`/wp-admin` und `/wp-login.php` sind die zwei meistangegriffenen URLs auf jeder WordPress-Seite. Bot-Netze probieren dort permanent Username-Passwort-Kombinationen durch. Auf einer ungeschützten Site sind ein paar tausend Brute-Force-Versuche pro Tag normal — und sehr selten harmlos. Der einfachste, wirksamste erste Schutzmechanismus: die Login-URL verlegen. In diesem Beitrag zeige ich Ihnen, wie Sie das ohne Server-Konfiguration und ohne Aussperrungs-Risiko machen.
Warum überhaupt die Login-URL ändern?
Drei Effekte:
- Brute-Force-Versuche gehen ins Leere. Bots probieren weiter `/wp-login.php` — Ihre echte Login-URL kennen sie nicht.
- Server-Last sinkt. Jeder Brute-Force-Versuch verbraucht PHP- und Datenbank-Ressourcen. Auf Shared-Hosting messbar.
- Security-Log wird sauberer. Sie sehen tatsächliche Angriffe statt 99 % Bot-Rauschen.
Es ist kein vollständiger Schutz — ein professioneller Angreifer findet die neue URL über Scanner oder Fingerprints (Login-Formular-Strukturen). Aber es eliminiert 95 % des automatisierten Drucks.
Methode 1 (empfohlen): Plugin „WPS Hide Login“
Das Plugin macht genau einen Job, macht ihn sauber und braucht keine Server-Berechtigungen. Über 1 Million aktive Installationen, kontinuierlich gepflegt.
So gehen Sie vor:
- Plugins → Installieren → „WPS Hide Login“ suchen → installieren, aktivieren.
- Unter Einstellungen → WPS Hide Login den neuen Login-Slug eintragen, z. B. `mein-zugang` oder `nordstern-42`. Vermeiden Sie Wörter wie „admin“, „login“, „secret“, die in Scanner-Wordlists stehen.
- Redirect-URL setzen — wohin nicht-eingeloggte Besucher:innen umgeleitet werden, wenn sie `/wp-admin` aufrufen. Standard: 404-Seite. Ich empfehle stattdessen die Homepage oder eine Custom-Seite.
- Speichern.
Wichtig — bevor Sie speichern: Notieren Sie sich den neuen Slug an einem sicheren Ort, idealerweise im Passwort-Manager. Wenn Sie ihn vergessen, müssen Sie das Plugin per FTP deaktivieren (siehe Notfall-Sektion unten).
Nach dem Speichern testen Sie sofort:
- `https://ihre-domain.at/wp-admin` → sollte zur Redirect-Ziel führen.
- `https://ihre-domain.at/wp-login.php` → ebenso.
- `https://ihre-domain.at/mein-zugang` → Login-Formular erscheint.
Wenn alles passt: gleich noch die Passwort-Manager-Lesezeichen aktualisieren.
Methode 2: Im Sicherheits-Plugin als integriertes Feature
Wenn Sie ohnehin Solid Security (früher iThemes Security) oder Wordfence im Einsatz haben, brauchen Sie kein zusätzliches Plugin. Beide bieten „Hide Backend“/“Hide Login URL“ als integriertes Feature.
Vorteil: ein Plugin weniger. Nachteil: bei Plugin-Wechsel müssen Sie aufpassen, dass die neue Login-URL erhalten bleibt oder bewusst geändert wird.
Bei Solid Security: Solid → Settings → Hide Backend → Aktivieren → URL setzen → Speichern.
Mehr zum Sicherheits-Plugin-Vergleich in meinem Pillar-Beitrag WordPress-Plugins 2026 und im bestehenden WordPress Sicherheitsmaßnahmen.
Methode 3: Server-seitig per .htaccess (Apache)
Für versierte Nutzer:innen mit Apache-Hosting. Die Login-URL wird ohne Plugin verlegt:
„`apache
RewriteEngine On
RewriteRule ^mein-zugang/?$ /wp-login.php [L]
RewriteCond %{REQUEST_URI} ^/wp-login.php [NC]
RewriteCond %{HTTP_REFERER} !mein-zugang [NC]
RewriteRule ^.*$ – [F,L]
„`
Vorteile: keine Plugin-Last, sehr früh in der Request-Verarbeitung. Nachteile: bei Theme-/Plugin-Update der `.htaccess` durch ein anderes Tool wird die Regel oft überschrieben. Wartungsaufwand höher.
Bei Nginx (statt Apache) funktioniert das nicht — dort braucht es einen Eingriff in die Nginx-Config, was bei den meisten Hostern nicht erlaubt ist. Plugin-Lösung ist dann der pragmatische Weg.
Login-URL allein reicht nicht — die drei Ergänzungen
Wenn Sie schon im Sicherheits-Modus sind, ergänzen Sie diese drei Dinge:
1. Zwei-Faktor-Authentifizierung (2FA)
Die wichtigste einzelne Sicherheitsmaßnahme. Selbst bei korrektem Passwort schützt 2FA den Zugang.
