Du öffnest die Logs deines WordPress und siehst Dutzende, manchmal Hunderte, fehlgeschlagener Login-Versuche pro Tag. Die erste Reaktion ist Alarm: Werde ich gezielt angegriffen? Die Antwort ist fast immer beruhigender, als es aussieht.
Warum du so viele Versuche bekommst (es ist wahrscheinlich nicht persönlich)
Die überwiegende Mehrheit dieser Versuche stammt nicht von einer Person, die dich gezielt ausgesucht hat. Es sind automatisierte Bots, die das Internet durchforsten und dieselbe Liste gängiger Benutzernamen und Passwörter gleichzeitig gegen Tausende von WordPress-Websites testen, ohne zu unterscheiden, welche du bist. Dass deine Website solche Versuche bekommt, ist leider normal — fast jede öffentliche WordPress-Website erhält sie.
Wie du erkennst, ob es automatisierter Traffic ist oder gezielt gegen dich gerichtet
Einige Anzeichen für einen generischen automatisierten Angriff, nicht etwas Persönliches:
- Die getesteten Benutzernamen sind generisch: “admin”, “administrator”, dein eigener Domainname
- Sie kommen von vielen verschiedenen, weltweit verteilten IPs, nicht von einer einzigen
- Das Muster ist über die Zeit konstant, kein einmaliger Ausschlag, der mit etwas Bestimmtem zusammenfällt
Siehst du dagegen Versuche, die sich stark auf einen bestimmten, ungewöhnlichen Benutzernamen konzentrieren, oder die mit einem Ereignis zusammenfallen (du hast etwas Kontroverses veröffentlicht, warst in der Presse), lohnt sich genauere Aufmerksamkeit.
Was zu tun ist, damit sie kein echtes Risiko mehr darstellen
Versuche pro IP begrenzen
Eine IP nach mehreren aufeinanderfolgenden fehlgeschlagenen Versuchen vorübergehend zu blockieren, stoppt die meisten einfachen Bots, auch wenn ausgefeiltere ihre IP wechseln, um das zu umgehen.
Passwörter verwenden, die auf keiner gängigen Liste stehen
Diese Angriffe probieren Passwörter aus geleakten Wörterbüchern, sie raten nicht zufällig. Ein langes, zufälliges Passwort wird statistisch nie durch einfache Brute-Force-Angriffe getroffen.
Eine zweite Ebene zusätzlich zu Benutzername und Passwort hinzufügen
Zwei-Faktor-Authentifizierung sorgt dafür, dass selbst wenn ein Bot das exakte Passwort erraten würde, er trotzdem ohne den zweiten Faktor nicht hereinkäme.
Nach Verhalten blockieren, nicht nur nach wiederholter IP
Der wirksamste Schutz wartet nicht darauf, mehrere Fehlversuche zu zählen: Er erkennt typische Bot-Muster (Geschwindigkeit, Header, Herkunft) und stoppt den Versuch, bevor überhaupt ein Passwort ausprobiert wird.
Häufige Fragen
Sollte ich mir Sorgen machen, wenn ich 50-100 fehlgeschlagene Login-Versuche pro Tag sehe?
Das ist ein normales Volumen für eine öffentliche WordPress-Website ohne speziellen Login-Schutz. Wichtig ist nicht die Menge, sondern zu bestätigen, dass keiner davon erfolgreich war.
Reduziert das Ändern der Login-URL diese Versuche?
Ja, deutlich — viele Bots probieren nur den Standardpfad /wp-login.php. Das ist allein kein vollständiger Schutz, reduziert aber viel vom Rauschen.
Kann ich herausfinden, aus welchem Land diese Versuche kommen?
Ja, ein Sicherheitspanel mit Aktivitätsprotokoll zeigt das Herkunftsland jedes Versuchs — nützlich, um zu entscheiden, ob du Traffic aus bestimmten Regionen blockieren möchtest, wenn du dort keine legitimen Kunden oder Besucher hast.