WordPress 2FA: Zwei-Faktor-Anmeldung einrichten

WordPress hat keine eingebaute Zwei-Faktor-Anmeldung. Die Dokumentation sagt es ohne Umschweife: „WordPress core does not ship 2FA; it must be added via a plugin or SSO/IdP“ (Brute Force Attacks). Dieselbe Seite empfiehlt 2FA für alle Administratoren und Konten mit erweiterten Rechten. Ohne Plugin besteht die Anmeldung unter wp-login.php also aus Benutzername und Passwort, und beides lässt sich erraten, abgreifen oder aus einem fremden Datenleck übernehmen.

Der zweite Faktor muss an einem Ort liegen, an den das Passwort nicht hinkommt. Ein Code per E-Mail an dasselbe Postfach, über das WordPress auch das Passwort zurücksetzt, ist kein zweiter Faktor gegen jemanden, der dieses Postfach hat. Der braucht das WordPress-Passwort nicht einmal: Er setzt es zurück und liest den Code im selben Posteingang.

Welches Plugin, welche Methode#

Lieber prüfen lassen? Der Sicherheits-Check für 290 € prüft, ob jedes Administratorkonto einen zweiten Faktor hat, und sieht die übrigen Zugänge gleich mit durch.

Für die meisten Seiten reicht das Plugin Two Factor. Es wird im Verzeichnis unter „WordPress.org“ geführt, liegt am 05.10.2026 in Version 0.17.0 vor (im Verzeichnis zuletzt aktualisiert am 28. September 2026), hat mehr als 100.000 aktive Installationen und verlangt WordPress 7.0 und PHP 7.4. Es bringt drei Methoden mit:

Passkeys (WebAuthn), also die Anmeldung mit Fingerabdruck, Windows Hello oder einem Sicherheitsschlüssel, kommen über das Zusatz-Plugin WebAuthn Provider for Two Factor. Die Brute-Force-Dokumentation nennt Passkeys „phishing‑resistant“ und rät, je Administrator mindestens zwei Geräte zu registrieren. Das Zusatz-Plugin stammt von einem einzelnen Entwickler, hat rund 1.000 Installationen und ist im Verzeichnis zuletzt mit WordPress 6.9 getestet (Stand 05.10.2026). Vor dem Einsatz auf einer Live-Seite gehört es deshalb in eine Probe-Umgebung.

Das BSI ordnet die Verfahren ähnlich ein: Hardwaregestützte Verfahren bieten „ein hohes Maß an Sicherheit“, und es empfiehlt, möglichst mehrere zweite Faktoren zu hinterlegen (BSI, Zwei-Faktor-Authentisierung).

Einrichten in zehn Minuten#

1. Plugin installieren. Unter „Plugins → Installieren“ nach „Two Factor“ suchen, Anbieter WordPress.org, installieren und aktivieren. Auf der Kommandozeile: wp plugin install two-factor --activate.
2. Methoden für die Seite festlegen. Unter „Einstellungen → Two-Factor“ steht seit Version 0.16 eine eigene Seite. Dort wählst du unter „Aktivierte Anbieter“, welche Methoden auf der Seite überhaupt angeboten werden. Standardmäßig sind alle aktiv.
3. Authentifizierungs-App einrichten. „Benutzer → Profil“, Abschnitt „Two-Factor-Optionen“, bei „Authentifizierungs-App“ den QR-Code mit der App scannen, den angezeigten Code eingeben und „Verifizieren“. Geht das Scannen nicht, zeigt das Plugin den Geheimschlüssel zum Abtippen.
4. Wiederherstellungscodes erzeugen. Im selben Abschnitt „Neue Wiederherstellungscodes erzeugen“. Es sind zehn, jeder gilt einmal. Ausdrucken oder in einem Passwortmanager ablegen, aber nicht im E-Mail-Postfach des Kontos.
5. Primäre Methode wählen. Unter „Primäre Methode“ die App einstellen, speichern, abmelden und neu anmelden. Erst wenn die Anmeldung mit Code klappt, ist es eingerichtet.
6. Für jedes Konto mit Rechten wiederholen. Jede Person richtet ihren Faktor selbst ein, mit dem eigenen Telefon.

Für die App eignet sich jede, die TOTP nach RFC 6238 kann. Wer bereits eine App für das Online-Banking oder den Hoster nutzt, nimmt dieselbe.

Prüfen, ob es wirklich aktiv ist#

Seit Version 0.17.0 bringt das Plugin eigene WP-CLI-Befehle mit. Ich habe sie am 05.10.2026 an einer Testinstallation mit WordPress 7.1.2 ausgeführt:

# Status für alle Administratoren
for u in $(wp user list --role=administrator --field=user_login); do
  wp two-factor status "$u"
done

Die Ausgabe zeigt je Konto using_2fa, die primäre Methode, die eingerichteten Methoden und backup_codes_remaining. Steht bei einem Administrator false, ist das Konto nur mit dem Passwort geschützt.

