Zwei-Faktor-Anmeldung für WordPress: App-Codes, Passkeys und wie Sie sich nicht aussperren

Von Haus aus verlangt WordPress einen Benutzernamen und ein Passwort und sonst nichts. Die Zwei-Faktor-Anmeldung fügt einen zweiten Schritt hinzu: Nach dem Passwort geben Sie einen Code aus einer App auf Ihrem Telefon ein oder bestätigen die Anmeldung mit einem Passkey. Ein Passwort allein öffnet das Dashboard dann nicht mehr. Sie richten das kostenlos mit einem Plugin aus dem WordPress.org-Verzeichnis ein, und es dauert pro Konto wenige Minuten.

Dieser Leitfaden behandelt die Arten des zweiten Schritts, wie Sie sie beurteilen, wie Sie ihn auf einer Website mit mehreren Benutzern einführen und was bereitliegen sollte, bevor jemand ein Telefon verliert.

Warum der Aufwand, wenn das Passwort stark ist

Ein starkes Passwort verhindert Raten. In drei häufigen Fällen hilft es nicht:

• dasselbe Passwort wurde bei einem anderen Dienst verwendet, und dieser Dienst hat es verloren,
• jemand hat es auf einer gefälschten Anmeldeseite eingegeben, die per E-Mail verlinkt war,
• es wurde im Browser eines Computers gespeichert, den auch andere nutzen.

In jedem Fall kennt jemand anderes das Passwort. Mit einem zweiten Schritt reicht dieses Wissen nicht, um ins Dashboard zu kommen.

Drei Arten des zweiten Schritts

Ein Code aus einer Authenticator-App (TOTP). Bei der Einrichtung scannen Sie einen QR-Code mit einer App auf dem Telefon. Danach zeigt die App einen sechsstelligen Code, der sich alle 30 Sekunden ändert. Das Telefon braucht dafür keine Verbindung: Der Code wird aus einem gespeicherten Geheimnis und der aktuellen Uhrzeit berechnet. Jede gängige Authenticator-App unterstützt das.

Die Schwachstelle: Ein Code lässt sich genau wie ein Passwort in eine gefälschte Anmeldeseite eintippen, und ein schneller Angreifer kann ihn nutzen, bevor er abläuft.

Ein Code per E-Mail. Bequem, weil keine App zu installieren ist. Er ist aber nur so stark wie das Postfach. Wenn das Postfach dasselbe Passwort wie WordPress hat, bringt der zweite Schritt wenig.

Ein Passkey (der Standard WebAuthn). Statt einen Code einzutippen, bestätigen Sie per Fingerabdruck, Gesicht, Telefon-PIN oder USB-Sicherheitsschlüssel. Der Browser bindet jeden Passkey an die Domain, auf der er erstellt wurde. Auf einer ähnlich aussehenden Seite unter einer anderen Domain bietet der Browser den Passkey gar nicht erst an, es gibt also nichts zu stehlen. Passkeys setzen voraus, dass die Website über HTTPS läuft.

Geht das ohne ein kostenpflichtiges Plugin

Ja. Das Handbuch Advanced Administration von WordPress.org (Stand 14. Oktober 2026) verweist für die Anmeldung in zwei Schritten auf Plugins im Verzeichnis, da WordPress sie nicht mitbringt. Mehrere kostenlose Plugins leisten das. Ein Beispiel: Am 19. Oktober 2026 nannte die WordPress.org-Seite des Plugins Two Factor (von WordPress.org, Version 0.17.0) Codes aus Authenticator-Apps, E-Mail-Codes und Backup-Codes und beschrieb die Unterstützung für WebAuthn-Passkeys als separate Erweiterung.

Achten Sie vor der Installation in der Beschreibung auf vier Dinge:

1. Welche Methoden für den zweiten Schritt es unterstützt und ob eine Authenticator-App dazugehört.
2. Ob es Wiederherstellungscodes für ein verlorenes Telefon gibt.
3. Ob jemand mit Serverzugriff den zweiten Schritt für ein ausgesperrtes Konto abschalten kann.
4. Ob es den zweiten Schritt für ausgewählte Rollen vorschreiben kann.

