Ein Angreifer, der bei einer WordPress-Site am Login scheitert, ist auf allen anderen Sites mit Hive schon gesperrt, bevor er dort den ersten Versuch macht. Dazu kommen 16 Sensoren mit Firewall und 2FA per App, Passkey, E-Mail oder SMS, die auch das Zurücksetzen des Passworts absichert. Kostenlos und Open Source, entwickelt und gehostet in Deutschland.
Kostenlos im WordPress-Plugin-Verzeichnis: in WordPress unter Plugins → Neues Plugin hinzufügen nach „ReportedIP Hive“ suchen. Kein Konto nötig. Tarife vergleichen
Ein Plugin, kein zweites Abonnement. Der Kern aus Erkennung und Identität ist in jedem Modus kostenlos und steht unter der GPL 2.0, kostenpflichtige Tarife ergänzen die verwalteten Relays, die Flottenverwaltung und eine Handvoll fortgeschrittener Module. Nichts auf dieser Liste ist ein Köder für eine Funktion, die sich später als gesperrt herausstellt.
Die Markierung nennt den günstigsten Tarif, in dem die Funktion enthalten ist.
Jede Angriffsfläche, die tatsächlich genutzt wird, hat ihren eigenen Sensor, ihren eigenen Schwellwert und ihren eigenen Schalter. Dies ist die vollständige Liste, in der Reihenfolge des Plugins. Keiner davon braucht das Community Network, um zu arbeiten.
16Im Detail So funktionieren die Sensoren Innerhalb der Firewall
Die Erkennung ist nur die halbe Miete. Ob ein Sicherheits-Plugin bleibt oder wieder fliegt, entscheidet sich daran, wie es mit dem Besucher umgeht, der versehentlich einen Sensor ausgelöst hat.
9Im Detail Progressive IP-Sperrung Hardening Mode Gruppen Tor-Sperre und echte Client-IPs
WordPress bringt Eingänge mit, die die meisten Websites nie benutzen, und jeder Scanner klopft dort zuerst an. Jeder Schalter unten ist aus, bis Sie ihn setzen, und lässt sich an derselben Stelle zurücknehmen.
12Vier zweite Faktoren, drei davon kostenlos und auch offline nutzbar. Auch das Zurücksetzen ist abgedeckt, denn wer das Postfach hat, braucht das Passwort nicht.
14Im Detail Die vier Methoden Passkeys und WebAuthn YubiKey in der Praxis WooCommerce 2FA Verwaltete E-Mail- und SMS-Weiterleitung
Ein Spam-Schutz, den kein Besucher bemerkt. Kein Rätsel, kein Bild zum Entziffern. Geprüft wird, ob ein Browser das Formular wirklich dargestellt hat, und ob die Adresse dahinter eine ist, der die Website die Anmeldung verweigern würde.
9Im Detail Honeypot-Formular Gravity Forms ohne Captcha Decoy Paths WPForms und Forminator ohne Captcha
Was das Plugin dem bietet, der es betreiben muss, auf einer Website oder auf fünfzig. Alles in dieser Gruppe ist über die Kommandozeile genauso erreichbar wie über den Bildschirm.
14Im Detail Multisite-Härtung Die Schnellstartanleitung
Hive läuft auf Wunsch vollständig offline. Das Community Network ist Ihre Entscheidung und keine Voreinstellung, die Sie später entdecken, und jedes Feld, das gesendet wird, ist dokumentiert.
10Standardmäßig ist der Betrieb vollständig offline. Das Community Network ist freiwillig und niemals verpflichtend.
Alle 16 Sensoren und die gesamte 2FA-Suite laufen lokal auf Ihrem eigenen Server. Keine externen Aufrufe, keine Telemetrie, kein API Key.
Standardmäßig nach der Installation. Jederzeit umstellbar.
IP-Reputationsabfragen vor der Authentifizierung anhand der öffentlichen Datenbank. Coordinated-Attack Detection über alle Websites im Netzwerk hinweg. Anonymisierte Reports werden zurückgemeldet, sodass jeder Angriff das Netzwerk intelligenter macht.
Ein kostenloses Konto bei ReportedIP.com ist erforderlich. Für immer kostenlos.
Ein gestohlenes E-Mail-Konto sollte kein Hauptschlüssel für Ihre WordPress-Website sein. Hive umgibt den Ablauf bei Passwortverlust mit derselben 2FA-Sperre wie der Login, und der Wiederherstellungskanal (E-Mail) wird von den zulässigen Methoden ausgeschlossen, da der Link zum Zurücksetzen selbst per E-Mail versendet wird.
E-Mail von der 2FA-Bestätigung beim Zurücksetzen ausgeschlossen
Ein kompromittiertes E-Mail-Konto kann nicht gleichzeitig als zweiter Faktor dienen. Der Link zur Passwortzurücksetzung und die 2FA-Bestätigung müssen über unterschiedliche Kanäle erfolgen: TOTP, Passkey, SMS oder ein Einmal-Recovery Code.
