Brute-Force-Angriffe auf /wp-login: So begrenzen Sie Anmeldeversuche und verstecken die Admin-Seite

Sie öffnen morgens den Sicherheitsbericht Ihres Hostings und sehen etwas, das Sie erschreckt: hunderte, manchmal tausende fehlgeschlagene Anmeldeversuche auf /wp-login.php, von IP-Adressen aus aller Welt. Es ist naheliegend, sich zu fragen, ob die Website bereits gehackt wurde. Die gute Nachricht: In den meisten Fällen sind Sie nicht gezielt im Visier – es handelt sich um automatisierte Bots, die mechanisch Passwörter auf jeder WordPress-Website ausprobieren, die sie finden.

Die noch bessere Nachricht: Sie sind nicht machtlos. Mit ein paar einfachen Maßnahmen können Sie aus einer offenliegenden Login-Seite eine machen, die per Brute-Force praktisch unknackbar ist. Schauen wir uns Schritt für Schritt an, was Sie konkret tun können – von der Begrenzung der Versuche bis zum vollständigen Verstecken der Admin-Seite.

Warum Sie hunderte Versuche bekommen (und wann es wirklich gefährlich wird)

Ein Brute-Force-Angriff bedeutet, dass ein Programm automatisch Kombinationen aus Benutzername und Passwort durchprobiert, bis eines passt. WordPress ist die weltweit meistgenutzte Plattform, und die Adresse /wp-login.php ist Standard – die Bots wissen also genau, wo sie anklopfen müssen. Niemand hat Sie persönlich ausgewählt; das Internet wird einfach durchgescannt.

Die eigentliche Gefahr entsteht in wenigen Situationen:

• Sie haben ein Konto mit vorhersehbarem Namen wie "admin", "administrator" oder dem Firmennamen
• Sie verwenden ein kurzes oder von einer anderen Website wiederverwendetes Passwort
• Sie haben keinen Mechanismus, der IP-Adressen nach zu vielen Fehlversuchen sperrt

Trifft eines davon zu, hat der Angriff reelle Chancen. Andernfalls sind die Logs nur lästiges Rauschen – aber es lohnt sich trotzdem, aufzuräumen, denn jeder Versuch verbraucht Serverressourcen und kann Ihre Website verlangsamen.

Die erste Schicht: Passwörter und Benutzernamen, die Bots nicht erraten können

Bevor Sie an irgendein Plugin denken, lösen Sie das Fundament. Die meisten Angriffe gelingen wegen eines schwachen Passworts oder eines offensichtlichen Benutzernamens.

• Löschen oder benennen Sie das Konto "admin" um. Erstellen Sie ein neues Administratorkonto mit eindeutigem Namen, verschieben Sie die Beiträge darauf und löschen Sie das alte.
• Verwenden Sie ein langes, zufälliges Passwort aus einem Passwort-Manager. Eine mehrwortige Passphrase ist viel schwerer zu knacken als ein kurzes Passwort mit Sonderzeichen.
• Zeigen Sie den Autorennamen nicht in URLs an. WordPress gibt den Benutzernamen manchmal über /?author=1 preis – prüfen und blockieren Sie das.

Diese Basis kostet nichts und löst den Großteil des Risikos. Auch wenn die Bots weiter anklopfen, haben sie nichts mehr zu erraten.

Begrenzen Sie die Anmeldeversuche

Die zweite Schicht stoppt den Mechanismus des Angriffs selbst: die Anzahl der Versuche. Die Idee ist einfach – nach ein paar aufeinanderfolgenden Fehlversuchen von derselben IP sperren Sie den Zugriff für eine bestimmte Zeit.

Für WordPress gibt es spezielle Plugins (vom Typ "Limit Login Attempts"), die genau das tun: Sie legen z. B. eine kleine Anzahl erlaubter Versuche fest, danach eine Sperrpause, die bei erneuten Versuchen steigt. Ein Bot, der nach jedem Versuch warten muss, wird praktisch nutzlos.

Mit Serverzugriff können Sie mit Fail2ban noch weiter gehen: Es liest die Logs und sperrt IP-Adressen auf Firewall-Ebene – effizienter, weil der Traffic gestoppt wird, bevor er WordPress überhaupt erreicht. In Kombination mit einem Plugin decken Sie auch den Fall ab, dass der Angreifer die IP häufig wechselt.

Verstecken oder schützen Sie die Admin-Seite

Wenn Bots die Login-Seite nicht finden, können sie sie nicht angreifen. Es gibt mehrere Optionen, von einfach bis solide:

• Ändern Sie die Login-Adresse. Plugins, die /wp-login.php in eine nur Ihnen bekannte Adresse umbenennen (z. B. /intrare-firma), eliminieren sofort die Welle automatisierter Bots.
• Schützen Sie /wp-admin mit einem zweiten Passwort auf Serverebene (HTTP Basic Auth, über .htpasswd oder aus dem Hosting-Panel). Der Angreifer trifft auf eine Mauer, bevor er das WordPress-Formular überhaupt sieht.
• Beschränken Sie den Zugriff nach IP, wenn Sie immer von denselben Standorten arbeiten.

Eine ehrliche Anmerkung: Das Verstecken der Adresse ist keine absolute Sicherheitsmaßnahme – es ist "Security through Obscurity". Es reduziert das automatische Rauschen enorm, ersetzt aber keine guten Passwörter und keine Begrenzung der Versuche. Nutzen Sie beides zusammen, als Schichten.

Fügen Sie Zwei-Faktor-Authentifizierung und eine Firewall hinzu

Selbst wenn jemand das Passwort errät, stoppt die Zwei-Faktor-Authentifizierung (2FA) ihn: Neben dem Passwort braucht er einen Code aus Ihrer Telefon-App. Für ein Administratorkonto ist das die beste Investition von wenigen Minuten.

Eine Web Application Firewall (WAF) – entweder über ein bekanntes Sicherheits-Plugin oder auf CDN-Ebene – filtert bösartigen Traffic, bevor er die Website erreicht. Viele blockieren automatisch Brute-Force-Muster, bekannte Bots und verdächtige Anfragen.

Zusammen sorgen diese Schichten dafür, dass ein Angriff, der zuvor die Logs füllte, praktisch unmöglich wird: Die Adresse ist versteckt, missbräuchliche IPs werden gesperrt, und selbst ein korrektes Passwort kommt ohne den zweiten Schritt nicht durch.

Zu viel Aufwand? Wir richten alles für Sie ein

Alle oben genannten Maßnahmen sind real und Sie können sie selbst umsetzen – doch sie erfordern Zeit, Aufmerksamkeit und etwas Sorgfalt, damit Sie sich nicht selbst aussperren. Wenn Sie lieber ruhig schlafen möchten, ohne Sicherheitsadministrator zu werden, kommt MPO Web Studio ins Spiel.

Wir arbeiten remote, landesweit, und richten von Grund auf ein sicheres WordPress ein: sauberes Admin-Konto, Begrenzung der Versuche, verstecktes Login, 2FA und Firewall – alles getestet, damit Sie nicht ausgesperrt bleiben. Wir erklären Ihnen transparent, was wir gemacht haben und warum, ohne Fachjargon.

Wenn Sie jetzt hunderte Versuche in den Logs sehen und das beenden möchten, schreiben Sie uns eine Nachricht auf WhatsApp. Wir schauen uns gemeinsam Ihre Situation an und sagen Ihnen ehrlich, was sich lohnt.