Echtzeit-IP-Reputation aus einem Community Network, sechzehn Attack Sensors einschließlich einer Web Application Firewall und einer Vier-Methoden-Zwei-Faktor-Authentifizierung. Open-Source-Kern, in der EU gehostetes Relay, DSGVO-konforme DPA, entwickelt und betrieben in Deutschland.
Das Plugin selbst ist kostenlos: vollständiger lokaler Schutz, ohne Registrierung, ohne Konto. Die bezahlten Tarife ergänzen das verwaltete Relay. Tarife vergleichen
Ein Plugin, kein zweites Abonnement. Der Kern aus Erkennung und Identität ist in jedem Modus kostenlos und steht unter der GPL 2.0, kostenpflichtige Tarife ergänzen die verwalteten Relays, die Flottenverwaltung und eine Handvoll fortgeschrittener Module. Nichts auf dieser Liste ist ein Köder für eine Funktion, die sich später als gesperrt herausstellt.
Die Markierung nennt den günstigsten Tarif, in dem die Funktion enthalten ist.
Jede Angriffsfläche, die tatsächlich genutzt wird, hat ihren eigenen Sensor, ihren eigenen Schwellwert und ihren eigenen Schalter. Dies ist die vollständige Liste, in der Reihenfolge des Plugins. Keiner davon braucht das Community Network, um zu arbeiten.
16Im Detail So funktionieren die Sensoren Innerhalb der Firewall
Die Erkennung ist nur die halbe Miete. Ob ein Sicherheits-Plugin bleibt oder wieder fliegt, entscheidet sich daran, wie es mit dem Besucher umgeht, der versehentlich einen Sensor ausgelöst hat.
8Im Detail Progressive IP-Sperrung Hardening Mode
WordPress bringt Eingänge mit, die die meisten Websites nie benutzen, und jeder Scanner klopft dort zuerst an. Jeder Schalter unten ist aus, bis Sie ihn setzen, und lässt sich an derselben Stelle zurücknehmen.
12Im Detail Innerhalb der Firewall
Vier zweite Faktoren, drei davon kostenlos und auch offline nutzbar. Auch das Zurücksetzen ist abgedeckt, denn wer das Postfach hat, braucht das Passwort nicht.
14Im Detail Die vier Methoden Passkeys und WebAuthn YubiKey in der Praxis WooCommerce 2FA Verwaltete E-Mail- und SMS-Weiterleitung
Ein Spam-Schutz, den kein Besucher bemerkt. Kein Rätsel, kein Bild zum Entziffern. Geprüft wird, ob ein Browser das Formular wirklich dargestellt hat, und ob die Adresse dahinter eine ist, der die Website die Anmeldung verweigern würde.
9Im Detail Honeypot-Formular Decoy Paths
Was das Plugin dem bietet, der es betreiben muss, auf einer Website oder auf fünfzig. Alles in dieser Gruppe ist über die Kommandozeile genauso erreichbar wie über den Bildschirm.
14Im Detail Multisite-Sicherheitsoptimierung für mehrere Standorte Die Schnellstartanleitung
Hive läuft auf Wunsch vollständig offline. Das Community Network ist Ihre Entscheidung und keine Voreinstellung, die Sie später entdecken, und jedes Feld, das gesendet wird, ist dokumentiert.
10Standardmäßig ist der Betrieb vollständig offline. Das Community Network ist freiwillig und niemals verpflichtend.
Alle 16 Sensoren und die gesamte 2FA-Suite laufen lokal auf Ihrem eigenen Server. Keine externen Aufrufe, keine Telemetrie, kein API Key.
Standardmäßig nach der Installation. Jederzeit umstellbar.
IP-Reputationsabfragen vor der Authentifizierung anhand der öffentlichen Datenbank. Coordinated-Attack Detection über Tausende von Websites hinweg. Anonymisierte Reports werden zurückgemeldet, sodass jeder Angriff das Netzwerk intelligenter macht.
Ein kostenloses Konto bei ReportedIP.com ist erforderlich. Für immer kostenlos.
Ein gestohlenes E-Mail-Konto sollte kein Hauptschlüssel für Ihre WordPress-Website sein. Hive umgibt den Ablauf bei Passwortverlust mit derselben 2FA-Sperre wie der Login, und der Wiederherstellungskanal (E-Mail) wird von den zulässigen Methoden ausgeschlossen, da der Link zum Zurücksetzen selbst per E-Mail versendet wird.
E-Mail von der 2FA-Bestätigung beim Zurücksetzen ausgeschlossen
Ein kompromittiertes E-Mail-Konto kann nicht gleichzeitig als zweiter Faktor dienen. Der Link zur Passwortzurücksetzung und die 2FA-Bestätigung müssen über unterschiedliche Kanäle erfolgen: TOTP, Passkey, SMS oder ein Einmal-Recovery Code.
