Website-Backend-Login verstecken – hilft das wirklich gegen Hacker?

Viele Website-Betreiber setzen darauf, den Backend-Login zu verstecken – sei es in WordPress oder anderen CMS. So fühlt sich die Website sicherer an, weil Unberechtigte die Login-Seite nicht mehr so leicht finden und Passwörter durchprobieren können. In WordPress bedeutet das konkret: Die URL von /wp-admin oder /wp-login.php auf etwas wie /geheimer-eingang ändern. Klingt einleuchtend, oder?

Dieser Ansatz heißt „Security by Obfuscation“ – doch ist das echter Schutz oder nur ein Trugschluss, der die Bedienung für dich als Admin oder dein Team unnötig erschwert?

Warum Security by Obfuscation nicht empfehlenswert ist

„Security by Obfuscation“ vermittelt Laien ein gutes Sicherheitsgefühl, hält aber ernsthafte Angreifer nicht auf. Versierte Hacker entdecken die Login-Seite problemlos durch Verzeichnis-Brute-Forcing, Code-Analyse oder gängige Guess-URLs. Besonders problematisch bei WordPress: XML-RPC und die REST-API umgehen die versteckte Login-URL komplett, sodass Angriffe auf anderen Pfaden weiterlaufen können.

Für dich bedeutet das zudem ständiges Teilen der individuellen URL – das kann schnell nervig werden mit Kollegen, Kunden oder externen Dienstleistern.

Die echte Alternative: Brute-Force-Schutz

Der WordPress-Core bietet keinen integrierten Brute-Force-Schutz – selbst nach mehreren fehlerhaften Eingaben gibt es keinen Lockout. Besser: Rate-Limiting-Plugins, die nach Fehlversuchen Pausen einlegen (z. B. 5 Minuten nach drei Versuchen, dann länger). So dehnt sich ein Brute-Force-Angriff auf Jahre – für Hacker unpraktikabel!

In unseren Wartungspaketen setzen wir genau darauf und raten von Obfuscation ab. Empfehlenswert bei WordPress sind Plugins wie Limit Login Attempts Reloaded für den einfachen Login-Schutz sowie NinjaFirewall für umfassende Abwehr. So bleibt die Standard-Login-URL nutzbar, die Site sicher und die Bedienung benutzerfreundlich.

Vergleich mit Contao

Interessant: Contao bringt out-of-the-box bereits einen Zeitverzögerungsmechanismus mit – nach mehr als drei falschen Eingaben sperrt es das Konto für 5 Minuten. WordPress fehlt das komplett.

Als sehr sicherheitsorientiertes Content-Management-System bietet Contao zudem kein Plugin im gesamten Archiv, das den Backend-Login versteckt – weil es ein sinnloser Ansatz ist.

Ohnehin ist WordPress deutlich mehr automatisierten Angriffen ausgesetzt: Die hohe Verbreitung macht es zum Top-Ziel für Bots („das Windows der Content-Management-Systeme“).

Unsere Empfehlung für maximale Sicherheit:

• nutze Rate-Limiting (Begrenzung der Login-Versuche pro Zeitraum)
• nutze 2FA (2-Faktor-Authentifizierung)
• nutze nur starke, einmalige Passwörter

Hast du Fragen oder brauchst Hilfe bei der Umsetzung? Schreib mir: robert@webaffin.de.