WordPress Login-URL ändern und absichern

Jede WordPress-Website der Welt hat ihre Anmeldung unter /wp-login.php und /wp-admin/ — und genau dorthin feuern Bots rund um die Uhr ihre Passwortlisten. Die Login-URL zu ändern ist ein beliebter Schutz. Vorweg die ehrliche Einordnung: Es ist Lärmschutz, kein Einbruchschutz. Beides zusammen ergibt erst ein sicheres Login.

Was das Umbenennen bringt — und was nicht

• Bringt: Der stumpfe Dauerbeschuss automatisierter Bots läuft ins Leere (404 statt Login-Formular). Das entlastet den Server spürbar und hält die Logs lesbar.
• Bringt nicht: Schutz vor gezielten Angreifern. Die Login-Adresse lässt sich auf verschiedenen Wegen ermitteln, und die eigentliche Schwachstelle — schwache Passwörter — bleibt unberührt. „Security by Obscurity“ ist eine Zutat, kein Rezept.

Login-URL ändern — der sichere Weg

Nimm ein bewährtes Plugin (z. B. WPS Hide Login — schlank, tut genau eine Sache):

1. Plugin installieren und aktivieren.
2. Unter Einstellungen → WPS Hide Login die neue Login-Adresse festlegen — nichts Ratbares wie /login oder /admin, sondern etwas Individuelles.
3. Neue URL sofort testen (zweiter Browser, bevor du dich abmeldest!) und im Passwort-Manager speichern.

Wichtig zu wissen: Das Plugin biegt Anfragen um, statt Dateien zu verschieben — updatesicher und rückstandsfrei deaktivierbar. Vom Handbasteln an Core-Dateien oder komplexen .htaccess-Konstruktionen ist abzuraten; das bricht bei jedem Update. Sperrst du dich doch einmal aus: Plugin-Ordner per FTP umbenennen, und die Standard-URL funktioniert wieder — Details im Artikel Plugin per FTP deaktivieren.

Die Maßnahmen, die wirklich schützen

1. Starke, einzigartige Passwörter für alle Konten — per Passwort-Manager. Ein einziges schwaches Redakteurs-Passwort hebelt alles andere aus.
2. Zwei-Faktor-Authentifizierung (2FA): Selbst ein gestohlenes Passwort reicht dann nicht mehr. Plugins wie Two-Factor oder die 2FA-Funktion deiner Security-Suite; Pflicht mindestens für alle Administratoren.
3. Login-Versuche begrenzen: Nach z. B. 5 Fehlversuchen ist die IP für 15 Minuten gesperrt — damit sind Passwortlisten wirtschaftlich sinnlos.
4. xmlrpc.php schließen: Sonst läuft die Anmeldung an deiner schönen neuen Login-URL vorbei — über die Alt-Schnittstelle, inklusive gebündelter Brute-Force-Versuche. Anleitung: xmlrpc.php deaktivieren.
5. Rollen minimieren: Nicht jeder braucht Administratorrechte — je weniger mächtige Konten, desto kleiner die Angriffsfläche. Mehr dazu: Benutzerrollen und Rechte.

Für Teams: der zusätzliche Riegel

Wo der Personenkreis klein und fest ist, lohnt ein vorgelagerter Basic-Auth-Schutz auf dem Login-Pfad (Passwortabfrage des Servers, bevor WordPress überhaupt antwortet) oder eine IP-Beschränkung auf Büro/VPN. Das ist robuster als jedes Verstecken — aber nur praktikabel, wenn sich der Nutzerkreis nicht ständig ändert.

Der Reihenfolge-Tipp

Wenn du nur eine Stunde investierst: zuerst 2FA + Login-Limit + Passwort-Check, dann die URL ändern. Der Lärmschutz ist angenehm — die ersten drei verhindern den Einbruch.

Im Shield-Modul von Ammera Care gehört Login-Härtung zum Paket: Brute-Force-Schutz, Härtungs-Checks und täglicher Blick auf verdächtige Anmeldeversuche — als System statt als Einzelmaßnahme. Zum Shield-Modul.