Zwei-Faktor-Authentifizierung für WordPress

Mit Zwei-Faktor-Authentifizierung (2FA) genügt bei WordPress das Passwort allein nicht mehr: Nach der Passworteingabe verlangt die Anmeldung einen zweiten Nachweis, meist einen sechsstelligen Code aus einer App auf dem Smartphone. WordPress-2FA gehört zu den günstigsten und wirksamsten Schutzmaßnahmen für Admin-Konten. Allerdings bringt WordPress selbst keine Zwei-Faktor-Authentifizierung mit – Sie brauchen dafür ein Plugin.

Dieser Ratgeber erklärt, wie die Codes entstehen, welcher zweite Faktor sich eignet, wer im Team 2FA nutzen sollte, wie Sie die Umstellung ohne ausgesperrte Kolleginnen und Kollegen schaffen und was DSGVO und NIS2 damit zu tun haben.

Warum ein Passwort allein nicht reicht

Passwörter geraten in Umlauf. Wird bei einem anderen Dienst eine Nutzerdatenbank gestohlen, probieren Angreifer die erbeuteten Paare aus E-Mail-Adresse und Passwort automatisiert auf unzähligen Login-Seiten aus. Dieses Credential Stuffing hat überall dort Erfolg, wo jemand ein Passwort mehrfach verwendet. Der zweite Weg ist Phishing: Eine täuschend echte Anmeldeseite fängt das Passwort direkt ab.

Jede WordPress-Website hat unter /wp-login.php ein öffentliches Anmeldeformular, und die standardmäßig aktive XML-RPC-Schnittstelle nimmt ebenfalls Passwörter entgegen. Ein Administrator kann Plugins installieren, also Code auf Ihrem Server ausführen. Je nach eingesetzten Plugins sehen auch Redakteure Formulareinträge oder Kundendaten. Aus einem einzigen geleakten Passwort kann so eine Datenpanne im Sinne der DSGVO werden.

Der zweite Faktor unterbricht diese Kette. Das Passwort mag der Angreifer haben – Ihr Smartphone oder Ihren Sicherheitsschlüssel hat er nicht.

So funktioniert die WordPress-2FA mit Einmalcodes

Am weitesten verbreitet ist TOTP („Time-based One-Time Password“), also zeitbasierte Einmalpasswörter nach RFC 6238. Vereinfacht läuft es so ab:

1. Beim Einrichten zeigt das Plugin einen QR-Code. Er enthält einen geheimen Schlüssel, den Ihre Authenticator-App speichert; der Server behält eine Kopie.
2. Die App berechnet aus diesem Schlüssel und der aktuellen Uhrzeit einen kurzen Code, in der Regel sechsstellig. Üblicherweise erscheint alle 30 Sekunden ein neuer.
3. Bei der Anmeldung fragt WordPress nach dem richtigen Passwort den aktuellen Code ab. Der Server rechnet selbst nach und vergleicht.

Weil beide Seiten den Code unabhängig voneinander berechnen, wird nichts an Ihr Telefon geschickt, und die App funktioniert auch offline. Entscheidend ist allerdings die Uhrzeit: Werden Codes ständig abgelehnt, prüfen Sie, ob das Smartphone die Zeit automatisch stellt.

Wichtig sind auch die Grenzen von 2FA. Ein verwundbares Plugin wird dadurch nicht sicherer, denn wer eine Plugin-Lücke ausnutzt, umgeht das Login-Formular komplett. Deshalb stehen Updates weit oben auf unserer Checkliste zur WordPress-Sicherheit. Außerdem kann eine gefälschte Anmeldeseite einen TOTP-Code innerhalb von Sekunden an die echte Website weiterreichen. Gegen dieses Echtzeit-Phishing schützen nur phishing-resistente Verfahren wie Passkeys und Hardware-Sicherheitsschlüssel.

