WordPress Passwort ändern
Im Profil dauert es zehn Sekunden. Wer sich nicht mehr anmelden kann oder keine Mail bekommt, braucht den Weg über die Datenbank. Diese Anleitung zeigt alle vier Varianten und sagt, wann welche greift.
Welcher Weg passt zu Ihrer Situation?
Das Passwort zu ändern ist unterschiedlich aufwendig, je nachdem wie weit Sie noch in Ihre Website hineinkommen. Vier Fälle decken so gut wie alles ab.
1. Im Profil
Sie sind angemeldet. Der Normalfall, zehn Sekunden Aufwand.
2. Per E-Mail
Passwort vergessen, Postfach erreichbar. Der übliche Rückweg.
3. Über die Datenbank
Keine Mail, kein Zugang. Der Weg über phpMyAdmin.
4. Per FTP
Kein Datenbankzugang, aber Dateizugriff. Die Notlösung.
Weg 1: Passwort im Profil ändern
Solange Sie angemeldet sind, führt der kürzeste Weg über das eigene Profil.
- Im Backend oben rechts auf Ihren Namen klicken oder links Benutzer > Profil öffnen.
- Nach unten scrollen bis zum Bereich Konten-Verwaltung.
- Auf Neues Passwort erstellen klicken. WordPress schlägt ein sicheres Passwort vor.
- Vorschlag übernehmen oder ein eigenes eintragen, dann mit Profil aktualisieren speichern.
Den Vorschlag von WordPress sollten Sie ernst nehmen. Er ist lang, zufällig und für einen Angreifer praktisch nicht zu erraten. Speichern Sie ihn in einem Passwortmanager, dann müssen Sie ihn sich nicht merken.
Das Passwort eines anderen Benutzers ändern
Als Administrator können Sie das für jedes Konto tun. Öffnen Sie Benutzer > Alle Benutzer, klicken Sie auf den Namen und gehen Sie im Profil genauso vor. WordPress benachrichtigt den Benutzer auf Wunsch per Mail.
Weg 2: Passwort per E-Mail zurücksetzen
Wenn Sie sich nicht mehr anmelden können, aber Zugriff auf das hinterlegte Postfach haben, erledigt WordPress den Rest.
- Auf der Anmeldeseite unter
/wp-login.phpauf Passwort vergessen? klicken. - Benutzernamen oder E-Mail-Adresse eingeben und abschicken.
- Den Link aus der Mail öffnen, neues Passwort vergeben, speichern.
Wenn die Mail nicht ankommt
Das ist der häufigste Stolperstein. Prüfen Sie zuerst den Spam-Ordner. Kommt dort nichts an, liegt es meist am Mailversand des Servers: Viele Hoster verschicken PHP-Mails ohne Authentifizierung, und Postfächer sortieren sie stillschweigend aus.
Die dauerhafte Lösung ist ein SMTP-Plugin, das den Versand über ein echtes Postfach abwickelt. Für den akuten Fall brauchen Sie den Weg über die Datenbank.
Weg 3: Passwort über die Datenbank ändern
Wenn weder Anmeldung noch Mail funktionieren, führt der Weg über phpMyAdmin im Hosting-Panel. Legen Sie vorher ein Backup der Datenbank an, ein falscher Klick ist hier schnell passiert.
- phpMyAdmin öffnen und die Datenbank Ihrer WordPress-Installation auswählen. Welche das ist, steht in der
wp-config.phpbeim EintragDB_NAME. - Tabelle
wp_usersöffnen. Das Präfixwp_kann abweichen, es steht ebenfalls in der wp-config.php. - Den gewünschten Benutzer bearbeiten über das Stift-Symbol in seiner Zeile.
- Beim Feld
user_passin der Spalte für die Funktion MD5 auswählen und daneben das neue Passwort im Klartext eintragen. - Speichern und sofort in WordPress anmelden.
Zur Einordnung: WordPress speichert Passwörter nicht im Klartext, sondern als Hash. MD5 ist ein veraltetes Verfahren, WordPress erkennt einen solchen Hash aber und ersetzt ihn bei der nächsten Anmeldung automatisch durch ein aktuelles Verfahren. Deshalb funktioniert dieser Weg, und deshalb sollten Sie sich unmittelbar danach anmelden.
Ändern Sie im selben Zug nichts anderes in der Tabelle. Wenn Sie zusätzlich die Benutzerkennung anpassen wollen, lesen Sie vorher die Anleitung zur WordPress Admin-ID ändern, dort hängen mehrere Tabellen zusammen.
Weg 4: Passwort per FTP setzen
Manche Hosting-Pakete geben keinen Zugriff auf die Datenbank, wohl aber auf die Dateien. Dann können Sie WordPress über eine kurze Anweisung in der functions.php des aktiven Themes dazu bringen, das Passwort selbst zu setzen.
