Die WordPress Login-URL zu ändern schützt nicht genug!

Sicherheit im WWW ist ein wichtiges Thema, noch dazu, wenn es um die eigene Website geht. Wer eine WordPress-Website hat, muss sich aktiv darum kümmern, Hackern bzw. Angreifern den Zugang zu verwehren. Eine Idee dabei ist, den Zugang zum WordPress-Dashboard durch ein ändern der Standard-URL zu erschweren. Aber schützt das wirklich? Soll ich die Login-URL in WordPress ändern?

Die unmittelbare und ehrliche Antwort auf diese Frage lautet: Nein, das lohnt sich nicht. Für professionelle Hacker ist dieser Schritt kein Hindernis. Viel wichtiger ist es, die Sicherheit der WordPress-Website durch Sicherheitsmaßnahmen wie Zwei-Faktor-Authentifizierung, eine Begrenzung der Anmeldeversuche und starke Login-Daten zu erhöhen.

So etwas sagt sich leicht, aber ich möchte Ihnen natürlich auch die nötigen Details und Begründungen liefern. Hier sind sie:

Was ist die Standard Login-URL für eine WordPress Website?

Für eine WordPress Website auf der Domain beispiel.com befindet sich die standardmäßige Login-URL für das WordPress-Backend auf beispiel.com/wp-login.php. Das WordPress Backend (Dashboard) selbst erreicht man über beispiel.com/wp-admin/.

Dieser Standard wird bei jeder Installation einer WordPress-Website eingerichtet. Das erleichtert vieles, z.B. automatische Aktualisierungen, Werkzeuge einzusetzen oder bestimmte Dinge zu erklären. Andererseits ist es auch ein Risiko, dass weit mehr als ein Drittel aller Websites (laut W3Techs rund 40 %) ein und dieselbe Login-URL verwendet. Auch die Adressen beispiel.com/wp-admin/ und beispiel.com/login führen übrigens dorthin, solange man nicht angemeldet ist.

Warum ist eine Standard Login-URL ein Sicherheitsrisiko für eine Website?

Das Problem ist nicht nur die standardisierte Login-URL für die WordPress-Admin-Oberfläche. Hauptsächlich ist problematisch, dass Hacker für sehr viele WordPress-Websites bereits zwei von drei nötigen Informationen kennen, weil es für diese eine Voreinstellung gibt.

Wieso denn das bitte? werden Sie fragen. In erster Linie, um die Sache einfach zu machen. Damit möglichst viele Benutzer ein bestimmtes System verwenden, muss es möglichst einfach sein. Handelt es sich dabei um Software (so wie WordPress), dann muss zunächst die Installation möglichst einfach ablaufen. Dazu gehörte bei WordPress lange auch das Anlegen eines Administrators mit dem Standard-Benutzernamen admin. Seit WordPress 3.0 (2010) wählt man den Namen bei der Installation selbst, aber viele Websites tragen ihn bis heute.

Ein Administrator ist eine Art von WordPress-Benutzer, der im Prinzip alles auf und mit der WordPress Website tun darf (auch die gesamte Website löschen). Wenn Sie mehr über WordPress Benutzerrollen wissen möchten, empfehle ich Ihnen meinen Artikel WordPress-Benutzerrollen: Rechte, Verwaltung, Beispiel-Screenshots, gleich hier auf WebsiteBerater.com.

Aber zurück zur Anmeldung bei Ihrer WordPress-Website. Dafür brauchen Sie (und jeder andere auch) drei Daten:

• Die URL der Anmeldeseite. Der Standard ist: beispiel.com/wp-login.php
• Ihren Benutzernamen. Wenn es sich um Ihre eigene WordPress Website handelt, ist das im Allgemeinen auch ein Administrator. Eine WordPress-Installation muss immer einen Administrator-Benutzer haben. Bis WordPress 3.0 hieß er bei jeder Installation admin, und genau diesen Namen probieren Angreifer bis heute zuerst.
• Das Passwort des Benutzers (Administrators). Das sucht man sich bei der Installation selbst aus oder lässt es vom System erzeugen.

