Benutzer- und Berechtigungsverwaltung

WordPress (*) ermöglicht es mehreren Personen, zu einer Website beizutragen und gleichzeitig die Kontrolle darüber zu behalten, worauf jede einzelne Person zugreifen und was sie ändern kann. Diese Fähigkeit macht WordPress (*) geeignet für Unternehmen, Organisationen, Publikationen, Mitglieder-Websites, Bildungsplattformen und kollaborative Projekte.

Ohne ein Berechtigungssystem hätte jeder Benutzer uneingeschränkten Zugriff auf jeden Teil der Website. Das würde erhebliche Sicherheits- und Verwaltungsrisiken mit sich bringen: versehentliche Konfigurationsfehler, gelöschte Inhalte, installierte Plugins ohne Absprache. Benutzerrollen lösen dieses Problem, indem sie unterschiedliche Verantwortungs- und Zugriffsebenen zuweisen.

Das Verständnis von Benutzerrollen und Berechtigungen ist unbedingt notwendig für die Aufrechterhaltung der Website-Sicherheit, den Schutz von Inhalten und die effektive Verwaltung von Teams. Das leitende Prinzip lautet dabei immer: Prinzip der minimalen Berechtigungen – jeder Benutzer erhält nur die Rechte, die zur Erfüllung seiner konkreten Aufgaben erforderlich sind.

Benutzerrollen verstehen

Eine Benutzerrolle ist eine Sammlung von Berechtigungen, die festlegt, was ein Benutzer in WordPress (*) tun kann. Jede Rolle gewährt Zugriff auf bestimmte Funktionen und schränkt gleichzeitig andere ein. WordPress enthält fünf Standardrollen für normale Installationen: Administrator, Redakteur, Autor, Mitwirkender und Abonnent. Hinzu kommt der Super-Administrator, der nur in WordPress-Multisite-Installationen existiert.

Die folgende Tabelle gibt einen schnellen Überblick über alle fünf Standardrollen:

Rolle	Darf	Darf nicht	Typische Nutzer	Veröffentlichen?
Administrator	Alles: Plugins, Themes, Benutzer, Einstellungen, Inhalte	(Keine Einschränkung in Einzelinstallation)	Website-Inhaber, technische Leitung	Ja
Redakteur	Alle Inhalte erstellen, bearbeiten, veröffentlichen, löschen; Kommentare moderieren	Plugins/Themes installieren, Einstellungen ändern, Benutzer verwalten	Chefredaktion, Content (*)-Manager	Ja (auch fremde)
Autor	Eigene Beiträge erstellen, bearbeiten, veröffentlichen, löschen	Fremde Inhalte bearbeiten oder löschen	Kolumnisten, Gastblogger, Fachautoren	Ja (nur eigene)
Mitwirkender	Eigene Entwürfe erstellen und bearbeiten	Selbst veröffentlichen, Bilder hochladen, fremde Inhalte ändern	Gastautoren, neue Teammitglieder	Nein (Freigabe nötig)
Abonnent	Eigenes Profil verwalten, eingeschränkte Inhalte lesen	Inhalte erstellen, bearbeiten oder veröffentlichen	Mitglieder, Community-Nutzer	Nein

Die Rollenwahl trifft man am besten, indem man sich fragt: Welche Aufgaben hat diese Person konkret? Was braucht sie dafür wirklich? Kann eine Rolle mit geringeren Berechtigungen dasselbe Ziel erreichen? Die Gewährung übermäßiger Zugriffsrechte erhöht das Risiko unnötig.

Die fünf Standardrollen im Detail

Administrator

Die Administratorrolle bietet die höchste Zugriffsebene in einer Standard-WordPress-Installation. Administratoren können alle Einstellungen verwalten, Themes und Plugins installieren und löschen, Benutzer erstellen und löschen, alle Inhalte bearbeiten und löschen sowie die vollständige Website-Konfiguration steuern.