Verbinden Sie sich per FTP, laden Sie die Datei aus dem Ordner des aktiven Themes herunter und tragen Sie direkt nach dem einleitenden <?php diese Zeile ein:
wp_set_password( 'IhrNeuesPasswort', 1 );Die Ziffer am Ende ist die Benutzer-ID, bei der ersten angelegten Person meist die 1. Laden Sie die Datei hoch, rufen Sie die Website einmal auf und melden Sie sich mit dem neuen Passwort an.
Danach unbedingt: Zeile wieder entfernen und die Datei erneut hochladen. Solange sie drinsteht, setzt WordPress das Passwort bei jedem Seitenaufruf zurück, und es steht im Klartext auf dem Server.
Wer WP-CLI auf dem Server hat, kommt schneller ans Ziel. Ein Befehl genügt, und es bleibt nichts zurück, das man vergessen könnte.
Was ein gutes Passwort ausmacht
Länge schlägt Komplexität. Ein langes Passwort aus mehreren Wörtern ist schwerer zu knacken als ein kurzes mit Sonderzeichen, und Sie können es sich eher merken.
- Mindestens 16 Zeichen. Kürzer sollte kein Zugang mit Administratorrechten sein.
- Einzigartig je Dienst. Ein Passwort, das anderswo schon geleakt wurde, wird als Erstes durchprobiert.
- Keine persönlichen Bezüge. Namen, Geburtsjahre und der Firmenname sind die ersten Kandidaten.
- Passwortmanager verwenden. Dann können die Passwörter beliebig kryptisch sein, ohne dass Sie sie sich merken müssen.
Für Teams lohnt eine verbindliche Regel. Es gibt Erweiterungen, die eine Mindestlänge erzwingen oder schwache Passwörter ablehnen. Wichtiger als ein erzwungener Wechselrhythmus ist die Einmaligkeit: Regelmäßiges Wechseln führt in der Praxis oft zu schwächeren Passwörtern.
Wenn die Anmeldung trotzdem scheitert
- Sie werden nach dem Anmelden sofort zurückgeworfen: Meist ein Cookie-Problem. Cookies für die Domain löschen und erneut versuchen.
- Die Meldung sagt, der Benutzername existiere nicht: Prüfen Sie in der Datenbank in der Tabelle wp_users den Wert bei
user_login. Der Anzeigename ist etwas anderes. - Nach dem Ändern in der Datenbank klappt es nicht: Vermutlich wurde die Funktion MD5 nicht ausgewählt und das Passwort steht im Klartext im Feld. Vorgang wiederholen.
- Sie sind ausgesperrt nach zu vielen Versuchen: Ein Login-Schutz-Plugin hat Ihre IP gesperrt. Meist läuft die Sperre nach einigen Minuten ab.
- Das Konto existiert gar nicht mehr: Dann brauchen Sie einen neuen Zugang, siehe Neuen WordPress Administrator anlegen.
Häufige Fragen
Über die Datenbank in phpMyAdmin. Öffnen Sie die Tabelle wp_users, bearbeiten Sie den Benutzer, wählen Sie beim Feld user_pass die Funktion MD5 und tragen Sie das neue Passwort im Klartext daneben ein. Nach dem Speichern melden Sie sich sofort an.
Meist am Mailversand des Servers. Viele Hoster verschicken PHP-Mails ohne Authentifizierung, Postfächer sortieren sie dann aus. Prüfen Sie zuerst den Spam-Ordner. Dauerhaft löst ein SMTP-Plugin das Problem, das den Versand über ein echtes Postfach abwickelt.
Als Administrator ja. Öffnen Sie Benutzer, Alle Benutzer, klicken Sie auf den Namen und setzen Sie im Profil ein neues Passwort. WordPress kann den Benutzer darüber per Mail informieren.
WordPress erkennt einen MD5-Hash aus Kompatibilitätsgründen und ersetzt ihn bei der nächsten erfolgreichen Anmeldung durch ein aktuelles Verfahren. Der Weg ist deshalb nur als kurzer Zwischenschritt gedacht. Melden Sie sich direkt nach der Änderung an.
Mindestens 16 Zeichen für Konten mit Administratorrechten. Länge wirkt stärker als Sonderzeichen. Wichtiger als jede Regel ist, dass das Passwort nirgendwo sonst verwendet wird.
Ein fester Wechselrhythmus führt in der Praxis oft zu schwächeren Passwörtern, weil Menschen dann Muster verwenden. Sinnvoller ist ein langes, einzigartiges Passwort plus Zwei-Faktor-Authentifizierung. Sofort wechseln sollten Sie nach jedem Verdacht und wenn ein Dienst ein Datenleck meldet.
Weiterlesen
Ausgesperrt und keine Idee mehr?
Wir holen Sie zurück in Ihr Backend, prüfen dabei die Benutzerkonten und sichern den Zugang so ab, dass es nicht wieder passiert.