YubiKey 5C NFC für die WordPress-2FA: Modellwahl, Einrichtung, Fehler
Der YubiKey 5C NFC macht aus dem WordPress-Login eine Berührung auf einem kleinen Schlüssel: am Desktop per USB-C eingesteckt, unterwegs per NFC ans Handy gehalten. Diese Anleitung zeigt, wie Sie ihn mit ReportedIP Hive als zweiten Faktor einrichten, was Website-Betreiber einschalten müssen, was bei einem verlorenen Schlüssel zu tun ist und was die Fehlermeldungen bedeuten.
Wir melden uns selbst jeden Tag mit genau diesem Schlüssel an unseren WordPress-Websites an. Die Schritte und Meldungen unten sind also die, die Sie auf einer aktuellen Hive-Installation sehen.
Kann man einen YubiKey mit WordPress nutzen?
Ja. WordPress selbst kennt keinen zweiten Faktor, aber ein Sicherheits-Plugin mit WebAuthn-Unterstützung macht jeden Schlüssel der YubiKey-5-Serie oder der günstigeren Security-Key-Serie zum zweiten Schritt nach dem Passwort. Der Schlüssel signiert eine Anmeldung nur für die Domain, auf der er registriert wurde, deshalb kann eine Phishing-Seite nichts davon weiterverwenden. Mit ReportedIP Hive ist ein Schlüssel pro Konto kostenlos, und ein Schlüssel funktioniert auf beliebig vielen Websites.
Was ist der YubiKey 5C NFC?
Der YubiKey 5C NFC ist ein Hardware-Sicherheitsschlüssel von Yubico. Er bewahrt seine privaten Schlüssel in einem Sicherheitschip auf, signiert eine Anmeldeanfrage, wenn Sie ihn berühren, und gibt nie ein Geheimnis an den Computer heraus. Er hat keinen Akku, kein Display und keine Netzwerkverbindung, es gibt also nichts zu laden, zu aktualisieren oder abzufischen.
| Eigenschaft | YubiKey 5C NFC |
|---|---|
| Anschlüsse | USB-C und NFC |
| Login-Standards | FIDO2 / WebAuthn und FIDO U2F |
| Weitere Funktionen | Smartcard (PIV), OpenPGP, OATH-Codes, Yubico OTP |
| Passkey-Speicher | Bis zu 100 ab Firmware 5.7, weniger bei älteren Schlüsseln |
| Bauweise | Wasser- und staubgeschützt (IP68), ohne Akku |
Die vollständigen Daten stehen auf der Produktseite von Yubico. Für WordPress zählt nur eine Zeile: Der Schlüssel spricht WebAuthn, den W3C-Standard, den Browser für Passkeys und Sicherheitsschlüssel nutzen.
Welchen YubiKey brauchen Sie für WordPress?
Die WordPress-Anmeldung nutzt nur den FIDO-Teil des Schlüssels, deshalb reichen auch günstigere Modelle als der 5C NFC. Preise aus dem Yubico-Shop für Deutschland am 29. Oktober 2026, inklusive Mehrwertsteuer:
| Modell | Anschlüsse | Standards | Preis |
|---|---|---|---|
| Security Key C NFC | USB-C und NFC | FIDO2, U2F | 34,51 € |
| Security Key NFC | USB-A und NFC | FIDO2, U2F | 34,51 € |
| YubiKey 5C NFC | USB-C und NFC | FIDO2, U2F, OTP, PIV, OpenPGP | 69,02 € |
| YubiKey 5 NFC | USB-A und NFC | FIDO2, U2F, OTP, PIV, OpenPGP | 69,02 € |
| YubiKey 5Ci | USB-C und Lightning | FIDO2, U2F, OTP, PIV, OpenPGP | 101,15 € |
| YubiKey C Bio (FIDO Edition) | USB-C | FIDO2, U2F, Fingerabdruck | 116,62 € |
- Nur für WordPress leistet der Security Key C NFC dasselbe wie der 5C NFC, zum halben Preis.
