So verhindern Sie nicht autorisierte WordPress-Passwortzurücksetzungen

Wenn Sie angefangen haben, E-Mails zur WordPress-Passwortzurücksetzung zu erhalten, die Sie nie angefordert haben, sind Sie nicht allein. Diese Anfragen scheinen aus dem Nichts aufzutauchen, manchmal ein paar pro Tag und manchmal Dutzende auf einmal, und sie kommen fast immer von automatisierten Bots und nicht von einer echten Person, die versucht, sich in Ihr Konto einzuhacken.

Beruhigend ist, dass diese E-Mails nicht bedeuten, dass Ihre Website gehackt wurde. Jeder, der die E-Mail-Adresse eines Kontos kennt oder errät, kann WordPress auffordern, einen Zurücksetzungslink zu senden. Die Anfragen sind also eher ärgerlich als gefährlich. Es lohnt sich trotzdem, sie zu unterbinden, bevor der Spam schlimmer wird.

Meiner Erfahrung nach denken kleinere Websites selten darüber nach, bis die Inbox anfängt, sich zu füllen. Die allgemeine Annahme ist, dass man eine große, bekannte Website sein muss, um Spam anzuziehen, daher schieben neuere Websites es auf. Ich habe gesehen, wie diese Denkweise zu viel vermeidbarer Aufräumarbeit geführt hat, die ein paar Minuten Einrichtung verhindert hätten.

Diese Anfragen zu stoppen ist einfacher als Sie denken. In diesem Leitfaden führe ich Sie durch die einfachsten und effektivsten Methoden, um unbefugte Passwortzurücksetzungen auf Ihrer WordPress-Website zu stoppen, beginnend damit, warum sie auftreten, und dann zu den genauen Einstellungen, die sie blockieren.

Stoppen Sie WordPress-Formular-Spam jetzt

Warum erhalten Sie unbefugte Anfragen zur Passwortzurücksetzung?

Die meisten unbefugten Anfragen zur Passwortzurücksetzung stammen von Spam-Bots, die das Web nach WordPress-Login- und Passwortvergessen-Seiten durchsuchen. Wenn sie eine finden, senden sie Zurücksetzungsanfragen mit E-Mail-Adressen, die sie gesammelt oder erraten haben. Deshalb fühlen sich die E-Mails zufällig an und kommen in Schüben.

WordPress macht es ihnen aus Designgründen leicht, denn der Standard-Zurücksetzungsprozess unter wp-login.php erlaubt es jedem, eine E-Mail oder einen Benutzernamen einzugeben und einen Zurücksetzungslink auszulösen, ohne vorherige Überprüfung. Das ist praktisch für echte Benutzer, die ausgesperrt sind, aber es ist auch eine offene Tür für automatisierten Missbrauch.

Wenn Sie die Nachricht erhalten haben: „Jemand hat eine Passwortzurücksetzung für das folgende Konto angefordert“, dann meine ich diese E-Mail. Sie einmal oder zweimal zu sehen ist normal, aber sie immer wieder zu sehen, ist das verräterische Bot-Muster.

Der Zurücksetzungslink selbst ist nur einmal verwendbar und verfällt. Eine einzelne Anfrage gibt also niemandem Zugriff auf Ihr Konto. Die Anfragen lohnen sich trotzdem zu stoppen, sowohl um Ihre Inbox aufzuräumen als auch um einen Weg zu schließen, den Bots gerne ausprobieren. Sie können sogar das Standard-WordPress-Passwortzurücksetzungsformular anpassen, um mehr Kontrolle darüber zu erhalten, wie es funktioniert.

So verhindern Sie nicht autorisierte WordPress-Passwortzurücksetzungen

Unten beginne ich damit, warum diese Anfragen immer wieder in Ihrer Inbox landen, und teile dann meine bewährten Methoden, um sie endgültig loszuwerden.

