WordPress-Login-Angriffe sehen 2026 anders aus als 2020. Einige alte Techniken bestehen fort. Neue sind hinzugekommen. Zu wissen, was im Umlauf ist, ist der erste Schritt zur Abwehr. Dieser Leitfaden behandelt die Angriffskategorien, denen Sie 2026 tatsächlich gegenüberstehen.
Brute-Force-Angriffe
Automatisiertes Durchprobieren von Passwortkombinationen gegen /wp-login.php. 2010 begann das noch einfach. Heute wird es über Tausende Botnetz-IPs verteilt, um die Ratenbegrenzung pro IP auszuhebeln. Gegen Websites mit schwachen Passwörtern und ohne Sperre funktioniert es weiterhin.
Die Abwehr ist mehrschichtig: Verbergen Sie die URL, sperren Sie nach fehlgeschlagenen Versuchen und erzwingen Sie starke Passwörter.
Credential Stuffing
Angreifer setzen aus anderen Datenlecks stammende Kombinationen aus Benutzername und Passwort gegen Ihre Login-Seite ein. Hat ein Nutzer auf Ihrer Website ein Passwort wiederverwendet, das anderswo geleakt wurde, funktioniert die Zugangsdatenkombination. Cleveres Raten ist nicht nötig.
2FA ist die einzige vollständige Abwehr. Credential Stuffing gelingt, wenn das geleakte Passwort korrekt ist.
Aufzählung von Benutzernamen
Angreifer zählen gültige Benutzernamen auf, indem sie die Antworten des WordPress-Login-Formulars oder REST-API-Endpunkte ausnutzen. Den Benutzernamen zu kennen, beschleunigt Brute Force oder Credential Stuffing. Defyn Security Manager blockiert beide Aufzählungswege.
Das Plugin Defyn Security Manager schließt den Aufzählungsvektor, über den Angreifer eingrenzen können, welche Benutzernamen sie ins Visier nehmen.
Missbrauch von XML-RPC und der REST-API
Ältere WordPress-Versionen erlaubten unbegrenzte Login-Versuche über XML-RPC und umgingen so die Ratenbegrenzung des Web-Logins. Modernes Hardening blockiert XML-RPC vollständig oder versieht es mit einer Ratenbegrenzung. Bei der REST-API gibt es ähnliche Bedenken.
Deaktivieren Sie beide, sofern Sie keinen konkreten Bedarf haben.
Gezieltes Phishing
Angreifer senden Administratoren überzeugende E-Mails, um sie dazu zu bringen, ihre Zugangsdaten auf einer gefälschten Login-Seite einzugeben. Diese Zugangsdaten werden anschließend gegen den echten Login wiederverwendet. Phishing gelingt selbst dann, wenn die übrigen Abwehrmaßnahmen perfekt sind.
Auch hier ist 2FA der letzte Schutz. Selbst ein gestohlenes Passwort scheitert ohne den zweiten Faktor.
Kein Login-Angriff stützt sich auf eine einzige Technik – Ihre Abwehr sollte das also auch nicht. Die Kombination aus starken Passwörtern, 2FA, Sperren sowie dem Härten von XML-RPC und REST-API wehrt die überwältigende Mehrheit von ihnen ab. Wenn Sie den Sicherheitszustand des Logins Ihrer Website prüfen und stärken lassen möchten, kann Defyn Ihnen helfen.
Häufig gestellte Fragen
Welcher WordPress-Login-Angriff ist 2026 am häufigsten?
Brute Force und Credential Stuffing liegen gleichauf an der Spitze. Zusammen machen sie den Großteil der WordPress-Login-Angriffe aus.
Sind diese Angriffe raffiniert?
Nein. Sie sind automatisiert und plump. Raffinesse ist selten. Das Problem ist die Menge.
Stoppt eine Ratenbegrenzung alles?
Nein. Verteilte Botnetze hebeln die Begrenzung pro IP aus. Eine mehrschichtige Abwehr ist unerlässlich.
Woran erkenne ich, dass ich angegriffen werde?
Spitzen bei fehlgeschlagenen Login-Versuchen in Ihrem Audit-Log. Plötzliche Sperren. Neue IPs, die Ihre Login-Seite wiederholt ansteuern.
