Die WordPress Zwei-Faktor-Authentifizierung schützt Ihre Website, wenn ein Passwort in falsche Hände gerät. Und das passiert öfter, als man denkt: ein wiederverwendetes Passwort, ein Datenleck bei einem anderen Dienst, ein Zettel am Bildschirm.
In diesem Beitrag richten Sie den zweiten Faktor in fünf Schritten ein. Sie erfahren außerdem, welche Methode für Ihr Team passt und wie Sie verhindern, dass Sie sich selbst aussperren.
Inhaltsverzeichnis
Was die zweite Stufe bringt
Beim normalen Login reicht etwas, das Sie wissen: das Passwort. Bei zwei Faktoren kommt etwas dazu, das Sie besitzen – meist Ihr Smartphone mit einer App, die alle 30 Sekunden einen neuen sechsstelligen Code anzeigt.
Ein Angreifer mit Ihrem Passwort steht dann vor einer verschlossenen Tür. Er bräuchte zusätzlich Ihr Gerät. Das macht automatisierte Angriffe auf das Login weitgehend nutzlos.
WordPress bringt diese Funktion nicht von Haus aus mit. Sie brauchen ein Plugin. Eine schlanke Option ist das Plugin „Two Factor“ im offiziellen Verzeichnis, das von Mitwirkenden des WordPress-Projekts gepflegt wird. Viele Sicherheits-Plugins enthalten ebenfalls eine Zwei-Faktor-Funktion.
Welche Methode passt zu Ihrem Team?
| Methode | Gut für | Zu beachten |
|---|---|---|
| Authenticator-App (TOTP) | die meisten Teams | Smartphone nötig |
| Sicherheitsschlüssel | Admins, hoher Schutz | Kosten, Schlüssel kann verloren gehen |
| Code per E-Mail | Notlösung | nur so sicher wie das Postfach |
| Backup-Codes | Reserve | sicher aufbewahren |
Für die meisten KMU ist die Authenticator-App der beste Kompromiss. Kostenlose Apps gibt es für jedes Smartphone, und auch Passwortmanager können solche Codes erzeugen.
WordPress Zwei-Faktor-Authentifizierung einrichten
- Backup erstellen. Vor jeder Plugin-Installation. Wie ein sinnvoller Ablauf aussieht, steht in WordPress-Wartung: Backups, Updates und Funktionstests.
- Plugin installieren und aktivieren. Unter „Plugins → Installieren“ suchen, auf Bewertungen, letzte Aktualisierung und Kompatibilität achten.
- Im eigenen Profil aktivieren. Unter „Benutzer → Profil“ die App-Methode wählen, den angezeigten QR-Code mit der App scannen und einen ersten Code zur Bestätigung eingeben.
- Backup-Codes sichern. Ausdrucken oder im Passwortmanager ablegen – nicht auf demselben Smartphone.
- Abmelden und neu anmelden. Erst wenn das klappt, ist die Einrichtung fertig.
Wichtig: Lassen Sie während der Einrichtung ein zweites Browserfenster angemeldet. Geht etwas schief, kommen Sie so noch in den Admin-Bereich.
Das Team mitnehmen
Technisch ist die Einrichtung schnell erledigt. Schwieriger ist, dass alle mitmachen. Fiktives Beispiel: In einer Tischlerei mit vier WordPress-Konten pflegt die Bürokraft die Termine, der Juniorchef die Referenzen. Beide brauchen keinen Admin-Zugang – und beide bekommen den zweiten Faktor.
- Beginnen Sie mit allen Administrator-Konten, dann folgen Redakteure.
- Prüfen Sie dabei gleich, wer welche Rolle wirklich braucht. Hilfe dazu: WordPress-Benutzerrollen im Team vergeben.
- Löschen Sie Konten von ehemaligen Mitarbeitenden oder Dienstleistern.
- Legen Sie fest, wer im Notfall den zweiten Faktor eines Kontos zurücksetzen darf.
Wenn das Smartphone weg ist
Das Smartphone fällt ins Wasser, der Akku ist leer, das Gerät wurde gestohlen. Mit etwas Vorbereitung ist das kein Drama:
- Backup-Codes nutzen: Jeder Code funktioniert einmal. Melden Sie sich an und richten Sie danach sofort die App auf dem neuen Gerät ein.
- Zweite Methode hinterlegen: Viele Plugins erlauben mehrere Methoden pro Konto, etwa App plus Sicherheitsschlüssel.
- Zweiter Admin: Ein weiteres Administrator-Konto kann den zweiten Faktor für Sie zurücksetzen. Das Konto selbst ist natürlich ebenfalls geschützt.
- Letzter Ausweg: Wer Zugriff auf den Server hat, kann das Plugin per FTP oder Hosting-Oberfläche vorübergehend deaktivieren. Danach sofort wieder aktivieren.
Bewahren Sie die Backup-Codes getrennt vom Smartphone auf, zum Beispiel ausgedruckt im Firmentresor oder im Passwortmanager eines zweiten Geräts.
Was Zwei-Faktor nicht ersetzt
Der zweite Faktor schützt das Login-Formular. Er ersetzt keine Updates, keine starken Passwörter und keine Backups. Achten Sie außerdem auf Anwendungspasswörter: WordPress erlaubt sie seit Version 5.6 für externe Programme, und sie umgehen den zweiten Faktor bewusst (WordPress Core: Application Passwords). Prüfen Sie im Profil, ob dort alte Einträge stehen.
Weitere Härtungsmaßnahmen beschreibt das offizielle WordPress-Handbuch zur Absicherung. Sie möchten das lieber abgeben? Bei unseren Website-Leistungen gehören sichere Zugänge zur Betreuung dazu.