Es ist Montagmorgen, als die Büroleiterin eines Malerbetriebs in WordPress ein Stelleninserat aufschalten möchte. Dabei entdeckt sie unter den Benutzern ein neues Administratorkonto, das niemand im Unternehmen angelegt hat. Erstellt wurde es am frühen Sonntagmorgen. Auf der Website selbst deutet zunächst nichts auf einen Angriff hin.
Offenbar konnte sich jemand mit gültigen Zugangsdaten anmelden, obwohl das Passwort nach Aussage des Betriebs nie weitergegeben wurde. Eine Zwei-Faktor-Authentifizierung war für die WordPress-Logins bisher nicht eingerichtet. Doch wie können Zugangsdaten überhaupt in fremde Hände gelangen, wenn niemand das Passwort bewusst verraten hat? Bei verdächtigen Zugriffen hilft unser Support-Team bei der Prüfung und Absicherung der Website.
Kurz gesagt: Wie garantiere ich Login-Sicherheit bei WordPress? WordPress bringt keine eigene Zwei-Faktor-Authentifizierung mit, dafür braucht es ein Plugin. Für die meisten Schweizer KMU-Websites ist eine Authenticator-App für alle Administratoren und Redaktoren der richtige Standard, ergänzt um Backup-Codes und, wo die Geräte es hergeben, um Passkeys. SMS-Codes gehören 2026 nicht mehr dazu. Über Erfolg oder Frust entscheidet weniger das Plugin als die Reihenfolge beim Rollout.
Warum genügt ein starkes Passwort nicht mehr?
Passwörter werden heute selten geraten, sie werden gekauft. Wer Zugangsdaten aus dem Datenleck eines beliebigen Onlinedienstes besitzt, probiert dieselbe Kombination automatisiert auf Tausenden von Websites durch. Das funktioniert, weil dieselbe Person dasselbe Passwort für Webshop, Newsletter-Tool und WordPress-Backend verwendet. Aus Sicht des Angreifers sieht der Login danach völlig normal aus: richtiger Benutzername, richtiges Passwort.
Betroffen sind auch kleine Websites. Das Wordfence-Netzwerk blockiert nach eigenen Angaben rund 6,4 Milliarden Brute-Force-Versuche pro Monat, und laut einer Cloudflare-Auswertung vom März 2026 stammen 94 Prozent aller Loginversuche im Web von Bots. Auch der Bund bestätigt die angespannte Lage: Laut dem Halbjahresbericht des Bundesamts für Cybersicherheit gingen im zweiten Halbjahr 2025 145 meldepflichtige Cyberangriffe auf kritische Infrastrukturen ein, dazu 57 gemeldete Ransomware-Vorfälle, ein Grossteil davon der Gruppierung Akira zugeordnet.
Welche Verfahren eignen sich für die Zwei-Faktor-Authentifizierung?
Ein zweiter Faktor verlangt nach dem Passwort einen Nachweis, den niemand aus einer Leak-Datenbank mitkaufen kann. Das Passwort ist etwas, das man weiss, der zweite Faktor etwas, das man besitzt.
Authenticator-App (TOTP)
Die App erzeugt alle 30 Sekunden einen neuen sechsstelligen Code, eingerichtet wird sie einmalig per QR-Code. Google Authenticator, Microsoft Authenticator, Authy, 1Password und Bitwarden beherrschen den Standard alle, ein Wechsel der App ist jederzeit möglich. Die Einrichtung dauert pro Person unter einer Minute.
Passkeys und Hardware-Schlüssel
Beim Passkey speichert das Gerät einen kryptografischen Schlüssel, den Fingerabdruck, Gesichtserkennung oder Geräte-PIN freigeben. Entscheidend ist die Bindung an die Domain: Der Schlüssel verlässt das Gerät nie, und eine nachgebaute Phishing-Seite erhält nichts Verwertbares.