1. Installieren Sie WPForms und aktivieren Sie das User Registration Addon

Um Spam in Ihrem Passwort-Zurücksetzungsformular effektiv zu bekämpfen, benötigen Sie einen Formularersteller, der mit leistungsstarken Spam-Schutz-Tools ausgestattet ist.

WPForms ist eines der wenigen Plugins, das Spam sehr ernst nimmt, weshalb es mehrere Anti-Spam-Abwehrmechanismen für Ihre Formulare bietet.

Während Sie mit WPForms Lite auf viele leistungsstarke Spam-Filter zugreifen können, werde ich WPForms Pro für umfassendere Anti-Spam-Techniken verwenden.

Sobald Sie die WPForms Pro-Lizenz erworben haben, gehen Sie zu Ihrem Konto, loggen Sie sich ein, um auf Ihre WPForms-Kontoseite zuzugreifen, und navigieren Sie zum Tab Downloads. Klicken Sie auf die Schaltfläche WPForms herunterladen .

Gehen Sie als Nächstes zu Ihrer WordPress-Site und loggen Sie sich ein. Klicken Sie im Dashboard auf Plugins » Neu hinzufügen. Klicken Sie dann auf die Schaltfläche Plugin hochladen. Fügen Sie die heruntergeladene WPForms .zip-Datei hinzu und installieren Sie sie.

Sobald WordPress die Installation Ihres WPForms-Plugins abgeschlossen hat, klicken Sie auf Plugin aktivieren.

Nachdem das Plugin nun installiert und aktiviert ist, sollten Sie WPForms in Ihrer linken Navigationsleiste sehen. Klicken Sie auf WPForms » Einstellungen, und der Tab Allgemeine Einstellungen wird standardmäßig geöffnet.

Sie sollten die Lizenzschlüssel-Einstellungen ganz oben sehen. Fügen Sie den Lizenzschlüssel ein, den Sie von Ihrer Kontoseite kopiert haben.  Klicken Sie dann auf Schlüssel überprüfen, um WPForms zu aktivieren.

Nachdem WPForms auf Ihrer Website installiert ist, müssen Sie nur noch das User Registration Addon installieren.

Klicken Sie in Ihrem WordPress-Dashboard auf WPForms » Addons. Beachten Sie, dass Sie eine Pro-Lizenz oder höher benötigen, um auf dieses Addon zugreifen zu können.

Suchen Sie das User Registration Addon und klicken Sie auf die Schaltfläche Addon installieren.

Nachdem das Addon installiert ist, sehen Sie einen Schalter, mit dem Sie es nach Belieben aktivieren und deaktivieren können.

Wenn Sie Probleme haben, lesen Sie unsere detaillierten Anweisungen zur Installation und Aktivierung von WPForms Addons. Sie können auch diesen vollständigen Leitfaden zur Installation von WordPress-Plugins lesen.

2. Erstellen Sie ein Passwort-Zurücksetzungsformular

Mit ist installiert und aktiviert, also sind wir jetzt bereit, ein Formular zu erstellen! Klicken Sie zuerst in Ihrem WordPress-Dashboard auf WPForms » Neu hinzufügen.

Suchen Sie danach die Leiste Vorlagen durchsuchen, geben Sie Benutzer-Passwort-Zurücksetzen-Formular ein. Fahren Sie mit der Option fort und klicken Sie dann auf Vorlage verwenden.

Die Vorlage wird im Formular-Builder geladen, und Sie werden sehen, dass sie sehr einfach ist. Sie können beliebige Anpassungen vornehmen, z. B. einen oder mehrere Spam-Filter hinzufügen, um Bots fernzuhalten.

3. Aktivieren Sie die Spam-Prävention für das Passwort-Zurücksetzungsformular

Standardmäßig verfügt WPForms über einen modernen Anti-Spam-Schutz für alle Formulare. Sie können Ihre Sicherheit jedoch weiter erhöhen, indem Sie zusätzliche Spam-Schutzmaßnahmen zusätzlich zum Standardfilter aktivieren.

