Zwei-Faktor-Authentifizierung für WordPress mit App, Passkey oder YubiKey
Die Zwei-Faktor-Authentifizierung für WordPress in ReportedIP Hive bringt vier Methoden direkt im Plugin mit: eine Authenticator-App, einen Passkey oder Sicherheitsschlüssel, einen E-Mail-Code und einen SMS-Code. App, Passkey und E-Mail sind in jedem Tarif kostenlos, kein Administratorkonto muss sich also allein auf ein Passwort verlassen.
Diese Anleitung zeigt, wie Sie 2FA für Ihre Website einschalten, wie sich Nutzer einrichten, wie die Anmeldung aussieht und wie Sie im Blick behalten, wer geschützt ist. Eigene Anleitungen gehen tiefer auf Passkeys und die Einrichtung eines YubiKey ein.
Warum braucht WordPress eine Zwei-Faktor-Authentifizierung?
Passwörter werden geleakt, mehrfach verwendet und erraten. Hat ein Angreifer das Passwort eines Administrators, übergibt WordPress ihm alles: Plugins, Nutzer, Inhalte und oft den Server dahinter. Ein zweiter Faktor schließt diese Tür, weil das gestohlene Passwort allein niemanden mehr anmeldet. Die NIST Digital Identity Guidelines (SP 800-63B) beschreiben Mehr-Faktor-Authentifizierung als Grundlage für jedes Konto mit erweiterten Rechten.
Welche 2FA-Methoden unterstützt ReportedIP Hive?
| Methode | So funktioniert sie | Tarif |
|---|---|---|
| Authenticator-App | Eine App wie Google Authenticator, Microsoft Authenticator oder 1Password zeigt alle 30 Sekunden einen neuen 6-stelligen Code, auch ohne Mobilfunkempfang | Free |
| Passkey oder Sicherheitsschlüssel | Fingerabdruck, Gesicht oder ein Hardware-Schlüssel wie ein YubiKey bestätigt die Anmeldung, und das nur auf der echten Anmeldeseite | Free, ein Schlüssel je Konto |
| E-Mail-Code | Ein 6-stelliger Code geht an die E-Mail-Adresse des Kontos | Free |
| Textnachricht (SMS) | Ein 6-stelliger Code geht ans Mobiltelefon, zugestellt über das EU-Relay | Professional |
Nutzer können mehr als eine Methode einrichten. Die als Standard festgelegte wird zuerst abgefragt, jede andere aktive Methode bleibt auf der Anmeldeseite als Alternative verfügbar. Mehrere Sicherheitsschlüssel je Konto, etwa ein Ersatzschlüssel im Tresor, gehören zum Tarif Business.
Wiederherstellungscodes und vertrauenswürdige Geräte sichern jede Methode ab
Jeder Nutzer erhält 10 einmal verwendbare Wiederherstellungscodes für den Tag, an dem das Telefon verloren geht oder der Schlüssel zu Hause liegt. Das Profil warnt, wenn nur noch wenige übrig sind, und bietet mit Neue Wiederherstellungscodes generieren neue an. Auf der Anmeldeseite überspringt Diesem Gerät vertrauen den zweiten Faktor in diesem Browser für eine festgelegte Zahl von Tagen, und Alle Geräte widerrufen im Profil beendet jedes Vertrauen auf einmal.
So schalten Sie 2FA für Ihre WordPress-Website ein
Öffnen Sie Schutz, Karte Zwei-Faktor-Authentifizierung. Die normale Ansicht hat drei Einstellungen:
- Zwei-Faktor-Authentifizierung aktiviert ist der Hauptschalter. Ausgeschaltet wird niemand nach einem zweiten Faktor gefragt.
- Rollen mit 2FA-Pflicht nennt die Rollen, die sich einrichten müssen. Alle anderen dürfen und werden dazu eingeladen.
- Zweiter Faktor im Shop-Design fragt WooCommerce-Kunden innerhalb Ihres Themes statt auf wp-login.php, im Tarif Professional.
Der Expertenmodus im Seitenkopf ergänzt die feineren Einstellungen: Erlaubte 2FA-Methoden, die 2FA-Schonfrist (Tage), die ein verpflichteter Nutzer bis zur Durchsetzung hat, das Maximale Überspringen des Onboardings, die Gültigkeit vertrauenswürdiger Geräte und ob 2FA auch beim Zurücksetzen des Passworts verlangt wird. Der Schnellstart schaltet 2FA für Administratoren bereits mit einer Schonfrist von 7 Tagen ein, auf einer frischen Installation ergänzen Sie also meist nur weitere Rollen.
So richten Nutzer ihren zweiten Faktor ein
Wer sich einrichten muss, landet nach der nächsten Anmeldung in einer geführten Einrichtung, die durch die Wahl der Methode, das Scannen des QR-Codes oder das Registrieren des Schlüssels und das Sichern der Wiederherstellungscodes führt. Dasselbe geht jederzeit im WordPress-Profil, Abschnitt Ihre Anmeldemethoden: Jede Methode hat eine Schaltfläche Einrichten, die Schlüsselverwaltung liegt unter Sicherheitsschlüssel & Passkeys, und Als Standard festlegen wählt die Methode, nach der die Anmeldung zuerst fragt.
So sieht die Anmeldung mit 2FA aus
Nach dem richtigen Passwort zeigt WordPress die Seite Bestätigung erforderlich mit einem Reiter für jede aktive Methode. Bei der App tippt der Nutzer den aktuellen Code ein. Bei Passkey oder Schlüssel öffnet der Browser seinen eigenen Dialog. Bei E-Mail und SMS klickt der Nutzer zuerst auf Code per E-Mail senden oder Code per SMS senden, es wird also kein Code verschickt, bevor jemand danach fragt. Der Reiter für die Wiederherstellung nimmt einen der gesicherten Codes an.