Zweistufiger WordPress-Hook
Zweimalige Überprüfung: einmal beim Laden des Zurücksetzungsformulars, einmal bei password_reset. Ein direkter POST-Aufruf an das Zurücksetzungsformular ohne verifiziertes Token endet sofort mit WP_Error.
Gebunden an Benutzer + Schlüssel + IP
Der Transient „verified-reset“ ist an die Benutzer-ID, den gehashten Reset-Schlüssel und die gehashte Client-IP gebunden. Wird bei der ersten Verwendung verbraucht und läuft nach 10 Minuten ab.
Keine separate Angriffsfläche für Brute-Force-Angriffe
Fehlgeschlagene Versuche zur Zurücksetzungs-Challenge fließen in dieselbe IP-Drosselung ein, die bereits wp-login.php schützt. Optionale Sperre für Konten, die nur über E-Mail-2FA verfügen, einschließlich Benachrichtigung des Administrators.
Die meisten Sicherheits-Plugins werden pro einzelner Website lizenziert. Hive wird pro Tarif lizenziert, je mehr Websites Sie betreiben, desto geringer sind die Kosten pro Website. Alle Preise verstehen sich inklusive 19 % MwSt.; der Enterprise-Tarif wird netto angegeben (B2B).
| Tarif | Preis | Websites | € / Domain | Highlights |
|---|---|---|---|---|
| Kostenlos | 0 € | 1 | 0 € | Alle 16 Sensoren inkl. WAF + 2FA, Local Shield |
| Professional | 14,90 €/Monat | 3 | 4,97 € | Verwalteter Mail Relay-/SMS Relay, Hardening Mode |
| Business | 39 €/Monat | 15 | 2,60 € | White-label, vollständiges WP-CLI, DSGVO-Export |
| Enterprise | ab 663 €/Monat (netto) | Unbegrenzt | – | Individuelles AVV, dediziertes Onboarding |
Jeder Sensor und jede 2FA-Methode ist im Open-Source-Kern integriert und bleibt kostenlos. Bezahlte Tarife umfassen die verwaltete E-Mail-/SMS-Zustellung, Lizenzen für mehrere Websites und höhere API-Kontingente, niemals jedoch die Sicherheit selbst. Der Relay-Dienst läuft auf ausschließlich in der EU ansässigen Unterauftragsverarbeitern im Rahmen einer unterzeichneten Datenschutzvereinbarung (DPA). Bei jährlicher Abrechnung sparen Sie 17 % (149 €/Jahr für „Professional“, 389 €/Jahr für „Business“).
Die meisten Wettbewerber lizenzieren pro einzelner Website, ihr Preis pro Domain sinkt also nie. Listenpreise geprüft am 20. Oktober 2026 auf den Preisseiten der Anbieter. Die Hive-Preise enthalten 19 % MwSt., die anderen Anbieter verkaufen in US-Dollar.
| Plugin | Einstiegspreis | Websites pro Lizenz | SMS-2FA | Unternehmenssitz |
|---|---|---|---|---|
| ReportedIP Hive Professional | 149 € im Jahr | 3 | Inklusive, 25 pro Monat | Deutschland |
| ReportedIP Hive Business | 389 € im Jahr | 15 | Inklusive, 75 pro Monat | Deutschland |
| Wordfence Premium | 149 US$ im Jahr | 1 | Nicht angeboten | USA |
| Solid Security Pro | Kein Einzelpreis | Im Hosting von Liquid Web enthalten | Nicht angegeben | USA |
| MalCare Protect | 99 US$ im Jahr | 1 | Nicht angegeben | Indien |
| Patchstack Developer | 69 US$ im Monat, jährlich abgerechnet | Je nach Tarif | Nicht angegeben | Estland |
Von diesen Anbietern sind nur ReportedIP und Patchstack Unternehmen aus der EU. Hive speichert und verarbeitet Daten in Deutschland auf Basis eines unterzeichneten Vertrags zur Auftragsverarbeitung. Ausführliche Vergleiche: Wordfence, Solid Security, MalCare, Patchstack.
Der Kernschutz ist in allen Tarifen identisch. Bezahlte Tarife umfassen zusätzlich verwaltete E-Mail-/SMS-Weiterleitung, Lizenzen für mehrere Websites und höhere API-Kontingente, niemals jedoch die Sicherheit selbst. Alle Preise verstehen sich inkl. 19 % MwSt.
Das Hive-Plugin ist dauerhaft kostenlos und Open Source, und schon der Free-Tarif enthält die öffentliche API mit 1.000 Checks pro Tag. Die kostenpflichtigen Tarife umfassen einen verwalteten 2FA-Mail- und SMS-Relay-Dienst, die Verwaltung mehrerer Websites sowie höhere API-Kontingente.