Empfohlene Plugins:
- WP 2FA (kostenlos)
- Two-Factor (Open Source, von WordPress-Core-Devs)
- Solid Security Pro (eingebaut)
Sie scannen einen QR-Code mit einer Authenticator-App (Google Authenticator, Authy, 1Password, Bitwarden), und beim Login geben Sie nach dem Passwort einen 6-stelligen Code ein.
2. Standard-Username „admin“ entfernen
Wenn Ihr Admin-User noch „admin“ heißt, ist die erste Hälfte des Brute-Force-Versuchs bereits erraten. Anlegen eines neuen Admin-Users mit einem anderen Namen, dem alten „admin“-User Rechte entziehen, einloggen mit dem neuen User, alten löschen. Inhalte des alten Users werden beim Löschen einem anderen User zugeordnet — kein Datenverlust.
3. Login-Versuche limitieren
Selbst mit verlegter URL — wenn die neue URL irgendwann doch gefunden wird, soll der Angreifer nach 5 falschen Versuchen für eine Stunde gesperrt sein.
Plugins: Limit Login Attempts Reloaded (kostenlos), Solid Security und Wordfence haben das eingebaut.
Sie wollen WordPress-Sicherheit nicht in Stückwerk lernen, sondern als zusammenhängendes System? In meinem Online-Kurs zeige ich Ihnen den Sicherheits-Layer-Stack, den ich auf jeder neuen Site einrichte — von Login bis Firewall. → Zum Online-Kurs
Notfall: ausgesperrt, weil URL vergessen
Es passiert. Vor allem nach Hostings-Wechsel oder wenn das Plugin nach einem Update temporär die URL zurücksetzt. So kommen Sie wieder rein:
- Per FTP/SFTP in das Verzeichnis `wp-content/plugins/wps-hide-login/`.
- Ordner umbenennen zu `wps-hide-login-deaktiviert`.
- WordPress deaktiviert das Plugin damit automatisch.
- `/wp-login.php` ist wieder unter dem Standard-Pfad erreichbar.
- Einloggen, neuen URL-Wert setzen oder Plugin neu konfigurieren.
Wenn Sie keinen FTP-Zugang haben: über das Hosting-Dateimanagement (cPanel, Plesk, ISPConfig etc.) denselben Pfad öffnen.
Edge-Case: WooCommerce-Konten
WooCommerce-Kunden:innen melden sich nicht über `/wp-login.php`, sondern über `/mein-konto` an. Das WPS-Hide-Login-Plugin lässt diese Route in Ruhe — WooCommerce-Login funktioniert weiter normal. Wichtig, bevor Sie Plugin aktivieren, das einmal explizit testen.
Edge-Case: Membership-Plugins (Paid Memberships Pro, Restrict Content Pro)
Diese Plugins legen oft eigene Login-Forms an. Wie bei WooCommerce: die Custom-Login-Routen werden nicht beeinflusst. Sie verlegen nur den Admin-Backend-Zugang.
SEO-Effekt: positiv
Eine verlegte Login-URL hat keinen direkten SEO-Effekt — aber indirekt:
- Server-Last sinkt → bessere TTFB → bessere Core Web Vitals (siehe WordPress Page Speed 2026).
- Weniger erfolgreiche Hacks → keine Sperrung in Google-Safe-Browsing, kein Reputations-Verlust.
Mehr SEO-Hintergrund in WordPress SEO-Grundlagen.
Häufige Fragen
Funktioniert das mit Multisite?
Ja, WPS Hide Login unterstützt Multisite explizit. Pro Subsite kann eine andere URL gesetzt werden.
Kann ich die URL später wieder ändern?
Jederzeit. In den Plugin-Einstellungen den neuen Wert eintragen, speichern. Alte URL ist sofort tot.
Was passiert mit Klicks auf alte Lesezeichen?
Sie landen auf der Redirect-Ziel-URL (Homepage oder 404, je nach Einstellung).
Erkennen Scanner die neue URL trotzdem?
Professionelle Scanner ja, mit ausreichend Zeit. Standard-Bots: meist nein. Login-URL verlegen ist Defense-in-Depth, nicht Defense-as-Silver-Bullet.
Sollte ich auch das Standard-Datenbank-Präfix `wp_` ändern?
Bei neuen Installationen: ja, schadet nicht. Bei bestehenden Installationen: Aufwand-Nutzen meist nicht gerechtfertigt — Risiko, Datenbank zu zerschießen, ist real.
Funktioniert das mit REST API und Anwendungs-Passwörtern?
Ja. REST-API-Zugriffe gehen über `/wp-json/`, nicht über Login-URL — unbeeinflusst.
Fazit
In 5 Minuten installiert, schaltet 95 % des automatisierten Brute-Force-Drucks aus. Ergänzt um 2FA, Username-Anpassung und Login-Limit haben Sie eine WordPress-Site, die für die allermeisten Angreifer:innen schlicht zu teuer ist.
Wenn Sie WordPress-Sicherheit als zusammenhängendes Konzept lernen wollen — nicht als zehn lose Tipps — ist mein Online-Kurs der direkte Weg. → Zum Online-Kurs
Bildquelle Featured & Inline: eigens erstellte Illustrationen im pletzenauer-Design (keine Stock-Fotos).
Tags