Welcher zweite Faktor? App, Passkey, SMS oder E-Mail

Nicht jeder zweite Faktor schützt gleich gut:

Passkeys beruhen auf dem Standard WebAuthn und nutzen ein Schlüsselpaar, das auf Smartphone, Rechner oder einem Hardware-Schlüssel liegt. Der Browser setzt einen Passkey nur auf der Domain ein, für die er angelegt wurde – eine nachgebaute Phishing-Seite unter anderer Adresse geht leer aus. Unterstützt Ihr 2FA-Plugin Passkeys, bieten Sie sie zuerst den Administratoren an.

Authenticator-Apps sind der praktische Standard. Jede TOTP-App funktioniert, zum Beispiel Google Authenticator, Microsoft Authenticator, Open-Source-Apps wie Aegis oder 2FAS sowie viele Passwortmanager.

SMS-Codes sind schwächer: Kriminelle können eine Rufnummer per SIM-Swapping übernehmen, und Nachrichten lassen sich abfangen. Die US-Richtlinie NIST SP 800-63B stuft Codes über das Telefonnetz, etwa per SMS, deshalb als „eingeschränkte“ (restricted) Authentifikatoren ein. Besser als nichts, für Admin-Konten aber nicht unsere Empfehlung.

Backup-Codes sind Ihr Ersatzschlüssel. Die meisten Plugins erzeugen eine Reihe einmal verwendbarer Codes. Bewahren Sie sie im Passwortmanager oder ausgedruckt an einem sicheren Ort auf – nur nicht neben dem Smartphone.

Wer WordPress-2FA nutzen muss

Wir empfehlen, die Zwei-Faktor-Authentifizierung verpflichtend zu machen für:

• alle Administratoren und Redakteure, in WooCommerce-Shops auch alle Shop-Manager;
• alle, die personenbezogene Daten sehen, etwa Formulareinträge, Bestellungen oder Kundenkonten;
• Zugänge von Agenturen und Freelancern: Jede Person bekommt ein eigenes Konto mit eigenem zweiten Faktor, nie ein gemeinsames „Agentur-Login“, das am Handy einer einzelnen Person hängt;
• die Konten rund um WordPress: Kundenbereich beim Hoster, SFTP oder SSH, Domain-Registrar und das E-Mail-Postfach, an das Passwort-Resets gehen.

Für Abonnenten und Shop-Kunden reicht es meist, 2FA als freiwillige Option anzubieten.

2FA in sechs Schritten einführen

1. Zuerst Konten aufräumen. Entfernen Sie ehemalige Mitarbeitende und Agenturen und stufen Sie zu hohe Rollen herunter. Konten, die niemand mehr nutzt, sollten Sie löschen statt absichern.
2. Ein Plugin auswählen. Achten Sie auf TOTP, Backup-Codes, Pflicht-2FA je Rolle und idealerweise Passkeys. Das kostenlose Plugin Two Factor auf WordPress.org wird von WordPress-Mitwirkenden gepflegt und bietet TOTP und Backup-Codes, aber keine eingebaute Pflicht-2FA je Rolle. Auch Sicherheits-Plugins wie Security Audit & Compliance von secaudit.eu bieten eine TOTP-Zwei-Faktor-Anmeldung.
3. Mit dem eigenen Konto testen. Einrichten, abmelden und in einem privaten Browserfenster neu anmelden. Halten Sie ein zweites, ebenfalls per 2FA geschütztes Administratorkonto als Reserve bereit.
4. Einen Termin ankündigen. Verschicken Sie eine kurze Anleitung mit der empfohlenen App und dem Stichtag.
5. 2FA erzwingen – für die oben genannten Rollen, damit niemand die Einrichtung überspringt.
6. Hintertüren schließen. Schalten Sie XML-RPC ab, wenn es niemand nutzt, oder prüfen Sie, ob Ihr Plugin die Schnittstelle abdeckt. Kontrollieren Sie die Anwendungspasswörter (seit WordPress 5.6): Sie sind für API-Zugriffe gedacht und durchlaufen die Abfrage des zweiten Faktors nicht. Behalten Sie nur die, die Sie wirklich brauchen.