Lassen Sie uns einige dieser Optionen untersuchen. Zuerst müssen Sie zu Einstellungen » Spam-Schutz und Sicherheit gehen, wo Sie alle Anti-Spam-Funktionen an einem Ort finden.

Sie können auch unseren umfassenden Leitfaden zur Spam-Prävention für Kontaktformulare lesen, um mehr über die verschiedenen Arten von Anti-Spam-Techniken zu erfahren, die Sie für Ihre Formulare verwenden können.

Akismet für das Passwort-Zurücksetzungsformular

Akismet ist wohl die zuverlässigste Anti-Spam-Lösung in der Welt von WordPress. Und es lässt sich nahtlos in WPForms integrieren, ohne dass zusätzliche Einrichtung erforderlich ist.

Alles, was Sie brauchen, ist, dass Akismet auf Ihrer Website installiert und aktiviert ist, und Sie können es dann einfach in Ihrem Formular aktivieren, indem Sie auf den Schalter Akismet Anti-Spam-Schutz aktivieren klicken.

Akismet analysiert intelligent Muster in den bereitgestellten Formulareingaben, um Spam zu erkennen.

Wenn Akismet etwas Verdächtiges erkennt, wird die Übermittlung blockiert. So sieht das im Frontend für den Benutzer aus.

Sie können diesem vollständigen Tutorial zum Filtern von Spam mit Akismet folgen, um dieses mächtige Werkzeug gegen Spambots zu nutzen.

Alternativ können Sie verschiedene Captcha-Dienste und sogar Cloudflare Turnstile verwenden.

Cloudflare Turnstile zur Verhinderung von Missbrauch bei Passwortzurücksetzungen

Um Turnstile mit WPForms einzurichten, können Sie zum Hauptmenü Einstellungen im WordPress-Admin-Menü gehen und auf die Registerkarte CAPTCHA klicken. Hier finden Sie Optionen für die Integration von hCaptcha, Google reCAPTCHA und Cloudflare Turnstile.

Das vollständige Tutorial zum Einrichten von Cloudflare Turnstile für Ihre Formulare finden Sie hier. Ich habe einige großartige Ergebnisse mit Turnstile gesehen, wobei die Anzahl der Spam-Einreichungen auf der Website eines Freundes, bei deren Entwicklung ich geholfen habe, erheblich reduziert wurde.

Wenn Sie Turnstile auf Ihrer Website aktiviert haben, sehen Sie ein Verifizierungsabzeichen oben rechts in Ihrem Formular-Generator.

Minimale Einreichungszeit

Die Einstellung für die minimale Einreichungszeit ist meine Geheimwaffe gegen Spam. Dies ist eine der einfachsten Techniken zur Spam-Prävention. Und doch ist sie eine der wirkungsvollsten.

Das liegt daran, dass Spam-Bots automatisierte Programme sind, die darauf ausgelegt sind, schnell zu agieren und unzählige Formulare wiederholt in kurzer Zeit einzureichen. Durch Hinzufügen eines einfachen Mindestzeitlimits können Sie viele Arten von Spambots in ihrem eigenen Spiel schlagen.

Um diesen Spam-Filter zu verwenden, klicken Sie einfach auf die Umschaltfläche Mindestzeit für die Einreichung aktivieren und geben Sie einen Wert in Sekunden ein.

Ein Passwort-Zurücksetzungsformular ist sehr kurz, daher können Sie davon ausgehen, dass echte Personen mindestens 2 Sekunden zum Ausfüllen des Formulars benötigen. Bots füllen es jedoch in Millisekunden aus, was bedeutet, dass diese gefälschten und unbefugten Einreichungen niemals zugelassen werden.

Schlüsselwort- und Länderfilter

Schlüsselwort- und Länderfilter sind ziemlich vielseitig, da sie nicht unbedingt zum Blockieren von Spam verwendet werden. Aber wenn Sie aufmerksam sind, können Sie manchmal dieselben Schlüsselwortmuster finden, die von Spambots wiederholt werden.

