Wie verwalte ich die Benutzer meiner WordPress-Website?

WordPress-Benutzerrollen richtig verwalten: Sicherheit durch klare Rechte

Wenn mehrere Personen an einer WordPress-Website arbeiten, ist eine saubere Benutzerverwaltung entscheidend. Nicht jeder Benutzer benötigt Administratorrechte. WordPress bietet deshalb ein Rollensystem, mit dem Sie festlegen können, wer Inhalte schreiben, veröffentlichen, bearbeiten, freigeben oder technische Einstellungen ändern darf.

Eine gut gepflegte Benutzerverwaltung schützt Ihre Website vor versehentlichen Fehlkonfigurationen, unerwünschten Änderungen und Sicherheitsrisiken. Besonders bei Unternehmenswebsites, Blogs mit mehreren Autoren, WooCommerce-Shops, Mitgliederbereichen und Agenturprojekten sollten Rollen bewusst vergeben und regelmässig geprüft werden.

Warum Benutzerrollen wichtig sind

Benutzerrollen regeln, welche Aktionen ein Benutzer in WordPress durchführen darf. Das schützt nicht nur vor unbefugtem Zugriff, sondern auch vor versehentlichen Fehlern. Ein Redakteur muss zum Beispiel keine Plugins installieren können. Ein Autor muss keine Theme-Dateien ändern dürfen. Ein externer Dienstleister benötigt oft nur temporären Zugriff.

Eine klare Rollenstruktur hilft bei:

• Sicherheit,
• Verantwortlichkeiten,
• Redaktionsprozessen,
• Schutz vor Fehlbedienung,
• Datenschutz,
• Nachvollziehbarkeit,
• Teamarbeit,
• technischer Stabilität.

Je weniger Personen volle Administratorrechte besitzen, desto geringer ist das Risiko für kritische Fehler oder kompromittierte Zugänge.

Die Standard-Benutzerrollen in WordPress

WordPress bringt standardmässig mehrere Benutzerrollen mit. Jede Rolle besitzt bestimmte Berechtigungen, sogenannte Capabilities. Diese legen fest, was ein Benutzer im Dashboard tun darf.

1. Administrator: Volle Kontrolle mit hohem Risiko

Administratoren haben vollständigen Zugriff auf WordPress. Sie können Plugins installieren, Themes ändern, Benutzer verwalten, Einstellungen bearbeiten, Updates durchführen und Inhalte anderer Benutzer anpassen.

Administratorrechte sollten nur Personen erhalten, die diese Rechte wirklich benötigen und technisch verantwortungsvoll damit umgehen können.

Administratoren können unter anderem:

• Plugins installieren und löschen,
• Themes aktivieren und bearbeiten,
• Benutzer erstellen und löschen,
• Website-Einstellungen ändern,
• Updates durchführen,
• Menüs und Widgets verwalten,
• alle Inhalte bearbeiten,
• Sicherheits- und SEO-Plugins konfigurieren.

2. Redakteur: Ideal für professionelle Inhaltspflege

Die Rolle Redakteur ist für Personen gedacht, die Inhalte verwalten sollen, aber keine technischen Einstellungen ändern müssen. Redakteure können Beiträge und Seiten anderer Benutzer bearbeiten, veröffentlichen und löschen.

Redakteure eignen sich für:

• Content-Manager,
• Redaktionsleitungen,
• Marketing-Teams,
• Knowledgebase-Verantwortliche,
• Blog-Verantwortliche.

Für viele Unternehmen ist Redakteur die beste Rolle für Mitarbeitende, die Inhalte pflegen, aber keine Plugins, Themes oder Benutzer verwalten sollen.

3. Autor: Eigene Beiträge veröffentlichen

Autoren können eigene Beiträge erstellen, bearbeiten und veröffentlichen. Sie können jedoch normalerweise keine Beiträge anderer Benutzer bearbeiten und keine Seiten verwalten.

Diese Rolle ist sinnvoll für Personen, die regelmässig eigene Inhalte veröffentlichen, aber nicht die gesamte Website redaktionell steuern sollen.

Geeignet für:

• Blogautoren,
• Fachautoren,
• interne Experten,
• regelmässige Gastbeitragende.

4. Mitarbeiter: Schreiben ohne Veröffentlichung

Mitarbeiter können eigene Beiträge schreiben und speichern, aber nicht selbst veröffentlichen. Ein Redakteur oder Administrator muss die Inhalte prüfen und freigeben.

Diese Rolle eignet sich besonders für kontrollierte Redaktionsprozesse.

Geeignet für:

• Gastautoren,
• Praktikanten,
• externe Texter,
• Mitarbeitende ohne Veröffentlichungsfreigabe,
• neue Teammitglieder in Einarbeitung.

