WordPress Login – So geht’s!

Kategorien: WordPress

Kurzanleitung zum Einloggen in WordPress. Nach dem Einloggen steht das Dashboard mit allen Admin-Funktionen bereit: Beiträge schreiben & veröffentlichen, Plugins installieren, das Theme wechseln, Kommentare verwalten usw.

WordPress Login ganz einfach

Um Dich in WordPress anzumelden, rufe zunächst im Browser Dein Blog auf, indem die die URL eingibst, auf der Dein WordPress Blog oder Deine WP Webseite öffentlich zu sehen ist. Beispielsweise:

http://www.mein-eigener-blog.de

Nun hänge am Ende der URL einfach /wp-admin an und schon kommst Du zum Login-Screen von WordPress. Die obige URL würde also komplett lauten:

http://www.
mein-eigener-blog.de
/wp-admin

Schon erscheint der Anmeldebildschirm, in dem Dein Username abgefragt wird:

Jetzt kannst Du Dich mit Deinem Username und Passwort an Deiner WordPress URL anmelden. Das war bisher zum Glück recht einfach. Da das CMS mittlerweile seit vielen Jahren auf dem Markt ist, durfte man eine entsprechend einfache Bedienung auch erwarten!

Das Dashboard

Danach bist Du im Dashboard von WordPress, wo Du als Webmaster und Admin alle Einstellungen vornehmen kannst, die möglich sind. Ferner kannst Du im Dashboard neue Beiträge schreiben und veröffentlichen und das gleiche für sogenannte Seiten tun. Der Unterschied zwischen Seiten (Pages) und Beiträgen (Posts) ist nicht ganz trivial, die Erklärung gibt es in einem extra Artikel. Als Admin hast Du umfangreiche Rechte. Daher ist es wichtig, dass niemand anderes Deine Website mit diesem Account aufrufen kann!

Insbesondere kannst Du über die Registration Page Deine BuddyPress Einstellungen vornehmen und Konfigurationen komfortabel verwalten und ändern sowie Updates und Erweiterungen installieren oder User managen.

Schutz vor Hackern

Du solltest Deine WordPress Site absichern, damit nicht jeder dahergelaufene Hacker Deine WordPress Installation knacken kann. Im Standard ist es nämlich erlaubt, beliebig viele Anmeldeversuche auf der Login Page vorzunehmen. Mit Brute Force, also dem Ausprobieren vieler Kombinationen ist es dann oft ein leichtes, ein Passwort zu erraten. Und die URL kann sich jeder zusammenbasteln.

Wir können Dir als Plugin Login LockDown empfehlen, welches genau das tut, nämlich Angreifer aus Deiner Site draußen halten, die unzählige Login Versuche machen wollen. Damit ist es allerdings für eine ausreichende Security noch nicht vollständig getan. Du solltest weitere Maßnahmen zum Absichern Deiner WordPress Site vornehmen, um safe zu sein. Insbesondere für alle vorhandenen Plugins regelmäßig ein Update fahren. Und auch Erweiterungen, die Du nicht mehr benutzt, einfach löschen, trau Dich!
Schütze Dich vor allem vor Google Hacking, denn das kann wirklich jeder und zerstört Dich, wenn es jemand schafft! Beispielsweise kann man über die htaccess Datei den Zugriff auf den Admin Bereich von WordPress absichern, insbesondere auf die Datei wp-login.php sowie auf das Verzeichnis wp-admin. Es empfiehlt sich also, das htaccess File anzupassen! Es bedarf nicht erst eines erfahrenen Hackers, um Dich in Schwierigkeiten zu bringen!

Eine Absicherung via .htaccess Datei funktioniert, indem man folgenden Inhalt in die .htaccess-Datei, die im Web Root liegen muss, einfügt:

<Files wp-login.php>
AuthUserFile /www/pfad_zu/ihrer-domain.de/.htpasswd
AuthType basic
AuthName "Restricted"
require valid-user
ErrorDocument 401 "Authorization Required"
</Files>

Pfad zur Domäne ermitteln

Der Pfad zur Domäne muss angepasst werden. Er kann über den Provider oder anderweitig ermittelt werden:

Methode 1: PHP-Skript ausführen

• Erstelle eine temporäre PHP-Datei (z.B. pfad.php) im Web Root mit folgendem Inhalt:

  <?php
  echo __DIR__;
  ?>

• Rufe die Datei im Browser auf (https://ihre-domain.de/pfad.php)
• Der angezeigte Pfad ist der absolute Pfad zum Web Root
• Lösche die Datei nach der Ermittlung wieder aus Sicherheitsgründen

Methode 2: Provider-Control-Panel

• Die meisten Hosting-Provider zeigen den absoluten Pfad im Control-Panel an
• Typische Stellen: FTP-Einstellungen, Domain-Verwaltung, Dateimanager
• Bei Hostinganbietern wie all-inkl, IONOS, Strato etc. oft unter "FTP-Zugangsdaten" oder "Domain-Einstellungen"

Methode 3: SSH-Zugang (falls verfügbar)

• Per SSH auf den Server verbinden
• Befehl pwd im Web Root-Verzeichnis ausführen

Methode 4: FTP-Client

• Mit einem FTP-Programm (FileZilla, WinSCP) verbinden
• In den Servereigenschaften oder im Dateimanager wird oft der absolute Pfad angezeigt

Der Login wird in der .htpasswd Datei definiert. Dort stehen alle berechtigen User mit ihren Passworten.