Backup-Codes, E-Mail und warum SMS ausfällt
Backup-Codes sind einmalig verwendbare Ausweichcodes für den Fall, dass das Smartphone verloren geht. Sie sind kein Sicherheitsgewinn, sondern eine Versicherung gegen die eigene Aussperrung. E-Mail-Codes sind nur so sicher wie das Postfach dahinter. SMS stuft das US-Institut NIST in seiner Richtlinie SP 800-63B als eingeschränkt geeignet ein, weil sich Mobilfunknummern per SIM-Swapping übernehmen lassen. Wordfence hat sein altes SMS-Verfahren per Anfang Juli 2026 eingestellt.
| Methode | Schutz vor Phishing | Empfehlung |
| Passkey | Sehr hoch | Erste Wahl bei neueren Geräten |
| Authenticator-App | Hoch | Standard für Backend-Konten |
| Backup-Codes | Mittel | Pflicht als Notfallweg |
| E-Mail-Code | Mittel | Nur als Ausweichlösung |
| SMS-Code | Gering | 2026 nicht mehr einsetzen |
Diese drei Plugins setzen wir 2026 ein
Im WordPress-Kern gibt es bis heute keinen Schalter für 2FA, die Anmeldung basiert allein auf dem Passwort. Sie brauchen also ein Plugin. Wir richten das passende Plugin für unsere Wartungskunden direkt ein. Alle Angaben stammen aus dem WordPress-Plugin-Verzeichnis, geprüft im August 2026.
Two-Factor: schlank für Einzeladministratoren
Das Plugin pflegt die WordPress-Community selbst, es ist kostenlos und zeigt keine Werbung im Dashboard. Version 0.16.0 vom 27. März 2026 bietet TOTP, E-Mail-Codes und zehn Backup-Codes, Passkeys kommen über das Zusatz-Plugin «Two-Factor Provider: WebAuthn» dazu. Eine Einschränkung müssen Sie kennen: Jeder Benutzer aktiviert 2FA selbst im Profil und kann sie dort wieder abschalten. Für Sie heisst das: die richtige Wahl, wenn genau eine Person Administrator ist.
WP 2FA: verbindlich für Teams
Version 4.1.0 erlaubt bereits kostenlos Passkeys, TOTP, E-Mail-Codes und 16-stellige Backup-Codes, dazu Richtlinien pro Benutzerrolle mit einstellbarer Übergangsfrist. Ein Assistent führt jede Person durch die Einrichtung, was Rückfragen im Betrieb spürbar reduziert. Für Sie heisst das: Sobald mehr als eine Person ins Backend kommt, lässt sich 2FA verbindlich vorgeben, ohne dass am Stichtag jemand vor der Tür steht.
Wordfence: wenn die Firewall schon läuft
Version 8.2.2 vom 13. Mai 2026 enthält 2FA für jede Benutzerrolle, XML-RPC-Schutz und reCAPTCHA v3, alles kostenlos. Wichtig für August 2026: Das schlanke Zusatz-Plugin «Wordfence Login Security» wurde per rund 1. Juli 2026 eingestellt und erhält keine Updates mehr, seine Funktionen stecken im Hauptplugin. Für Sie heisst das: Steht es noch in Ihrer Plugin-Liste, ist der Wechsel ein To-do für diesen Monat.
Der Rollout ohne Aussperrung
Die häufigste Panne bei der Einführung ist nicht der Angriff, sondern der eigene Ausschluss. Diese Reihenfolge hat sich bei uns bewährt:
- Benutzerliste aufräumen: Konten ehemaliger Mitarbeitender und alter Agenturen löschen.
- Backup erstellen von Dateien und Datenbank, bevor Sie ein Plugin aktivieren.
- Nur ein 2FA-Plugin installieren. Zwei greifen auf denselben Login-Hook zu und erzeugen unvorhersehbare Ergebnisse.
