café oder am Computer eines Freundes einloggen, vergessen Sie vielleicht, sich auszuloggen.

• Gehen Sie zu Benutzer > Profil.
• Scrollen Sie nach unten zum Abschnitt “Sitzungen”.
• Klicken Sie auf Überall sonst abmelden. Dies ist eine oft übersehene Core-Funktion.

#Zusammenfassung und Checkliste

Den Zugriff auf WordPress wiederzuerlangen, ist ein logischer Prozess der Eliminierung.

1. Ist die URL korrekt? (Auf versteckte Login-Plugins prüfen per FTP).
2. Ist das Passwort korrekt? (Reset via WP-CLI oder MD5-Hash in DB).
3. Ist die Benutzerrolle korrekt? (wp_capabilities Serialisierung prüfen).
4. Blockiert Sie Code? (Plugin-Ordner umbenennen, WP_DEBUG aktivieren).
5. Ist der Core beschädigt? (Frische wp-admin/includes Dateien hochladen).

Sobald Sie wieder drin sind, atmen Sie nicht nur erleichtert auf. Sichern Sie die Lücke. Installieren Sie eine Passkey-Lösung, richten Sie ein redundantes Admin-Konto ein und verifizieren Sie Ihren Backup-Zeitplan. Die Wiederherstellung des Zugriffs ist eine Schlacht, die Sie nur einmal schlagen sollten.

Weiterlesen: Kompletter Leitfaden zur WordPress-Sicherheit und Härtung (Edition 2026)