Zum Beispiel können es Zeichen in einer anderen Sprache sein, bestimmte Website-Namen, die von Spammern verwendet werden, oder etwas Ähnliches. Der Schlüsselwortfilter kann solche Spam-Instanzen effektiv blockieren, wenn Sie eine häufige Verwendung von Schlüsselwörtern identifiziert haben, von denen Sie nicht erwarten, dass Ihre echten Besucher sie verwenden.

Ebenso ist der Länderfilter äußerst nützlich für Situationen, in denen Spam aus einem bestimmten Land stammt. Während das Blockieren eines ganzen Landes für den Zugriff auf Ihre Formulare möglicherweise keine gute Option ist, wenn Sie echte Kunden oder Besucher in diesem Land haben, funktioniert diese Funktion sehr gut für lokale Unternehmen mit einer klaren Trennung zwischen dem Standort Ihres echten Publikums und den Spammern.

Sie benötigen jedoch klare Informationen darüber, woher der Spam stammt. Der einfache Weg, diese Informationen zu erhalten, ist die Verwendung der WPForms Geolocation-Funktionen oder die Ableitung des Standorts basierend auf der IP-Adresse des Benutzers.

Fügen Sie ein benutzerdefiniertes Captcha hinzu

Das benutzerdefinierte Captcha ist ein weiteres einfaches, aber effektives Mittel gegen Spam. Um es zu verwenden, öffnen Sie Ihren Formular-Generator, scrollen Sie durch die „Fancy Fields“ und ziehen Sie die Option Benutzerdefiniertes Captcha per Drag & Drop oder klicken Sie darauf, um sie zu Ihrem Formular hinzuzufügen.

Es gibt 2 Arten von benutzerdefinierten Captcha-Fragen, die Sie hinzufügen können: Mathematik und Frage und Antwort.

Mathe-Captchas

Das Standard-Custom-Captcha ist eine mathematische Frage. Klicken Sie im Formular-Generator darauf, um die Feldoptionen zu öffnen.

Wenn Sie sich entscheiden, das Matheproblem beizubehalten, wird jedes Mal, wenn die Seite geladen wird, automatisch eine neue Frage generiert, und es kann sich um Addition, Subtraktion oder Multiplikation handeln.

Frage- und Antwort-Captchas

Sie können es auch in eine benutzerdefinierte Frage und Antwort ändern. Diese Option ermöglicht es Ihnen, Ihre eigenen Fragen zu erstellen, die Benutzer beantworten müssen. Achten Sie darauf, diese Fragen allgemeinverständlich und leicht zu buchstabieren.

Standardmäßig gibt es nur eine Frage, aber Sie können weitere hinzufügen. Ihr Formular wird sie durchlaufen und bei jedem Laden oder Aktualisieren der Seite eine andere anzeigen.

Und das ist im Grunde alles, was Sie tun müssen, um Ihrem Formular ein benutzerdefiniertes Captcha-Feld hinzuzufügen!

Für vollständige Anpassungsoptionen lesen Sie unsere Dokumentation unter wie man das Custom Captcha Addon installiert und verwendet.

4. Speichern und veröffentlichen Sie Ihr Formular

In kurzer Zeit haben Sie WPForms installiert und Ihr eigenes Passwort-Zurücksetzungsformular für Benutzer erstellt, um unbefugte Passwort-Zurücksetzungsanfragen in WordPress zu stoppen.

Ziemlich einfach, oder?

Alles, was jetzt noch zu tun ist, ist, Ihr Formular zu speichern und zu veröffentlichen. Dieser Teil sollte ein Kinderspiel sein.

Finden Sie zuerst die orangefarbene Schaltfläche Speichern in der oberen rechten Ecke und klicken Sie darauf. Sie möchten Ihre Arbeit nicht verlieren!

Sobald Ihr Formular gespeichert ist, bewegen Sie sich nach links und klicken Sie auf die Schaltfläche Einbetten.

