Neuen WordPress Administrator anlegen

Im Backend ist ein Administratorkonto in dreißig Sekunden angelegt. Wer keinen Zugang mehr hat, braucht den Weg über Datenbank, FTP oder Kommandozeile. Diese Anleitung zeigt alle vier Varianten.

Ich bin ausgesperrt

Zwei Ausgangslagen

Der Normalfall ist harmlos: Sie sind angemeldet und wollen jemandem Administratorrechte geben. Das geht im Backend in wenigen Klicks.

Der zweite Fall ist unangenehm. Sie kommen selbst nicht mehr hinein, weil das Passwort weg ist, die Mail nicht ankommt oder das Konto gelöscht wurde. Dann brauchen Sie einen Weg an WordPress vorbei, direkt in die Datenbank oder über die Dateien.

Beide Wege stehen hier. Wenn nur das Passwort fehlt und das Konto noch existiert, sparen Sie sich die Arbeit: Dafür reicht die Anleitung zu WordPress Passwort ändern.

Weg 1: Im Backend anlegen

Solange Sie selbst als Administrator angemeldet sind, ist es eine Routineaufgabe.

  1. Benutzer > Neu hinzufügen öffnen.
  2. Benutzernamen wählen. Nicht admin, nicht der Domainname, nichts Erratbares. Der Name lässt sich später nicht mehr im Backend ändern.
  3. E-Mail-Adresse eintragen. Jede Adresse darf nur einmal im System vorkommen.
  4. Passwort setzen oder den Vorschlag von WordPress übernehmen.
  5. Rolle auf Administrator stellen und mit Neuen Benutzer hinzufügen speichern.

Ein bestehendes Konto hochzustufen geht noch schneller: Benutzer öffnen, Rolle auf Administrator ändern, speichern.

Wie viele Administratoren sind sinnvoll?

So wenige wie möglich, aber mindestens zwei. Ein zweites Konto ist Ihr Rückweg, wenn das erste ausfällt. Alles darüber hinaus vergrößert nur die Angriffsfläche. Welche Rolle sonst passt, zeigt die Übersicht zu den WordPress Benutzerrollen.

WordPress Benutzerrollen erstellen

Ausgesperrt: erst prüfen, dann eingreifen

Bevor Sie in die Datenbank gehen, klären Sie zwei Dinge. Es spart oft den ganzen Aufwand.

  • Existiert das Konto noch? Wenn ja und nur das Passwort fehlt, reicht das Zurücksetzen per Mail oder über die Datenbank.
  • Sind Sie wirklich ausgesperrt oder nur blockiert? Ein Login-Schutz-Plugin sperrt nach mehreren Fehlversuchen die IP-Adresse, meist für einige Minuten. Warten Sie ab oder versuchen Sie es aus einem anderen Netz.

Erst wenn beides ausscheidet, brauchen Sie ein neues Konto. Legen Sie vorher ein Backup an, egal welchen der folgenden Wege Sie wählen.

Drei Notfallwege

Über FTP

Ein paar Zeilen in der functions.php. Der einfachste Weg, wenn Sie Dateizugriff haben.

Über die Datenbank

Zwei Tabellen, mehrere Einträge. Funktioniert immer, verlangt aber Sorgfalt.

Über WP-CLI

Ein Befehl, fertig. Setzt einen Server mit SSH-Zugang und installiertem WP-CLI voraus.

Weg 2: Administrator per FTP anlegen

Der zugänglichste Notfallweg. Sie tragen eine kurze Anweisung in die functions.php des aktiven Themes ein, rufen die Website einmal auf und entfernen sie danach wieder.

  1. Per FTP in den Ordner des aktiven Themes wechseln, meist unter wp-content/themes/.
  2. Die Datei functions.php herunterladen und eine Kopie beiseitelegen.
  3. Direkt nach dem einleitenden <?php diesen Block einfügen:
function wph_notfall_admin() {
    $benutzer = 'ihr-neuer-name';
    $passwort = 'EinLangesSicheresPasswort';
    $email    = 'ihre@adresse.de';

    if ( ! username_exists( $benutzer ) && ! email_exists( $email ) ) {
        $id = wp_create_user( $benutzer, $passwort, $email );
        $user = new WP_User( $id );
        $user->set_role( 'administrator' );
    }
}
add_action( 'init', 'wph_notfall_admin' );
  1. Datei hochladen und die Website einmal im Browser aufrufen.
  2. Mit den neuen Zugangsdaten anmelden.
  3. Den Block wieder entfernen und die Datei erneut hochladen.

Der letzte Schritt ist keine Formsache. Solange der Code drinsteht, liegen Benutzername und Passwort im Klartext auf dem Server, und bei jedem Seitenaufruf läuft die Prüfung mit.

Ein Hinweis zum Theme: Arbeiten Sie mit einem Child-Theme, gehört der Code in dessen functions.php. Bei einem Theme-Update wird die Datei des Eltern-Themes sonst überschrieben.

Entfernen Sie den Code unmittelbar nach der erfolgreichen Anmeldung. Ein vergessener Block mit Zugangsdaten im Klartext ist ein größeres Problem als das, was Sie damit lösen wollten.

Weg 3: Administrator in der Datenbank anlegen

Wenn kein Dateizugriff besteht, wohl aber phpMyAdmin, führt der Weg über zwei Tabellen. Beide Einträge gehören zusammen, ein Konto ohne den zweiten Teil hat keine Rechte.

