WordPress Admin-ID und Benutzernamen ändern
Der Benutzername admin und die Benutzer-ID 1 sind die halbe Arbeit für jeden automatisierten Angriff. Beides lässt sich ändern. Diese Anleitung zeigt den sicheren Weg über ein neues Konto und den direkten über die Datenbank.
Warum Benutzername und ID ein Thema sind
Ein Anmeldeversuch besteht aus zwei Teilen. Wer den Benutzernamen bereits kennt, muss nur noch das Passwort erraten. Genau deshalb probieren automatisierte Angriffe zuerst admin, gefolgt vom Domainnamen und dem Namen der Person, die auf der Website als Autor auftaucht.
Die Benutzer-ID spielt in derselben Liga. Das erste Konto einer Installation bekommt die Nummer 1, und diese Nummer taucht an mehreren Stellen öffentlich auf. Über Autorenarchive unter /?author=1 und über die REST-Schnittstelle lässt sich in vielen Installationen der zugehörige Anmeldename auslesen. Fachleute nennen das User Enumeration.
Beides zu ändern verhindert keinen entschlossenen Angriff, nimmt aber den automatisierten Skripten die einfachste Abkürzung. Zusammen mit einem langen Passwort und einem zweiten Faktor ist der Login damit solide abgesichert. Den größeren Rahmen dazu beschreibt der Überblick zur WordPress Sicherheit.
Drei Baustellen, drei Lösungen
Benutzername
Lässt sich im Backend nicht ändern. Der saubere Weg führt über ein neues Konto.
Benutzer-ID
Steckt in mehreren Tabellen. Änderung nur über die Datenbank und nur mit Backup.
Sichtbarkeit
Anzeigename und Autoren-Slug verraten den Anmeldenamen. Beides lässt sich entkoppeln.
Weg 1: Neues Konto anlegen und altes löschen
WordPress erlaubt es nicht, einen Anmeldenamen im Backend zu ändern. Das Feld ist bewusst gesperrt. Der empfohlene Weg legt deshalb ein neues Konto an und übernimmt dessen Inhalte.
- Neuen Benutzer anlegen unter Benutzer > Neu hinzufügen. Wählen Sie einen Namen, der nicht zu erraten ist, und die Rolle Administrator.
- Abmelden und mit dem neuen Konto anmelden.
- Altes Konto löschen unter Benutzer, Alle Benutzer.
- Beim Löschen fragt WordPress, was mit den Beiträgen des alten Kontos geschehen soll. Wählen Sie Alle Inhalte diesem Benutzer zuordnen und geben Sie das neue Konto an. Sonst gehen die Beiträge verloren.
Dieser Weg ist der sicherste, weil WordPress die Zuordnung selbst übernimmt. Die Benutzer-ID des neuen Kontos ist eine andere als die 1, damit ist auch dieser Punkt nebenbei erledigt.
Weg 2: Benutzernamen in der Datenbank ändern
Wenn Sie das bestehende Konto behalten wollen, lässt sich der Anmeldename direkt in der Datenbank anpassen. Das ist schneller, verlangt aber Sorgfalt.
- Backup der Datenbank anlegen, in phpMyAdmin über den Reiter Exportieren.
- Tabelle
wp_usersöffnen. Das Präfix kann abweichen, es steht in derwp-config.php. - Den Benutzer bearbeiten und im Feld
user_loginden neuen Namen eintragen. - Speichern und mit dem neuen Namen anmelden.
Das Feld user_nicename in derselben Zeile steuert den Autoren-Slug in Adressen. Passen Sie es gleich mit an, sonst steht der alte Name weiterhin in den Archivadressen.
Die Benutzer-ID ändern
Die ID zu ändern ist der aufwendigste Eingriff, weil sie in mehreren Tabellen als Verknüpfung dient. Ändern Sie sie nur in wp_users, verlieren Beiträge und Einstellungen ihre Zuordnung.
Betroffen sind mindestens diese Stellen:
wp_users, FeldIDwp_usermeta, Felduser_idwp_posts, Feldpost_authorwp_comments, Felduser_id
Je nach installierten Erweiterungen kommen weitere Tabellen dazu, etwa bei Shops oder Mitgliederbereichen. Deshalb die ehrliche Empfehlung: Wenn Sie die ID nur loswerden wollen, nehmen Sie Weg 1. Ein neues Konto bekommt automatisch eine neue Nummer, ohne dass Sie eine einzige Tabelle anfassen.
Den Anmeldenamen unsichtbar machen
Selbst mit einem guten Benutzernamen verrät WordPress ihn an mehreren Stellen, wenn man es lässt. Drei Punkte schließen die typischen Lücken.