- Die YubiKey-5-Serie lohnt sich, wenn Sie den Schlüssel auch für SSH oder signierte Commits mit OpenPGP, für Smartcard-Anmeldungen mit PIV oder für Einmalcodes nutzen wollen.
- Der 5Ci hat zusätzlich einen Lightning-Stecker für iPhones ohne USB-C, dafür kein NFC.
- Die Bio-Modelle lesen einen Fingerabdruck. Als zweiter Faktor nach dem Passwort genügt eine Berührung, der Sensor bringt für WordPress also wenig.
Egal welches Modell: Kaufen Sie zwei, einen für den Alltag und einen als Ersatz. Was das für ein Team kostet, steht weiter unten.
Warum ein Hardware-Schlüssel für WordPress-Administratoren
Ein Administratorkonto kann in WordPress Plugins installieren, und ein Plugin kann beliebigen Code auf dem Server ausführen. Wer das Konto verliert, verliert die Website. Einmalcodes aus einer App oder per E-Mail helfen gegen gestohlene Passwörter, aber eine gut gemachte Phishing-Seite kann auch nach dem Code fragen und ihn in Sekunden weiterreichen.
| Zweiter Faktor | Schützt vor Passwortdiebstahl | Schützt vor Phishing-Seiten | Braucht ein Handy |
|---|---|---|---|
| E-Mail-Code | Ja | Nein | Nein |
| Authenticator-App | Ja | Nein | Ja |
| YubiKey 5C NFC | Ja | Ja | Nein |
Der Schlüssel signiert nur für die echte Domain Ihrer Website. Auf einer nachgemachten Domain hat er schlicht keine passende Anmeldung, ein Angreifer kann also nichts weiterleiten. Die Anleitung zu Passkeys erklärt diesen Mechanismus und wann ein Passkey auf Handy oder Laptop die bessere Wahl ist als ein eigener Schlüssel.
Unsere eigenen Netzwerkdaten zeigen, warum ein Passwort allein nicht reicht. Zwischen dem 29. September und dem 28. Oktober 2026 meldeten Websites und Honeypots im ReportedIP-Netzwerk 26.179 Passwortangriffe auf WordPress-Anmeldungen (wp-login.php, wp-admin und XML-RPC) von 8.795 IP-Adressen.
- 4.700 dieser Adressen (53 %) versuchten es in den 30 Tagen genau einmal.
- 7.103 Adressen (81 %) versuchten es höchstens dreimal.
- Die aktivste einzelne Adresse kam auf 211 Versuche.
Eine Sperre nach fünf Fehlversuchen greift nie bei einer Adresse, die es einmal probiert und weiterzieht. Verteilt auf Tausende Adressen sehen die Versuche für die Website aus wie gewöhnliche Tippfehler. Ein zweiter Faktor stoppt die Anmeldung auch dann, wenn eines dieser Passwörter stimmt.
Was Sicherheitsbehörden zu Hardware-Schlüsseln sagen
Behördliche Empfehlungen stellen diese Art der Anmeldung an die Spitze:
- NIST SP 800-63B-4 (2025): Auf Vertrauensniveau AAL2 muss ein Dienst mindestens eine phishingresistente Option anbieten, auf AAL3 braucht der Authentifikator einen nicht exportierbaren privaten Schlüssel und Phishing-Resistenz. Ein FIDO2-Hardware-Schlüssel erfüllt genau diese Beschreibung. NIST-Richtlinie
- CISA, die US-Behörde für Cybersicherheit, nennt phishingresistente MFA den Goldstandard und FIDO/WebAuthn ihre einzige breit verfügbare Form. CISA-Merkblatt
- Das BSI stuft Passkeys und gerätegebundene FIDO2-Schlüssel als resistent gegen übliche Phishing-Angriffe ein. E-Mail-Codes, SMS und Authenticator-Apps schützen in seinem Vergleich nicht vor Phishing in Echtzeit, und für FIDO2 sieht es zwei Hardware-Token pro Konto für die Wiederherstellung vor. BSI-Vergleich der 2FA-Verfahren
Was beim WordPress-Login im Schlüssel passiert
WebAuthn, der W3C-Standard hinter Sicherheitsschlüsseln, teilt die Arbeit zwischen Schlüssel und Website auf. Drei Entscheidungen in Hive bestimmen, wie sich der YubiKey verhält:
- Die Website speichert die Zugangsdaten. Hive registriert ein nicht auffindbares Credential: Der Schlüssel verpackt alles Nötige in eine ID, die WordPress aufbewahrt und bei jeder Anmeldung zurückgibt. Deshalb wird kein Passkey-Speicherplatz belegt, und ein Schlüssel reicht für beliebig viele Websites.
