WordPress-Login: Anmeldung finden, Passwort zurücksetzen, Zugang retten

Wo finden Sie den WordPress-Login?

In der Grundeinstellung erreichen Sie die Anmeldung unter ihredomain.de/wp-admin/ oder ihredomain.de/wp-login.php. Wer nicht angemeldet ist und /wp-admin/ aufruft, landet automatisch auf der Anmeldeseite. Dort geben Sie „Benutzername oder E-Mail-Adresse“ und Ihr Passwort ein. Sind die Permalinks eingestellt, also die lesbaren Adressen unter Einstellungen → Permalinks, leitet WordPress auch ihredomain.de/login und ihredomain.de/admin dorthin weiter, solange keine eigene Seite so heißt.

Zwei Fälle, in denen die Adresse anders aussieht:

• WordPress liegt in einem Unterordner. Dann hängt der Ordnername davor, zum Beispiel ihredomain.de/wordpress/wp-login.php. Den Ordner sehen Sie im Kundenbereich Ihres Hosters, also der Firma, auf deren Server die Website liegt, etwa in der Übersicht der WordPress-Installationen oder im Dateimanager. Sind Sie schon angemeldet, steht die Adresse auch unter Einstellungen → Allgemein im Feld „WordPress-Adresse (URL)“.
• Ein Sicherheits-Plugin hat die Adresse geändert. Manche Plugins, also Erweiterungen für WordPress, verlegen die Anmeldung auf eine eigene Adresse wie ihredomain.de/eingang. Die Standardadressen zeigen dann eine Fehlerseite oder leiten weiter. Die neue Adresse steht in den Einstellungen des Plugins, oder Sie fragen, wer die Website eingerichtet hat.

Haben Sie die geänderte Adresse vergessen, hilft ein Zugang per SFTP, also die verschlüsselte Dateiübertragung, deren Zugangsdaten im Kundenbereich Ihres Hosters stehen. Benennen Sie unter wp-content/plugins den Ordner des Sicherheits-Plugins um, etwa durch ein angehängtes „-aus“. Damit ist das Plugin abgeschaltet, und /wp-admin/ funktioniert wieder. Nach der Anmeldung geben Sie dem Ordner seinen alten Namen zurück, prüfen unter Plugins, ob das Plugin noch aktiv ist, aktivieren es falls nötig wieder und sehen in seinen Einstellungen nach der neuen Adresse. Legen Sie sich danach ein Lesezeichen an.

Was tun, wenn Sie Ihr WordPress-Passwort vergessen haben?

Klicken Sie auf der Anmeldeseite auf „Passwort vergessen?“, geben Sie Benutzernamen oder E-Mail-Adresse ein und bestätigen Sie mit „Neues Passwort erhalten“. WordPress schickt dann einen Link an die E-Mail-Adresse, die im Benutzerkonto hinterlegt ist. Über diesen Link legen Sie ein neues Passwort fest. Der Link gilt in der Grundeinstellung einen Tag lang.

Fordern Sie den Link nur einmal an und warten Sie ein paar Minuten. Jede neue Anforderung ersetzt den vorherigen Link, und wer mehrmals klickt, öffnet am Ende oft einen, der nicht mehr gilt. Gibt es einen zweiten Administrator, kann er Ihnen ebenfalls helfen: unter Benutzer → Alle Benutzer mit der Maus über Ihren Namen fahren und „Passwort zurücksetzen senden“ wählen.

Warum kommt die E-Mail zum Zurücksetzen nicht an?

Die Mail kommt nicht an, wenn sie im Spam-Ordner landet, an eine alte Adresse geht oder Ihr Server gar keine Mails verschickt. Prüfen Sie diese Punkte der Reihe nach:

• Spam- und Werbeordner durchsehen, auch im Webmail, nicht nur im Mailprogramm.
• Welche Adresse ist hinterlegt? Begegnet uns immer wieder: Die Website wurde von einer Agentur oder einem früheren Mitarbeiter eingerichtet, und der Link geht an deren Postfach.
• Verschickt der Server überhaupt Mails? WordPress versendet in der Grundeinstellung über die Mailfunktion des Servers. Ist sie abgeschaltet oder fehlt die Absender-Anmeldung, kommt nichts an. Das betrifft dann auch Ihr Kontaktformular. Dauerhaft hilft ein Plugin, das über das Postfach Ihres Hosters versendet (SMTP, das Verfahren für den Mailversand mit Anmeldung), mehr dazu im Kapitel zum Livegang.