Die Versuchung ist groß, für das Passwort etwas Einfaches oder Kurzes zu wählen, das man sich leicht merken kann, aber genau darin liegt die größte Gefahr. Denn durch ein schwaches Passwort, das Passwort-Knack-Algorithmen leicht finden bzw. erraten, ist für eine Standard-Installation ohne weitere Sicherheitsschranken dann der Schutz gegen Angreifer denkbar schlecht.

Denn das Hauptproblem bei der Verwendung dieser Standards ist, dass ein Hacker oder Angreifer bei vielen Websites davon ausgehen kann, dass die Login-Seite auf beispiel.com/wp-login.php liegt und es einen Administrator-WordPress-Benutzer mit dem Benutzernamen admin (oder wordpressadmin) gibt. Alles, was die automatisierten Hacking-Skripte dann noch herausfinden müssen, ist das Passwort.

Ein Benutzername, der nicht admin lautet, hilft ein wenig, aber weniger, als man denkt: WordPress verrät Benutzernamen ab Werk auf mehreren Wegen. Die Adresse beispiel.com/?author=1 leitet auf die Autorenseite beispiel.com/author/…/ weiter, und die Programmierschnittstelle der Website (beispiel.com/wp-json/wp/v2/users) listet alle Autoren mit veröffentlichten Beiträgen auf. In beiden Fällen steht dort eine Kurzform, die WordPress aus dem Benutzernamen gebildet hat. Beide Wege lassen sich sperren (auf dieser Website sind sie es), aber ab Werk sind sie offen.

Weder der Benutzername noch die Login-URL ist also ein echtes Geheimnis. Sehen wir uns trotzdem einmal die Argumente für und gegen eine Veränderung der Standard WordPress-Login-URL an.

Argumente für eine veränderte WordPress Login-URL

Die Argumente für eine gegenüber dem Standard veränderte WordPress Login-URL sind:

• Die Login-URL und die Standard URL für das Dashboard (wp-admin) sind für Hacker nicht offensichtlich.
• Man kann der Login-URL kreative Namen geben, die das Branding verbessern. Dieses Argument gilt allerdings nur aus Marketing-Sicht für die anderen WordPress-Benutzer der Website als Pro-Argument. Da man den anderen Benutzern ja von der cool gebrandeten Anmelde-URL erzählt, ist sie auch für Hacker wieder leichter zu finden.
• Manchmal liest man auch, dass eine durch eine Web-Agentur veränderte bzw. versteckte Login-URL beim Kunden, für den die Website bestimmt ist, ein sichereres Gefühl erzeugt. Dieses Argument hält allerdings auch nur so lange stand, wie man dem Kunden weismacht, dass das wirklich sinnvoll ist. Besser wäre es, gut zu informieren, auch darüber, dass eine veränderte Login-URL für Profis keine echte Hürde darstellt.

Ja, das war bereits alles. Zusammenfassend kann man sagen, dass zwar alle Attacken, die direkt auf wp-login.php losgelassen werden, ins Leere führen, aber mehr auch nicht.

Argumente gegen ein Verändern der WordPress Login-URL

Auch gegen das Verändern der WordPress Login-URL lassen sich einige Argumente finden:

• Wie oben bereits angedeutet, ist diese Maßnahme gegen erfahrene Hacker nicht effektiv. Somit ist der Aufwand, den man hier betreibt, gewissermaßen verschwendet.
• Genauer gesagt, ist diese Maßnahme aufgrund ihrer Schwächen für sich alleine genommen nicht effektiv. Man muss also zusätzlich noch stärkere Maßnahmen einsetzen und kann sich daher diese schwache Maßnahme gleich ersparen.
• Jegliches Sicherheitsgefühl, das man als Resultat dieser Maßnahme erwartet oder verspürt, ist eigentlich irreführend.
• Wer die Login-URL der eigenen WordPress-Website verändert, muss sie sich auch merken. Das klingt vielleicht lächerlich, hat aber einen ernsten Hintergrund, siehe unten.
• Die Veränderung der Login-URL wird empfohlenerweise durch ein Plugin umgesetzt. Grundsätzlich sollte man aber Plugins vermeiden, so gut es geht, da sie Ressourcen verbrauchen und die WordPress-Website insgesamt durch mögliche Sicherheitslücken angreifbarer machen.
• Auch Plugins haben Standards für die Veränderung der Login-URL. Das verbreitete Plugin WPS Hide Login etwa verwendet ab Werk /login, also genau die Adresse, die WordPress ohnehin auf die Anmeldeseite umleitet. Wer die Voreinstellung nicht verändert, gewinnt also gar nichts.
• Eine geänderte Login-URL schützt nur die Anmeldeseite. Über die Schnittstelle xmlrpc.php lassen sich Benutzername und Passwort genauso durchprobieren, und daran ändert die neue Adresse nichts.

