Die ultimative „Hacker-Bremse“: So erstellst du einen bombenstarken Sicherheits-Autor in WordPress

Jeder WordPress-Administrator kennt das Problem: Aus Sicherheitsgründen möchte man nicht, dass der echte Admin-Benutzername öffentlich als Autor unter den Beiträgen und Seiten steht. Findige Hacker können den Namen sonst blitzschnell über die URL oder den Quellcode ausspähen (User Enumeration) und gezielte Brute-Force-Angriffe auf das Admin-Dashboard starten.

Die Lösung? Ein separater Benutzer, dem alle Beiträge zugewiesen werden. Doch Vorsicht: Wenn dieser Benutzer zu viele Rechte hat (oder durch ein Datenbank-Problem die REST-API lahmlegt), fängt der Ärger an.

Hier ist die Schritt-für-Schritt-Anleitung, wie du einen absolut sicheren „Kastraten-Benutzer“ anlegst, der als Autor sichtbar ist, aber bei einem Hack 0,0 % Schaden anrichten kann.

Schritt 1: Das Problem mit Standard-Rollen (und warum wir ein Plugin brauchen)

Wer einen Sicherheits-Benutzer einfach als Abonnent oder Mitarbeiter anlegt, läuft in modernen WordPress-Versionen schnell in Fehler. Der Block-Editor (Gutenberg) bricht beim Speichern oft mit der Meldung „Die Antwort ist keine gültige JSON-Antwort“ ab, weil das System den Benutzer ohne Schreibrechte aus den Autoren-Listen filtert. Auch die Standard-Rolle „Autor“ ist bei älteren, oft geupdateten Blogs manchmal in der Datenbank korrupt.

Wir bauen uns daher eine maßgeschneiderte Rolle, die von WordPress als gültiger Autor akzeptiert wird, aber keinerlei Rechte im Backend besitzt.

Das Werkzeug der Wahl: Installiere das kostenlose Plugin User Role Editor (von Vladimir Garagulya).

Schritt 2: Die Erstellung des „Sicherheits-Autors“

1. Navigiere im Backend zu Benutzer $\rightarrow$ User Role Editor.
2. Klicke auf der rechten Seite auf den Button „Rolle hinzufügen“ (Add Role).
3. Vergebe einen Namen (z. B. sicherheits_autor) und wähle bei „Kopie von“ zwingend Redakteur (Editor) aus.
   • Hintergrund: Die Redakteur-Struktur sorgt dafür, dass WordPress den Benutzer später sauber in allen Auswahllisten (Beiträge & Seiten) anzeigt.

Schritt 3: Die totale Rechte-Kastration (Sicherheit maximieren)

Jetzt entziehen wir der neuen Rolle fast alle Privilegien. Der Benutzer soll nur als „Hülle“ für deine Artikel dienen.

1. Wähle deine neu erstellte Rolle im Dropdown-Menü des Plugins aus.
2. Entferne alle Häkchen, bis auf das absolut Notwendige.
3. Diese Häkchen müssen zwingend RAUS (Sicherheits-Garantie):
   • publish_posts / publish_pages (Er darf niemals etwas live veröffentlichen)
   • edit_others_posts / edit_others_pages (Er darf keine fremden Artikel anfassen)
   • edit_published_posts / edit_published_pages (Er darf bestehende Live-Inhalte nicht manipulieren)
4. Dieses eine Häkchen bleibt auf jeden Fall DRIN:
   • edit_posts (Das ist der „Ausweis“, damit WordPress ihn in der Autoren-Liste anzeigt)
   • edit_pages (wenn du ihn auch bei Seiten und nicht nur den Beiträgen brauchst)
5. Klicke auf „Aktualisieren“.

Das Ergebnis: Wenn sich ein Hacker mit diesem Account einloggt, wird er sofort ausgesperrt oder landet vor einem leeren Dashboard. Er kann keinen Schadcode einschleusen und keine Beiträge manipulieren.

💡 Wichtiger Praxis-Hinweis: Das Phänomen in der „Schnellansicht“ (Quick Edit)

Wundere dich nicht, wenn du nach der Erstellung deines neuen Sicherheits-Benutzers die Schnellansicht in der Beitrags- oder Seitenübersicht öffnest: Der neue Benutzer wird dort anfangs nicht zur Auswahl stehen!

Warum ist das so? WordPress filtert das Dropdown-Menü in der Schnellansicht über ein stark abgespecktes Skript. Da unserer neuen Rolle fast alle Rechte entzogen wurden, wird sie von der Schnellansicht zunächst ignoriert. Selbst das nachträgliche Erlauben von Rechten wie edit_others_posts ändert daran nichts.

Die einfache Lösung in der Praxis:

1. Öffne den gewünschten Beitrag oder die Seite einmalig im großen Bearbeiten-Modus.
2. Hier funktioniert die Abfrage fehlerfrei: Wähle deinen neuen Sicherheits-Benutzer aus und speichere den Beitrag.
3. Der Clou: Sobald der Benutzer dem Beitrag im großen Editor einmal zugewiesen wurde, taucht er ab sofort bei diesem spezifischen Beitrag auch in der Schnellansicht wieder auf!

Wer hunderte Beiträge auf einmal umstellen will, nutzt am besten direkt die oben beschriebene Massen-Bearbeitung (Bulk Edit) – das spart Zeit und umgeht das Filter-Problem der Schnellansicht komplett.

Bonus-Schritt: Autoren aller Beiträge auf einmal ändern (Die Bulk-Methode)

Was aber, wenn du bereits hunderte Beiträge hast, die noch auf dem alten (oder dem defekten) Benutzer laufen? Musst du jeden Artikel einzeln öffnen? Nein!

WordPress bietet eine versteckte Funktion, um den Autor für dutzende Beiträge gleichzeitig mit nur drei Klicks zu ändern:

1. Gehe im Backend auf Beiträge $\rightarrow$ Alle Beiträge.
2. Setze ganz oben in der Tabelle das Häkchen, um alle Beiträge dieser Seite zu markieren (Tipp: Unter „Ansicht anpassen“ oben rechts kannst du die Anzahl der angezeigten Beiträge pro Seite von 20 auf z. B. 100 oder 200 erhöhen).
3. Wähle das Dropdown-Menü „Aktion wählen“ $\rightarrow$ Bearbeiten und klicke auf Übernehmen.
4. Es öffnet sich das Massen-Bearbeitungsfenster (Bulk Edit).
5. Suche in der Mitte das Feld „Autor“, wähle deinen neuen Sicherheits-Benutzer aus und klicke unten rechts auf Aktualisieren.

WordPress schreibt nun in Sekundenschnelle die Autoren-ID für alle ausgewählten Beiträge in der Datenbank um. Deine Hacker-Bremse ist damit im gesamten Blog aktiv!