Erstellen der .htpasswd-Datei

Die .htpasswd Datei kann wie folgt für die gewünschten Logins erstellt werden:

Methode 1: Online-Generator (einfachste Methode)

• Nutze einen .htpasswd-Generator wie https://www.web2generators.com/apache-tools/htpasswd-generator
• Gib Benutzername und Passwort ein
• Kopiere die generierte Zeile
• Erstelle eine neue Datei namens .htpasswd im angegebenen Verzeichnis
• Füge die generierte(n) Zeile(n) ein

Methode 2: Per Kommandozeile (bei SSH-Zugang)

Geht nur, wenn man Konsolenzugriff auf den Web Server hat (Dedicated Server oder vServer mit root-Zugriff):

bash

htpasswd -c /www/pfad_zu/ihrer-domain.de/.htpasswd benutzername

• Das -c Flag erstellt eine neue Datei (nur beim ersten Benutzer verwenden!)
• Für weitere Benutzer ohne -c verwenden:

bash

htpasswd /www/pfad_zu/ihrer-domain.de/.htpasswd weiterer_benutzer

Methode 3: Mit Python-Skript

import crypt
import getpass

username = input("Benutzername: ")
password = getpass.getpass("Passwort: ")
encrypted = crypt.crypt(password, crypt.mksalt(crypt.METHOD_SHA512))

with open('.htpasswd', 'a') as f:
    f.write(f"{username}:{encrypted}\n")

print("Benutzer wurde hinzugefügt")
```

**Format der .htpasswd-Datei:**
```
benutzername1:$apr1$xyz$verschluesseltes_passwort
benutzername2:$apr1$abc$verschluesseltes_passwort

Methode 4: Mit PHP-Script

Das PHP Script auf dem eigenen Web-Server unter php-generator-geheimer-name.py (Name ändern!) ablegen. Dann aufrufen mit https://ihre-domain.de/php-generator-geheimer-name.py. Das Script legt die .htpasswd Datei im Script-Verzeichnis ab!

Hier die Kompaktversion ohne schöne UI. Die schöne Version gibt es als Download (nach dem Herunterladen die .txt Endung in der Datei entfernen).

<?php
// .htpasswd Generator - NACH VERWENDUNG LÖSCHEN!
if ($_POST) {
    $user = trim($_POST['user']);
    $pass = $_POST['pass'];
    if ($user && $pass) {
        $hash = password_hash($pass, PASSWORD_BCRYPT);
        file_put_contents('.htpasswd', "$user:$hash\n", FILE_APPEND);
        $msg = "✓ Benutzer '$user' hinzugefügt";
    }
}
?>
<!DOCTYPE html>
<html><head><meta charset="UTF-8"><title>.htpasswd</title></head>
<body style="font-family:sans-serif;max-width:400px;margin:50px auto;padding:20px">
<h2>.htpasswd Generator</h2>
<p style="background:#fff3cd;padding:10px;border-radius:4px">⚠️ Diese Datei nach Verwendung löschen!</p>
<?php if($msg) echo "<p style='color:green'>$msg</p>"; ?>
<form method="post">
    <input name="user" placeholder="Benutzername" required style="width:100%;padding:8px;margin:5px 0"><br>
    <input name="pass" type="password" placeholder="Passwort" required style="width:100%;padding:8px;margin:5px 0"><br>
    <button style="width:100%;padding:10px;background:#007bff;color:#fff;border:none;border-radius:4px;cursor:pointer">Hinzufügen</button>
</form>
</body></html>

Wichtige Hinweise:

• Die .htpasswd-Datei sollte NICHT im Web Root liegen (aus Sicherheitsgründen)
• Sie sollte außerhalb des öffentlich zugänglichen Verzeichnisses gespeichert werden
• Setze die Dateiberechtigungen auf 644: chmod 644 .htpasswd
• Verwende niemals Klartext-Passwörter in dieser Datei

Vorteile

Der Vorteil: Bei jedem Aufruf der WP Login-Seite kommt eine serverseitige Login-Abfrage. Diese verhindert, dass irgendetwas geladen oder angezeigt wird. Cookies werden nicht geladen. Deswegen benötigt man für die Login-Seite dann keine Datenschutzhinweise mehr.

Übrigens wird für populäre CMS wie WordPress, Typo3, Magento oder Joomla vom DSGVO Website-Check (in der Vollversion) geprüft, ob die Seite sicher ist. Im Datenschutzbericht der Vollversion sind Details zur Lösung auch für andere Datenschutzprobleme und Sicherheitsrisiken genannt.