So vermeiden Sie, dass unfertige oder ungeprüfte Inhalte versehentlich live gehen.

5. Abonnent: Minimale Rechte

Abonnenten haben nur sehr eingeschränkte Rechte. Sie können normalerweise nur ihr eigenes Profil verwalten. Diese Rolle wird häufig für Mitgliederbereiche, einfache Benutzerkonten oder geschützte Inhalte verwendet.

Geeignet für:

• registrierte Leser,
• Mitgliederbereiche,
• Kundenkonten ohne Shop-Funktion,
• geschützte Inhalte,
• Newsletter- oder Community-nahe Funktionen, je nach Plugin.

6. Neue Benutzer anlegen

Neue Benutzer erstellen Sie im WordPress-Dashboard unter:

Benutzer > Neu hinzufügen

Dort geben Sie Benutzername, E-Mail-Adresse, Vorname, Nachname, Website, Passwort und Rolle an. Der Benutzername sollte sorgfältig gewählt werden, da er später nicht ohne Weiteres geändert werden kann.

Empfohlene Vorgehensweise:

1. Benutzername eindeutig und nicht leicht erratbar wählen.
2. Korrekte E-Mail-Adresse eintragen.
3. Starkes Passwort generieren lassen.
4. Passende Rolle vergeben.
5. Benutzerbenachrichtigung aktivieren, wenn gewünscht.
6. Zugriff nach Bedarf später prüfen.

Damit WordPress neue Benutzer zuverlässig benachrichtigen kann, sollte der E-Mail-Versand korrekt funktionieren.

• Hilfe zum E-Mail-Empfang und Versand

7. Benutzername und Anzeigename unterscheiden

Der Benutzername dient dem Login und sollte nicht unnötig öffentlich sichtbar sein. Der Anzeigename wird dagegen häufig bei Beiträgen angezeigt.

Aus Sicherheitsgründen ist es sinnvoll, dass Benutzername und öffentlich sichtbarer Anzeigename nicht identisch sind. Wenn der Login-Name öffentlich sichtbar ist, haben Angreifer bereits die Hälfte der Zugangsdaten.

Prüfen Sie unter Benutzer > Profil:

• Benutzername,
• öffentlicher Name,
• Anzeigename,
• E-Mail-Adresse,
• Biografie,
• Profilbild, falls genutzt.

8. Rollen bestehender Benutzer ändern

Bestehende Benutzer können unter Benutzer > Alle Benutzer bearbeitet werden. Öffnen Sie das gewünschte Konto und ändern Sie die Rolle im entsprechenden Auswahlfeld.

Typische Fälle:

• Ein Autor wird zum Redakteur befördert.
• Ein Administrator soll nur noch Redakteur sein.
• Ein externer Dienstleister verliert Zugriff.
• Ein Mitarbeiter verlässt das Unternehmen.
• Ein temporärer Zugang wird zurückgestuft.

Prüfen Sie nach Rollenänderungen, ob der Benutzer weiterhin nur die Bereiche sieht, die er wirklich benötigt.

9. Benutzer löschen und Inhalte übertragen

Wenn Sie einen Benutzer löschen, fragt WordPress, was mit dessen Inhalten passieren soll. Sie können Inhalte löschen oder einem anderen Benutzer zuweisen.

In den meisten Fällen sollten Inhalte nicht gelöscht, sondern übertragen werden.

Beispiel:

• Ein Autor verlässt das Unternehmen.
• Seine Beiträge sollen erhalten bleiben.
• Beim Löschen des Benutzers werden die Inhalte einem Redakteur oder Administrator zugeordnet.

10. Temporäre Zugänge für Dienstleister

Für Agenturen, Entwickler oder Support-Dienstleister werden häufig temporäre Zugänge benötigt. Solche Zugänge sollten nur so lange bestehen, wie sie tatsächlich gebraucht werden.

Empfehlungen:

• eigenes Benutzerkonto für jeden Dienstleister erstellen,
• keine bestehenden Admin-Zugänge teilen,
• Rolle so niedrig wie möglich wählen,
• Zugang nach Projektende löschen oder deaktivieren,
• bei Administratorzugang Zwei-Faktor-Authentifizierung verlangen,
• Aktivitäten dokumentieren, wenn möglich.

Geteilte Administratorpasswörter sind ein Sicherheitsrisiko und sollten vermieden werden.

11. Prinzip der minimalen Rechte

Das wichtigste Sicherheitsprinzip lautet: Jeder Benutzer erhält nur die Rechte, die er für seine Aufgabe benötigt. Dieses Prinzip nennt man auch Least Privilege.

Beispiele:

• Texter: Mitarbeiter oder Autor.
• Content-Verantwortlicher: Redakteur.
• Technischer Betreuer: Administrator.
• Kunde in Mitgliederbereich: Abonnent.
• Externer SEO-Berater: je nach Aufgabe Redakteur oder eingeschränkter Adminzugang.