Smartphone verloren: Zugang sicher wiederherstellen

Verlorene oder neue Smartphones sind Alltag. Legen Sie den Ablauf fest, bevor es so weit ist.

• Backup-Code: Die Person meldet sich mit einem Backup-Code an, richtet 2FA auf dem neuen Gerät neu ein und erzeugt frische Backup-Codes.
• Ein anderer Administrator kann den zweiten Faktor eines Benutzers in der Regel zurücksetzen. Prüfen Sie die Anfrage über einen vertrauenswürdigen Kanal, etwa per Rückruf unter einer bekannten Nummer. „Ich habe mein Handy verloren, bitte setz meine 2FA zurück“ ist ein klassischer Social-Engineering-Trick.
• Letzter Ausweg, wenn der einzige Admin ausgesperrt ist: Deaktivieren Sie das 2FA-Plugin über den Server, melden Sie sich an und aktivieren Sie es sofort wieder.

Mit WP-CLI ersetzen Sie two-factor durch den Ordnernamen Ihres Plugins:

wp plugin deactivate two-factor

Ohne WP-CLI erreichen Sie dasselbe, indem Sie den Plugin-Ordner in wp-content/plugins/ per SFTP umbenennen; vor dem erneuten Aktivieren geben Sie ihm wieder den ursprünglichen Namen. Das kann jeder mit Serverzugang – genau deshalb brauchen auch Hosting- und SFTP-Zugänge einen starken Schutz.

Zwei-Faktor-Authentifizierung, NIS2 und DSGVO

Die NIS2-Richtlinie ist eindeutig: Art. 21 Abs. 2 lit. j nennt Multi-Faktor-Authentifizierung oder kontinuierliche Authentifizierung als Mindestmaßnahme für betroffene Einrichtungen. In Deutschland gilt dafür seit dem 6. Dezember 2025 das NIS2UmsuCG, das das BSI-Gesetz ändert. Ob Ihr Unternehmen als „wichtige“ oder „besonders wichtige Einrichtung“ betroffen ist, hängt von Größe und Branche ab – mehr dazu im Ratgeber NIS2 und WordPress. Auch wenn NIS2 für Sie selbst nicht gilt: Betroffene Kunden müssen die Sicherheit ihrer Lieferkette steuern (Art. 21 Abs. 2 lit. d) und fragen Agenturen zunehmend, ob Admin-Zugänge geschützt sind.

Die DSGVO nennt 2FA nicht ausdrücklich. Art. 32 verlangt aber Sicherheitsmaßnahmen unter Berücksichtigung des Stands der Technik. Für Admin-Konten mit Zugriff auf personenbezogene Daten ist 2FA günstig und überall verfügbar – es dürfte schwerfallen zu begründen, warum sie nicht angemessen gewesen sein soll. Mehr dazu in DSGVO Art. 32 für WordPress. Halten Sie fest, wann Sie 2FA für welche Rollen eingeführt haben; nach Art. 5 Abs. 2 DSGVO müssen Sie Ihre Maßnahmen nachweisen können.

Häufige Fragen

Schützt 2FA meine Website vollständig?

Nein. Sie schützt die Anmeldung. Verwundbare Plugins, schwaches Hosting und Schadsoftware auf dem Rechner eines Benutzers brauchen eigene Maßnahmen.

Reicht ein Code per E-Mail?

Er ist besser als gar kein zweiter Faktor. Wer aber das Postfach kontrolliert, bekommt sowohl den Link zum Zurücksetzen des Passworts als auch den Code. Für Administratoren sind App oder Passkey die bessere Wahl.

Dürfen sich mehrere Personen ein 2FA-geschütztes Konto teilen?

Besser nicht. Geben Sie jeder Person ein eigenes Konto – nur so lässt sich der Zugang sauber entziehen, wenn jemand das Team verlässt.

Dieser Artikel ist eine allgemeine Information und keine Rechtsberatung.