Das Plugin erzwingt 2FA nicht. Die Plugin-FAQ sagt dazu: „Not through the plugin's interface — there are no built-in enforcement settings“; ein Pflicht-Schalter für Rollen steht als offener Wunsch auf GitHub. Wer ein Konto ohne zweiten Faktor findet, muss mit der Person reden oder das Konto herabstufen. Welche Rolle wer braucht, steht in WordPress-Benutzerrollen. Die Schleife oben gehört deshalb in die monatliche Durchsicht, neben die Liste der Administratoren.

Ein Detail für REST-API und XML-RPC: Ist ein zweiter Faktor aktiv, lässt das Plugin dort nur noch Anmeldungen mit einem Anwendungspasswort zu, nicht mit dem normalen Passwort; Version 0.17.0 hat eine Lücke geschlossen, über die das bisher ging. Anwendungspasswörter selbst laufen ohne zweiten Faktor. Sie gehören deshalb durchgesehen, wie in Punkt 6 von WordPress-Sicherheit prüfen.

Wenn du dich aussperrst#

Telefon verloren, App gelöscht: Dafür sind die Wiederherstellungscodes da. Auf der Anmeldeseite „Wiederherstellungscode verwenden“ wählen und einen der zehn eingeben. Danach neue erzeugen.

Ohne Codes kann ein anderer Administrator unter „Benutzer → Alle Benutzer → Bearbeiten“ die Methoden des Kontos abschalten. Mit Shell-Zugang geht es in einem Befehl:

wp two-factor disable stefan --yes   # alle Methoden aus, Sitzungen beendet
wp two-factor unlock stefan          # nur die Sperre nach Fehlversuchen aufheben

In der Testinstallation hat disable die E-Mail-Methode und die Wiederherstellungscodes entfernt, status zeigte danach wieder false. Danach sofort neu einrichten. Neue Codes für ein Konto erzeugt wp two-factor backup-codes generate stefan; die Authentifizierungs-App lässt sich nicht über die Kommandozeile einrichten, weil dafür der QR-Code gescannt werden muss.

Als letzter Ausweg bleibt SFTP: Den Ordner wp-content/plugins/two-factor umbenennen, dann findet WordPress die Plugin-Datei nicht mehr und lädt das Plugin nicht. Das schaltet 2FA für alle Konten ab und gehört sofort zurückgenommen.

Was nicht hilft#

Die Anmeldeseite umbenennen statt 2FA. Die Dokumentation: „Obscuring the login URL can reduce noise but should not be your only defense.“ Wer das Passwort hat, findet die Seite.

2FA nur für das eigene Konto. Das Agentur-Konto vom Relaunch vor drei Jahren ist genauso Administrator und meist das schwächste.

E-Mail-Codes für Administratoren. Siehe oben: gleiches Postfach, gleicher Angreifer.

Wiederherstellungscodes als Screenshot am selben Telefon. Dann ist mit dem Telefon auch der Rückweg weg.

Die anderen Türen#

Ein zweiter Faktor auf wp-login.php schützt das Backend. Die Seite hat weitere Zugänge: SFTP, das Kundenmenü des Hosters, die Datenbank und das E-Mail-Postfach, an das Passwort-Links gehen. WordPress.org zählt sie alle auf, wenn es um gehackte Seiten geht (FAQ My site was hacked). Der Hoster und das Postfach brauchen ebenfalls einen zweiten Faktor, sonst geht der Angreifer einfach dort hinein. Was nach einem Einbruch in welcher Reihenfolge zu wechseln ist, steht in WordPress gehackt: was tun. Wo der zweite Faktor in der gesamten Absicherung steht, zeigt die Prüfliste WordPress-Sicherheit prüfen; gibt es schon Anzeichen für einen Einbruch, kommt zuerst der WordPress Malware-Scan. Die laufende Durchsicht der Konten und ihrer Faktoren ist Teil der WordPress-Wartung.

Stand 13.10.2026. Plugin Two Factor 0.17.0 am 05.10.2026 an einer Testinstallation geprüft (WordPress 7.1.2 de_DE, PHP 8.3, WP-CLI 2.12.0): Installation, list-providers, status, enable (E-Mail), backup-codes generate, disable, unlock; Bezeichnungen aus der offiziellen deutschen Übersetzung des Plugins. Plugin-Daten aus dem Verzeichnis auf WordPress.org vom selben Tag.