Insgesamt erschwert das Verändern der Login-URL auch dem eigentlichen Administrator der Website die Arbeit, ohne einen echten Nutzen zu bringen. Wenn man sonst nichts tut, dann ist das etwa so, als würde man den Eingang zum eigenen Haus zwar in einem Labyrinth verstecken, dafür aber die Eingangstür sperrangelweit offen stehen lassen.

Wichtige Sicherheitsmaßnahmen für Ihre WordPress Website

Um hier nicht einfach nur die ganze Zeit darüber zu meckern, weshalb die Veränderung der Login-URL nicht zielführend ist, sondern Ihnen auch zu sagen, was Sie stattdessen tun können, hier die wichtigsten Punkte in Kürze:

1. Verwenden Sie für Ihren Administrator-Account nicht den Standard-Benutzernamen admin. Auch nicht den nur leicht veränderten Standard wordpressadmin und nicht einfach nur Ihren Namen. Verlassen Sie sich aber nicht darauf, dass der Name geheim bleibt (siehe oben); er ist eine kleine Hürde, kein Schutz.
2. Verwenden Sie ein sicheres Passwort, das Sie nirgendwo sonst verwenden. WordPress schlägt Ihnen bei der Einrichtung und mit Passwort generieren bzw. Neues Passwort erstellen im Profil eines vor; ein Passwort-Manager merkt es sich für Sie.
3. Verwenden Sie Zwei-Faktor-Authentifizierung (2FA) für alle Administrator-Benutzer Ihrer WordPress-Website. Das ist die wichtigste Maßnahme auf dieser Liste: Selbst ein erratenes oder gestohlenes Passwort reicht dann nicht mehr. WordPress bringt 2FA nicht selbst mit; das kostenlose Plugin Two Factor ergänzt sie. Nutzen Sie eine Authenticator-App auf Ihrem Smartphone (nicht SMS) und legen Sie zusätzlich Backup-Codes für den Notfall an.
4. Begrenzen Sie die Anmeldeversuche. Fragen Sie zuerst Ihren Hoster, was er auf dem Server schon tut. Bei Cloudways z.B. ist der Server-Schutz Imunify360 in allen Tarifen enthalten, mit einer Firewall, Schutz gegen Brute-Force-Angriffe und einer Web Application Firewall mit Regeln speziell für WordPress. Wo nichts davon vorhanden ist, sperrt ein Plugin wie Limit Login Attempts Reloaded eine IP-Adresse nach einigen Fehlversuchen vorübergehend aus. Eine Brute-Force-Attacke versucht, sich auf Ihrer Website als Administrator anzumelden, indem Benutzername und Passwort durchprobiert werden.
5. Lassen Sie die Anmeldeseite vorab prüfen. Liegt Ihre Website hinter Cloudflare, kann eine Regel für /wp-login.php jeden Besucher dieser Seite zuerst eine kurze Browser-Prüfung durchlaufen lassen (Managed Challenge). Automatisierte Skripte bleiben dann hängen, bevor sie WordPress überhaupt erreichen, ganz ohne Plugin. So ist es auf dieser Website eingerichtet.
6. Sperren Sie xmlrpc.php, wenn Sie es nicht brauchen. Über diese ältere Schnittstelle lassen sich Benutzername und Passwort ebenfalls durchprobieren. Manche Apps und Dienste nutzen sie allerdings noch; prüfen Sie das, bevor Sie sperren.
7. Schützen Sie Ihre Formulare. Gegen automatisiert ausgefüllte Kontakt- und Kommentarformulare hilft ein Captcha. Ich setze dafür Cloudflare Turnstile ein: ohne Bilderrätsel und, wenn die Website ohnehin hinter Cloudflare liegt, ohne einen weiteren Anbieter. Google reCAPTCHA verwende ich nicht mehr.
8. Halten Sie WordPress, Plugins und Themes aktuell. Viele Angriffe nutzen bekannte Sicherheitslücken, für die es längst ein Update gibt. Mehr dazu in WordPress-Website richtig pflegen: Was wirklich zu tun ist – mit Checkliste

