Für Geschäftsführer: Was bedeutet das für mein Risiko und meine Kosten
Der Admin-Login Ihrer Webseite, ob WordPress, ein anderes Content-Management-System oder ein Kundenportal, ist eines der attraktivsten Ziele für Angreifer. Wird er kompromittiert, verlieren Sie nicht nur die Kontrolle über Ihre Webseite, sondern riskieren auch, dass Kundendaten abfließen, Schadsoftware auf Ihrer Seite platziert wird oder Ihre Domain für Phishing-Kampagnen missbraucht wird, mit entsprechenden Folgen für Reputation und im Fall personenbezogener Daten auch für Ihre DSGVO-Haftung.
Viele Unternehmen verlassen sich dabei ausschließlich auf ein „sicheres Passwort“. Das reicht heute nicht mehr aus, aus einem einfachen Grund: Angreifer müssen ein Passwort meist gar nicht erraten, sie automatisieren den Login-Versuch. Ein Skript probiert in kurzer Zeit tausende Kombinationen durch (Brute-Force), oder es nutzt Zugangsdaten, die bei einem ganz anderen, längst gehackten Onlinedienst gestohlen wurden, in der Hoffnung, dass Mitarbeitende dasselbe Passwort mehrfach verwenden (Credential-Stuffing). Beide Angriffe laufen vollautomatisch, rund um die Uhr, ohne dass ein Mensch Ihr Passwort „erraten“ müsste.
Die gute Nachricht: Die wirksamsten Gegenmaßnahmen sind technisch überschaubar und meist ohne große Investition umsetzbar. Eine Begrenzung fehlgeschlagener Login-Versuche, eine zweite Bestätigungsstufe beim Anmelden (Multi-Faktor-Authentifizierung) und eine Zugriffsbeschränkung auf den Admin-Bereich schließen die Lücke, die ein Passwort allein offenlässt. Für Unternehmen, die unter das NIS2-Umsetzungsgesetz fallen, ist das genau die Multi-Faktor-Authentifizierung, die §30 Abs. 2 Nr. 10 BSIG ausdrücklich verlangt. Aber auch unabhängig von einer gesetzlichen Pflicht gehört ein gehärteter Login heute zum Mindeststandard einer professionell betriebenen Webseite.
Kurz gesagt: Ein starkes Passwort ist die Grundvoraussetzung, aber allein ist es eine Tür ohne zweites Schloss. Die im Folgenden beschriebenen Maßnahmen sind der zweite Schlüssel.
Für Techniker: Konkrete Härtungsmaßnahmen
1. Warum das Passwort allein versagt
Ein Login-Formular, das beliebig viele Versuche ohne Sperre zulässt, ist gegen automatisierte Angriffe praktisch offen. Zwei Angriffsklassen dominieren:
- Brute-Force: Systematisches Durchprobieren von Zeichenkombinationen oder gängigen Passwortlisten gegen ein bekanntes Benutzerkonto (häufig „admin“).
- Credential-Stuffing: Wiederverwendung von Zugangsdaten aus früheren, öffentlich gewordenen Datenlecks anderer Dienste. Dieser Angriff funktioniert unabhängig davon, wie stark Ihr Passwort ist, er nutzt aus, dass Menschen Passwörter über mehrere Dienste hinweg wiederverwenden.
- Phishing: Angreifer erschleichen sich das Passwort direkt, etwa über eine gefälschte Login-Seite, die per E-Mail verlinkt wird. Auch hier hilft die Komplexität des Passworts nichts, weil es freiwillig eingegeben wird.
Gegen alle drei Klassen bietet ein einzelner Faktor (nur das Passwort) keinen strukturellen Schutz, es braucht zusätzliche, unabhängige Kontrollmechanismen.
2. Rate-Limiting / Login-Versuchs-Begrenzung
Die einfachste wirksame Maßnahme: Nach einer definierten Anzahl fehlgeschlagener Login-Versuche wird die IP-Adresse oder das Benutzerkonto temporär gesperrt (z. B. 5 Versuche, dann 15 bis 60 Minuten Sperre, exponentiell ansteigend bei Wiederholung). Für WordPress existieren dafür etablierte Plugins wie „Limit Login Attempts Reloaded“; bei eigenentwickelten oder anderen CMS-Systemen lässt sich dasselbe Prinzip serverseitig (z. B. über fail2ban oder auf Ebene des Reverse Proxys) umsetzen. Wichtig: Die Sperre sollte sich nicht ausschließlich auf die IP-Adresse verlassen, da Angreifer über Botnetze mit wechselnden IPs arbeiten, eine Kombination aus IP- und Konto-basierter Begrenzung ist robuster.
3. Multi-Faktor-Authentifizierung (MFA)
MFA verlangt beim Login einen zweiten, unabhängigen Nachweis zusätzlich zum Passwort, etwa einen zeitbasierten Code aus einer Authenticator-App (TOTP) oder einen Hardware-Sicherheitsschlüssel. Selbst wenn ein Angreifer das korrekte Passwort besitzt (durch Phishing oder Credential-Stuffing), scheitert der Login ohne den zweiten Faktor. Für WordPress gibt es dafür geprüfte Plugins; viele CMS-Systeme und Verwaltungspanels bringen MFA-Unterstützung mittlerweile nativ mit. Aus regulatorischer Sicht ist das genau die Multi-Faktor-Authentifizierung, die §30 Abs. 2 Nr. 10 BSIG ausdrücklich verlangt.
4. IP-Allowlist / Web Application Firewall für den Admin-Bereich
Wo es organisatorisch möglich ist (feste Büro-IP, VPN-Zugang), lässt sich der Zugriff auf /wp-admin beziehungsweise das jeweilige Admin-Interface auf bekannte IP-Adressen beschränken, etwa über die Webserver-Konfiguration (Apache/Nginx) oder eine vorgeschaltete Web Application Firewall (WAF). Das reduziert die Angriffsfläche drastisch: Ein Angreifer, der nicht aus dem erlaubten IP-Bereich kommt, sieht den Login gar nicht erst. Bei wechselnden Standorten oder Homeoffice-Betrieb ist eine WAF-Lösung mit Bot- und Anomalie-Erkennung die praktikablere Alternative zu einer starren IP-Liste.
5. Passwort-Qualität und Passkeys
Auch wenn das Passwort allein nicht ausreicht, bleibt es ein notwendiger Baustein: ausreichend lang, pro Dienst einzigartig, idealerweise aus einem Passwort-Manager generiert. Zunehmend verbreitet sich außerdem der Passkey-Standard (FIDO2/WebAuthn), bei dem statt eines Passworts ein kryptografisches Schlüsselpaar verwendet wird, das grundsätzlich resistent gegen Phishing ist, weil es an die konkrete Domain gebunden ist und sich nicht auf einer gefälschten Seite eingeben lässt.
Zusammengefasst: Rate-Limiting verhindert das automatisierte Durchprobieren, MFA macht ein gestohlenes Passwort allein wertlos, eine IP-Beschränkung oder WAF reduziert die sichtbare Angriffsfläche, und ein sauberes Passwort beziehungsweise ein Passkey bleibt die Basis. Keine dieser Maßnahmen ersetzt die anderen, ihre Kombination ergibt die eigentliche Härtung.