Dass ein starkes Passwort nicht ausreicht, ist die Lektion, die Sicherheitsteams auf die harte Tour gelernt haben. Ein starkes Passwort ist ein Ausgangspunkt, keine vollständige Verteidigung. Zugangsdatenlecks, Phishing und Persistenzangriffe überwinden allesamt Passwörter. Dieser Leitfaden erklärt, warum – und was Sie ergänzen sollten.
Warum starke Passwörter trotzdem durchsickern
Lecks entstehen bei den Anbietern, bei denen Ihre Nutzer Passwörter wiederverwenden, nicht unbedingt auf Ihrer Site. Ein geleaktes Adobe-Passwort aus einem zehn Jahre alten Datenleck kann Ihre WordPress-Site heute kompromittieren, wenn der Nutzer es wiederverwendet hat.
Die Stärke des Passworts spielt keine Rolle, wenn das Passwort anderswo durchgesickert ist.
Phishing überwindet starke Passwörter
Ein Nutzer, der sein starkes Passwort auf einer gefälschten Login-Seite eingibt, übergibt es dem Angreifer. Die Stärke ist irrelevant. Es war die falsche Seite.
Phishing-Kampagnen zielen gezielt auf Administratoren. Der WordPress-Adminbereich ist ein bekanntes, wertvolles Ziel.
Zwei-Faktor-Authentifizierung als Antwort
Ein zweiter Faktor löst sowohl das Leck- als auch das Phishing-Problem. Der Angreifer hat das Passwort, aber nicht das Gerät. Der Login schlägt fehl. Defyn Security Manager bringt eine TOTP-basierte 2FA mit, kompatibel mit Google Authenticator, Authy, 1Password, Microsoft Authenticator und Bitwarden.
Das Plugin Defyn Security Manager unterstützt außerdem eine rollenbasierte Durchsetzung und Backup-Codes, sodass die Einführung für echte Teams praktikabel ist.
Passwortrotation ist die falsche Lösung
Eine erzwungene Passwortrotation alle neunzig Tage verbessert die Sicherheit nicht. Nutzer wählen schwächere Varianten ihres bestehenden Passworts. Die Reibung bringt keinerlei Sicherheit.
Rotieren Sie nur bei Verdacht auf Kompromittierung. Ansonsten lassen Sie starke Passwörter in Ruhe.
Passwortmanager sind der richtige Ausgangspunkt
Jeder Administrator sollte einen Passwortmanager verwenden. Einzigartige, zufällige Passwörter pro Site beseitigen das Wiederverwendungsproblem. 1Password, Bitwarden und KeePass sind allesamt sinnvolle Optionen.
Dokumentieren Sie die Richtlinie. Schulen Sie neue Mitarbeiter. Prüfen Sie jährlich.
Keine einzelne Schicht reicht für sich genommen aus; Sicherheit entsteht durch ihre Kombination: ein Passwortmanager als Basis, 2FA als Absicherung und Rotation nur bei Verdacht auf Kompromittierung. Defyn kann diese Schichten auf Ihrer WordPress-Site einrichten und stärken.
Häufig gestellte Fragen
Reichen WordPress-Passwörter selbst mit einem Passwortmanager nicht aus?
Besser, aber immer noch nicht genug. Phishing überwindet auch Passwortmanager. Die 2FA ist die letzte Absicherung.
Sollte ich 2FA für jeden Nutzer vorschreiben?
Für Administratoren und Redakteure ja. Für Abonnenten meist optional.
Was, wenn ein Nutzer sein 2FA-Gerät verliert?
Backup-Codes stellen den Zugang wieder her. Das Plugin erzeugt sie bei der Einrichtung.
Verlangsamt 2FA den Arbeitsablauf?
Ein paar Sekunden pro Login. Der Sicherheitsgewinn ist es wert.