Zweistufiger WordPress-Hook
Zweimalige Überprüfung: einmal beim Laden des Zurücksetzungsformulars, einmal bei password_reset. Ein direkter POST-Aufruf an das Zurücksetzungsformular ohne verifiziertes Token führt WP_Error sofort.
Gebunden an Benutzer + Schlüssel + IP
Der Transient „verified-reset“ ist an die Benutzer-ID, den gehashten Reset-Schlüssel und die gehashte Client-IP gebunden. Wird bei der ersten Verwendung verbraucht und läuft nach 10 Minuten ab.
Keine separate Angriffsfläche für Brute-Force-Angriffe
Fehlgeschlagene Versuche zur Zurücksetzungs-Challenge fließen in dieselbe IP-Drosselung ein, die bereits Schutz bietet wp-login.php. Optionale Sperre für Konten, die nur über E-Mail-2FA verfügen, einschließlich Benachrichtigung des Administrators.
Die meisten Sicherheits-Plugins werden pro einzelner Website lizenziert. Hive wird pro Tarif lizenziert, je mehr Websites Sie betreiben, desto geringer sind die Kosten pro Website. Alle Preise verstehen sich inklusive 19 % MwSt.; der Enterprise-Tarif wird netto angegeben (B2B).
| Tarif | Preis | Websites | € / Domain | Highlights |
|---|---|---|---|---|
| Kostenlos | 0 € | 1 | 0 € | Alle 16 Sensoren inkl. WAF + 2FA, Local Shield |
| Professional | 14,90 €/Monat | 3 | 4,97 € | Verwalteter Mail Relay-/SMS Relay, Hardening Mode |
| Business | 39 €/Monat | 15 | 2,60 € | White-label, vollständiges WP-CLI, DSGVO-Export |
| Enterprise | ab 663 €/Monat (netto) | Unbegrenzt | – | Individuelles AVV, dediziertes Onboarding |
Jeder Sensor und jede 2FA-Methode ist im Open-Source-Kern integriert und bleibt kostenlos. Bezahlte Tarife umfassen die verwaltete E-Mail-/SMS-Zustellung, Lizenzen für mehrere Websites und höhere API-Kontingente, niemals jedoch die Sicherheit selbst. Der Relay-Dienst läuft auf ausschließlich in der EU ansässigen Unterauftragsverarbeitern im Rahmen einer unterzeichneten Datenschutzvereinbarung (DPA). Bei jährlicher Abrechnung sparen Sie 17 % (149 €/Jahr für „Professional“, 389 €/Jahr für „Business“).
Wettbewerber lizenzieren pro einzelner Website, sodass ihr Preis pro Domain niemals sinkt. Listenpreise Stand April 2026, USD umgerechnet in Euro, Bruttopreise, sofern ein Anbieter an Verbraucher verkauft.
| Plugin | € / Domain / Monat | 2FA-Mail Relay | SMS-2FA | Regeln im Free-Tarif eingeschränkt |
|---|---|---|---|---|
| ReportedIP Hive Professional | 4,97 € | Inklusive, 500/Monat | Inklusive, 25 pro Monat | Keine Einschränkungen |
| ReportedIP Hive Business | 2,60 € | Inklusive, 2.500 pro Monat | Inklusive, 75 pro Monat | Keine Einschränkungen |
| Wordfence Premium | 8,30 € | Nein | Nein | Firewall Rules und Malware-Signaturen mit 30 Tagen Verzögerung |
| Solid Security PRO | 8,30 € | Nein | Nein | Ja |
| WP 2FA Premium | 8,30 € | Nein | Nur mit Ihrem eigenen Twilio-Konto | Ja |
| MalCare PRO | 11,75 € | Nein | Nein | Ja |
| Patchstack Plus | 17,00 € | Nein | Nein | Ja |
Alle hier genannten Anbieter nutzen eine Infrastruktur in den USA. Hive speichert und verarbeitet Daten in der EU im Rahmen einer unterzeichneten Datenschutzvereinbarung (DPA). Lesen Sie den vollständigen Vergleich zwischen Hive und Wordfence.
Der Kernschutz ist in allen Tarifen identisch. Bezahlte Tarife umfassen zusätzlich verwaltete E-Mail-/SMS-Weiterleitung, Lizenzen für mehrere Websites und höhere API-Kontingente, niemals jedoch die Sicherheit selbst. Alle Preise verstehen sich inkl. 19 % MwSt.
Das Hive-Plugin ist dauerhaft kostenlos und Open Source, und schon der Free-Tarif enthält die öffentliche API mit 1.000 Checks pro Tag. Die kostenpflichtigen Tarife umfassen einen verwalteten 2FA-Mail- und SMS-Relay-Dienst, die Verwaltung mehrerer Websites sowie höhere API-Kontingente.