- Eine Berührung genügt. Das Passwort ist bereits der erste Faktor, die Berührung beweist, dass ein Mensch am Schlüssel ist. Wer zusätzlich die FIDO2-PIN verlangen will, lässt Hive von einem Entwickler auf verpflichtende Benutzerverifizierung umstellen; der Schlüssel fragt dann bei jeder Anmeldung nach seiner PIN.
- Ein Zähler erkennt Kopien. Der Schlüssel erhöht bei jeder Anmeldung einen Signaturzähler. Läuft der Wert, den Hive erhält, rückwärts, ist ein geklonter Schlüssel im Spiel: Hive verweigert die Anmeldung und warnt den Nutzer.
Was Sie vor dem Start brauchen
- Eine aktuelle Version von ReportedIP Hive mit eingeschalteter Zwei-Faktor-Authentifizierung für die Website.
- HTTPS. Browser erlauben Sicherheitsschlüssel nur auf verschlüsselten Seiten.
- Einen aktuellen Browser: Chrome, Edge, Firefox oder Safari am Desktop, Chrome unter Android oder Safari unter iOS für NFC.
- Keine PIN am Schlüssel. Hive verlangt nur eine Berührung, Sie müssen also vorher keine FIDO2-PIN setzen.
Die Registrierung bei einer WordPress-Website belegt keinen der Passkey-Speicherplätze auf dem YubiKey. Die Anmeldedaten speichert die Website, ein Schlüssel funktioniert also auf beliebig vielen WordPress-Websites.
Den YubiKey Schritt für Schritt einrichten
Schritt 1: das Profil öffnen
Melden Sie sich an und öffnen Sie Benutzer > Profil. Im Abschnitt Zwei-Faktor-Authentifizierung finden Sie die Zeile Passkey oder Sicherheitsschlüssel mit dem Bereich Sicherheitsschlüssel & Passkeys.
Schritt 2: den Schlüssel benennen
Klicken Sie auf Sicherheitsschlüssel hinzufügen und geben Sie dem Schlüssel einen Namen, den Sie später wiedererkennen, etwa „YubiKey Büro“. Der Name wird wichtig, sobald Sie mehr als einen Schlüssel verwalten.
Schritt 3: registrieren
Klicken Sie auf Sicherheitsschlüssel (USB / NFC). Der Browser öffnet seinen Dialog für Sicherheitsschlüssel. Stecken Sie den YubiKey in den USB-C-Anschluss und berühren Sie den goldenen Kontakt, sobald er blinkt. Am Handy halten Sie den Schlüssel flach an die Rückseite des Geräts. Hive bestätigt mit „Sicherheitsschlüssel registriert.“, und der Schlüssel erscheint in der Liste mit dem Typ Sicherheitsschlüssel.
Beim ersten Einschalten der Zwei-Faktor-Authentifizierung erzeugt Hive außerdem zehn Wiederherstellungscodes. Drucken Sie sie aus oder legen Sie sie jetzt in einem Passwortmanager ab, nicht erst, wenn der Schlüssel weg ist.