Da Administratoren über weitreichende Kontrolle verfügen, sollte diese Rolle sorgfältig vergeben werden. Ein häufiger Anfängerfehler ist, allen Mitwirkenden Administratorzugriff zu gewähren. Das erhöht das Risiko von versehentlichen Konfigurationsfehler, Plugin-Konflikten, unerwünschten Inhaltslöschungen und Sicherheitsproblemen. Administratorkonten sollten generell auf vertrauenswürdige Personen beschränkt sein, die tatsächlich für die gesamte Website-Verwaltung verantwortlich sind.

Redakteur

Redakteure sind für die umfassende Inhaltsverwaltung zuständig. Im Gegensatz zu Administratoren können sie keine grundlegenden Website-Einstellungen ändern, keine Themes oder Plugins installieren und keine Benutzerkonten verwalten. Sie können jedoch alle Beiträge und Seiten website-weit erstellen, bearbeiten, veröffentlichen und löschen – auch Inhalte anderer Benutzer – sowie Kommentare moderieren und Medien verwalten.

Diese Rolle ist ideal für Content (*)-Manager, Chefredakteure, Publikationsleiter und Teamleiter, die für die Qualität und Konsistenz aller veröffentlichten Inhalte verantwortlich sind. Redakteure sorgen für ein gutes Gleichgewicht zwischen Funktionalität und Sicherheit: sie können Veröffentlichungsprozesse vollständig verwalten, ohne Zugriff auf sensible administrative Einstellungen zu erhalten.

Autor

Autoren können ihre eigenen Inhalte erstellen, bearbeiten und veröffentlichen. Sie können jedoch keine Inhalte anderer Benutzer bearbeiten oder löschen. Diese Rolle eignet sich für Kolumnisten, Gastblogger, Fachexperten und regelmäßige Inhaltsbeitragende – also Personen, die eigenständig schreiben und veröffentlichen sollen, ohne redaktionellen Einfluss auf die Arbeit anderer zu haben.

Viele inhaltsorientierte Websites arbeiten stark mit Autorenkonten, wenn mehrere Personen eigenverantwortlich und unabhängig voneinander publizieren.

Mitwirkender

Mitwirkende können eigene Beiträge erstellen und bearbeiten, aber nicht selbstständig veröffentlichen. Eingereichte Inhalte müssen vor der Veröffentlichung von einem Redakteur oder Administrator geprüft und freigegeben werden. Mitwirkende können auch keine Bilder hochladen.

Dieser Workflow bietet redaktionelle Qualitätskontrolle und ist nützlich für Gastautoren, Freiberufler, neue Teammitglieder und gelegentliche Content-Ersteller. Inhalte können auf Richtigkeit, Formatierung und Einhaltung der Richtlinien überprüft werden, bevor sie öffentlich sichtbar werden. Das reduziert Veröffentlichungsrisiken und fördert gleichzeitig die Beteiligung.

Abonnent

Abonnenten haben den eingeschränktesten Zugriff. Sie können ihr eigenes Profil verwalten, das Passwort ändern und ggf. auf eingeschränkte Mitgliedsinhalte zugreifen. Website-Inhalte können sie weder erstellen noch bearbeiten. Diese Rolle eignet sich für Mitglieder-Websites, Online-Communities, Bildungsplattformen und Kundenportale, bei denen Benutzer registriert sein müssen, um bestimmte Inhalte zu sehen, aber keinerlei administrative Befugnisse erhalten sollen.

Super-Administrator und benutzerdefinierte Rollen

Neben den fünf Standardrollen gibt es noch zwei weitere Konzepte, die bei komplexeren Installationen relevant werden:

Super-Administrator – diese sechste Rolle existiert ausschließlich in WordPress-Multisite-Installationen, wo eine einzige WordPress-Instanz mehrere Websites verwaltet. Der Super-Administrator hat über alle Websites des Netzwerks hinweg administrative Kontrolle – einschließlich Netzwerkeinstellungen, Plugin-Aktivierung netzwerkweit und Benutzerkonten für alle Websites.
Benutzerdefinierte Rollen – WordPress ermöglicht es, über Plugins wie User Role Editor eigene Rollen mit spezifisch zugeschnittenen Berechtigungen zu erstellen. Das ist nützlich, wenn keine der fünf Standardrollen exakt zu einem bestimmten Anforderungsprofil passt.

