Meine Empfehlung für die meisten Selbstständigen: ein Admin, und zwar du. Ein zweites Administrator-Konto brauchst du nur, wenn jemand anderes Admin-Rechte für deine Website benötigt, zum Beispiel Dienstleister*innen für einen Auftrag. Alle anderen bekommen eine kleinere Rolle.
Ich bin keine IT-Sicherheitsexpertin. Das hier ist meine Empfehlung aus der Praxis mit vielen WordPress-Websites.
Warum jeder zusätzliche Admin deine Angriffsfläche vergrößert
Ein Admin-Konto kann alles an deiner Website ändern: Plugins installieren, Seiten löschen, weitere Konten anlegen. Prüf deshalb regelmäßig, wer Admin-Rechte auf deiner Website hat.
Riskant werden Admin-Konten, die niemand nutzt und niemand im Blick hat, etwa ein Test-Konto von vor drei Jahren oder der Zugang einer Agentur, die längst fertig mit ihren Aufgaben ist.
Warum ein Admin genügt
Manche legen sich zusätzlich ein zweites Admin-Konto als Notfallzugang an. Ich empfehle das nicht. Du kommst im Notfall auch auf anderen Wegen wieder in dein WordPress-Dashboard und jedes weitere Admin-Konto ist eine weitere Angriffsfläche.
Wenn du dein Passwort vergessen hast, bekommst du per E-Mail einen Link, mit dem du ein neues Passwort festlegst. Kommt keine Mail an, setzt du das Passwort über dein Hosting-Konto oder direkt in der Datenbank zurück. Auch der Support deines Hosters hilft dir weiter.
Dafür brauchst du Zugang zu deinem E-Mail-Postfach und zu deinem Hosting-Konto. Sichere beides genauso gut ab wie dein WordPress-Konto. Gut absichern heißt:
- Sicheres Passwort aus mindestens 14 Zeichen bestehend aus einer Kombination aus Groß-, Kleinbuchstaben, Ziffern UND Sonderzeichen.
- Zwei-Faktor-Authentifizierung einrichten, wenn möglich
Wann ein zweiter Admin sinnvoll ist
Arbeitet jemand anderes an deiner Website und braucht dafür Admin-Rechte, bekommt die Person ein eigenes Konto. Das Teilen deiner eigenen Login-Daten hat mehrere Nachteile:
- Die Zwei-Faktor-Authentifizierung funktioniert nicht.
Der Code landet auf deinem Handy. Entweder gibst du jedes Mal Codes weiter oder du schaltest die 2FA für das Konto ab. Beides schwächt den Schutz, den du damit aufgebaut hast.
- Die Person kann dich aussperren.
Wer als Admin im Konto ist, kann die E-Mail-Adresse und das Passwort ändern. Dann kommen Reset-Mails nicht mehr bei dir an. Mit einem eigenen Konto kann sie das bei deinem Konto nicht.
- Das Passwort wandert unkontrolliert weiter.
Du schickst es per Mail oder Messenger, die Person speichert es im Browser oder gibt es an eine Kollegin weiter. Du weißt danach nicht mehr, wo es überall liegt.
- Zwei Personen arbeiten im selben Beitrag.
WordPress warnt, wenn ein anderes Konto einen Beitrag gerade bearbeitet. Bei einem geteilten Konto fehlt die Warnung, und ihr überschreibt eure Änderungen möglicherweise gegenseitig.
Wie viele Admins brauchst du in welcher Situation?
| Situation | Empfehlung |
|---|---|
| Du arbeitest allein an deiner Website | Admin-Rolle für dich, keine weiteren Benutzer |
| Entwickler*innen oder eine Agentur helfen dir bei einem Auftrag | Admin-Rolle für dich, zweites Admin-Konto für die Dauer des Auftrags, danach Rolle herunterstufen oder Benutzer löschen |
| Eine virtuelle Assistentin schreibt Beiträge und pflegt Seiten | Admin-Rolle für dich, Rolle Redakteur oder Autor für deine VA |
| Jemand betreut Plugins und Einstellungen dauerhaft | Admin-Rolle für dich, zweites Admin-Konto für die Person |
Frag dich vor dem Anlegen eines jeden neuen Admin-Kontos, ob die Rolle „Redakteur“ nicht auch ausreicht. Zum Erstellen von neuen Seiten und Beiträgen genügt sie. Erst, wenn jemand z.B. neue Plugins installieren und einrichten soll, braucht es die Rolle Administrator.
Optional: Ein Konto für den Alltag
Auch für dich selbst kann ein zweites Konto mit weniger Rechten sinnvoll sein. Zum Schreiben von Beiträgen und Pflegen von Seiten nutzt du dann die Rolle „Redakteur“. Sie kann keine Plugins installieren und keine Einstellungen ändern. Passiert bei diesem Konto ein Klickfehler oder wird es geknackt, bleibt der Schaden kleiner.
