Passwörter allein reichen nicht mehr aus, um Ihre WordPress-Website zu schützen. Hacker verwenden Brute-Force-Angriffe, gestohlene Passwortlisten und Phishing, um Zugang zu erhalten. Zwei-Faktor-Authentifizierung (2FA) fügt eine zusätzliche Sicherheitsebene hinzu, die Ihr Konto schützt, selbst wenn Ihr Passwort durchsickert.

Was ist Zwei-Faktor-Authentifizierung?

Zwei-Faktor-Authentifizierung erfordert zwei verschiedene Formen der Identifikation zum Einloggen:

• Etwas, das Sie wissen: Ihr Passwort
• Etwas, das Sie haben: Ihr Telefon mit einer Authenticator-App

Ohne beide Faktoren ist das Einloggen unmöglich. Ein Hacker mit Ihrem Passwort kann sich trotzdem nicht einloggen, ohne auch Ihr Telefon zu haben.

Warum 2FA für WordPress essentiell ist

WordPress ist das meistverwendete CMS der Welt, was es auch zum größten Ziel für Hacker macht. Täglich werden Millionen von Brute-Force-Angriffen auf WordPress-Loginseiten ausgeführt. Mit aktiviertem 2FA sind diese Angriffe sinnlos, denn selbst das richtige Passwort ist nicht ausreichend.

Darüber hinaus schützt 2FA Sie vor:

• Passwörtern, die durch ein Datenleck durchgesickert sind
• Keyloggern, die Ihr Passwort aufzeichnen
• Phishing-Angriffen, bei denen Sie Ihr Passwort unbeabsichtigt preisgeben
• Mitarbeitern mit Zugang zu geteilten Passwörtern

Die besten 2FA-Plugins verglichen

Es gibt verschiedene Plugins, um 2FA in WordPress zu implementieren. Dies sind die zuverlässigsten Optionen:

Wordfence Security

Wenn Sie Wordfence bereits für Firewall und Malware-Scanning verwenden, ist die eingebaute 2FA-Funktion die logische Wahl. Sie ist vollständig kostenlos (auch in der kostenlosen Version) und funktioniert mit jeder TOTP-Authenticator-App. Lesen Sie unsere ausführliche Wordfence-Anleitung für Installationsanweisungen.

Vorteile von Wordfence 2FA:

• Vollständig kostenlos
• Integriert mit Firewall und Login-Sicherheit
• Unterstützt alle Standard-TOTP-Apps
• Backup-Codes automatisch generiert

WP 2FA

WP 2FA ist ein dediziertes Zwei-Faktor-Authentifizierungs-Plugin, das fortgeschrittenere Optionen bietet. Die kostenlose Version unterstützt TOTP-Authenticator-Apps, während die Premium-Version auch SMS- und E-Mail-Codes bietet.

Vorteile von WP 2FA:

• Detaillierte Richtlinieneinstellungen pro Benutzerrolle
• Verpflichtendes 2FA für bestimmte Rollen (z.B. nur Admins)
• Übergangsfrist für Benutzer, um 2FA einzurichten
• Whitelabeling für Profis

Google Authenticator Plugin

Eine leichtgewichtige Option, wenn Sie nur 2FA ohne zusätzliche Funktionen möchten. Funktioniert ausschließlich mit Google Authenticator oder kompatiblen Apps.

Schritt-für-Schritt Setup mit Wordfence

Wir gehen durch die Installation mit Wordfence, der vollständigsten kostenlosen Option:

1. Wordfence installieren

Gehen Sie zu Plugins > Neues Plugin und suchen Sie nach "Wordfence". Installieren und aktivieren Sie "Wordfence Security - Firewall, Malware Scan, and Login Security".

2. 2FA aktivieren

Gehen Sie zu Wordfence > Login Security in Ihrem WordPress-Admin. Sie sehen nun die 2FA-Setup-Seite.

3. Authenticator-App vorbereiten

Laden Sie eine Authenticator-App auf Ihr Telefon herunter. Empfohlene Optionen:

• Google Authenticator (Android/iOS) - einfach und zuverlässig
• Microsoft Authenticator (Android/iOS) - mit Cloud-Backup
• Authy (Android/iOS/Desktop) - Synchronisierung zwischen Geräten

4. QR-Code scannen

Öffnen Sie Ihre Authenticator-App und scannen Sie den QR-Code, den Wordfence anzeigt. Ihre App generiert nun alle 30 Sekunden einen neuen 6-stelligen Code.