Benutzerkonten erstellen

Das Hinzufügen eines neuen Benutzers ist ein einfacher Vorgang – aber einige Aspekte solltest du beachten, bevor du auf „Neuen Benutzer hinzufügen“ klickst.

Schritt für Schritt: Einen neuen Benutzer anlegen

Im WordPress-Dashboard zu Benutzer → Neu hinzufügen navigieren.
Einen Benutzernamen eingeben. Wichtig: Benutzernamen können in WordPress nach dem Erstellen über die Standard-Benutzeroberfläche nicht mehr geändert werden. Wähle ihn deshalb sorgfältig.
Eine E-Mail-Adresse eingeben.
Optional: Vor- und Nachname ausfüllen.
Ein sicheres Passwort festlegen. WordPress generiert automatisch ein starkes Passwort – dieses kann direkt verwendet oder angepasst werden.
Entscheiden, ob WordPress dem neuen Benutzer eine Einladungs-E-Mail schickt.
Die passende Benutzerrolle auswählen. Das ist einer der wichtigsten Schritte.
Auf „Neuen Benutzer hinzufügen“ klicken.
Zugangsdaten sicher übermitteln (nicht per unverschlüsselter E-Mail oder Messenger).

Den Benutzernamen „admin“ unbedingt vermeiden

Einer der häufigsten Anfängerfehler: den Benutzernamen admin für das Administrator-Konto zu verwenden. Automatisierte Brute-Force-Angriffe probieren „admin“ als ersten Benutzernamen, weil er in älteren WordPress-Standardinstallationen vorkonfiguriert war. Verwende stattdessen einen eindeutigen, nicht offensichtlichen Benutzernamen.

Falls ein bestehendes Konto bereits „admin“ als Benutzernamen hat: Erstelle ein neues Administratorkonto mit einem anderen Benutzernamen, weise alle Inhalte auf das neue Konto um und lösche danach das alte „admin“-Konto.

Benutzernamen können nicht geändert werden

WordPress bietet über die Standardoberfläche keine Möglichkeit, den Benutzernamen eines bestehenden Kontos zu ändern – das ist eine bekannte Einschränkung. Der Benutzername, den du beim Erstellen eines Kontos vergibst, bleibt dauerhaft bestehen. Alternativen, falls eine Änderung benötigt wird: ein neues Konto erstellen und das alte löschen, oder ein Plugin wie Username Changer einsetzen. Deshalb lohnt es sich, vor der Kontoerstellung kurz nachzudenken.

Benutzerprofile verwalten

Jedes Benutzerkonto in WordPress hat ein Profil. Benutzer erreichen ihr Profil über Benutzer → Profil im Dashboard. Dort können sie persönliche Informationen wie Anzeigename, Biografie, Website-URL und E-Mail-Adresse hinterlegen sowie das Passwort ändern.

Für das Profilbild nutzt WordPress den Gravatar-Dienst (Globally Recognized Avatar). Gravatar ist ein externer Dienst von Automattic, bei dem ein Bild mit einer E-Mail-Adresse verknüpft wird. Wer ein Gravatar-Konto hat und dieselbe E-Mail-Adresse für sein WordPress-Benutzerkonto nutzt, sieht sein Gravatar-Bild automatisch im Dashboard und in öffentlichen Kommentaren. Als Administrator kannst du auch Profile anderer Benutzer einsehen und bearbeiten.

Wenn du als Administrator ein Benutzerprofil bearbeitest, stehen dir zusätzlich die Rollenzuweisung und die Berechtigungseinstellungen zur Verfügung. Regelmäßige Profilprüfungen helfen dabei, veraltete Informationen oder unzutreffende Rollenzuweisungen frühzeitig zu erkennen.