So funktioniert die Anmeldung mit dem Schlüssel
Nach dem Passwort zeigt Hive die Seite Bestätigung erforderlich mit dem Tab Passkey. Klicken Sie auf Passkey oder Sicherheitsschlüssel verwenden und berühren Sie dann den Schlüssel. Am Desktop ist das eine Berührung am eingesteckten Schlüssel. Am Handy halten Sie den Schlüssel flach an die Rückseite; bei den meisten Android-Geräten sitzt die NFC-Antenne im oberen Drittel, beim iPhone an der Oberkante. Ist NFC in den Schnelleinstellungen des Handys aus, bietet der Browser statt NFC einen QR-Code an, und das Einschalten von NFC behebt das.
Hive lässt für diesen Schritt zwei Minuten Zeit, genug, um den Schlüssel aus der Tasche zu holen und ans Handy zu halten. Mit Diesem Gerät 30 Tage lang vertrauen überspringt ein persönlicher Rechner den Schlüssel für eine Weile.
Einstellungen für Website-Betreiber
Alle 2FA-Einstellungen liegen unter ReportedIP Hive > Schutz in der Karte Zwei-Faktor-Authentifizierung. Am schnellsten starten Sie über den Schnellstart mit dem Schalter 2FA für Administratoren.
| Einstellung | Voreinstellung | Wirkung |
|---|---|---|
| Zwei-Faktor-Authentifizierung aktiviert | Aus | Hauptschalter für die ganze Website. |
| Erlaubte 2FA-Methoden | Sicherheitsschlüssel erlaubt | Welche Methoden Benutzer wählen dürfen. |
| Rollen mit 2FA-Pflicht | Administrator | Welche Rollen einen zweiten Faktor einrichten müssen. |
| 2FA-Schonfrist (Tage) | 7 | Zeit, die Benutzer für die Einrichtung bekommen. |
| Gültigkeit vertrauenswürdiger Geräte (Tage) | 30 | Wie lange „diesem Gerät vertrauen“ gilt. |
In der einfachen Ansicht sehen Sie nur den Hauptschalter und die Rollen. Die übrigen Felder, auch Erlaubte 2FA-Methoden, erscheinen, sobald Sie auf der Seite Schutz den Expertenmodus einschalten.
Ein Sicherheitsschlüssel pro Konto ist in jedem Tarif kostenlos. Ein zweiter Schlüssel als Ersatz, die automatische Modellerkennung und Mails, wenn ein Schlüssel hinzukommt oder entfernt wird, gehören zum Tarif Business. Die Warnmail bei einer verdächtigen Schlüssel-Anmeldung ist in jedem Tarif enthalten: Läuft der Signaturzähler eines Schlüssels rückwärts, was auf einen kopierten Schlüssel hindeutet, lehnt Hive die Anmeldung ab und informiert den Benutzer per Mail.
In WooCommerce-Shops melden sich Kunden mit ihrem Schlüssel über die normale WordPress-Anmeldung an. Der zweite Schritt im Design des Shops gehört zum Tarif Professional, siehe die Anleitung zu WooCommerce-2FA.
Was tun, wenn ein Schlüssel verloren geht
Jeder Hardware-Schlüssel geht früher oder später verloren. Planen Sie das am Tag der ersten Registrierung ein:
- Wiederherstellungscodes. Jeder der zehn Codes ersetzt den Schlüssel genau einmal. Wählen Sie auf der Anmeldeseite Wiederherstellung.
- Eine zweite Methode. Eine Authenticator-App neben dem Schlüssel hält Sie drin, wenn der Schlüssel nicht greifbar ist.
- Ein Ersatzschlüssel. Im Tarif Business registrieren Sie einen zweiten YubiKey und bewahren ihn an einem sicheren Ort auf.
- Zurücksetzen durch einen Administrator. Ein Administrator öffnet Benutzer, fährt über das Konto und wählt 2FA zurücksetzen. Hive fragt nach einer Bestätigung, protokolliert das Zurücksetzen und informiert den Benutzer per Mail.