Schritt 1: Eintrag in wp_users

Öffnen Sie die Tabelle wp_users und legen Sie über den Reiter Einfügen einen neuen Datensatz an. Die wichtigen Felder:

  • user_login: der Anmeldename
  • user_pass: das Passwort, in der Funktionsspalte daneben MD5 auswählen
  • user_nicename: der Name für Adressen, meist wie der Anmeldename in Kleinbuchstaben
  • user_email: eine Adresse, die noch nicht vergeben ist
  • user_registered: das aktuelle Datum
  • user_status: 0
  • display_name: der öffentlich angezeigte Name

Das Feld ID lassen Sie leer, die Datenbank vergibt sie selbst. Notieren Sie die Nummer nach dem Speichern, Sie brauchen sie gleich.

Schritt 2: Zwei Einträge in wp_usermeta

Ohne diesen Schritt existiert das Konto, kann aber nichts. Legen Sie in wp_usermeta zwei Datensätze an, jeweils mit der eben notierten Nummer im Feld user_id:

meta_key:   wp_capabilities
meta_value: a:1:{s:13:"administrator";b:1;}

meta_key:   wp_user_level
meta_value: 10

Wichtig: Wenn Ihr Tabellenpräfix nicht wp_ lautet, muss es auch im meta_key stehen, also etwa xyz_capabilities. Das Präfix steht in der wp-config.php. Diese Kleinigkeit ist die häufigste Fehlerquelle bei diesem Weg.

Melden Sie sich anschließend an. Wenn das Konto zwar existiert, aber im Backend keine Menüpunkte erscheinen, stimmt einer der beiden meta-Einträge nicht.

Weg 4: Über WP-CLI

Wenn Ihr Hosting SSH-Zugang mit installiertem WP-CLI bietet, ist das der sauberste Weg. Ein Befehl legt das Konto an, es bleibt nichts zurück, das man vergessen könnte:

wp user create neuername ihre@adresse.de --role=administrator

WP-CLI gibt das erzeugte Passwort direkt aus. Ein bestehendes Konto stufen Sie so hoch:

wp user set-role 5 administrator

Die Zahl ist die Benutzer-ID. Eine Liste aller Konten bekommen Sie mit wp user list.

Nach dem Notfall aufräumen

Wenn der Zugang wiederhergestellt ist, sind vier Dinge zu tun:

  1. Code entfernen, falls Sie den Weg über die functions.php gewählt haben.
  2. Benutzerliste prüfen. Wenn Sie ausgesperrt waren, weil jemand anders eingegriffen hat, stehen dort möglicherweise fremde Konten.
  3. Alle Passwörter erneuern und die Sicherheitsschlüssel in der wp-config.php austauschen. Das beendet sämtliche laufenden Anmeldungen.
  4. Ursache klären. Ein verlorenes Passwort ist Pech. Ein gelöschtes Administratorkonto ist ein Vorfall, der einen Blick in die WordPress Sicherheit wert ist.

Legen Sie bei der Gelegenheit ein zweites Administratorkonto an, das Sie nur im Notfall benutzen. Mit eigenem Passwort, eigener E-Mail-Adresse und zweitem Faktor.

Häufige Fragen

Ich komme nicht mehr ins Backend, was jetzt?

Prüfen Sie zuerst, ob nur ein Login-Schutz-Plugin Ihre IP gesperrt hat, das läuft meist nach Minuten ab. Existiert das Konto noch und fehlt nur das Passwort, setzen Sie es über die Datenbank zurück. Erst wenn das Konto weg ist, brauchen Sie ein neues über FTP, Datenbank oder WP-CLI.

Warum hat mein neues Konto keine Rechte?

Dann fehlen die Einträge in wp_usermeta oder das Tabellenpräfix im meta_key stimmt nicht. Der Schlüssel muss zum Präfix Ihrer Installation passen, bei einem Präfix xyz_ also xyz_capabilities heißen. Das Präfix steht in der wp-config.php.

Ist der Weg über die functions.php gefährlich?

Nur wenn Sie den Code stehen lassen. Solange er drin ist, stehen Benutzername und Passwort im Klartext auf dem Server. Entfernen Sie ihn direkt nach der erfolgreichen Anmeldung. Ein Syntaxfehler in der Datei kann außerdem die Website lahmlegen, deshalb vorher eine Kopie sichern.

Wie mache ich einen bestehenden Benutzer zum Administrator?

Im Backend über Benutzer, Alle Benutzer, dort das Konto öffnen und die Rolle auf Administrator setzen. Ohne Backend-Zugang geht es über WP-CLI mit dem Befehl wp user set-role oder über den Eintrag wp_capabilities in der Tabelle wp_usermeta.

Wie viele Administratoren sollte eine Website haben?

Mindestens zwei, damit ein Ausfall nicht zur Aussperrung führt. Darüber hinaus so wenige wie möglich, denn jedes dieser Konten kann die komplette Website verändern. Redaktionelle Arbeit braucht nie Administratorrechte.

Weiterlesen

Überblick

Konten anlegen, Rechte vergeben, Liste schlank halten.

WordPress Benutzerverwaltung

Nur das Passwort weg?

Vier Wege, das Kennwort neu zu setzen.

WordPress Passwort ändern

Danach absichern

Standardnamen ablegen und die Kennung schützen.

WordPress Admin-ID ändern

Kein Zugang mehr zur eigenen Website?

Wir holen Sie zurück ins Backend, prüfen dabei die Benutzerkonten und richten einen Notfallzugang ein, der beim nächsten Mal greift.

Unverbindlich anfragen