Zwei-Faktor-Authentifizierung für WordPress einrichten

Mit der Zwei-Faktor-Authentifizierung (2FA) benötigen Sie beim Anmelden neben Ihrem Passwort noch etwas Zweites: meist einen sechsstelligen Code aus einer App auf Ihrem Smartphone. Wer Ihr Passwort kennt, gelangt dann trotzdem nicht in die Verwaltung Ihrer Website. WordPress hat diese Funktion nicht integriert. Sie fügen sie mit einem Plugin hinzu. Hier erfahren Sie, wie das funktioniert und was Sie tun, wenn Sie Ihr Smartphone verloren haben.

Welches Plugin?

Es gibt viele Plugins für die Zwei-Faktor-Authentifizierung, und auch viele Sicherheits-Plugins bringen sie mit. Ein einfaches Plugin ist Two Factor, entwickelt von Mitwirkenden an WordPress selbst. Wir verwenden es unten als Beispiel; andere Plugins funktionieren ähnlich. Achten Sie bei der Auswahl auf Folgendes:

• Unterstützung für eine Authenticator-App (Codes nach dem Standard TOTP);
• Backup-Codes für den Fall, dass Ihr Smartphone verloren geht;
• ob Sie die Zwei-Faktor-Authentifizierung für Administratoren verpflichtend machen können. Two Factor kann das nicht selbst: Dort aktiviert jeder Benutzer sie in seinem eigenen Profil;
• dass das Plugin noch aktualisiert wird und mit Ihrer WordPress-Version getestet ist.

Verwenden Sie nur ein einziges Plugin. Haben Sie bereits ein Sicherheits-Plugin mit Zwei-Faktor-Authentifizierung, aktivieren Sie sie dort.

Einrichten mit Two Factor

1. Installieren und aktivieren Sie das Plugin über Plugins > Neues Plugin hinzufügen.
2. Gehen Sie zu Benutzer > Profil und scrollen Sie zum Bereich für die Zwei-Faktor-Authentifizierung.
3. Wählen Sie die Authenticator-App. Scannen Sie den QR-Code mit der App auf Ihrem Smartphone und geben Sie den Code zur Bestätigung ein.
4. Erstellen Sie Backup-Codes. Das sind zehn Codes, die Sie jeweils einmal verwenden können. Bewahren Sie sie in Ihrem Passwortmanager oder auf Papier auf, nicht nur auf Ihrem Smartphone.
5. Wählen Sie die App als Standardmethode und klicken Sie auf Profil aktualisieren.
6. Melden Sie sich ab und wieder an, um zu prüfen, ob alles funktioniert.

Lassen Sie jeden anderen Administrator und Redakteur dasselbe in seinem eigenen Profil tun. Eine Website ist nur so sicher wie ihr schwächstes Administratorkonto.

Smartphone verloren oder neues Smartphone

• Neues Smartphone: Übertragen Sie die App, bevor Sie das alte Smartphone zurücksetzen, oder richten Sie die App in Ihrem Profil neu ein.
• Smartphone verloren: Melden Sie sich mit einem Ihrer Backup-Codes an und richten Sie die App anschließend neu ein. Erstellen Sie außerdem neue Backup-Codes.
• Keine Backup-Codes mehr: Ein anderer Administrator kann bei Ihrem Konto unter Benutzer die Zwei-Faktor-Authentifizierung deaktivieren. Sind Sie der einzige Administrator, deaktivieren Sie das Plugin vorübergehend. Wie das geht, steht in Schritt 3 von Ich kann mich nicht bei WordPress anmelden: Was nun? Melden Sie sich an, richten Sie die App neu ein und aktivieren Sie das Plugin wieder.

Passkeys

Mit einem Passkey melden Sie sich mit Ihrem Fingerabdruck, Ihrem Gesicht oder einem Sicherheitsschlüssel an. Ein Passkey funktioniert nur auf der echten Website, daher kann eine gefälschte Website ihn nicht abfangen. Two Factor selbst unterstützt keine Passkeys; dafür gibt es ein separates Zusatz-Plugin, und andere Plugins haben diese Funktion integriert. Mehr über Passkeys lesen Sie in Passwortmanager und Passkeys: So regeln Sie Ihre Anmeldung sicher.

Worauf Sie außerdem achten sollten

• Anwendungspasswörter (unter Benutzer > Profil) sind für Apps und Verbindungen gedacht und können den zweiten Schritt umgehen. Erstellen Sie sie nur, wenn es nötig ist, und widerrufen Sie sie, wenn Sie die Verbindung nicht mehr nutzen.
• Die Zwei-Faktor-Authentifizierung ersetzt kein gutes Passwort. Verwenden Sie ein langes, einzigartiges Passwort aus einem Passwortmanager.
• Schränken Sie auch die Anmeldeseite selbst ein: siehe wp-login.php von WordPress absichern und WordPress zusätzlich absichern: Berechtigungen, wp-config und .htaccess.

Auch rund um Ihre Website

Ein Angreifer, der Ihr Hosting-Panel oder Ihr Postfach übernimmt, braucht Ihr WordPress-Passwort nicht. Aktivieren Sie die Zwei-Faktor-Authentifizierung daher auch für:

• Mein WebOké: Zwei-Faktor-Authentifizierung in Mein WebOké und eine Authenticator-App einrichten;
• DirectAdmin: Two-Step Authentication einrichten;
• Ihr Postfach und Ihren Passwortmanager.

Weiterlesen

• Sicher anmelden (Veilig Internetten, niederländische Regierung, auf Niederländisch)
• Brute-Force-Angriffe (developer.wordpress.org, auf Englisch)

Möchten Sie mehr lernen? Besuchen Sie den kostenlosen WordPress-Kurs, Lektion 7.3 Anmelden: Passwörter, Zwei-Faktor-Authentifizierung und Brute Force.