Manche Plugins verlangen für ihre Einstellungen trotzdem Admin-Rechte, dafür meldest du dich dann mit deinem Admin-Konto an.
So sicherst du dein eigenes Admin-Konto ab
- Verwende ein starkes Passwort, das du nur für diese Website nutzt, und speichere es in deinem Passwortmanager.
- Aktiviere die Zwei-Faktor-Authentifizierung (2FA).
WordPress hat sie nicht eingebaut, dafür gibt es Plugins wie Wordfence oder WP 2FA.
- Speichere die Backup-Codes der 2FA an einem sicheren Ort.
Sie sind dein Backup, wenn das Handy mit der 2FA weg ist. Falls du sie nicht findest, gibt es aber auch noch einen Weg über dein Hosting.
So legst du ein Admin-Konto für Dienstleister*innen an
- Melde dich in WordPress an und geh zu Benutzer >> Benutzer hinzufügen.
- Füll die Felder Benutzername und E-Mail-Adresse für die jeweilige Person aus.
Verwende nicht „admin“ oder „administrator“ als Benutzername.
- Lass den Haken bei der Option Benutzer benachrichtigen gesetzt.
Die Person bekommt dann eine E-Mail und legt ihr Passwort selbst fest.
- Ändere die Rolle auf „Administrator“ (oder „Redakteur“, wenn das reicht) und klick auf „Benutzer hinzufügen“.
Ist der Auftrag erledigt, geh zu Benutzer >> Alle Benutzer und lösche das Konto oder stufe es auf eine andere Rolle mit weniger Berechtigungen herunter. Trag dir das am besten schon beim Anlegen eines neuen Benutzers in den Kalender ein.
Praxis-Tipp:
Geh jetzt auf Benutzer >> Alle Benutzer. In der Benutzer-Übersicht siehst du die Spalte „Rolle“.
- Wie viele Benutzer mit Administrator-Berechtigung hast du auf deiner Website?
- Brauchen noch alle den Admin-Zugriff?
- Haben alle Admins die Zwei-Faktor-Authentifizierung aktiviert?
Wenn du ein Plugin für die Zwei-Faktor-Authentifizierung installiert hast, siehst du das in einer eigenen Spalte.
Du hast auch eine Website-Frage, bei der du nicht weiterkommst?
Im Website-CoWorking treffen wir uns einmal wöchentlich via Zoom zum Arbeiten an der eigenen Website. Nach deiner Anmeldung kannst du an beliebig vielen Terminen teilnehmen. Und als Willkommens-Geschenk bekommst du sogar einen 10-Minuten-Zeitslot geschenkt, in dem du mir deine Website-Frage stellen kannst.
Der nächste Termin ist am 30. September, 13 Uhr.
Mögliche Fragen zum Thema »Anzahl WordPress-Admins«
Hier habe ich Antworten auf Fragen, die du vielleicht noch zu deinen Admin-Konten hast.
Was ist der Unterschied zwischen Administrator, Redakteur und Autor?
Benutzer mit der Rolle Administrator dürfen an deiner Website alles machen. Redakteur*innen können alle Beiträge und Seiten bearbeiten und veröffentlichen, auch die von anderen. Autor*innen können nur ihre eigenen Beiträge bearbeiten und veröffentlichen. Mitarbeiter*innen können nur schreiben, aber nicht veröffentlichen.
Was mache ich, wenn ich mich aus meiner Website aussperre?
Nutz auf der Login-Seite „Passwort vergessen?“. Du bekommst per Mail einen Link und kannst ein neues Passwort festlegen. Kommt keine Mail an, kannst du dein Passwort noch über dein Hosting-Konto zurücksetzen.
Was passiert mit erstellten Inhalten, wenn ich ein Konto lösche?
WordPress fragt dich beim Löschen, was mit den Inhalten passieren soll. Wähle das Konto, dem du die Inhalte zuordnen willst. Wählst du stattdessen „Alle Inhalte löschen“, sind sie weg.
Reicht ein starkes Passwort ohne 2FA?
Ein starkes Passwort, das du nur für diese Website nutzt, ist die Basis. Die Zwei-Faktor-Authentifizierung (2FA) schützt dich zusätzlich, falls dein Passwort bei einem Datenleck auftaucht.
Wie viele Admins brauche ich, wenn ein Team mitarbeitet?
So wenige wie möglich. Admin ist nur, wer Plugins oder Einstellungen ändern muss. Alle anderen bekommen die Rolle Redakteur oder Autor.