5. Verifizierungscode eingeben

Geben Sie den aktuellen Code aus Ihrer Authenticator-App ein, um zu bestätigen, dass alles funktioniert. Klicken Sie auf "Activate", um 2FA zu aktivieren.

6. Backup-Codes speichern

Wordfence generiert automatisch Recovery-Codes. Laden Sie diese Codes herunter oder drucken Sie sie aus und bewahren Sie sie an einem sicheren Ort auf (nicht auf demselben Computer!). Sie benötigen diese, wenn Sie Ihr Telefon verlieren oder es kaputtgeht.

Backup-Codes sicher aufbewahren

Backup-Codes sind Ihre Rettungsleine, wenn Sie keinen Zugang mehr zu Ihrer Authenticator-App haben. Behandeln Sie sie als streng vertraulich:

• Drucken Sie sie aus und bewahren Sie sie in einem Tresor oder einer abgeschlossenen Schublade auf
• Speichern Sie sie in einem Passwort-Manager wie Bitwarden oder 1Password
• Erstellen Sie ein verschlüsseltes Backup auf einem USB-Stick, den Sie separat aufbewahren
• Speichern Sie sie niemals in Ihrer E-Mail, auf Ihrem Desktop oder in einer ungesicherten Notiz-App

Jeder Backup-Code ist nur einmal verwendbar. Nachdem Sie einen verwendet haben, generieren Sie neue Codes in Ihrem WordPress-Admin.

2FA für alle Benutzer verpflichtend machen

Wenn Sie mehrere Benutzer auf Ihrer WordPress-Website haben, können Sie 2FA verpflichtend machen. In Wordfence gehen Sie zu Login Security > Settings und aktivieren Sie "Require 2FA for all administrators".

Mit WP 2FA haben Sie mehr Kontrolle und können pro Benutzerrolle einstellen:

• Welche Rollen verpflichtend 2FA verwenden müssen
• Eine Übergangsfrist, in der Benutzer 2FA einrichten müssen
• Was passiert, wenn die Übergangsfrist abläuft

Häufig gestellte Fragen

Was wenn ich mein Telefon verliere?

Verwenden Sie einen Ihrer Backup-Codes zum Einloggen. Gehen Sie danach direkt zu Login Security und richten Sie 2FA mit Ihrem neuen Telefon erneut ein. Generieren Sie neue Backup-Codes.

Kann ich 2FA für bestimmte Benutzer deaktivieren?

Ja, in den Plugin-Einstellungen können Sie angeben, für welche Benutzerrollen 2FA verpflichtend ist. Wir empfehlen, mindestens alle Administrator- und Editor-Konten zu sichern.

Funktioniert 2FA mit WooCommerce?

Ja, 2FA schützt den WordPress-Login. Dies gilt auch für Benutzer, die sich über WooCommerce einloggen. Sie können 2FA optional für Kunden und verpflichtend für Administratoren machen.

Wie logge ich mich ein, wenn die Codes nicht funktionieren?

Überprüfen Sie, ob die Zeit auf Ihrem Telefon korrekt eingestellt ist (automatische Zeit). Wenn die Codes nicht funktionieren und Sie keine Backup-Codes haben, können Sie 2FA über die Datenbank oder durch Deaktivieren des Plugins via FTP deaktivieren. Kontaktieren Sie den Support, wenn Sie dabei Hilfe benötigen.

Zusätzliche Sicherheitstipps

2FA ist ein wichtiger Schritt, aber kombinieren Sie es mit anderen Sicherheitsmaßnahmen:

• Verwenden Sie starke, eindeutige Passwörter für jedes Konto
• Halten Sie WordPress, Plugins und Themes aktuell
• Erstellen Sie regelmäßig Backups mit UpdraftPlus
• Begrenzen Sie die Anzahl der Admin-Konten auf das Minimum
• Erwägen Sie, die wp-admin URL zu ändern

Bei Theory7 nehmen wir Sicherheit ernst. Alle unsere Hosting-Pakete enthalten Patchman Malware-Scanning und unsere Support-Mitarbeiter stehen bereit, um Ihnen bei der Sicherung Ihrer WordPress-Website zu helfen.