WordPress 2FA einrichten: Zwei-Faktor-Authentifizierung für den Admin-Login — Plugins, Ablauf, Fallen

Passwörter werden erraten, aus anderen Datenlecks wiederverwendet, per Phishing abgefangen oder von einem infizierten Rechner mitgelesen. Die Zwei-Faktor-Authentifizierung (2FA) sorgt dafür, dass ein Passwort allein nicht reicht: Beim Login ist zusätzlich ein Code nötig, den nur Ihr Handy erzeugt. Nach den Lücken des Sommers 2026 (wp2shell) wollen viele sichergehen, dass die eigenen Konten nicht als Nächstes fallen.

Selber machen oder abgeben? Für ein oder zwei Konten reicht dieser Beitrag: Plugin, App, Backup-Codes, Testlogin. Abgeben lohnt sich, wenn Sie schon ausgesperrt sind, mehrere Redakteure Pflichtanmeldung brauchen oder nach einem Verdacht auf Hack unklar ist, welche Konten betroffen sind: Dann hilft die Hilfe bei akuten Problemen zum Festpreis, bei Befall das Malware-Notfallpaket. Die 2FA-Einrichtung selbst erledigen die Entwickler-Stunden; Updates und Backups übernehmen dauerhaft die Wartungspakete (Preise dort).

Welche Methode

Methode	Sicherheit	Urteil
Authenticator-App (TOTP)	Plugin-Einstufung „High“	Standard: ein sechsstelliger Code aus der App, funktioniert offline, kostet nichts
Backup-Codes	„Medium“	Pflicht als Notausgang: zehn Einmalcodes
E-Mail-Codes	„Medium“	Übergang: Wer das Postfach kontrolliert, hat auch den Code
Passkey / Sicherheitsschlüssel	nicht im Plugin	Nur mit Zusatz-Plugin; nicht phishbar, aber nicht überall nutzbar
SMS	nicht vorgesehen	Laut WordPress-Handbuch kein sicherer Kanal (SIM-Swapping, Abfangen)

Der Haken an TOTP: Eine täuschend echte Fake-Login-Seite kann den Code in Echtzeit weiterreichen. Hardware-Schlüssel und Passkeys sind an die Domain gebunden und halten das ab. Für die meisten Seiten reicht TOTP, solange alle Administratoren es nutzen. Die Wortlaute stehen gebündelt im Block Belege.

Welche Plugins

Plugin	Passt, wenn …	Erzwingung
Two Factor (WordPress.org)	Sie wenige Konten haben und es schlank wollen. Kostenlos, ohne Werbung, 100.000+ aktive Installationen. Unsere Standardempfehlung; die aktuelle Version erfordert WordPress 7.0 (bei älterem WordPress erst aktualisieren).	nein, jeder richtet selbst ein
WP 2FA	mehrere Redakteure die Seite pflegen: Einrichtungsassistent, Frist, Zwang nach Rolle	ja (laut WPBeginner)
Wordfence Login Security	Sie ohnehin Wordfence nutzen	vor dem Einsatz prüfen
Solid Security	Sie 2FA plus Login-Limit und Passwortregeln in einem Plugin wollen; umfangreicher, dafür schwerer	vor dem Einsatz prüfen

Alle funktionieren mit derselben Authenticator-App auf Ihrem Handy. Die Wahl hängt davon ab, wie viele Nutzer Sie verwalten und ob Sie Erzwingung brauchen. Bei WP 2FA stehen im kostenlosen Plan als Ausweichmethode nur Backup-Codes zur Verfügung (Quelle im Belege-Block).

Einrichtung Schritt für Schritt (Beispiel Two-Factor)

1. Plugin installieren und aktivieren.
2. Benutzer → Profil, Abschnitt „Two-Factor Options”: „Time Based One-Time Password (TOTP)” anhaken, QR-Code mit der Authenticator-App scannen, den angezeigten Code eintragen, als primäre Methode setzen, Profil speichern.
3. Backup-Codes aktivieren und ausdrucken. Zehn Einmalcodes für den Fall, dass das Handy weg ist. Nicht in der Cloud speichern, nicht als Screenshot im Downloads-Ordner.
4. Ausloggen, neu einloggen, Code eingeben. Erst wenn das klappt, für die übrigen Administratoren wiederholen.
5. Bei einem Plugin mit Erzwingung (z. B. WP 2FA): Pflicht für die Rollen Administrator und Redakteur einschalten, Frist von ein bis zwei Wochen setzen.

Backup-Codes aufbewahren: Jeder Code gilt nur einmal. Ausdrucken und dort ablegen, wo Sie wichtige Verträge verwahren. Nicht im selben Konto wie die Authenticator-App, nicht in einer Mail an sich selbst. Verbrauchte Codes streichen und bei den letzten zwei, drei neue erzeugen, das ersetzt die alte Liste. Das Plugin warnt seit Version 0.17.0 früh, wenn die Codes knapp werden.