Sind Sie wieder drin, entfernen Sie den verlorenen Schlüssel in Ihrem Profil mit Entfernen. Er funktioniert sofort nicht mehr. Hive verweigert das Entfernen Ihres letzten Schlüssels, wenn er Ihre einzige Methode ist und Ihre Rolle 2FA vorschreibt, Sie können sich also nicht versehentlich aussperren.
Staging-Seiten, Subdomains und mehrere Websites
Ein Sicherheitsschlüssel ist an die Domain gebunden, auf der er registriert wurde. Genau das macht ihn phishing-sicher, und es hat drei praktische Folgen:
- Staging-Kopien: Ein auf der Live-Website registrierter Schlüssel funktioniert nicht auf einer Staging-Kopie unter einer anderen Domain. Registrieren Sie den Schlüssel dort separat oder nutzen Sie eine andere Methode.
- Netzwerke mit Subdomains: Ein Schlüssel von shop.example.com funktioniert nicht auf blog.example.com. Bei Multisite-Netzwerken mit Subdomains kann ein Entwickler alle Schlüssel an die gemeinsame Hauptdomain binden. Tun Sie das vor dem Rollout, denn früher registrierte Schlüssel müssen danach neu hinzugefügt werden.
- Mehrere unabhängige Websites: Registrieren Sie denselben YubiKey auf jeder davon. Er funktioniert überall und belegt keinen Speicher auf dem Schlüssel.
YubiKeys im Team oder auf Kunden-Websites einführen
Für eine Agentur, die mehrere Kunden-Websites betreut, ist der Schlüssel selbst der einfache Teil. Die Planung steckt in den Details:
- Zwei Schlüssel pro Person. Drei Administratoren mit je zwei Security Key C NFC ergeben sechs Schlüssel für zusammen 207,06 €. Im Business-Tarif registrieren Sie beide Schlüssel auf jeder Website, in den anderen Tarifen einen Schlüssel plus eine Authenticator-App als zweite Methode.
- Ein Schlüssel für alle Kunden-Websites. Registrieren Sie denselben Schlüssel auf jeder Website. Er belegt keinen Speicher auf dem Schlüssel, eine Obergrenze gibt es also nicht.
- Namen, die den Ort verraten. „YubiKey Büro“ und „YubiKey Tresor“ zeigen auf einen Blick, welcher Schlüssel zu entfernen ist, wenn einer fehlt.
- Eine Schlüsselliste. Notieren Sie, wer welchen Schlüssel hat und auf welchen Websites er registriert ist. Verlässt jemand das Team, entfernen Sie seine Schlüssel auf jeder dieser Websites oder löschen das Konto.
- Erst auf einer Website testen. Probieren Sie die Einführung auf einer Website und ihrer Staging-Kopie, bevor Sie 2FA für alle Administratoren verpflichtend machen.
Wie Sie 2FA für ein ganzes Team mit Übergangsfrist verpflichtend machen, beschreibt der Passkey-Leitfaden.
Häufige Fehlermeldungen und was sie bedeuten
| Meldung | Ursache | Lösung |
|---|---|---|
| Die Anfrage ist abgelaufen oder wurde abgebrochen. | Der Schlüssel wurde nicht rechtzeitig berührt, der Dialog geschlossen oder der Schlüssel an die falsche Stelle des Handys gehalten. | Erneut versuchen und den Schlüssel berühren, wenn er blinkt. |
| Die Domain dieser Seite passt nicht zur Registrierung des Schlüssels. | Die Seite läuft unter einer anderen Adresse, etwa mit oder ohne www. | Unter der Adresse anmelden, auf der der Schlüssel registriert wurde. |
| Dieser Schlüssel ist für dieses Konto bereits registriert. | Derselbe YubiKey wurde ein zweites Mal hinzugefügt. | Nichts zu tun, der Schlüssel funktioniert bereits. |
| Unbekannter Sicherheitsschlüssel. | Der Schlüssel gehört zu einem anderen Konto oder wurde entfernt. | Den richtigen Schlüssel oder eine andere Methode verwenden. |
| Sicherheitsschlüssel sind auf dieser Website nicht verfügbar. | Der Betreiber hat die Methode nicht erlaubt. | Unter Erlaubte 2FA-Methoden im Expertenmodus freigeben. |
| Mehrere Sicherheitsschlüssel pro Konto erfordern den Business-Tarif. | Ein zweiter Schlüssel in einem kleineren Tarif. | Bei einem Schlüssel bleiben oder auf Business wechseln. |
| Zu viele Registrierungsversuche. Bitte warten Sie einige Minuten. | Viele Registrierungsversuche hintereinander. | Kurz warten, dann erneut versuchen. |
Ein Symptom ist gar kein Fehler: eine Zeichenfolge, die mit cccc beginnt, im Passwortfeld. Das ist ein Yubico-OTP-Code, den der Schlüssel eingetippt hat, weil er berührt wurde, während ein Textfeld aktiv war. Leeren Sie das Feld und starten Sie die Anmeldung stattdessen über die Schaltfläche. Allgemeinere Probleme wie fehlendes HTTPS behandelt die Anleitung zu Passkeys.