- Das eigene Administratorkonto zuerst einrichten und in einem privaten Browserfenster testen, solange die alte Sitzung offen ist.
- Backup-Codes erzeugen, ausdrucken und physisch ablegen, nicht im Passwortmanager, dessen Zugang Sie gerade absichern.
- Nach Rolle ausrollen, mit sieben bis vierzehn Tagen Übergangsfrist, Administratoren und Redaktoren zuerst.
- Notfallweg dokumentieren: Wer setzt 2FA zurück, wenn jemand das Handy verliert?
Ein zweiter Faktor schützt die Anmeldung, nicht den Rest. Patchstack dokumentierte für 2025 ein Rekordjahr mit 11’334 neuen Schwachstellen, fast alle in Plugins und Themes. Eine verwundbare Erweiterung umgeht den Login komplett. Das Gesamtbild zeigt unsere Security-Checkliste für WordPress.
«Die meisten Rückfragen bei uns kommen nicht wegen eines Angriffs, sondern weil sich jemand selbst ausgesperrt hat. Ein Testlogin im privaten Fenster vor dem eigentlichen Rollout spart am Ende die meiste Zeit.»
Philip Relkovic
WordPress Professional & Support bei Web-SOS | Webgorilla GmbH
Fazit: Zwei-Faktor-Authentifizierung schliesst die grösste Lücke im Login
Ein starkes Passwort verhindert das Raten. Der zweite Faktor verhindert die Anmeldung mit einem Passwort, das längst im Umlauf ist. Der Aufwand bleibt überschaubar: ein Plugin und eine Stunde Einrichtung.
Wenn Sie den Rollout nicht selbst übernehmen wollen: Wir von Web-SOS richten Zwei-Faktor-Authentifizierung für Sie ein und betreuen WordPress-Websites laufend. Nehmen Sie am besten gleich Kontakt auf über unser Kontaktformular.
Häufige Fragen zur Zwei-Faktor-Authentifizierung in WordPress
Hat WordPress eine eingebaute Zwei-Faktor-Authentifizierung?
Nein. Der WordPress-Kern arbeitet rein passwortbasiert, ein zweiter Faktor erfordert immer ein Plugin. Die Umstellung auf bcrypt in WordPress 6.8 betrifft die Speicherung der Passwörter, nicht die Anmeldung. Auch Application Passwords sind kein Ersatz.
Welches 2FA-Plugin für WordPress ist 2026 das beste?
Für Websites mit mehreren Benutzern ist WP 2FA die praktischste Wahl, weil es 2FA pro Rolle mit Übergangsfrist erzwingt und bereits kostenlos Passkeys unterstützt. Wer allein administriert, fährt mit Two-Factor gut. Läuft Wordfence bereits, aktivieren Sie 2FA direkt dort.
Was tun, wenn man sich mit 2FA aus WordPress ausgesperrt hat?
Verwenden Sie zuerst einen Backup-Code, dafür sind sie da. Sonst kann ein zweiter Administrator Ihre 2FA-Einstellungen zurücksetzen. Als letzter Weg bleibt das Deaktivieren des Plugins über FTP oder den Dateimanager des Hostings.
Sind Passkeys sicherer als eine Authenticator-App?
Ja, in einem Punkt: Ein Passkey ist an die Domain gebunden und lässt sich über eine gefälschte Anmeldeseite nicht abgreifen, während ein TOTP-Code dort eingetippt und sofort weiterverwendet werden kann. Passkeys setzen aber ein aktuelles Gerät voraus.
Wer richtet Zwei-Faktor-Authentifizierung für WordPress in der Schweiz ein?
Web-SOS von der Webgorilla GmbH in Neuhausen am Rheinfall übernimmt die Einrichtung inklusive Rollenkonzept, Backup-Codes und dokumentiertem Notfallweg. Wir arbeiten ausschliesslich mit WordPress und WooCommerce. Erreichbar sind wir unter +41 52 533 79 39.