So reduzieren Sie das Risiko, dass ein einzelnes kompromittiertes Konto die gesamte Website gefährdet.

12. Zwei-Faktor-Authentifizierung für Benutzer

Zwei-Faktor-Authentifizierung, kurz 2FA, erhöht die Login-Sicherheit erheblich. Zusätzlich zum Passwort wird ein zweiter Faktor benötigt, zum Beispiel ein Code aus einer Authenticator-App.

2FA ist besonders wichtig für:

• Administratoren,
• Redakteure,
• WooCommerce-Shopmanager,
• Agenturzugänge,
• Benutzer mit Kundendatenzugriff,
• Websites mit mehreren Autoren.

Wenn Sie 2FA aktivieren, speichern Sie Wiederherstellungscodes sicher. Sonst können sich Benutzer bei Verlust des Smartphones aussperren.

13. Benutzer regelmässig prüfen

Benutzerverwaltung ist keine einmalige Aufgabe. Prüfen Sie regelmässig, welche Konten existieren und ob die Rechte noch passen.

Eine gute Prüf-Routine:

• einmal pro Quartal Benutzerliste prüfen,
• ehemalige Mitarbeitende entfernen,
• temporäre Zugänge löschen,
• Administratoranzahl reduzieren,
• unbekannte Benutzer untersuchen,
• E-Mail-Adressen aktualisieren,
• Rollen an aktuelle Aufgaben anpassen,
• 2FA für wichtige Konten prüfen.

14. Verdächtige Benutzerkonten erkennen

Unbekannte Administratoren können ein Hinweis auf eine kompromittierte Website sein. Prüfen Sie Benutzerkonten sorgfältig, wenn Sie ungewöhnliche Aktivitäten bemerken.

Warnzeichen:

• unbekannte Administratoren,
• Benutzer mit verdächtigen E-Mail-Adressen,
• neue Konten ohne bekannten Grund,
• geänderte Rollen,
• unerwartete Veröffentlichungen,
• Spam-Beiträge,
• neue Plugins oder Themes ohne Freigabe.

Wenn Sie einen unbefugten Zugriff vermuten, ändern Sie Passwörter, prüfen Sie Administratoren, aktualisieren Sie WordPress und kontaktieren Sie bei Bedarf den Support.

15. Benutzerrollen bei WooCommerce

WooCommerce ergänzt WordPress um zusätzliche Rollen, zum Beispiel Kunde und Shop-Manager. Diese Rollen sind speziell für Shops gedacht.

Typische WooCommerce-Rollen:

• Kunde: Kann Bestellungen und Kontodaten verwalten.
• Shop-Manager: Kann Produkte, Bestellungen und Shopbereiche verwalten, aber nicht zwingend alle Administratorfunktionen nutzen.

Für Mitarbeitende im Shop ist Shop-Manager oft besser als Administrator, weil weniger technische Systemrechte vergeben werden.

16. Benutzerrollen mit Plugins erweitern

WordPress-Rollen können mit Plugins erweitert oder angepasst werden. Das ist nützlich, wenn Standardrollen nicht ausreichen.

Mögliche Anwendungsfälle:

• Redakteure dürfen bestimmte Seiten nicht bearbeiten,
• Autoren dürfen Medien hochladen,
• Shop-Mitarbeitende erhalten eingeschränkten Zugriff,
• Mitgliederbereiche benötigen eigene Rollen,
• Kunden sollen bestimmte Inhalte sehen,
• Support-Mitarbeitende brauchen begrenzten Zugriff.

Seien Sie mit Rollen-Plugins vorsichtig. Falsche Berechtigungen können Sicherheitslücken oder Bedienprobleme erzeugen. Dokumentieren Sie individuelle Rollen genau.

17. Datenschutz und Benutzerverwaltung

Benutzerkonten enthalten personenbezogene Daten wie Namen, E-Mail-Adressen und teilweise Profilinformationen. Deshalb sollten Benutzerkonten nur angelegt werden, wenn sie benötigt werden.

Prüfen Sie:

• Welche Benutzerkonten sind aktiv?
• Welche personenbezogenen Daten sind gespeichert?
• Welche Benutzer benötigen Zugriff auf Kundendaten?
• Sind ehemalige Mitarbeitende entfernt?
• Sind Rollen datenschutzgerecht beschränkt?
• Wer darf Benutzer exportieren oder bearbeiten?

Für Websites mit Kundendaten, Shops oder Mitgliederbereichen ist eine saubere Rollenstruktur auch aus Datenschutzsicht wichtig.

