WordPress Benutzerverwaltung: Rollen und Rechte im Griff
Sobald mehr als eine Person an einer Website arbeitet, entscheidet die Benutzerverwaltung darüber, wer was darf. Dieser Überblick zeigt, wie Sie Konten anlegen, Rechte sparsam vergeben und die Benutzerliste dauerhaft schlank halten.
Worum es bei der Benutzerverwaltung geht
WordPress arbeitet mit Rollen. Jedes Konto bekommt genau eine Rolle, und diese Rolle bringt einen festen Satz an Berechtigungen mit. Ein Redakteur darf fremde Beiträge veröffentlichen, ein Autor nur die eigenen, ein Abonnent gar keine. Wer die Rollen kennt, muss keine Rechte einzeln vergeben.
Die Aufgabe dahinter ist weniger technisch als organisatorisch. Fast jede gewachsene WordPress-Installation hat mehr Administratoren als nötig und Konten von Leuten, die längst nicht mehr im Projekt sind. Beides sind Risiken, die sich mit einer halben Stunde Aufräumen beseitigen lassen.
Als Faustregel gilt: So wenig Rechte wie möglich, so viele wie nötig. Ein Administratorkonto ist ein Generalschlüssel. Wer nur Texte schreibt, braucht keinen.
Die WordPress-Rollen im Überblick
Eine Standardinstallation kennt fünf Rollen. In einem Netzwerk kommt der Super-Admin dazu.
| Rolle | Darf | Darf nicht | Typisch für |
|---|---|---|---|
| Administrator | alles, inklusive Plugins und Benutzer | nichts | Betreiber, Betreuer |
| Redakteur | alle Beiträge und Seiten veröffentlichen | Plugins, Themes, Benutzer | Redaktionsleitung |
| Autor | eigene Beiträge schreiben und veröffentlichen | fremde Inhalte bearbeiten | feste Autoren |
| Mitarbeiter | eigene Beiträge schreiben | veröffentlichen, Medien hochladen | Gastautoren |
| Abonnent | eigenes Profil verwalten | Inhalte anlegen | Newsletter, Mitgliederbereiche |
Die Details zu jeder Rolle, dazu eigene Rollen und Plugins zum Anpassen, stehen in der Übersicht zu den WordPress Benutzerrollen.
Die Aufgaben im Detail
Für die wiederkehrenden Aufgaben gibt es eigene Schritt-für-Schritt-Anleitungen.
Rollen und Rechte
Alle Rollen im Detail, eigene Rollen anlegen und Rechte gezielt anpassen.
Zugang entziehen
Konten sperren, deaktivieren oder löschen, ohne Inhalte zu verlieren.
Ausgesperrt
Neuen Administrator anlegen, auch ohne Zugang zum Backend.
Benutzer anlegen und bearbeiten
Ein neues Konto entsteht unter Benutzer > Neu hinzufügen. Pflicht sind Benutzername und E-Mail-Adresse, alles Weitere kann die Person später selbst ergänzen.
- Benutzername festlegen. Er lässt sich später nicht mehr im Backend ändern, überlegen Sie also kurz. Keine Standardnamen wie admin oder redaktion.
- E-Mail-Adresse eintragen. Jede Adresse darf nur einmal vorkommen.
- Rolle wählen. Im Zweifel die niedrigere. Nachträglich hochstufen ist einfacher als einen Schaden zu beheben.
- Benachrichtigung setzen. WordPress schickt auf Wunsch eine Mail mit Link zum Setzen des Passworts.
Bestehende Konten bearbeiten Sie über Benutzer > Alle Benutzer und einen Klick auf den Namen. Dort ändern Sie Rolle, Kontaktdaten, den öffentlich angezeigten Namen und das Passwort. Wie Letzteres im Detail funktioniert, steht unter WordPress Passwort ändern.
Registrierung durch Besucher
Unter Einstellungen > Allgemein lässt sich die Selbstregistrierung freischalten und eine Standardrolle für neue Konten festlegen. Aktivieren Sie das nur, wenn Sie es wirklich brauchen. Als Standardrolle kommt ausschließlich Abonnent infrage.
Die Benutzerliste im Griff behalten
Die Übersicht unter Benutzer > Alle Benutzer kann mehr, als die meisten nutzen.
- Nach Rolle filtern. Über die Links oberhalb der Tabelle sehen Sie auf einen Blick, wie viele Administratoren es gibt. Die Zahl überrascht oft.
- Suchen. Das Suchfeld findet Konten über Name, Anmeldename und E-Mail-Adresse.
- Mehrere gleichzeitig ändern. Über die Auswahlkästchen und das Mehrfachaktionen-Menü lässt sich die Rolle mehrerer Konten in einem Schritt anpassen.
- Spalten anpassen. Oben rechts unter Ansicht anpassen legen Sie fest, was die Tabelle anzeigt.
Benutzer importieren und exportieren
Mit Bordmitteln geht das nur eingeschränkt. Das Exportwerkzeug unter Werkzeuge > Daten exportieren erfasst Inhalte, nicht die Benutzerkonten selbst. Wer Konten aus einer Liste anlegen oder in ein anderes System übernehmen will, braucht ein Plugin, das den Import und Export über eine CSV-Datei abwickelt.