Einführen, ohne jemanden auszusperren

1. Beginnen Sie mit Ihrem eigenen Konto. Ein gutes Plugin verlangt Codes erst, nachdem Sie bei der Einrichtung einen funktionierenden Code eingegeben haben. So ist bestätigt, dass die App die richtigen Codes erzeugt, bevor irgendetwas davon abhängt.
2. Bewahren Sie die Wiederherstellungscodes nicht auf dem Telefon auf. Ein Passwortmanager ist ein guter Ort. Codes, die auf demselben Telefon wie die App liegen, gehen mit ihm verloren.
3. Legen Sie fest, wer ein gesperrtes Konto rettet. Klären Sie, wer Serverzugriff hat (Sie, Ihr Entwickler, Ihr Hoster) und wie dort der zweite Schritt für ein Konto abgeschaltet wird. Schreiben Sie das auf, bevor Sie es brauchen.
4. Schreiben Sie es für Rollen mit Befugnissen vor. Administratoren, Redakteure und Shop-Manager können die Website ändern oder Kundendaten sehen. Geben Sie ihnen einige Tage zur Einrichtung und informieren Sie sie vorher per E-Mail.
5. Stellen Sie Apps auf Anwendungspasswörter um. Die mobile WordPress-App oder ein Werkzeug, das über die REST-API veröffentlicht, kann keine Code-Abfrage anzeigen. Dafür gibt es in WordPress Anwendungspasswörter: Im Benutzerprofil legen Sie für ein einzelnes Werkzeug ein eigenes Passwort an, das Sie jederzeit widerrufen können.
6. Beenden Sie die alten Sitzungen. WordPress hält Sie zwei Tage angemeldet, mit gesetztem „Angemeldet bleiben“ 14 Tage. Melden Sie das Konto nach dem Einschalten des zweiten Schritts auf seinen anderen Geräten ab, damit alte Sitzungen die neue Regel nicht umgehen.

Worauf Sie achten sollten

• Die Uhr des Telefons. App-Codes hängen von der Uhrzeit ab. Wenn Codes plötzlich nicht mehr funktionieren, prüfen Sie, ob das Telefon die Zeit automatisch einstellt.
• Eine neue Domain. Ein Passkey funktioniert für die Domain, auf der er erstellt wurde. Nach dem Umzug der Website auf eine neue Adresse müssen Sie einen neuen hinzufügen. Behalten Sie also die App oder die Wiederherstellungscodes als zweiten Zugang.
• Wenn jemand ausscheidet. Löschen Sie sein Konto oder entziehen Sie ihm die Rolle. Das Ausschalten seines Telefons schließt sein Konto nicht.
• Es schützt die Anmeldung und sonst nichts. Eine Lücke in einem veralteten Plugin braucht keine Anmeldung. Updates bleiben wichtig, wie der Beitrag über veraltete WordPress-Plugins erklärt.

So macht es Ensomedia Security

Ensomedia Security ist ein kostenloses Plugin im WordPress.org-Verzeichnis, das ich für ShieldWave gebaut habe. Alles darin funktioniert ohne ShieldWave-Konto genauso. Die Fakten, aus der Beschreibung und aus dem Code:

• Der zweite Schritt ist ein Code aus einer Authenticator-App (TOTP), und bei der Einrichtung erhalten Sie zehn Wiederherstellungscodes,
• der WP-CLI-Befehl wp shieldwave two-factor disable <user> schaltet ihn für ein Konto ab, niemand ist also dauerhaft ausgesperrt,
• Apps melden sich mit einem Anwendungspasswort an,
• Sie können die Zwei-Faktor-Anmeldung für ausgewählte Rollen vorschreiben, mit 0 bis 30 Tagen (standardmäßig 7) zur Einrichtung,
• Passkeys (WebAuthn) funktionieren als zweiter Schritt nach dem Passwort, das Passwort wird weiterhin gebraucht. Sie benötigen HTTPS und die OpenSSL-Erweiterung in PHP,
• da der Browser einen Passkey an die Domain der Website bindet, erhält eine ähnlich aussehende Anmeldeseite höchstens das Passwort, nie den zweiten Schritt,
• zum Hinzufügen oder Entfernen eines Passkeys wird zuerst das Passwort oder ein aktueller Code verlangt, und der Kontoinhaber erhält eine E-Mail, wenn ein Passkey hinzugefügt wird,
• der Bereich Sitzungen zeigt, wo das Konto angemeldet ist, meldet Sie überall sonst ab oder meldet alle Benutzer ab und legt fest, wie lange die Sitzung eines Administrators dauert,
• der Anmeldeschutz begrenzt fehlgeschlagene Anmeldungen pro Adresse (standardmäßig 5, danach eine Sperrzeit) und pro Benutzername über alle Adressen hinweg (standardmäßig 20 pro Stunde). Sperren sind vorübergehend, und vertrauenswürdige Adressen werden nie gesperrt.

Es ist keine vollständige Web Application Firewall und entfernt keine Malware aus Dateien. Die Seite des Plugins listet auf, was jeder optionale Dienst sendet, und die Anleitung Bildschirm für Bildschirm führt durch die Einstellungen.

Eine kurze Liste für heute

1. Schalten Sie den zweiten Schritt für Ihr eigenes Administratorkonto ein und legen Sie die Wiederherstellungscodes in einem Passwortmanager ab.
2. Klären Sie, wie Sie ihn für ein Konto abschalten, wenn jemand ein Telefon verliert.
3. Schreiben Sie ihn für jede Rolle vor, die die Website ändern kann, mit einigen Tagen zur Einrichtung.
4. Geben Sie Werkzeugen und Apps eigene Anwendungspasswörter.
5. Melden Sie Ihr Konto auf Geräten ab, die Sie nicht mehr benutzen.

Prüfen Sie Ihre Website von außen. Geben Sie Ihre Adresse auf shieldwave.io ein. Das dauert etwa 90 Sekunden und braucht weder ein Passwort noch ein Plugin.