18. SEO und Benutzerrollen

Benutzerrollen haben keinen direkten SEO-Effekt. Sie schützen jedoch die Qualität Ihrer Inhalte. Wenn zu viele Personen unkontrolliert Inhalte ändern oder veröffentlichen können, leidet die inhaltliche Konsistenz.

Eine gute Rollenstruktur hilft bei:

• redaktioneller Qualitätssicherung,
• Vermeidung versehentlicher Löschungen,
• Schutz von SEO-Einstellungen,
• sauberer Freigabe von Beiträgen,
• Vermeidung fehlerhafter Veröffentlichungen,
• Kontrolle über wichtige Seiten.

Besonders SEO-Plugins sollten nicht von jedem Benutzer verändert werden können.

19. GEO: Verantwortlichkeiten für vertrauenswürdige Inhalte

GEO, also Generative Engine Optimization, profitiert indirekt von einer klaren Rollenstruktur. Wenn Inhalte von fachlich geeigneten Personen erstellt und von verantwortlichen Redakteuren geprüft werden, steigt die Qualität und Verlässlichkeit der Website.

Gute Benutzerverwaltung unterstützt GEO durch:

• klare Autorenverantwortung,
• kontrollierte Veröffentlichungen,
• weniger Fehler in Fachartikeln,
• saubere Aktualisierungsprozesse,
• geschützte zentrale Inhalte,
• vertrauenswürdige redaktionelle Abläufe.

20. Häufige Fehler bei Benutzerrollen

• Zu viele Administratoren: Erhöht das Risiko technischer Fehler und Angriffe.
• Geteilte Benutzerkonten: Verantwortlichkeiten sind nicht nachvollziehbar.
• Alte Konten bleiben aktiv: Ehemalige Mitarbeitende oder Dienstleister behalten Zugriff.
• Falsche Rolle für Texter: Autoren erhalten unnötige Adminrechte.
• Keine 2FA: Administratorzugänge sind nur durch Passwörter geschützt.
• Benutzername öffentlich sichtbar: Erleichtert Angriffe.
• Rollenänderungen nicht dokumentiert: Rechte wachsen unkontrolliert.
• WooCommerce-Rechte falsch vergeben: Shopdaten sind unnötig breit zugänglich.

Empfohlene Vorgehensweise

1. Benutzerliste prüfen: Unter Benutzer > Alle Benutzer.
2. Administratoranzahl reduzieren: Nur notwendige Personen behalten Adminrechte.
3. Rollen passend vergeben: Redakteur, Autor, Mitarbeiter oder Abonnent gezielt nutzen.
4. Eigene Konten verwenden: Keine geteilten Admin-Zugänge.
5. Starke Passwörter erzwingen: Besonders für Administratoren.
6. 2FA aktivieren: Für Admins, Shop-Manager und Redakteure empfohlen.
7. Temporäre Zugänge entfernen: Nach Abschluss externer Arbeiten löschen.
8. Benutzer-E-Mails aktuell halten: Wichtig für Passwort-Reset und Benachrichtigungen.
9. Inhalte beim Löschen übertragen: Beiträge nicht versehentlich entfernen.
10. Regelmässig auditieren: Rollen und Konten alle paar Monate überprüfen.

Häufige Fragen zu WordPress-Benutzerrollen

Welche Benutzerrollen gibt es in WordPress?

Standardmässig gibt es Administrator, Redakteur, Autor, Mitarbeiter und Abonnent. Plugins wie WooCommerce können zusätzliche Rollen hinzufügen.

Welche Rolle sollte ein Texter erhalten?

Für Texter reicht meist Autor oder Mitarbeiter. Wenn Beiträge vor Veröffentlichung geprüft werden sollen, ist Mitarbeiter sicherer.

Wer braucht Administratorrechte?

Nur Personen, die technische Einstellungen, Plugins, Themes, Updates oder Benutzer verwalten müssen.

Kann ich Benutzer später löschen?

Ja. Beim Löschen fragt WordPress, ob Inhalte gelöscht oder einem anderen Benutzer übertragen werden sollen. Inhalte sollten meist übertragen werden.

Soll ich ein gemeinsames Admin-Konto verwenden?

Nein. Jede Person sollte ein eigenes Konto verwenden. Das ist sicherer und nachvollziehbarer.

Kann ich eigene Rollen erstellen?

Ja, mit passenden Plugins oder individueller Entwicklung. Das sollte jedoch sorgfältig geplant und dokumentiert werden.

Was ist die sicherste Rolle für neue Benutzer?

Das hängt von der Aufgabe ab. Grundsätzlich sollte immer die niedrigste Rolle gewählt werden, die für die Aufgabe ausreicht.

Sind Benutzerrollen wichtig für Sicherheit?

Ja. Eine saubere Rollenvergabe reduziert das Risiko von Fehlbedienung, unbefugten Änderungen und kompromittierten Administratorzugängen.