Ist es sinnvoll, WP Admin zu verstecken?
Ist es sinnvoll, WP Admin zu verstecken?
Viele Hack-Versuche, vor allem Brute-Force-Attacken, nehmen Kurs auf das Verzeichnis wp-admin. Verschiedene Plugins sowie Änderungen in der .htaccess-Datei können diesen Bereich verstecken, verzögern den Angriff aber nur und haben somit eher kosmetischen Effekt. WP Admin zu verstecken, bedeutet viel Aufwand mit geringem Nutzen, und sollte bestenfalls als kleiner Teil eines umfassenden Sicherheitssystems angedacht werden.
Zusätzliche Sicherheit für das CMS-Powerhouse?
WordPress ist das beliebteste und am weitesten verbreitete Content-Management-System der Welt. Das bedeutet nicht nur tollen Support und innovative Plugins, sondern auch Hack-Versuche. Manche Administratoren verstecken den Administratorenbereich wp-admin. Dahinter steckt das „Security Through Obscurity“-Prinzip – was versteckt(er) ist, muss sicherer sein. Das klingt zwar gut, verzögert aber meist nur die Hack-Arbeitszeit.
Ist es überhaupt sinnvoll, WP Admin zu verstecken? Darauf gibt es ein vorsichtiges Ja mit Einschränkungen:
- Es darf sich nur um eine von vielen Sicherheitsmaßnahmen handeln. Starke Passwörter, Zwei-Faktor-Authentifizierung, saubere Sicherheits-Plugins und Login-Limitierungen bleiben trotzdem Pflicht.
- Der verstecktere Admin-Bereich nimmt zumindest primitiven Angriffen den Wind aus den Segeln.
- Zugleich erhöht sich das Sicherheitsempfinden, zumindest auf Kundenebene. Es fühlt sich besser an, eine zusätzliche Schranke einzurichten.
WP Admin verstecken mit Plugins und .htaccess
Um wp-admin entsprechend zu verbergen, kann mit Plugins gearbeitet werden. Manche Erweiterungen kümmern sich ausschließlich um das Verstecken. Das ist zwar nett, kostet jedoch häufig ordentlich Ladezeit und sollte daher vermieden werden. Stattdessen kommen schlanke Plugins zum Einsatz, die noch viel mehr können:
- Cerber Security: Das kostenlose Plugin versteckt den Ordner und wirft stattdessen einen 404-Fehler aus. Zudem bekämpft es unter anderem Spam und Malware.
- Protect Your Admin: Zahlreiche Funktionen legen mehrere Sicherheitsschlösser um das CMS. Ein kostenpflichtiges Upgrade ist erhältlich.
- WP Hide & Security Enhancer: Dieses Tool verschleiert, dass mit WordPress gearbeitet wird, und ändert entsprechende URLs nach Wunsch.
- WPS Hide Login: Obwohl sich dieses Plugin nur um das Verstecken von wp-admin und wp-login.php kümmert, ist die Geschwindigkeit hoch. Die Bewertungen der kostenlosen Erweiterung sind exzellent.
Mit etwas WordPress- und Code-Erfahrung lässt sich alternativ die .htacccess entsprechend überarbeiten. So können beispielsweise bestimmte IPs vom Zugriff auf einzelne Verzeichnisse geblockt und weiterführende Authentifizierungsmaßnahmen eingerichtet werden. Grundwissen und Backups sind absolute Pflicht, um böse Überraschungen zu vermeiden.
Viel Aufwand, wenig Effekt
Zusammenfassend lässt sich sagen, dass das Verstecken von WP Admin vornehmlich kosmetischen Effekt hat und durchaus aufwändig ist. Als Teil eines umfassenden Sicherheitssystems kann diese Maßnahme gesetzt werden, für sich alleine bringt sie jedoch herzlich wenig.