Falsche Codes werden mit einer wachsenden Verzögerung ausgebremst und führen, wenn sie weiter eintreffen, zu einer Sperre der Adresse. Einen 6-stelligen Code zu erraten ist deshalb kein gangbarer Weg hinein.
Behalten Sie im Blick, wer geschützt ist
Die Seite 2FA-Status zeigt auf einen Blick, wie viele Nutzer 2FA haben, wie viele nicht, wer noch in der Schonfrist ist, wer alle Überspringen aufgebraucht hat und wem die Wiederherstellungscodes ausgehen. Die Tabelle darunter führt jeden Nutzer mit Rolle, Methoden, verbleibenden Wiederherstellungscodes und Einrichtungsstatus und filtert nach Status, Methode und Rolle.
Nutzerstatus-CSV exportiert diese Tabelle in jedem Tarif, etwa für ein Audit oder einen Kundenbericht. Die Audit-Log-CSV mit jedem 2FA-Ereignis gehört zum Tarif Business.
Die Sperre beim Passwort-Reset schließt die E-Mail-Hintertür
Der Link „Passwort vergessen“ ist der klassische Weg an 2FA vorbei: Wer das Postfach kontrolliert, bekommt den Reset-Link und bei E-Mail-2FA auch den Code. Hive verlangt deshalb einen zweiten Faktor, der nicht E-Mail ist, bevor ein neues Passwort übernommen wird: einen App-Code, einen SMS-Code, einen Sicherheitsschlüssel oder einen Wiederherstellungscode. Hat ein Nutzer nichts davon, wird der Reset abgelehnt und der Administrator erhält eine Mail, statt dass der Nutzer in einer endlosen Schleife ungültiger Codes landet.
Passkeys und Hardware-Schlüssel in Kürze
Ein Passkey oder Sicherheitsschlüssel ist der eine zweite Faktor, der sich nicht abphishen lässt, weil der Schlüssel für eine nachgeahmte Domain nicht signiert. Hive unterstützt Plattform-Passkeys wie Face ID, Touch ID und Windows Hello sowie FIDO2-Hardware-Schlüssel wie die YubiKey-5-Serie, über USB und NFC, auf wp-login, im WooCommerce-Shop und bei der Sperre beim Passwort-Reset. Ein Sicherheitsschlüssel, der aus seiner Hardware kopiert wurde, wird erkannt und die Anmeldung verweigert. Die Anleitungen zu Passkeys für WordPress und zum YubiKey 5C NFC behandeln Einrichtung und Fehlersuche.
WP-CLI und REST für Agenturen und eigene Anmeldungen
Administratoren mit Shell-Zugang verwalten 2FA mit wp reportedip 2fa: status, enforce --role=editor, reset <user_id> für ein gesperrtes Konto und audit für einen Überblick. Headless- und eigene Anmeldeabläufe nutzen den REST-Namespace reportedip-hive/v1 mit den Routen /2fa/challenge, /2fa/verify und /2fa/methods für die codebasierten Methoden; Passkeys brauchen den Browser und bleiben auf der normalen Anmeldeseite.
Fragen zur Zwei-Faktor-Authentifizierung in WordPress
Welche 2FA-Methode sollten Administratoren nutzen?
Ein Passkey oder Hardware-Sicherheitsschlüssel schützt am stärksten, weil er sich weder abphishen noch vom Bildschirm ablesen lässt. Eine Authenticator-App ist die nächstbeste Wahl und funktioniert offline. E-Mail-Codes sind bequem, teilen sich aber den Kanal mit dem Passwort-Reset, behalten Sie sie also als Rückfalloption statt als einzige Methode.
Was passiert, wenn ein Nutzer sein Telefon verliert?
Der Nutzer meldet sich mit einem der 10 Wiederherstellungscodes an und richtet das neue Telefon im Profil ein. Sind auch die Codes verloren, setzt ein Administrator den zweiten Faktor dieses Nutzers mit dem WP-CLI-Befehl zurück, und der Nutzer richtet sich bei der nächsten Anmeldung neu ein.
Kann ich 2FA nur für Administratoren und Redakteure verlangen?
Haken Sie unter Rollen mit 2FA-Pflicht genau diese Rollen an. Nutzer mit anderen Rollen werden zur Einrichtung eingeladen, aber nicht gezwungen. Die Schonfrist gibt verpflichteten Nutzern Zeit, eine Methode einzurichten, bevor die Anmeldung darauf besteht, und die Seite 2FA-Status zeigt, wer noch fehlt.
Funktioniert 2FA mit WooCommerce-Kundenkonten?
Im Tarif Professional fragt Zweiter Faktor im Shop-Design Kunden unter Mein Konto und an der Kasse nach ihrem zweiten Faktor, innerhalb Ihres Themes. Kunden sehen wp-login.php nie, und es gelten dieselben Methoden, Wiederherstellungscodes und vertrauenswürdigen Geräte wie für Mitarbeiterkonten.
Weiterlesen
- WooCommerce-2FA im eigenen Theme
- Mail- und SMS-Relay für 2FA
- Der Schnellstart von Hive
- Progressive IP-Sperren
Die Hive-Dokumentation beschreibt die Zwei-Faktor-Authentifizierung, Hardware-Sicherheitsschlüssel und die REST-Routen für Headless-2FA im Detail.