In vielen WordPress-Installationen haben alle Beteiligten Administratorrechte — der Praktikant, die Texterin, die Agentur von vor drei Jahren. Bequem ist das, sicher nicht: Jedes Konto kann nur so viel Schaden anrichten (oder angerichtet bekommen), wie seine Rolle erlaubt. Das Rollensystem ist deine wichtigste eingebaute Sicherheitsgrenze.
Die fünf Standardrollen im Klartext
- Administrator: darf alles — Plugins installieren, Themes ändern, Code bearbeiten, Benutzer löschen, die Website zerstören. Diese Rolle braucht, wer die Website betreibt. Niemand sonst.
- Redakteur: verwaltet sämtliche Inhalte — eigene und fremde Beiträge, Seiten, Kommentare, Kategorien. Kein Zugriff auf Plugins, Themes, Einstellungen. Die richtige Rolle für Content-Verantwortliche.
- Autor: schreibt, veröffentlicht und verwaltet eigene Beiträge, lädt Medien hoch. Für regelmäßige Einzel-Autoren.
- Mitarbeiter: schreibt eigene Entwürfe, darf sie aber nicht veröffentlichen und keine Medien hochladen — jemand mit mehr Rechten gibt frei. Gut für Gastautoren und Freigabe-Workflows.
- Abonnent: darf sich anmelden und das eigene Profil pflegen. Für geschützte Inhalte und Kommentar-Pflicht-Logins.
WooCommerce ergänzt eigene Rollen (Shop-Manager, Kunde) — der Shop-Manager verwaltet Produkte und Bestellungen, ohne an die Website-Technik zu dürfen. Genau so soll Arbeitsteilung aussehen.
Das Minimalprinzip in der Praxis
- So wenig Rechte wie möglich, so viele wie nötig. Eine Texterin braucht Autor oder Redakteur — nicht Administrator. Wer nur Bestellungen bearbeitet, braucht Shop-Manager.
- Höchstens zwei Admin-Konten auf einer normalen Firmen-Website: Betreiber plus technischer Betreuer. Jedes weitere ist ein zusätzliches Ziel für Angreifer — ein geknacktes Redakteurs-Konto kann Texte ändern, ein geknacktes Admin-Konto installiert Hintertüren.
- Persönliche Konten statt Sammel-Logins: „redaktion@“ mit geteiltem Passwort macht Nachvollziehbarkeit unmöglich und Passwort-Wechsel zum Gruppenprojekt. Ein Konto pro Person.
- Externe bekommen ein Ablaufdatum: Agentur-Zugänge nach Projektende deaktivieren. Der Klassiker unter den vergessenen Hintertüren ist das Admin-Konto des Dienstleisters von 2019.
Aufräumen: die Benutzer-Inventur
- Benutzer → Alle Benutzer, nach Rolle „Administrator“ filtern — kennst du jedes Konto? Wird es noch gebraucht?
- Überflüssige Admins herabstufen statt löschen (Inhalte bleiben zugeordnet); nie Genutztes löschen und Inhalte dabei einem aktiven Konto zuweisen.
- Unbekannte Konten ernst nehmen: Ein Admin, den niemand angelegt haben will, ist ein Alarmsignal — dann weiter mit WordPress gehackt — was tun?
- Für alle verbleibenden Konten: starke Passwörter und für Admins Zwei-Faktor-Authentifizierung — die Basics aus Login absichern.
Feinjustierung für Sonderfälle
Wenn die Standardrollen nicht passen (der SEO-Dienstleister soll Plugins sehen, aber nicht ändern), helfen Rollen-Editoren wie Members oder User Role Editor: Sie erstellen eigene Rollen aus einzelnen Rechten (Capabilities). Sparsam einsetzen — je individueller das Rechtesystem, desto schwerer ist es zu überblicken. Und Vorsicht: Niemals der eigenen Rolle Rechte entziehen, mit denen man den Editor selbst bedient.
Rollen sind Sicherheitsarchitektur
Die meisten übernommenen Websites, die wir sehen, haben zu viele Admins, geteilte Logins und Alt-Konten vergangener Dienstleister. Bei Ammera Care gehört die Konten-Inventur zur Aufnahme jeder Website — und unser eigenes Servicekonto ist genau das Gegenmodell: ein dediziertes, gekennzeichnetes Konto mit klarer Aufgabe, sichtbar und jederzeit widerrufbar. Die Module ansehen.