Fragen zum YubiKey und WordPress
Funktioniert der YubiKey 5C NFC mit einem iPhone?
Der YubiKey 5C NFC funktioniert mit einem iPhone auf zwei Wegen: per NFC, indem Sie den Schlüssel an die Oberkante des Telefons halten, oder eingesteckt in den USB-C-Anschluss neuerer Modelle. Safari zeigt dafür einen Systemdialog. Die WordPress-Anmeldung mit Hive läuft genauso wie am Desktop.
Brauche ich für einen YubiKey einen bezahlten Tarif?
Ein Sicherheitsschlüssel pro Konto ist in jedem Hive-Tarif kostenlos, einschließlich der Warnung vor kopierten Schlüsseln. Der Tarif Business ergänzt einen zweiten Schlüssel als Ersatz, die Modellerkennung und Mails bei Änderungen an Schlüsseln. Der zweite Faktor im Design des WooCommerce-Shops gehört zum Tarif Professional.
Belegt die Registrierung einer Website Speicher auf dem YubiKey?
Die Registrierung einer WordPress-Website mit Hive belegt keinen Passkey-Speicher auf dem YubiKey, weil die Website die Anmeldedaten speichert. Ein Schlüssel kann deshalb beliebig viele WordPress-Websites schützen. Den Speicher auf dem Schlüssel nutzen nur Dienste, die einen Passkey direkt darauf ablegen.
Was passiert, wenn ich meinen einzigen YubiKey verliere?
Melden Sie sich mit einem der zehn Wiederherstellungscodes oder einer zweiten Methode wie einer Authenticator-App an und entfernen Sie dann den verlorenen Schlüssel aus Ihrem Profil. Fehlt beides, kann ein Administrator Ihre Zwei-Faktor-Authentifizierung unter Benutzer zurücksetzen. Hive protokolliert das und informiert Sie per E-Mail.
Reicht der günstigere Security Key für WordPress?
Ja. Der Security Key C NFC beherrscht FIDO2 und U2F, und mehr nutzt die WordPress-Anmeldung mit Hive nicht. Er kostet im Yubico-Shop für Deutschland 34,51 € (29. Oktober 2026), halb so viel wie der YubiKey 5C NFC. Die 5er-Serie lohnt sich nur, wenn Sie zusätzlich OTP, PIV oder OpenPGP brauchen.
Braucht der YubiKey für die WordPress-Anmeldung eine PIN?
Nein. Hive verlangt nur eine Berührung, weil das Passwort schon der erste Faktor ist. Die FIDO2-PIN des Schlüssels bleibt ungenutzt, solange ein Entwickler die Website nicht auf verpflichtende Benutzerverifizierung einstellt.
Weiterlesen
Die Hive-Dokumentation beschreibt Hardware-Schlüssel und die Zwei-Faktor-Authentifizierung im Detail. Alle weiteren Funktionen erklären die Anleitungen zu ReportedIP Hive.