Achten Sie beim Import auf zwei Dinge: Passwörter lassen sich nicht sinnvoll übertragen, die Personen müssen sie neu setzen. Und prüfen Sie die zugewiesene Rolle vor dem Import, nicht danach.
Rechte sparsam vergeben
Die häufigsten Probleme in der Benutzerverwaltung entstehen nicht durch fehlende Funktionen, sondern durch zu großzügig vergebene Rechte. Vier Regeln decken die meisten Fälle ab.
Nur so viele Administratoren wie nötig
Jedes Administratorkonto kann Plugins installieren, Benutzer anlegen und die Website löschen. Für eine typische Firmenwebsite reichen zwei: der Betreiber und die betreuende Agentur. Alles andere bekommt Redakteur oder weniger.
Rollen an Aufgaben ausrichten
Fragen Sie nicht, wer wie wichtig ist, sondern was jemand tatsächlich tun muss. Wer nur Blogbeiträge schreibt, kommt mit der Rolle Autor aus. Wer fremde Texte freigibt, braucht Redakteur. Wer Seiten anlegt und Menüs pflegt, braucht mehr, aber selten alles.
Zugänge beim Ausscheiden entziehen
Wenn jemand das Projekt verlässt, gehört der Zugang am selben Tag entzogen. Das Konto einfach stehen zu lassen, ist die häufigste Altlast in gewachsenen Installationen. Wie Sie dabei die Inhalte behalten, zeigt die Anleitung zu WordPress Benutzer sperren.
Regelmäßig durchsehen
Ein Blick auf die Benutzerliste, einmal im Quartal. Unbekannte Konten sind ein Warnsignal, ungenutzte ein Aufräumfall. Beides gehört zur laufenden WordPress Sicherheit.
Wann ein Plugin sinnvoll ist
Die Bordmittel decken den Normalfall ab. Eine Erweiterung lohnt sich, sobald einer dieser Punkte auftaucht:
- Eigene Rollen. Wenn keine der fünf Standardrollen passt, etwa für jemanden, der Seiten pflegen, aber keine Beiträge schreiben soll.
- Einzelne Rechte anpassen. Etwa einem Redakteur die Verwaltung von Menüs erlauben, ohne ihn zum Administrator zu machen.
- Import und Export. Für Kontolisten aus anderen Systemen.
- Protokoll. Wenn nachvollziehbar sein soll, wer wann was geändert hat.
- Konten deaktivieren. WordPress kennt nur aktiv oder gelöscht, eine Zwischenstufe bringt erst ein Plugin.
Prüfen Sie vor der Installation Aktualität und Support der Erweiterung. Ein Plugin, das tief in die Rechtevergabe eingreift, sollte gepflegt sein. Die Kriterien dafür stehen bei den WordPress Sicherheits-Plugins.
Häufige Fragen zur Benutzerverwaltung
Unter Benutzer, Neu hinzufügen. Sie brauchen einen Benutzernamen und eine E-Mail-Adresse, dazu wählen Sie die Rolle. WordPress kann eine Mail mit einem Link zum Setzen des Passworts verschicken. Den Benutzernamen können Sie später nicht mehr im Backend ändern.
Die niedrigste, mit der die Aufgabe erledigt werden kann. Wer nur eigene Beiträge schreibt, braucht Autor. Wer fremde Texte freigibt, Redakteur. Administrator bekommt nur, wer Plugins installieren und Benutzer verwalten muss.
Ja, WordPress begrenzt die Zahl nicht. Sinnvoll sind so wenige wie möglich, weil jedes dieser Konten die komplette Website verändern kann. Zwei sind bei einer typischen Firmenwebsite ein guter Wert, damit niemand allein ausgesperrt sein kann.
Mit Bordmitteln nicht. Das Exportwerkzeug von WordPress erfasst Inhalte, nicht die Konten. Für Listen aus anderen Systemen brauchen Sie ein Plugin, das den Import über eine CSV-Datei abwickelt. Passwörter lassen sich dabei nicht übernehmen, die Personen müssen sie neu setzen.
Die Standardrollen lassen sich im Backend nicht anpassen. Wenn Sie einzelne Berechtigungen verschieben oder eigene Rollen anlegen wollen, brauchen Sie eine Erweiterung dafür. Die Details stehen in der Übersicht zu den Benutzerrollen.
Nur wenn Sie es brauchen, etwa für einen Mitgliederbereich. Ist sie offen, sammeln sich Spam-Konten an. Als Standardrolle kommt ausschließlich Abonnent infrage, alles andere wäre ein offenes Scheunentor.
Weiterlesen
Zugang absichern
Passwörter, zweiter Faktor und die Checkliste für eine sichere Website.
Benutzerliste aufräumen lassen?
Wir gehen Ihre Konten durch, richten ein sinnvolles Rollenkonzept ein und entziehen Zugänge, die niemand mehr braucht.