WordPress Benutzerrollen: Jeder zusätzliche Administrator ist ein Weg hinein

Was ein Administrator kann und sonst niemand

WordPress gibt jedem Konto eine Rolle und jeder Rolle eine Reihe von Berechtigungen (Capabilities). Auf einer Einzelseite können nur Administratoren Plugins und Themes installieren, deren Code in den eingebauten Editoren bearbeiten, den Customizer öffnen und Benutzer anlegen oder befördern (Roles and Capabilities). Ein Plugin zu installieren heißt, PHP auf deinem Server auszuführen – ein Administratorkonto ist in der Praxis die Macht, beliebigen Code laufen zu lassen.

Deshalb zielen Angriffe auf Administratoren: ein Phishing-Link, ein Passwort aus dem Datenleck einer anderen Website, ein gestohlenes Login-Cookie, eine bösartige Browser-Erweiterung. Jeder dieser Wege wirkt gegen ein Konto. Je mehr Administratorkonten es gibt, desto mehr Chancen, dass eines davon benutzt wird – und wer eines hat, hinterlässt meist ein weiteres, um wiederzukommen.

Was Click2Shell gezeigt hat

Click2Shell, gefunden mit Claude Opus 5 und einem menschlichen Forscher und von pwn.ai beschrieben, brauchte zum Start weder ein Passwort noch ein verwundbares Plugin. Ein Administrator öffnete einen Link, während er angemeldet war. WordPress' eigenes JavaScript in wp-admin klickte bei einem Theme aus dem offiziellen Verzeichnis auf Installieren, und die Customizer-Vorschau lud dessen PHP, ohne dass das Theme je aktiviert wurde. Code im installierten Theme gab dem Angreifer dann einen Weg, eigenen Code auszuführen. Redakteure und niedrigere Rollen konnten das nicht auslösen, weil das Installieren von Themes Administratorrechte braucht.

Behoben ist es in WordPress 7.1.1, erschienen am 17. September 2026 – aktualisiere, falls noch nicht geschehen. Die Lehre überdauert die Lücke: Wenn ein Angriff über die Sitzung eines Administrators läuft, ist dein Risiko die Zahl der Menschen, die man als Administrator angemeldet zu einem Klick verleiten kann.

Administratoren, die niemand nutzt

Der riskanteste Administrator ist oft der, an den niemand denkt: der Entwickler, der die Website gebaut hat, die Agentur von vor zwei Jahren, eine Kollegin, die gegangen ist, ein Testkonto. Sein Passwort steht vielleicht auf einer Liste aus dem Datenleck einer anderen Website, und wird es missbraucht, merkt es niemand – keiner erwartet, dass es sich anmeldet, also wundert sich auch keiner, wenn es passiert.

Ein Konto, das sich seit drei Monaten nicht angemeldet hat, muss kein Administrator sein. Entferne es oder senke seine Rolle, bis jemand sie wirklich zurückhaben will.

So erkennst du, ob es zu viele sind

Öffne in wp-admin "Users" (Benutzer) und klicke über der Liste auf den Filter "Administrator". Die Zahl daneben ist die Zahl der Konten, die Code installieren können. Die meisten Websites brauchen eins oder zwei: den Inhaber und wer die Website betreut. Frag dich bei jedem: Ist das eine echte Person, arbeitet sie noch an der Website, und muss sie Plugins installieren oder Benutzer verwalten – oder nur Seiten, Beiträge oder den Shop bearbeiten?

WordPress selbst speichert nicht, wann sich jemand zuletzt angemeldet hat; der Benutzer-Bildschirm kann dir also nicht sagen, wer inaktiv ist. Dafür brauchst du etwas, das Anmeldungen protokolliert: ein Aktivitätslog- oder Sicherheits-Plugin, die Zugriffslogs deines Hosters oder das Relvato-Plugin mit eingeschaltetem Aktivitätslog (siehe unten). Bis dahin frag die Menschen hinter jedem Konto.

Wenn du schon dabei bist: Öffne das Profil jedes Administrators und sieh unten bei "Application Passwords" nach. Jedes davon meldet sich ohne Login-Formular und ohne Zwei-Faktor-Authentifizierung an der REST-API an. Widerrufe alle, die niemand kennt, bevor du das Konto änderst.