Lokaler Schutz, dauerhaft kostenlos
Einzelentwickler und kleine Websites
14-tägige Geld-zurück-Garantie. Sie können jederzeit kündigen.
Agenturen, WooCommerce, White-label
14-tägige Geld-zurück-Garantie. Sie können jederzeit kündigen.
Enthält die Stufen „Contributor“ und „Enterprise“ sowie die vollständige Vergleichstabelle der Funktionen.
Entwickelt für Freiberufler und Agenturen, die mehr als eine WordPress-Website sichern.
Kein Composer, kein Build-Schritt, keine externen Abhängigkeiten. Der Schnellstart erledigt den Rest.
In WordPress unter Plugins → Neues Plugin hinzufügen nach „ReportedIP Hive“ suchen und auf Jetzt installieren klicken.
Lieber als Datei? ZIP herunterladen und über Plugin hochladen einspielen.
Plugin aktivieren. Der Schnellstart öffnet sich automatisch.
Wählen Sie „Local Shield“ oder „Community Network“. Aktivieren Sie die 2FA-Rollen. Fertig. Updates kommen wie bei jedem anderen Plugin über WordPress.org.
Speziell zum WordPress-Plugin. Bei plattformübergreifenden Fragen lesen Sie bitte die allgemeine FAQ.
Ja. Hive wird netzwerkweit aktiviert und verfolgt Angriffe auf Einzelseiten, wobei optional eine globale Blocklist netzwerkweit geteilt werden kann. Die Multisite-Lizenz (Professional = 3 Seiten, Business = 15 Seiten) legt fest, wie viele unabhängige Seiten den verwalteten Mail Relay-/SMS Relay-Dienst nutzen können.
Das kostenlose Plugin aktualisiert sich über WordPress.org und erscheint im WordPress-Dashboard wie jedes andere Plugin. Ein Klick, und Sie sind aktuell. Das Add-on Hive Pro der bezahlten Tarife fragt alle 12 Stunden mit Ihrem Community Access Key bei reportedip.com nach einer neuen Version.
Nein. Die Sensorzähler nutzen einen Objekt-Cache (Redis, sofern verfügbar) mit Zugriffszeiten im Millisekundenbereich. Antworten der Reputation-API werden lokal mit ETag-Unterstützung zwischengespeichert, um Credits zu sparen. Das Admin-Dashboard wird bei Bedarf geladen, niemals im Frontend.
Ja. Alle Admin- und Login-Seiten des Plugins werden automatisch vom Seitencache ausgeschlossen. Reputation-Abfragen erfolgen serverseitig, bevor WordPress die Seite rendert, sodass zwischengespeicherte Seiten unverändert ausgeliefert werden. Wir führen bei jeder Veröffentlichung Tests mit WP Rocket durch.
Ja. Jede Listentabelle (Blockierte IPs, Whitelists, Protokolle, API-Warteschlange, 2FA-Raster) unterstützt den CSV- und JSON-Export über die Admin-Benutzeroberfläche. WP-CLI-Befehle decken dieselben Vorgänge zur Automatisierung ab (vollständiges WP-CLI in Business+).
Der Schutz ist niemals kostenpflichtig: Alle sechzehn Sensoren sind Teil des Open-Source-Kerns und bleiben für immer kostenlos, in jedem Tarif, ebenso wie TOTP, E-Mail und WebAuthn als 2FA; SMS-2FA wird ab dem „Professional“-Tarif über den verwalteten Relay-Dienst bereitgestellt. Kostenpflichtige Tarife (Professional-Tarif 14,90 €/Monat, Business-Tarif 39 €/Monat) bieten zusätzliche Komfortfunktionen, verwaltete 2FA-E-Mail- und SMS-Zustellung, Lizenzen für mehrere Websites (3 oder 15 Domains pro Lizenz), höhere API-Kontingente, den „Hardening Mode“, White-label-Funktionen sowie vollständige WP-CLI-Unterstützung. Alle Preise verstehen sich inkl. 19 % MwSt.
Sie können die kostenlose Version unbegrenzt nutzen. Bezahlte Tarife beinhalten eine freiwillige 14-tägige Geld-zurück-Garantie (gemäß § 12 unserer AGB, ausgenommen bereits verbrauchte SMS- oder Mail Bundle-Guthaben), und Sie können jederzeit über das Dashboard kündigen.
Release Notes, Anleitungen und Reports, die neuesten zuerst.
Drei Websites für 14,90 €/Monat, verwaltete 2FA-Bereitstellung, Multi-Site-Lizenzierung und Hardening Mode. 14-tägige Geld-zurück-Garantie, jederzeit kündbar.