Sie haben 2 Möglichkeiten, Ihr Formular auf Ihrer Website einzubetten. Sie können es entweder auf einer vorhandenen Seite einbetten oder eine neue erstellen.

Wenn Sie eine vorhandene Seite wählen, wird eine Liste der Seiten auf Ihrer Website in einem Dropdown-Menü angezeigt, aus dem Sie die zu verwendende Seite auswählen können.

Nehmen wir für unser Beispiel an, wir betten dieses Formular auf einer neuen Seite ein. Nachdem Sie diese Option ausgewählt haben, werden Sie aufgefordert, Ihrer Seite einen Namen zu geben. Sobald Sie die neue Seite benannt haben, klicken Sie auf Los geht's! Ihre neue Seite wird mit dem eingebetteten Formular geöffnet, und Sie können von dort aus weitere Aktualisierungen vornehmen.

Wenn Sie noch nicht bereit sind, Ihr Formular einzubetten, machen Sie sich keine Sorgen. Es gibt andere Möglichkeiten, dies später zu tun, wenn Sie bereit sind. Wir haben weitere Informationen unter Möglichkeiten, Ihre Formulare auf Ihrer Website einzubetten, schauen Sie sich das an, wann immer Sie bereit sind!

Zusätzliche Möglichkeiten, WordPress-Passwortzurücksetzungen zu sichern

Das von Ihnen gerade erstellte Passwortzurücksetzungsformular ist Ihre stärkste Verteidigungslinie, aber ein paar Gewohnheiten auf WordPress-Ebene machen es für Bots noch schwieriger, Probleme zu verursachen. Ich behandle diese als Basis auf jeder Website, an der ich arbeite.

Das Erste, was ich aktiviere, ist die Zwei-Faktor-Authentifizierung, da sie eine Anmeldung verhindert, selbst wenn ein Bot irgendwie ein Passwort in die Hände bekommen hat, indem sie einen zweiten Code von einer App, einer Textnachricht oder einer E-Mail verlangt. Die meisten guten Sicherheit-Plugins beinhalten dies zusammen mit den nächsten Punkten hier.

Die nächste Ebene ist die Begrenzung der Anmeldeversuche, die festlegt, wie viele Versuche eine IP-Adresse hat, bevor eine temporäre Sperrung erfolgt, und die Brute-Force-Skripte unterbindet, die oft zusammen mit Reset-Spam auftreten. Ein dediziertes WordPress-Sicherheits-Plugin erledigt dies für Sie und protokolliert die Versuche, sodass Sie genau sehen können, was Ihre Website angreift.

Verwenden Sie schließlich starke, eindeutige Passwörter für jedes Administratorkonto und ändern Sie diese von Zeit zu Zeit. Nichts davon ersetzt das spamsichere Formular oben, aber zusammen geschlossen diese Schritte die Lücken, auf die automatisierte Angriffe angewiesen sind.

FAQs zu unbefugten WordPress-Passwort-Resets

Unbefugte WordPress-Passwort-Resets treten häufig auf, sobald Website-Besitzer diese Reset-E-Mails erhalten. Hier sind Antworten auf die Fragen, die ich am häufigsten zu Passwort-Reset-Spam und zur Sicherung Ihrer Anmeldung höre.

Ist eine WordPress-Passwort-Reset-Anfrage ein Zeichen dafür, dass meine Website gehackt wurde?

Nicht von allein. Eine Reset-Anfrage bedeutet nur, dass jemand, oder häufiger ein Bot, eine E-Mail-Adresse oder einen Benutzernamen auf Ihrer Anmeldeseite eingegeben und nach einem Reset-Link gefragt hat.

Da dieser Link nur einmal verwendet werden kann und abläuft, bedeutet der Erhalt der E-Mail nicht, dass jemand auf Ihr Konto zugegriffen hat. Wenn die Anfragen weiterhin eingehen, behandeln Sie dies als Anstoß, das Anti-Spam-Formular und die Sicherheitsschritte in dieser Anleitung hinzuzufügen, anstatt als Zeichen eines Einbruchs.