Anzeigename entkoppeln
Im Profil steht unter Öffentlicher Name, was Besucher zu sehen bekommen. Standardmäßig ist das der Anmeldename. Tragen Sie unter Vorname und Nachname etwas ein und wählen Sie das im Auswahlfeld aus, dann taucht der Anmeldename nirgends mehr im Frontend auf.
Autoren-Slug ändern
Die Adresse eines Autorenarchivs enthält den Wert aus user_nicename, was oft dem Anmeldenamen entspricht. Sie können ihn in der Datenbank ändern oder ein Plugin nutzen, das ein eigenes Feld dafür anbietet.
Autorenarchive abschalten
Bei einer Website mit einem einzigen Autor bringen Autorenarchive nichts und geben nur Informationen preis. Gängige SEO-Erweiterungen bieten dafür einen Schalter, der die Archive deaktiviert und die Adressen auf die Startseite leitet.
Prüfen, was Ihre Seite verrät
Zwei kurze Tests zeigen, ob der Anmeldename noch nach außen sichtbar ist. Rufen Sie diese Adressen in einem privaten Browserfenster auf:
ihre-domain.de/?author=1
ihre-domain.de/wp-json/wp/v2/usersDie erste Adresse leitet in vielen Installationen auf das Autorenarchiv weiter, und in der neuen Adresse steht dann der Anmeldename. Die zweite gibt eine Liste der Benutzer aus, sofern die Schnittstelle offen ist.
Landen Sie in beiden Fällen auf einer Fehlerseite oder sehen Sie nur den öffentlichen Namen, ist der Punkt erledigt. Andernfalls helfen die drei Maßnahmen aus der linken Spalte, ergänzt um Regeln auf Serverebene, wie sie die Anleitung zur WordPress .htaccess beschreibt.
Ein Hinweis zur Einordnung: Diese Maßnahmen erschweren die automatisierte Suche, sie ersetzen keinen starken Login. Ein langes Passwort und ein zweiter Faktor bleiben die Hauptsache.
Häufige Fehler
- Altes Konto ohne Zuordnung löschen: Beim Löschen fragt WordPress nach dem Verbleib der Beiträge. Wer hier durchklickt, verliert Inhalte.
- Nur die ID in wp_users ändern: Beiträge, Kommentare und Einstellungen verlieren ihre Verknüpfung und das Konto wirkt leer.
- Sich selbst aussperren: Melden Sie sich mit dem neuen Konto an, bevor Sie das alte löschen. Ein zweites Browserfenster mit der alten Sitzung ist als Rückweg hilfreich.
- user_nicename vergessen: Der alte Name steht dann weiter in den Adressen der Autorenarchive.
- Beim Aufräumen zu wenig entfernen: Prüfen Sie bei der Gelegenheit die ganze Benutzerliste. Konten von Leuten, die längst weg sind, sind ein größeres Risiko als eine unglückliche ID.
Häufige Fragen
WordPress sperrt das Feld bewusst, weil der Anmeldename an mehreren Stellen als Verknüpfung dient. Der vorgesehene Weg ist ein neues Konto mit Übernahme der Inhalte. Alternativ lässt sich das Feld user_login direkt in der Datenbank ändern.
Nicht zwingend. Wichtiger ist, dass der Anmeldename nicht erratbar ist und nach außen nicht sichtbar wird. Wenn Sie ohnehin ein neues Konto anlegen, bekommt es automatisch eine andere Nummer, und der Punkt erledigt sich nebenbei.
Öffnen Sie im Backend Benutzer, Alle Benutzer und fahren Sie mit der Maus über einen Namen. In der Adresse am unteren Rand des Browsers steht user_id gefolgt von der Nummer. In der Datenbank finden Sie sie in der Tabelle wp_users in der Spalte ID.
Das automatisierte Auslesen vorhandener Benutzernamen, meist über Autorenarchive oder die REST-Schnittstelle. Wer den Namen kennt, muss beim Angriff nur noch das Passwort raten. Prüfen Sie Ihre Seite mit den beiden im Text genannten Adressen.
Es ist ein wichtiger Schritt, aber allein nicht genug. Der Anmeldename kann weiterhin über den Autoren-Slug in Adressen auftauchen. Passen Sie deshalb auch user_nicename an oder schalten Sie Autorenarchive ab.
Weiterlesen
Eingriff in die Datenbank lieber abgeben?
Wir benennen Konten um, räumen die Benutzerliste auf und schließen die Stellen, an denen Ihre Website Anmeldenamen preisgibt.