Gib jeder Person die niedrigste Rolle, die sie braucht

In der Sicherheit heißt das Prinzip der geringsten Rechte (OWASP). Ein Redakteur (Editor) veröffentlicht und verwaltet alle Beiträge und Seiten, Kommentare und Medien, kann aber keine Plugins oder Themes installieren, den Customizer nicht öffnen und keine Benutzer verwalten. Bei WooCommerce führt der "Shop manager" Produkte, Bestellungen, Gutscheine, Berichte und die WooCommerce-Einstellungen und kann Kundenkonten bearbeiten, aber keine Plugins oder Themes installieren (WooCommerce-Rollen). Autor und Mitarbeiter (Author, Contributor) sind für Leute, die nur schreiben.

Redakteur heißt weniger Macht, nicht keine: Auf einer Einzelseite darf ein Redakteur weiterhin rohes HTML und JavaScript in Inhalte einfügen (die Berechtigung unfiltered_html). Gib die Rolle nur Menschen, denen du die Startseite anvertrauen würdest.

Rolle ändern: "Users" → das Konto → "Edit" → "Role" → "Update User". Für mehrere auf einmal hakst du sie in der Liste an und nimmst "Change role to…". Willst du ein Konto stattdessen löschen, wähle "Delete": WordPress fragt, was mit seinen Inhalten passieren soll – wähle "Attribute all content to" und ein bestehendes Konto, damit Beiträge und Seiten nicht verloren gehen. Mach das von deinem eigenen Administratorkonto aus und behalte mindestens einen Administrator, mit dem du dich anmelden kannst.

So bleibt die Liste kurz

Ein eigenes Konto pro Person. Ein gemeinsamer "admin"-Login lässt sich einer Person nicht wegnehmen, wenn sie geht, und die Logs können nicht sagen, wer was getan hat.

Befristeter Zugang für Entwickler und Support. Gib einem Dienstleister Administratorrechte für den Auftrag und senke oder entferne sie, wenn er erledigt ist – trag das Datum gleich beim Anlegen des Kontos in deinen Kalender ein.

Zwei-Faktor-Authentifizierung für jeden verbleibenden Administrator, über ein Sicherheits-Plugin. Sie stoppt keine gestohlene Sitzung, aber ein wiederverwendetes Passwort.

Eine Durchsicht, wann immer sich Personen ändern: Jemand geht, eine Agentur übergibt, ein Projekt endet. Jedes Mal ist der Moment, "Users" zu öffnen und wieder nach "Administrator" zu filtern. Inaktive Plugins und Themes, die installiert bleiben, sind die andere Hälfte desselben Risikos – Click2Shell führte Code aus einem Theme aus, das nie jemand aktiviert hatte.

Wie Relvato es erkennt

Relvatos Monitor Admin roster liest die Administratorkonten der Website über das Relvato-WordPress-Plugin. Sind es mehr als drei, besteht der Lauf mit einer Warnung, die sagt, wie viele es sind, und die Rolle Editor oder Shop manager vorschlägt. Ist im Plugin "Activity log and error capture" eingeschaltet (Relvato → Settings, Plugin 1.56.0 oder neuer), merkt es sich auch, wann sich jeder Administrator anmeldet, und sobald Anmeldungen 90 Tage lang erfasst sind, nennt es jeden Administrator, der sich in dieser Zeit nicht angemeldet hat. Bis dahin sagt der Lauf, wie viele Tage noch fehlen, statt zu raten.

Relvato stuft nie ein Konto für dich herab und löscht keines: Wer Administrator sein soll, ist eine Entscheidung über Menschen, und ein gelöschtes Konto lässt sich aus Relvato nicht zurückholen. Die Warnung sagt dir, wo du es erledigst. Passt die Zahl für deine Website – etwa bei fünf Betreuern im Team –, klick auf "Ignore this warning". Derselbe Monitor meldet auch die dringenderen Fälle: ein Kundenkonto, das zum Administrator gemacht wurde, einen Administrator, der im Benutzer-Bildschirm versteckt ist, ein neues Anwendungspasswort.

Im Free-Plan klickst du auf Run, wann immer du prüfen willst, oder planst den Lauf wöchentlich. Pro führt deine Monitore nach jedem Update von selbst erneut aus, und den Admin roster, sobald sich auf der Website eine Rolle ändert – ein neuer Administrator taucht also am Tag seines Auftauchens auf.