Lokaler Schutz, dauerhaft kostenlos
Einzelentwickler und kleine Websites
14-tägige Geld-zurück-Garantie. Sie können jederzeit kündigen.
Agenturen, WooCommerce, White-label
14-tägige Geld-zurück-Garantie. Sie können jederzeit kündigen.
Enthält die Stufen „Contributor“ und „Enterprise“ sowie die vollständige Vergleichstabelle der Funktionen.
Entwickelt für Freiberufler und Agenturen, die mehr als eine WordPress-Website sichern.
Kein Composer, kein Build-Schritt, keine externen Abhängigkeiten. Der Schnellstart erledigt den Rest.
Eine Datei, reportedip-hive.zip. Speichern Sie sie dort, wo Sie sie wiederfinden.
Im WP-Admin-Bereich: Plugins → Neu hinzufügen → Plugin hochladen. Wählen Sie die ZIP-Datei aus und aktivieren Sie das Plugin. Der Schnellstart öffnet sich automatisch.
Wählen Sie „Local Shield“ oder „Community Network“. Aktivieren Sie die 2FA-Rollen. Fertig. Automatische Updates erfolgen über den GitHub Plugin Update Checker (PUC v5.6+).
Speziell zum WordPress-Plugin. Bei plattformübergreifenden Fragen lesen Sie bitte die allgemeine FAQ.
Ja. Hive wird netzwerkweit aktiviert und verfolgt Angriffe auf Einzelseiten, wobei optional eine globale Blocklist netzwerkweit geteilt werden kann. Die Multisite-Lizenz (Hive PRO = 3 Seiten, Business = 15 Seiten) legt fest, wie viele unabhängige Seiten den verwalteten Mail Relay-/SMS Relay-Dienst nutzen können.
Hive wird mit dem Plugin Update Checker (PUC v5.6+) ausgeliefert. Das Plugin überprüft alle 12 Stunden die GitHub Releases. Wenn Sie ein neues vX.Y.Z Tag hochladen, erstellt eine GitHub-Action die ZIP-Datei, und das WordPress-Dashboard zeigt das Update wie jedes andere Plugin von WordPress.org an.
Nein. Die Sensorzähler nutzen einen Objekt-Cache (Redis, sofern verfügbar) mit Zugriffszeiten im Millisekundenbereich. Antworten der Reputation-API werden lokal mit ETag-Unterstützung zwischengespeichert, um Credits zu sparen. Das Admin-Dashboard wird bei Bedarf geladen, niemals im Frontend.
Ja. Alle Admin- und Login-Seiten des Plugins werden automatisch vom Seitencache ausgeschlossen. Reputation-Abfragen erfolgen serverseitig, bevor WordPress die Seite rendert, sodass zwischengespeicherte Seiten unverändert ausgeliefert werden. Wir führen bei jeder Veröffentlichung Tests mit WP Rocket durch.
Ja. Jede Listentabelle (Blockierte IPs, Whitelists, Protokolle, API-Warteschlange, 2FA-Raster) unterstützt den CSV- und JSON-Export über die Admin-Benutzeroberfläche. WP-CLI-Befehle decken dieselben Vorgänge zur Automatisierung ab (vollständiges WP-CLI in Business+).
Der Schutz ist niemals kostenpflichtig: Alle sechzehn Sensoren sind Teil des Open-Source-Kerns und bleiben für immer kostenlos, in jedem Tarif, ebenso wie TOTP, E-Mail und WebAuthn als 2FA; SMS-2FA wird ab dem „Professional“-Tarif über den verwalteten Relay-Dienst bereitgestellt. Kostenpflichtige Tarife (Professional-Tarif 14,90 €/Monat, Business-Tarif 39 €/Monat) bieten zusätzliche Komfortfunktionen, verwaltete 2FA-E-Mail- und SMS-Zustellung, Lizenzen für mehrere Websites (3 oder 15 Domains pro Lizenz), höhere API-Kontingente, den „Hardening Mode“, White-label-Funktionen sowie vollständige WP-CLI-Unterstützung. Alle Preise verstehen sich inkl. 19 % MwSt.
Sie können die kostenlose Version unbegrenzt nutzen. Bezahlte Tarife beinhalten eine freiwillige 14-tägige Geld-zurück-Garantie (gemäß § 12 unserer AGB, ausgenommen bereits verbrauchte SMS- oder Mail Bundle-Guthaben), und Sie können jederzeit über das Dashboard kündigen.
Drei Websites für 14,90 €/Monat, verwaltete 2FA-Bereitstellung, Multi-Site-Lizenzierung und Hardening Mode. 14-tägige Geld-zurück-Garantie, jederzeit kündbar.