Welche dieser Punkte Sie selbst umsetzen müssen und welche Ihr Hoster oder Cloudflare schon erledigt, ist von Website zu Website verschieden. Sicherheits-Plugins wie Wordfence bündeln vieles davon (Firewall, Begrenzung der Anmeldeversuche, 2FA, Captcha) in einem einzigen Plugin. Auf einem Server, der das schon kann, ist das allerdings doppelt. Die Punkte 1 bis 3 sind aber in jedem Fall Ihre Aufgabe.

So, jetzt kennen Sie meine Einstellung zu diesen Sicherheitsfragen. Wenn Sie trotzdem den Aufwand betreiben und die Login-URL Ihrer WordPress Website ändern wollen, dann finden Sie im Folgenden noch ein paar Hinweise dazu. Aber ehrlich gesagt können Sie an dieser Stelle auch aufhören, diesen Artikel zu lesen und (nachdem Sie die 2FA eingerichtet haben!) an Ihrer WordPress-Website weiter arbeiten.

Zur Erstellung einer WordPress-Website habe ich übrigens einen kompletten Leitfaden verfasst. Einen Überblick darüber finden Sie in meinem Artikel 19 Schritte zur fertigen WordPress-Website: Alle Details. Haben Sie bereits alle diese Schritte umgesetzt?

Die WordPress Login-URL mit einem Plugin ändern

Wenn Sie die Login-URL Ihrer WordPress Website ändern wollen, ist die Verwendung eines Plugins die empfohlene Vorgehensweise. Bei der Auswahl des Plugins befolgen Sie am besten meine Tipps und Vorsichtsmaßnahmen bei der Beurteilung der Eignung eines WordPress Plugins für ein bestimmtes Problem.

Gerade, weil es sich hier um eine Frage der Website-Sicherheit handelt, ist es z.B. besonders wichtig, ein Plugin zu wählen, das regelmäßig aktualisiert wird, eine breite Benutzerbasis hat und gute Bewertungen vorweisen kann.

Da ich persönlich auf meinen Websites keine Veränderung an der Login-URL vorgenommen habe, kann ich Ihnen kein Plugin empfehlen, das ich selbst benutze oder auch nur ausprobiert habe. Ein sehr verbreitetes Plugin dafür ist WPS Hide Login. Wenn Sie es einsetzen, wählen Sie unbedingt eine eigene Adresse statt der Voreinstellung /login (siehe oben) und notieren Sie sie in Ihrem Passwort-Manager. Wie gesagt, wenn Sie etwas für die Sicherheit Ihrer WordPress-Website tun wollen, setzen Sie lieber die Maßnahmen oben um.

Die WordPress Login-URL ohne Plugin ändern

Die WordPress Login-URL lässt sich auch ohne die Verwendung eines Plugins ändern. Aber anstatt Ihnen zu sagen, wie das geht, sage ich Ihnen lieber, warum Sie das erst recht nicht tun sollten:

• Sie verändern dabei den PHP-Code Ihrer WordPress Installation. Im WordPress-Core wird jede Änderung beim nächsten Update überschrieben; eigener Code in einem Child-Theme oder einem eigenen Plugin bleibt zwar erhalten, aber dann müssen Sie ihn selbst pflegen und bei jedem WordPress-Update prüfen.
• Wenn Sie die nötigen Veränderungen nicht konsistent umsetzen, bekommen Sie eine WordPress-Website, deren Backend nicht mehr ordentlich funktioniert.
• Um diese Veränderungen umzusetzen, brauchen Sie Zugang zum Webserver, Grundkenntnisse in PHP und auch sonst ein grundlegendes Verständnis von Websites. Wenn Sie all das haben, verstehen Sie aber auch meine Argumente. Lassen Sie sich daher überzeugen und vergessen Sie die Änderung der Login-URL.