Kommt auch nach diesen Prüfungen nichts an, brauchen Sie einen Weg ohne E-Mail.

Wie kommen Sie ohne E-Mail wieder in WordPress?

Ohne E-Mail führt der Weg über Ihren Hoster: entweder über dessen WordPress-Verwaltung oder über die Datenbank, in der WordPress alle Inhalte und Benutzer speichert. Gehen Sie in dieser Reihenfolge vor, vom harmlosesten zum riskantesten Weg:

1. Ein anderer Administrator setzt Ihr Passwort zurück oder ändert die hinterlegte E-Mail-Adresse.
2. Die WordPress-Verwaltung des Hosters. Bei manchen Hostern gibt es im Kundenbereich eine Übersicht der installierten WordPress-Websites, über die Sie das Passwort eines Administrators neu setzen oder sich direkt anmelden können. Sehen Sie dort zuerst nach oder fragen Sie den Support des Hosters.
3. phpMyAdmin, nur mit Sicherung. phpMyAdmin ist ein Werkzeug im Kundenbereich, mit dem man die Datenbank direkt bearbeitet. Ein falscher Klick kann die Website lahmlegen, deshalb legen Sie zuerst eine Sicherung der Datenbank an (Export). Öffnen Sie dann die Tabelle wp_users (der Teil vor „users“ kann bei Ihnen anders heißen) und bearbeiten Sie die Zeile Ihres Benutzers. Ging die Mail bisher nur an eine falsche Adresse, ändern Sie das Feld user_email auf eine Adresse, die Sie lesen, und nutzen danach „Passwort vergessen?“. Verschickt Ihr Server gar keine Mails, hilft das nicht. Dann setzen Sie das Passwort direkt: im Feld user_pass das neue Passwort eintragen und in der Spalte „Funktion“ MD5 wählen, so beschreibt es die WordPress-Dokumentation. MD5 allein ist kein sicheres Verfahren, WordPress ersetzt den Wert aber bei der nächsten Anmeldung automatisch durch eine sichere Verschlüsselung. Melden Sie sich deshalb gleich danach an. Ändern Sie nur dieses eine Feld, und wenn Sie unsicher sind, lassen Sie das den Hoster machen.
4. Hoster oder Fachleute fragen, wenn Sie keinen Zugang zum Kundenbereich haben oder die Datenbank nicht anfassen möchten.

Liegt das Hosting nicht auf Ihren Namen, etwa bei einer früheren Agentur, muss zuerst geklärt werden, wer Vertragspartner ist. Ohne diesen Zugang kann auch niemand sonst Ihnen sauber helfen. Prüfen Sie in dem Fall auch, ob die Domain auf Sie läuft.

WordPress.com oder eigene Installation: Wo melden Sie sich an?

Liegt Ihre Website bei einem eigenen Hoster, melden Sie sich auf Ihrer eigenen Domain an, nicht auf wordpress.com. WordPress.com ist ein Hosting-Angebot mit eigenen Benutzerkonten, die Software von wordpress.org installieren Sie dagegen bei einem Hoster Ihrer Wahl. Ein Konto bei wordpress.com öffnet Ihre selbst gehostete Website nicht, außer das Plugin Jetpack ist mit der Anmeldung über WordPress.com eingerichtet. Umgekehrt hilft Ihnen der Support von wordpress.com dort nicht weiter.

Verwirrend wird es, wenn ein Plugin wie Jetpack Ihre Website mit einem wordpress.com-Konto verbindet, etwa für Statistiken. Ist dort die Funktion „Secure Sign On“ eingeschaltet, können Sie sich auf Ihrer Website zusätzlich mit dem wordpress.com-Konto anmelden; in der Grundeinstellung ist sie aus. Ihr Benutzerkonto auf der Website und dessen Passwort verwalten Sie trotzdem auf Ihrer eigenen Domain. Wenn Sie nicht wissen, was Sie haben: Steht Ihre Adresse als ihrname.wordpress.com da oder haben Sie einen Tarif bei wordpress.com, gilt der Login dort. Zahlen Sie einen anderen Hoster, gilt ihredomain.de/wp-admin/.

Was tun bei einer Login-Schleife oder der Cookie-Fehlermeldung?

