WordPress Login mit htaccess sicherer machen

In Zeiten von KI ist WordPress Sicherheit eines der wichtigsten Themen für Websitebetreiber. Damit du deine WordPress Website einfach und kostenlos sicherer machen kannst, habe ich für dich hier einen kleinen Web Developer Trick als Anleitung zum Nachmachen.

Damit stellst du sicher, dass dein WordPress Admin Dashboard Zugang um eine Sicherheitsebene mehr geschützt ist. Du kannst damit Brutforce-Angriffe abwehren und dein WordPress Website Backend schützen.

Du kannst das ganz einfach ohne zusätzliches WordPress Plugin machen. Deine WordPress Website wird mithilfe der htaccess Datei und der htpasswd Datei mit einem zusätzlichen Passwortschutz geschützt.

Den WordPress Login /wp-admin mit der htaccess Datei schützen

Du frägst dich: Wie kann ich wp-admin mit einer htaccess schützen und das ohne Plugin?

Stell dir vor, du hast eine Webseite oder einen speziellen Bereich davon, der nicht einfach so für jedermann zugänglich sein soll. Vielleicht möchtest du dort interne Abläufe mit deinem Team teilen oder exklusive Inhalte nur mit einer ausgewählten Gruppe.

Oder du möchtest einfach den Standard-Wordpress-Loginbereich zusätzlich schützen. Denn bekanntlich wissen Hacker um den Zugangslink zum WordPress Dashboard über /wp-admin. Denn dieser Link ist für alle Standrad-Wordpress-Installationen gleich.

Aber wie kriegst du diesen zusätzlichen Passwortschutz nun hin?

Die Antwort: Mit einem kleinen, aber feinen Trick namens Passwortschutz durch die .htaccess Datei. Das coole daran? Sobald jemand dein WordPress Admin Dashboard über /wp-admin besuchen will, poppt eine zusätzliche Passwortabfrage auf. Nur wer die zusätzlichen Login-Daten kennt, kommt rein.

Was du brauchst für den htaccess Passwortschutz in WordPress

Jetzt fragst du dich bestimmt: Wie gelingt mir das?

Zuerst brauchst du zwei Dateien, die du auf deinem Computer lokal anlegst und dann später via FTP-Zugang auf deinen Webspace in deine Website hinzufügst.

Wichtig zu verstehen: Deine Website ist nichts anderes als eine Sammlung an Dateien angelegt in verschiedenen Ordnerstrukturen. Mehr nicht, aber auch nicht weniger. Wenn du Dateien oder Ordner oder Teile des Inhalts verschiebst, löscht oder umbenennst, dann funktioniert die Website nicht mehr.

Du brauchst also konkret:

• FTP-Zugang zu deinem Webspace im Hosting, wo deine Website liegt
• die „.htaccess“ Datei (in WordPress ist eine bereits im Stammverzeichnis)
• die „.htpasswd“ Datei (die musst du neu anlegen)

Grundsätzlich hat WordPress bereits eine „.htacess“ Datei im Stammverzeichnis angelegt. Du findest sie, wenn du dich via FTP-Zugang verbindest. Je nach installierten Plugins beinhaltet die .htaccess Datei unterschiedlichen Inhalt. Daher ist es sinnvoll, wenn du die Datei einfach mit dem benötigten Code-Schnipsel erweiterst. Du musst dafür nicht unbedingt ein zusätzliches Programm wie den FTP Client Filezilla installieren, um via FTP Zugang auf die Dateien zuzugreifen.

Der Türsteher: Die .htpasswd Datei

Beginnen wir mit der .htpasswd Datei. Die ist quasi der Türsteher deiner Webseite. Hier trägst du den Benutzernamen ein, getrennt durch einen Doppelpunkt von einem Passwort, das so stark verschlüsselt ist, dass es aussieht, als hätte eine Katze auf der Tastatur getanzt.

Die .htpasswd hat dabei nur folgenden Inhalt in genau diesem Format:

[Username]:[EncryptedPassword]

Nehmen wir an, dein Benutzername ist „test“ und dein Passwort auch, aber eben verschlüsselt. Das sieht dann so aus:

test:$apr1$zt02l4nq$xvnod63pP2j0nJ1zfOPI/0

Das Passwort sieht deshalb aus wie ein Buchstabensalat, weil es durch den Mixer gezogen wurde. Um dein eigenes Passwort zu verschlüsseln, hüpf mal rüber zum Web2Passwort Generator, wo du deinen Benutzernamen und dein Wunschpasswort zusammen mit einer Verschlüsselungsmethode in einen brauchbaren Code verwandeln kannst.

Du kannst übrigens auch mehrere Benutzer hinzufügen. Dabei hat jeder Benutzer sein eigenes Passwort. Pro Zeile steht ein Benutzer mit seinem Zugang. Das Muster ist wie folgt:

[Benutzername1]:[Benutzerpasswort1]
[Benutzername2]:[Benutzerpasswort2]
[Benutzername3]:[Benutzerpasswort3]

Du kannst soviele Benutzer anlegen wie du willst. Dabei musst du aber auch in der .htacess Datei diese eintragen. Das zeige ich dir gleich.

Der Zauberstab für mehr WordPress Sicherheit: die .htaccess Datei

Als Nächstes schnapp dir die .htaccess Datei. Die ist der Zauberstab, der den Passwortschutz möglich macht. Sie braucht ein paar Zauberworte, damit alles läuft.

Kopiere diesen Code-Schnipsel in deine .htacess Datei ganz oben rein:

AuthType Basic
AuthName "Protected Area"
AuthUserFile /irgendwo/auf/deinem/Server/.htpasswd
Require user [Username]

„AuthName“ ist quasi das, was über dem Kästchen für die Passworteingabe steht. Bei „AuthUserFile“ gibst du an, wo die .htpasswd Datei liegt. Den Teil mit „irgendwo/auf/deinem/Server“ musst du natürlich mit dem echten Pfad ersetzen. Und „Username“ ist, na klar, der Benutzername aus der .htpasswd Datei.

Wenn du nun mehrere Benutzer in der .htpasswd Datei angelegt hast, dann musst du diese in der letzten Zeile des obigen Code-Schnipsels angeben.

AuthType Basic
AuthName "Password Protected Area"
AuthUserFile /irgendwo/auf/deinem/Server/.htpasswd
Require user [Benutzername1] [Benutzername2] [Benutzername3]

Lade nun – falls noch nicht gemacht – beide abgeänderten Dateien in das Stammverzeichnis deiner WordPress Installation, leere eventuell den Browser Cache deines Internetbrowsers und rufe die /wp-login Seite auf. Nun solltest du einen zusätzlichen Passwortschutz als Abfrage sehen. Gib die Benutzerdaten entsprechend hier ein und daraufhin kommst du zu der klassischen Anmelde-Seite von /wp-admin mit der Standard-Passwort-Abfrage.

Fazit: Den WordPress Login sicherer machen ist ganz leicht

Wenn du alles richtig gemacht hast, lädst du beide Dateien auf deinen Server hoch, und voilà: Deine WordPress-Website ist jetzt doppelt so gut abgesichert, und zwar muss man jetzt zwei Zugangslogins nutzen, damit man auf das WordPress Dashboard kommt.