Die WordPress-Login-URL zu verstecken ist der praktische Weg, nach dem die meisten Administratoren suchen, sobald sie ihre Website absichern wollen. Das Verstecken funktioniert, doch die Umsetzung hat ihre Tücken. Dieser Leitfaden behandelt sie für 2026.
Warum das Verstecken der erste Schritt ist
Das Verstecken nimmt Ihre Website aus der automatisierten Angriffswarteschlange. Bots können eine Adresse, die sie nicht finden, nicht per Brute Force angreifen. Die Verringerung des Angriffsvolumens ist dramatisch – es ist die wirkungsvollste Einzelmaßnahme, die Sie ergreifen können.
Die URL auswählen
Zufällig aussehende Zeichenfolgen sind besser als /geheimer-login. Behandeln Sie die URL wie ein Passwort: Speichern Sie sie in einem Passwortmanager und legen Sie auf jedem Gerät ein Lesezeichen an. Gängige Muster wie /backend oder /dashboard werden von Bots früher oder später abgeklopft. Der Zufall gewinnt.
Das Plugin installieren
Installieren Sie Defyn Security Manager aus dem WordPress.org-Repository. Öffnen Sie den Einstellungsbereich, wählen Sie die URL und speichern Sie. Das Plugin übernimmt die Weiterleitung der Adressen und den 404 auf den alten Pfaden. Defyn Security Manager bietet zudem Weiterleitungs- oder Köder-Login-Optionen an der alten URL, falls Sie Bots in die Irre führen möchten.
Was mit der alten URL geschieht
Standardmäßig wird ein 404 zurückgegeben: Bots sehen keine WordPress-Website und ziehen weiter. Sie können auch eine Weiterleitung zu Ihrer Startseite oder einen Köder-Login einrichten, der Bots Zeit kostet. Jede Option hat ihren Wert, doch der 404 ist die sicherste Voreinstellung.
Wiederherstellung, falls Sie sie vergessen
Bearbeiten Sie die wp-config.php und fügen Sie die Deaktivierungskonstante hinzu: Das Plugin deaktiviert sich, und die ursprünglichen URLs kehren zurück. Melden Sie sich normal an und konfigurieren Sie es neu. Alternativ können Sie den Plugin-Ordner per SFTP umbenennen, um dasselbe zu erreichen. Dokumentieren Sie den Wiederherstellungsweg im Wiki Ihres Teams.
Häufig gestellte Fragen
Funktioniert das Verstecken der Login-URL bei Multisite?
Das Plugin unterstützt die Aktivierung auf Einzelseiten. Multisite ist auf der Roadmap.
Bricht das Verstecken meine Anpassungen?
Nur wenn Ihre Anpassung die alten URLs fest einprogrammiert. Aktualisieren Sie diese Verweise auf die neue URL.
Lässt sich die URL erraten?
Mit ausreichend zufälligen Zeichenfolgen nicht. Mit vorhersehbaren Zeichenfolgen ja.
Reicht das Verstecken allein aus?
Nein. Kombinieren Sie es mit Zwei-Faktor-Authentifizierung und einer Sperre nach Brute-Force-Versuchen.
Das Verstecken der Login-URL ist nur eine Ebene einer umfassenderen Sicherheitsstrategie, zu der auch Zwei-Faktor-Authentifizierung, laufende Updates und zuverlässige Backups gehören. Wenn Sie den Schutz und die Wartung Ihrer WordPress-Website lieber einem Team überlassen möchten, hilft Ihnen das Team von Defyn gern weiter.