Bei einer Login-Schleife löschen Sie zuerst die Cookies für Ihre Domain, leeren den Cache und prüfen dann die beiden Adressen unter Einstellungen → Allgemein. WordPress schickt Sie immer wieder zur Anmeldeseite, wenn es sich nicht merken kann, dass Sie angemeldet sind; dafür nutzt es Cookies, kleine Dateien im Browser. Die Ursache liegt im Browser, im Cache oder in einer falschen Adresse:

• Browser: Cookies für Ihre Domain löschen, Seite neu laden, notfalls ein privates Fenster oder einen anderen Browser versuchen. Die Meldung „Fehler: Cookies sind gesperrt oder werden von deinem Browser nicht unterstützt“ bedeutet genau das.
• Cache: Ein Cache speichert fertige Seiten zwischen, damit sie schneller laden. Nach einem Umzug oder einer Änderung hilft es, den Cache des Plugins oder des Hosters zu leeren.
• Adresse: Unter Einstellungen → Allgemein müssen „WordPress-Adresse (URL)“ und „Website-Adresse (URL)“ zur tatsächlichen Adresse passen, also gleich mit oder ohne www und mit https. Passt das nicht, kommen Sie nicht ins Admin, um es zu ändern. Dann lässt es sich in der Datei wp-config.php korrigieren, der Einstellungsdatei von WordPress im Hauptordner, oder in der Datenbank in der Tabelle wp_options. Sichern Sie vorher die Datenbank, und machen Sie es am besten zusammen mit dem Hoster.

Lautet die Meldung „Cookies sind wegen einer unerwarteten Ausgabe gesperrt“, schreibt etwas Text an die falsche Stelle, bevor WordPress den Cookie setzen kann. Typisch ist ein Leerzeichen oder eine Zeile vor dem Anfang der wp-config.php oder ein Plugin oder Theme, das nach einem Update Fehler ausgibt. Haben Sie kurz vorher etwas geändert, nehmen Sie das zurück. Ein Plugin schalten Sie per SFTP ab, indem Sie seinen Ordner umbenennen, wie im Kapitel zu Plugins beschrieben.

Wie halten Sie den WordPress-Zugang sicher?

Ein sicherer Zugang braucht ein langes, einmaliges Passwort und eine Anmeldung in zwei Schritten. Konkret heißt das:

• Starkes Passwort: lang, zufällig und nur hier verwendet, am besten aus einem Passwort-Manager. Unter Benutzer → Profil erzeugt die Schaltfläche „Neues Passwort erstellen“ eines für Sie, auf der Seite zum Zurücksetzen heißt sie „Passwort generieren“.
• Zwei-Faktor-Anmeldung: Zum Passwort kommt ein Code aus einer App auf dem Handy. WordPress bringt das nicht selbst mit, Sie rüsten es mit einem Plugin nach, zum Beispiel Two Factor oder WP 2FA. Bewahren Sie die Ersatzcodes auf, sonst sperren Sie sich bei Verlust des Handys selbst aus.
• Anwendungspasswörter nicht verwechseln: Unter Benutzer → Profil gibt es den Bereich „Anwendungspasswörter“. Diese Passwörter sind für Programme gedacht, die von außen auf WordPress zugreifen, etwa eine App. Auf der Anmeldeseite funktionieren sie nicht. Löschen Sie Einträge, die Sie nicht kennen.
• Eigene Konten statt geteilter Zugänge: Jede Person bekommt ein eigenes Benutzerkonto, nur so viele Administratoren wie nötig. Dienstleister bekommen einen Zugang, den Sie danach wieder löschen.
• Nicht auf fremden Rechnern „Angemeldet bleiben“ anhaken. Wer vermutet, dass jemand anderes angemeldet ist, klickt im Profil auf „Überall sonst abmelden“.

Wie Sie den ersten Benutzer gleich bei der Einrichtung sicher anlegen, steht im Kapitel WordPress installieren.

Wann ist ein Login-Problem ein Notfall?

Ein Notfall ist es, wenn jemand anderes Ihr Passwort geändert hat, unter Benutzer fremde Administratoren stehen oder die Website plötzlich auf fremde Seiten weiterleitet. Dann geht es nicht mehr nur um den Zugang, sondern um eine womöglich gehackte Website, und die Reihenfolge der Schritte wird wichtig. Was dann zu tun ist, steht unter WordPress gehackt. Kommen Sie mit den Schritten auf dieser Seite nicht weiter, wenden Sie sich an Ihren Hoster: Über den Zugang zum Hosting lässt sich ein neues Passwort setzen, sofern die Website Ihnen gehört.