Woher weiß ich, ob jemand anderes versucht, mein WordPress-Passwort zurückzusetzen?

Wenn jemand anderes versucht, Ihr WordPress-Passwort zurückzusetzen, erhalten Sie wahrscheinlich E-Mails, die Sie darüber informieren, dass eine Anfrage gestellt wurde. Sie können auch Ihre Website-Protokolle auf Anmeldeversuche überprüfen. In diesem Fall ändern Sie Ihr Passwort.

Durch die Erstellung eines Passwort-Zurücksetzungsformulars mit aktiviertem Anti-Spam auf WPForms fügen Sie eine zusätzliche Sicherheitsebene hinzu, die Bot-Versuche eliminiert.

Kann ich die WordPress-Passwort-Reset-Funktion vollständig deaktivieren?

Das können Sie, obwohl es etwas benutzerdefinierten Code oder ein kleines Plugin erfordert, das den Link zum Zurücksetzen des Passworts entfernt und den Reset-Endpunkt blockiert. Das funktioniert für eine Single-Author-Website, bei der niemand sonst eine Anmeldung wiederherstellen muss.

Für die meisten Websites sperrt das vollständige Deaktivieren von Resets jedoch auch legitime Benutzer aus, sodass ein spamsicheres Reset-Formular der sicherere Mittelweg ist. Es hält die Funktion für echte Personen funktionsfähig und filtert gleichzeitig die Bots heraus.

Welche zusätzlichen Schritte kann ich unternehmen, um meine Website vor unbefugten WordPress-Passwort-Zurücksetzungen zu schützen?

Erstellen Sie immer ein starkes Passwort, das für die Website eindeutig ist. Viele Webbrowser oder Tools wie 1Password helfen Ihnen sogar bei Vorschlägen. Ändern Sie Ihr Passwort auch regelmäßig.

Es ist auch ratsam, 2FA (2-Faktor-Authentifizierung) zu aktivieren. Es fügt Ihrem Anmeldevorgang einen Schritt hinzu, schafft aber gleichzeitig eine weitere Sicherheitsebene für WordPress.

Zum Beispiel müssen Sie möglicherweise Ihr Passwort eingeben und dann auch einen Authentifizierungscode eingeben, den Sie per E-Mail, Textnachricht oder einer Authentifizierungs-App erhalten.

Welche Art von Website-Sicherheit sollte ich für meine WordPress-Website berücksichtigen?

Zusätzlich zu den bereits vorgeschlagenen Maßnahmen sollten Sie SSL-Verschlüsselung auf Ihrer Website verwenden, um Daten zu schützen. Sie können auch Ratenbegrenzungen implementieren, die helfen, Brute-Force-Angriffe zu verhindern, die typischerweise von Bots ausgehen.

Wenn andere Benutzer Konten auf Ihrer Website haben, ist es auch eine gute Idee, eine Art Benutzerverifizierungsprozess zu haben.

Als Nächstes: Versuchen Sie, Ihre passwortgeschützten Seiten anzupassen

Sie haben nun die notwendigen Schritte unternommen, um unbefugte Passwortzurücksetzungen in WordPress endgültig zu verhindern. Lesen Sie jetzt, wie Sie eine passwortgeschützte Seite in WordPress anpassen.

Stoppen Sie jetzt den Passwort-Reset-Spam

Bereit, Ihr Formular zu erstellen? Beginnen Sie noch heute mit dem einfachsten WordPress-Formularersteller-Plugin.  WPForms Pro enthält viele kostenlose Vorlagen und bietet eine 14-tägige Geld-zurück-Garantie.

Wenn Ihnen dieser Artikel geholfen hat, folgen Sie uns bitte auf Facebook und Twitter für weitere kostenlose WordPress-Tutorials und Anleitungen.