Berechtigungen sicher verwalten

Die Verwaltung von Berechtigungen ist eine dauerhaft wichtige Sicherheitsaufgabe, keine einmalige Maßnahme. Jede zusätzliche Berechtigung erhöht das potenzielle Risiko. Ein bewährter Ansatz: Immer die niedrigste Rolle vergeben, die die Aufgaben eines Benutzers erfüllen kann.

Regelmäßige Berechtigungsprüfungen helfen dabei, folgende Probleme zu erkennen und zu beheben:

Inaktive Benutzer, die keinen Zugriff mehr benötigen
Ehemalige Mitarbeiter oder Freiberufler, deren Konten noch aktiv sind
Übermäßige Berechtigungen, die nicht dem tatsächlichen Aufgabenbereich entsprechen
Konten, deren E-Mail-Adressen nicht mehr gültig sind

Das Entfernen unnötiger Zugriffsrechte reduziert das Angriffsflächenpotenzial. Die Dokumentation von Benutzerrollen und Zuständigkeiten – selbst eine einfache Tabelle genügt – vereinfacht die langfristige Verwaltung erheblich. Mit wachsenden Teams wird eine strukturierte Berechtigungsverwaltung immer wichtiger.

Konten sollten niemals von mehreren Personen gleichzeitig genutzt werden. Geteilte Konten erschweren die Nachvollziehbarkeit von Änderungen und erhöhen Sicherheitsrisiken. Jede Person erhält ihr eigenes Konto.

Best Practices für Benutzersicherheit

Benutzerkonten gehören zu den häufigsten Angriffsvektoren auf WordPress-Websites. Starke Sicherheitsmaßnahmen schützen sowohl Benutzer als auch die Website.

Starke Passwörter

Jedes Konto sollte ein starkes, einzigartiges Passwort verwenden. WordPress generiert beim Erstellen neuer Konten automatisch starke Passwörter – das ist ein guter Ausgangspunkt. Starke Passwörter vermeiden vorhersehbare Informationen wie Namen, Geburtsdaten, einfache Zahlenfolgen oder gebräuchliche Wörter.

Ein wichtiger Hinweis zur Passwortsicherheit: Regelmäßig erzwungene Passwortwechsel gelten nach aktuellen Empfehlungen des National Institute of Standards and Technology (NIST) nicht mehr als bewährte Praxis. Wenn Benutzer häufig ihr Passwort ändern müssen, neigen sie dazu, schwächere Passwörter zu wählen oder minimal zu variieren („Passwort2025“ → „Passwort2026“). Besser ist ein dauerhaft starkes, einzigartiges Passwort in Kombination mit Zwei-Faktor-Authentifizierung. Erzwungene Passwortwechsel sind weiterhin sinnvoll, wenn ein Sicherheitsvorfall vermutet wird.

Zwei-Faktor-Authentifizierung (2FA)

Die Zwei-Faktor-Authentifizierung ist eine der effektivsten Maßnahmen zur Absicherung von WordPress-Konten. Sie erfordert beim Anmelden neben dem Passwort einen zweiten Nachweis – in der Regel einen zeitbasierten Code von einer Authentifikator-App oder per E-Mail. Selbst wenn ein Passwort kompromittiert wird, kann ohne den zweiten Faktor kein Zugriff erfolgen.

WordPress enthält keine eingebaute 2FA-Funktion – dafür wird ein Plugin benötigt. Empfehlenswerte Optionen:

Two Factor – kostenloses Plugin, direkt vom WordPress.org-Team gepflegt. Unterstützt TOTP-Authenticator-Apps (Google Authenticator, Authy, Microsoft Authenticator), E-Mail-Codes und Backup-Codes. Einfache Einrichtung über Benutzer → Profil.
WP 2FA – kostenloses Plugin mit umfangreicheren Optionen: Unterstützt mehrere Methoden und ermöglicht es, 2FA für bestimmte Benutzerrollen vorzuschreiben. Administratoren können einstellen, dass 2FA für Administratorkonten obligatorisch ist.