Wenn es Ihnen eigentlich darum geht, die Anmeldeseite vor automatisierten Angriffen abzuschirmen, geht das allerdings ohne Plugin und ohne eine Zeile PHP: mit einer Cloudflare-Regel für /wp-login.php (siehe oben) oder, wenn Ihr Hoster das anbietet, mit einem zusätzlichen Passwortschutz vor der Anmeldeseite oder einer Freigabe nur für bestimmte IP-Adressen. Ob und wie das geht, hängt vom Hoster ab; fragen Sie dort nach.

Die WordPress Login-URL in der Datenbank

WordPress selbst speichert keine Login-URL in der Datenbank, denn wp-login.php ist schlicht eine Datei. Ein Plugin, das die Adresse ändert, legt seine Einstellung aber meist dort ab, WPS Hide Login z.B. in der Tabelle wp_options im Eintrag whl_page. Man kann einen Zugang zur WordPress-Datenbank also benutzen, um eine unbekannte oder nicht ordnungsgemäß funktionierende Veränderung der WordPress Login-URL zu finden oder abzuschalten.

Diese Möglichkeit hilft einem Hacker oder Angreifer übrigens nicht, da diese im Allgemeinen keinen Zugang zur WordPress-Datenbank haben. Wenn doch, dann ist es sowieso bereits zu spät. Diese Möglichkeit ist vor allem für WordPress-Profis interessant, die Kunden-Websites zur Betreuung übernommen haben, aber die Standard-Login-URL nicht finden können.

Was passiert, wenn ich die veränderte WordPress Login-URL vergessen habe?

In diesem Fall kann man sich nicht mehr im WordPress-Dashboard anmelden. Auch die Standard-URL wp-admin für das Backend ist in so einem Fall üblicherweise nicht auf dem Standard zu finden und die dort normalerweise erfolgende Umleitung auf wp-login.php findet nicht statt.

Die Lösung dieses Problems ist, die Veränderung der Login-URL zumindest vorübergehend rückgängig zu machen. Wenn die Veränderung über ein Plugin eingerichtet worden ist, muss man also dieses Plugin deaktivieren. Da das über das WordPress-Dashboard nicht geht (weil man da ja nicht hinkommt), muss man entweder direkt auf den Webserver oder auf die WordPress-Datenbank zugreifen.

Oft reicht aber schon ein Blick in die Datenbank, um die vergessene Adresse wiederzufinden: Bei WPS Hide Login steht sie, wie oben beschrieben, im Eintrag whl_page. Wie Sie zur Datenbank kommen, beschreibe ich gleich.

Auf den Webserver kommt man mittels FTP-Zugriff (z.B. mit dem kostenlosen FTP-Client Filezilla) oder eventuell auch direkt über das Kundencenter des eigenen Hosting-Providers. Dort muss man in das Installationsverzeichnis der eigenen WordPress-Website gehen und dann weiter in den Ordner wp-content/plugins/. Wenn man keine Ahnung hat, welches Plugin dafür Verantwortlich ist, sucht man am besten die Namen der vorhandenen Plugin-Ordner im WordPress-Plugin-Repository (oder im Internet) und findet rasch heraus, welches davon eine Login-URL verändern kann.

Im Ordner wp-content/plugins/ sucht man nach dem Ordner für das Plugin, das man für die Veränderung eingesetzt hat, und benennt den entsprechenden Ordner um, also z.B. von veraenderungsplugin/ auf veraenderungsplugin-alt/. Dadurch wird das Plugin inaktiv und man kann sich wieder über die Standard-Login-URL anmelden.

Wenn man zwar keinen FTP-Zugang zum Server hat, dafür aber auf die WordPress-Datenbank, dann kann man auch dort ein solches Plugin deaktivieren. Melden Sie sich dazu auf dem Datenbankserver an, idealerweise über ein Portal wie z.B. phpMyAdmin.

