Den WordPress-Login schützen: 2FA, Limits und XML-RPC

Wie Bots die WordPress-Anmeldung angreifen, welche Abwehr WordPress selbst empfiehlt, Zwei-Faktor-Anmeldung und Passkeys, XML-RPC und Anwendungspasswörter.

Das Wichtigste

Bei einem Brute-Force-Angriff probiert ein Bot Benutzernamen und Passwörter durch, bis eines passt. Sein übliches Ziel sind die Anmeldeseite und XML-RPC.
Der WordPress-Kern hat keine Zwei-Faktor-Anmeldung. Ein Plugin rüstet sie nach, für Passkeys braucht es ein weiteres.
WordPress rät, die Anmeldeversuche an einer Firewall oder auf dem Webserver zu begrenzen und XML-RPC abzuschalten, wenn nichts, was du nutzt, es braucht.

Wie Angriffe auf die Anmeldung ablaufen

WordPress nennt einen Brute-Force-Angriff den einfachsten Weg einzubrechen: Ein Angreifer probiert Benutzernamen und Passwörter durch, bis eines passt. Bots zielen auf zwei Adressen, die jede WordPress-Seite hat:

/wp-login.php, die normale Anmeldeseite.
/xmlrpc.php, eine ältere Schnittstelle für Apps. WordPress nennt sie ein häufiges Ziel solcher Angriffe, vor allem über ihre Methode system.multicall.

Die Abwehr, die WordPress empfiehlt

Abwehr	Was sie verhindert
Lange, eigene Passwörter aus einem Passwortmanager	Erraten
Zwei-Faktor-Anmeldung für jeden Administrator	Anmeldungen mit gestohlenem oder erratenem Passwort
Passkeys (WebAuthn)	Phishing, weil ein Passkey nur auf der echten Seite funktioniert
Begrenzte Anmeldeversuche an einer Firewall oder auf dem Webserver	endloses Raten
Ein CAPTCHA oder Turnstile bei der Anmeldung	automatische Anmeldungen
XML-RPC abschalten oder begrenzen	Raten über XML-RPC
Kein Benutzer namens „admin“	die einfachsten Rateversuche

Zwei Dinge zählt WordPress nicht als echten Schutz: Die Anmeldeseite an eine andere Adresse zu verlegen, könne den Lärm verringern, dürfe aber nicht die einzige Abwehr sein. Und von dauerhaften Sperren ganzer Länder rät WordPress ab.

Zwei-Faktor-Anmeldung und Passkeys

WordPress selbst hat keine Zwei-Faktor-Anmeldung. Das kostenlose Plugin Two Factor, entwickelt von der WordPress-Community und auf 100.000+ Seiten im Einsatz, ergänzt drei Verfahren:

Codes aus einer Authenticator-App (TOTP),
Codes per E-Mail,
Backup-Codes für den Fall, dass du dein Handy verlierst.

Für Passkeys oder Sicherheitsschlüssel braucht es ein zweites Plugin, „Two-Factor Provider: WebAuthn“. Viele Sicherheits-Plugins bieten die Zwei-Faktor-Anmeldung ebenfalls an.

Anwendungspasswörter

Seit WordPress 5.6 vom Dezember 2020 können sich Apps mit Anwendungspasswörtern statt mit deinem echten Passwort verbinden. In deinem Profil siehst du, welche Apps verbunden sind, und kannst sie widerrufen. Widerrufe jedes, das du nicht mehr brauchst.

Was du tun kannst

Schalte die Zwei-Faktor-Anmeldung ein für jedes Konto mit der Rolle Administrator oder Redakteur.
Begrenze die Anmeldeversuche an deiner Firewall, auf dem Webserver oder mit einem Sicherheits-Plugin.
Öffne example.com/xmlrpc.php auf deiner Seite. Steht dort „XML-RPC server accepts POST requests only.“, ist die Schnittstelle an. Schalte sie ab, wenn keine App und kein Dienst von dir sie braucht.
Prüfe deine Benutzer unter Benutzer. Lösche Konten, die niemand nutzt, und sorge dafür, dass keines „admin“ heißt.
Sieh dir die Anwendungspasswörter an im Profil jedes Administrators und widerrufe die ungenutzten.

Nächster Schritt

Wie Bots überhaupt an deine Benutzernamen kommen, zeigt der Ratgeber Wie finden Bots WordPress-Seiten?.

Die Zahlen in diesem Ratgeber stammen aus dem Archiv und ändern sich mit jeder Datenaktualisierung. Stand 13. November 2026.

Den WordPress-Login schützen: Zwei-Faktor, Limits und XML-RPC