Handy verloren oder defekt: so kommen Sie wieder hinein

1. Backup-Code eingeben. Beim Login auf die Backup-Code-Abfrage wechseln (die Beschriftung gleichen Sie bitte in Ihrer Installation ab), einen unbenutzten Code eintragen, einloggen.
2. Danach neu einrichten: Profil öffnen, die Authenticator-App auf dem neuen Handy neu koppeln, frische Backup-Codes erzeugen.
3. Ohne Codes: Ein anderer Administrator öffnet Benutzer → Alle Benutzer → Ihr Profil, wählt unter „Two-Factor Options“ alle Methoden ab und speichert. Per WP-CLI geht dasselbe mit wp two-factor disable <Nutzer>; neue Codes erzeugt wp two-factor backup-codes generate <Nutzer>.
4. Wenn Sie der einzige Administrator sind: Dann bleiben Hoster-Zugang (FTP oder Dateimanager: Plugin-Ordner two-factor umbenennen) und WP-CLI. Planen Sie deshalb einen zweiten Administrator ein.
5. Das Passwort ändern, wenn das Handy gestohlen wurde.

Zwei Fallen

Die Uhrzeit. TOTP-Codes hängen an der Uhrzeit. Läuft die Serveruhr oder die Handyuhr falsch, können gültige Codes abgelehnt werden. Die Uhrzeit muss stimmen. Handy auf automatische Zeit stellen; beim Server ist das Sache des Hosters.

REST-API und XML-RPC. 2FA schützt den Login über wp-login.php. Anwendungspasswörter, XML-RPC und die REST-API haben eigene Wege. Wer XML-RPC nicht braucht (die meisten), sperrt es. Anwendungspasswörter nur für Dienste anlegen, die sie wirklich brauchen, und regelmäßig aufräumen. Version 0.17.0 des Plugins (25.09.2026) schließt einen Fall, in dem normale Passwörter die Zwei-Faktor-Pflicht bei REST-API- und XML-RPC-Anfragen umgehen konnten, also aktualisieren.

Was 2FA nicht ersetzt

Updates. Eine Lücke wie wp2shell brauchte keinen Login — da hilft 2FA gar nichts. Zwei-Faktor-Authentifizierung schützt vor dem Diebstahl von Konten, nicht vor Lücken im Code. Beides zusammen, plus Backups außerhalb des Hosters, ist die Grundausstattung. Updates und Backups gehören zu unseren Wartungspaketen; die 2FA-Einrichtung buchen Sie einzeln über die Entwickler-Stunden. Welche Spuren ein Befall hinterlässt, steht in So erkennen Sie, ob Ihre Seite gehackt wurde; welche Anforderungen an Zugangsschutz für Unternehmen gelten können, ordnet die Infoseite NIS2 und WordPress ein.

Belege

Belege: Wortlaut der Quellen (abgerufen am 17.10.)

Plugin-Seite Two Factor, wordpress.org/plugins/two-factor (Version 0.17.0, abgerufen am 17.10.2026):

• Voraussetzung: „WordPress version 7.0 or higher“, „PHP version 7.4 or higher“, „Tested up to 7.1.3“.
• Methoden: „Authenticator App (TOTP) – Recommended. Security : High“; „Backup Codes – Recommended. Security : Medium – One-time use codes“; „Email Codes. Security : Medium“.
• Backup-Codes: „Generate 10 backup codes for emergency access“.
• Sicherheitsschlüssel: „FIDO U2F Security Keys: Deprecated and removed due to loss of browser support.“ Changelog 0.16.0 (27.03.2026): „Remove legacy FIDO U2F provider support“.
• Passkeys: „For passkeys and hardware security keys, you can install the Two-Factor Provider: WebAuthn plugin.“
• Erzwingung: „Not through the plugin’s interface — there are no built-in enforcement settings.“
• Einrichtung: „Each user must individually configure their two-factor authentication settings.“
• Zurücksetzen: „uncheck all enabled methods, then click Update User“; per WP-CLI „wp two-factor disable —yes“.
• Changelog 0.17.0 (25.09.2026): „Ensure that regular passwords can’t bypass the two-factor requirement for REST API and XML-RPC requests“; „Add early notice for soon exhausting recovery codes“.
• Verbreitung: „Active installations 100,000+“.

WordPress Advanced Administration Handbook, „Two Step Authentication“ (developer.wordpress.org/advanced-administration/security/mfa/, dort „Last updated October 14, 2026“):

• „Unfortunately, SMS is not a secure communication channel, so smartphone apps and plugins have been developed to create that secure channel.“
• Plugin-Liste: „Duo, Google Authenticator, Rublon, Two-Factor, WordFence“.

WPBeginner, „So fügen Sie die Zwei-Faktor-Authentifizierung in WordPress hinzu“ (1. März 2026):

• WP 2FA, kostenloser Plan: „Im kostenlosen Plan ist nur die Methode mit dem Backup-Code verfügbar.“

Seahawk Media, „So implementieren Sie die Zwei-Faktor-Authentifizierung in WordPress“ (aktualisiert 23. Juni 2026):

• „Sicherheitsschlüssel nutzen Public-Key-Kryptografie und sind an die Domain gebunden, auf der sie registriert sind. Eine gefälschte Anmeldeseite kann Ihren Schlüssel nicht authentifizieren.“