In der WordPress Datenbank suchen Sie dort nach einer Tabelle namens wp_options oder xyz_options, falls das Tabellen-Präfix ein anderes als wp_ ist. Gehen Sie dort zum Eintrag active_plugins und ersetzen Sie entweder seinen Wert durch a:0:{} (das deaktiviert alle Plugins; danach aktivieren Sie die übrigen im Dashboard wieder), oder editieren Sie den Eintrag gezielt, um nur das verantwortliche Plugin zu deaktivieren.

Durch die Deaktivierung des Plugins, mit dem die Login-URL verändert worden ist, wird die Standard-URL wieder aktiv, Sie können sich wie gewohnt anmelden, und alle weiteren Änderungen direkt über das WordPress-Dashboard vornehmen.

Kein Zugriff mehr, nachdem die WordPress-Adresse geändert wurde?

Ein ganz anderes Problem mit ähnlicher Wirkung: Wer unter Einstellungen → Allgemein die WordPress-Adresse (URL) oder die Website-Adresse (URL) falsch einträgt, z.B. https:// ohne funktionierendes SSL-Zertifikat, kommt danach oft weder auf die Website noch ins Dashboard.

Die Lösung liegt in der Datei wp-config.php auf dem Webserver: Mit den Zeilen define( 'WP_HOME', 'https://www.ihredomain.com' ); und define( 'WP_SITEURL', 'https://www.ihredomain.com' ); (mit Ihrer richtigen Adresse, vor der Zeile mit stop editing) legen Sie beide Adressen fest. Solange diese Zeilen in der Datei stehen, gelten ihre Werte, und die beiden Felder sind im Dashboard ausgegraut. Mehr zu diesen Einstellungen in 25 wesentliche WordPress Grundeinstellungen.

Verändern der WordPress Login-URL: Mein Fazit

Lassen Sie mich an dieser Stelle noch einmal mein bereits oben angeklungenes Fazit wiederholen: Es lohnt sich nicht, aus Sicherheitsüberlegungen heraus die Login-URL Ihrer WordPress Website zu verändern. Stattdessen:

• nutzen Sie einen schwer zu erratenden Administrator-Benutzernamen
• wählen Sie ein komplexes, sicheres Passwort, das Sie sonst nirgendwo verwenden
• nutzen Sie 2FA für alle Administratoren, z.B. mit dem Plugin Two Factor
• begrenzen Sie die Anmeldeversuche, je nach Hoster auf dem Server, über Cloudflare oder mit einem Plugin
• sperren Sie xmlrpc.php, wenn Sie es nicht brauchen
• halten Sie WordPress, Plugins und Themes aktuell

Ihr Feedback zu diesem Artikel

Über Feedback zu diesem Artikel freue ich mich, z.B. welches Problem bei Ihnen vorlag und wie Sie es konkret lösen konnten, ob mit Hilfe dieses Artikels oder ohne. Falls Ihnen der Artikel nicht geholfen hat, kommentieren Sie bitte unbedingt ein paar Zeilen zu Ihrem konkreten Problem. Ich werde versuchen, der Sache auf den Grund zu gehen.

Oder lassen Sie einfach unten einen Kommentar für mich da, ob Lob, Kritik oder eine Frage, die ich hier nicht beantwortet habe, ich bin immer für Hinweise und Anregungen dankbar, die diesen Artikel verbessern. Bitte beachten Sie: Um Spam zu vermeiden, lese ich jeden Kommentar persönlich und gebe ihn dann erst frei. Seien Sie also nicht überrascht, wenn es ein bisschen dauert, bis er zu sehen ist. Danke für Ihr Verständnis!

Weitere Informationen zu WordPress Websites

Was ich sonst noch beim Aufbau einer WordPress-Website empfehle, finden Sie hier in einer kurzen und knackigen Liste:

• Generelle Strategie: 19 Schritte zur fertigen WordPress-Website: Alle Details
• Empfohlenes Theme: WordPress-Theme auswählen
• MMn notwendige Plugins
• Der beste und ausführlichste Überblick zu Online-Buchungssystemen, den Sie im deutschsprachigen WWW finden werden