Brute-Force-Angriff

Ein Brute-Force-Angriff ist eine Methode, bei der Angreifer systematisch grosse Mengen an Benutzernamen-Passwort-Kombinationen ausprobieren, um sich unbefugten Zugang zu einem System zu verschaffen. Bei WordPress-Websites richtet sich dieser Angriff typischerweise gegen die Login-Seite /wp-login.php, die XML-RPC-Schnittstelle oder die REST-API. Es ist eine der häufigsten Angriffsarten auf WordPress-Installationen weltweit.

Technischer Hintergrund

Brute-Force-Angriffe laufen automatisiert über Botnetze, die tausende bis Millionen von Login-Versuchen pro Stunde ausführen können. Dabei werden häufig Wörterbuch-Attacken eingesetzt, die bekannte Passwörter und gängige Benutzernamen (admin, administrator, der Domain-Name) systematisch durchprobieren. Credential Stuffing ist eine Variante, bei der aus Datenleaks stammende Zugangsdaten gezielt auf anderen Websites getestet werden.

WordPress bietet standardmässig keinen Schutz gegen wiederholte fehlgeschlagene Login-Versuche. Die Login-Seite ist öffentlich erreichbar, die XML-RPC-Schnittstelle erlaubt über die Methode system.multicall sogar das Testen hunderter Passwörter in einer einzigen HTTP-Anfrage. Auch die REST-API kann zur Authentifizierungsprüfung missbraucht werden. Zusätzlich verrät WordPress standardmässig, ob ein Benutzername existiert, indem die Fehlermeldung zwischen „unbekannter Benutzer“ und „falsches Passwort“ unterscheidet.

Selbst wenn der Angriff keinen erfolgreichen Login erzielt, belastet er den Server erheblich: Jeder Login-Versuch löst PHP-Ausführung, Datenbankabfragen und bei WordPress auch das Laden von Plugins und Hooks aus. Bei intensiven Angriffen kann dies die Website für reguläre Besucher verlangsamen oder unerreichbar machen.

Bedeutung für die WordPress-Wartung

Brute-Force-Schutz gehört zu den grundlegenden Sicherheitsmassnahmen jeder WordPress-Installation. In der regelmässigen Wartung sollten Login-Logs überwacht, Sicherheits-Plugins aktuell gehalten und die Wirksamkeit der Schutzmechanismen überprüft werden. Ein erfolgreicher Brute-Force-Angriff kann zur vollständigen Kompromittierung der Website führen: Malware-Einschleusung, Datendiebstahl, Spam-Versand oder Nutzung als Teil eines Botnetzes. Die Wiederherstellung ist aufwändig und erfordert oft ein komplettes Backup-Restore.

Häufige Probleme

• Kein Rate-Limiting auf der Login-Seite – unbegrenzte Versuche sind möglich
• Standard-Benutzername „admin“ ist aktiv und wird als erstes Ziel angegriffen
• Schwache Passwörter bei Administrator- oder Redakteurskonten
• XML-RPC ist aktiviert und erlaubt Massen-Authentifizierung über system.multicall
• Sicherheits-Plugins sperren legitime Nutzer durch zu aggressive IP-Sperren aus
• Server-Performance bricht unter der Last tausender gleichzeitiger Login-Versuche ein
• Fehlende Zwei-Faktor-Authentifizierung macht selbst starke Passwörter angreifbar bei Credential Stuffing

Best Practices

• Login-Versuche begrenzen (z. B. maximal 5 Versuche, dann temporäre Sperre der IP-Adresse)
• Zwei-Faktor-Authentifizierung (2FA) für alle Administrator-Konten aktivieren
• Starke, einzigartige Passwörter verwenden und einen Passwort-Manager einsetzen
• Den Standard-Benutzernamen „admin“ durch einen individuellen Namen ersetzen
• XML-RPC deaktivieren, wenn es nicht für externe Dienste benötigt wird
• Web Application Firewall (WAF) einsetzen, die bekannte Angreifer-IPs blockiert
• Login-Seite zusätzlich per HTTP-Authentifizierung oder IP-Whitelist absichern, wenn nur wenige Personen Zugang benötigen
• Server-seitiges Rate-Limiting (z. B. via fail2ban) als zusätzliche Schutzschicht vor WordPress einrichten