Besonders wichtig: Richte unbedingt Backup-Codes ein, bevor du 2FA aktivierst. Wenn du den Zugriff auf deine Authenticator-App verlierst, sind diese Codes die einzige Möglichkeit, dich noch anmelden zu können.

Brute-Force-Schutz und Login-Sicherheit

Automatisierte Brute-Force-Angriffe versuchen, Passwörter durch systematisches Ausprobieren zu erraten. Ohne Schutzmaßnahmen können Angreifer unbegrenzt Anmeldeversuche starten. Zwei Schutzmaßnahmen sind besonders wirksam:

Anmeldeversuche begrenzen – Plugins wie Limit Login Attempts Reloaded oder Wordfence sperren IP-Adressen nach einer definierten Anzahl fehlgeschlagener Anmeldeversuche automatisch. Das macht Brute-Force-Angriffe wirkungslos.
Generischen Benutzernamen vermeiden – wie bereits erwähnt ist der Benutzername „admin“ das häufigste Ziel automatisierter Angriffe. Ein eindeutiger Benutzername erschwert Angriffsversuche erheblich.

Zusätzlich empfiehlt sich die Überwachung fehlgeschlagener Anmeldeversuche – viele Sicherheits-Plugins protokollieren diese und benachrichtigen den Administrator bei auffälligen Mustern.

Weitere Sicherheitsempfehlungen

Administratorkonten auf das absolute Minimum beschränken. Zwei reichen für die meisten Websites.
Inaktive Konten regelmäßig prüfen und deaktivieren oder löschen.
Konten nie zwischen mehreren Personen teilen.
Benutzeraktivitäten beobachten – vor allem nach dem Hinzufügen neuer Teammitglieder.
Zugangsdaten sicher übermitteln – niemals per unverschlüsselter E-Mail oder Messenger.
Passwort-Manager empfehlen: Tools wie Bitwarden (kostenlos, Open Source) oder 1Password helfen dabei, starke, einzigartige Passwörter für jedes Konto zu verwenden, ohne sie im Gedächtnis behalten zu müssen.

Benutzerdaten und DSGVO

Sobald sich Nutzer auf deiner WordPress-Website registrieren können – also du ihnen Konten anbietest oder eine offene Registrierung aktivierst – erhebst du personenbezogene Daten: Benutzername, E-Mail-Adresse, Registrierungsdatum, IP-Adresse. Für deutschsprachige Website-Betreiber gelten dabei die Anforderungen der DSGVO.

Das bedeutet: Die Datenschutzerklärung muss erklären, welche Daten bei der Registrierung erhoben werden, wie sie verarbeitet werden, wie lange sie gespeichert werden und welche Rechte Nutzer haben (Auskunft, Berichtigung, Löschung). WordPress bietet über Werkzeuge → Datenschutz Funktionen zur Erfüllung von Löschanträgen und zum Export von Benutzerdaten an. Nutze diese Werkzeuge, wenn Nutzer ihre Daten anfragen oder die Löschung ihres Kontos beantragen.

Eine durchdachte Benutzerverwaltungsstrategie trägt dazu bei, Website-Inhalte zu schützen, die operative Kontrolle aufrechtzuerhalten und eine sichere Zusammenarbeit zwischen Beitragenden zu ermöglichen – und stellt gleichzeitig sicher, dass der Umgang mit Benutzerdaten den gesetzlichen Anforderungen entspricht.

(*) Hinweis: Hinter einigen Links stehen Affiliate-Programme. Für Sie bleibt der Preis exakt derselbe, wir erhalten jedoch eine kleine Provision, die wir direkt in unsere kommenden Recherchen investieren. Vielen Dank, dass Sie unsere Arbeit auf diese Weise unterstützen!