WordPress Benutzerrollen richtig vergeben

Praxisbeispiel für einen externen Auftrag für WordPress Benutzerrollen.

Angenommen, ein Dienstleister soll drei bestehende Beiträge überarbeiten. Er ändert Texte, ersetzt Bilder und setzt interne Links. Dafür braucht er im Regelfall keine Rechte für Plugins, Themes, Benutzer oder allgemeine Einstellungen. Eine zeitlich begrenzte Redakteurrolle deckt die Inhaltsarbeit ab.

Lege das Konto erst kurz vor dem Auftrag an. Notiere den Zweck und ein Enddatum. Prüfe nach der ersten Anmeldung, ob alle benötigten Beiträge erreichbar sind. Nach Abschluss kontrollierst du die Änderungen, ordnest offene Entwürfe zu und entfernst das Konto. Muss dieselbe Person später ein Plugin prüfen, erstellst du dafür einen getrennten, kurzen Arbeitsauftrag. So vermischst du Inhaltsarbeit und technische Eingriffe nicht.

Was du nach einer Rollenänderung testen solltest

Verlasse dich nicht allein auf den Namen der Rolle. Melde dich mit einem Testkonto an und öffne alle benötigten Bereiche. Prüfe, ob die Person eigene Beiträge bearbeiten, Medien hochladen und den vorgesehenen Arbeitsschritt abschließen darf. Kontrolliere zugleich, ob Benutzerverwaltung, Plugins, Theme Dateien und vertrauliche Formulare verborgen bleiben.

Ein Plugin kann Standardrechte erweitern oder einschränken. Nach einem größeren Plugin Update solltest du wichtige Sonderrollen erneut testen. Dokumentiere eigene Änderungen an Rollen. Ohne diese Notiz weißt du Monate später nicht mehr, warum ein Konto bestimmte Rechte besitzt.

Sofortmaßnahmen bei einem unbekannten Konto

Entdeckst du einen unbekannten Administrator, lösche ihn nicht vorschnell ohne Sicherung. Ändere zuerst dein eigenes Administratorkennwort, sichere die Website und prüfe aktive Sitzungen, Plugins sowie kürzlich geänderte Dateien. Sperre anschließend den unbekannten Zugang. Kläre, ob dein Hoster, ein früherer Dienstleister oder ein Wartungsdienst das Konto angelegt hat.

Findest du keine harmlose Erklärung, behandle den Vorgang als Sicherheitsproblem. Prüfe weitere Benutzer, Anwendungspasswörter und geplante Aufgaben. Ein entferntes Konto allein beseitigt keine bereits eingebauten Änderungen.

WordPress Benutzerrollen vergeben: Damit bestimmst du, was andere Personen in deinem Blog sehen und verändern dürfen. Ein Autor braucht andere Rechte als ein Techniker. Wer jeder Person einen Administratorzugang gibt, öffnet mehr Türen als nötig.

Das betrifft auch kleine Blogs. Vielleicht lässt du einen Text korrigieren, Bilder einfügen oder ein Plugin prüfen. Für jede Aufgabe gibt es eine passende Rolle. Du schützt damit Beiträge, Einstellungen und persönliche Daten.

Diese Anleitung zeigt dir die Standardrollen von WordPress und einen einfachen Ablauf für sichere Zugänge. Die Menünamen gelten für eine normale WordPress Installation. Plugins dürfen Rollen und Rechte verändern.

Was WordPress Rollen und Rechte bedeuten

WordPress bündelt einzelne Berechtigungen in Rollen. Eine Berechtigung erlaubt zum Beispiel das Veröffentlichen von Beiträgen, das Bearbeiten anderer Texte oder das Verwalten von Plugins.

Die offizielle WordPress Dokumentation zu Rollen und Berechtigungen nennt sechs Standardrollen: Super Administrator, Administrator, Redakteur, Autor, Mitarbeiter und Abonnent. Den Super Administrator gibt es nur in einem Netzwerk aus mehreren WordPress Websites.

Die kleinste passende Rolle wählen

Vergib nur die Rechte, die eine Person für ihre Aufgabe braucht. Ein Gastautor muss keine Plugins installieren. Ein Korrektor braucht keinen Zugriff auf Benutzerkonten. Dieses Prinzip begrenzt den Schaden durch Fehler, gestohlene Passwörter oder Missverständnisse.

Mehr Rechte sparen selten Zeit. Sie vergrößern vor allem den Bereich, den ein fremdes Konto verändern darf.

Die fünf Rollen einer einzelnen Website

Bei einer normalen WordPress Website begegnen dir fünf Rollen. Ihre genaue deutsche Bezeichnung darf je nach Sprachdatei leicht abweichen.

• Administrator: verwaltet Einstellungen, Benutzer, Themes und Plugins. Diese Rolle gehört nur Personen, die die gesamte Website betreuen.
• Redakteur: veröffentlicht und bearbeitet eigene Beiträge sowie Beiträge anderer Personen. Er verwaltet keine Plugins oder Grundeinstellungen.
• Autor: erstellt, veröffentlicht und bearbeitet eigene Beiträge.
• Mitarbeiter: schreibt und bearbeitet eigene Entwürfe, veröffentlicht sie aber nicht selbst.
• Abonnent: verwaltet im Normalfall nur das eigene Profil.

Welche Rolle zu welcher Aufgabe passt

Für einen einmaligen Gastbeitrag reicht meist Mitarbeiter. Du prüfst den Entwurf und veröffentlichst ihn selbst. Ein fester Autor, der eigene Texte selbst freigeben soll, erhält Autor. Eine Person, die deinen gesamten Redaktionsplan und mehrere Autoren betreut, braucht Redakteur.

Ein Webdesigner benötigt nicht automatisch Administratorrechte. Für reine Inhaltsarbeit reicht Redakteur. Muss er Theme oder Plugins bearbeiten, erhält er Administratorrechte nur für den notwendigen Zeitraum.

WordPress Benutzerrollen vergeben

Öffne im WordPress Bereich den Menüpunkt Benutzer und wähle Neu hinzufügen. Trage Benutzername und E Mail Adresse ein. Verwende für jede Person ein eigenes Konto. Gemeinsame Konten verhindern, dass du Änderungen einer Person zuordnen kannst.

Wähle danach die Rolle aus. Lass WordPress eine Nachricht zum Setzen des Passworts senden. Verschicke keine Passwörter offen per E Mail oder Chat.

1. Aufgabe der Person schriftlich festlegen.
2. Kleinste passende Rolle auswählen.
3. Eigenes Benutzerkonto anlegen.
4. Starkes, nur dort verwendetes Passwort verlangen.
5. Anmeldung und benötigte Arbeitsschritte testen.
6. Enddatum für die nächste Prüfung notieren.

Standardrolle für neue Benutzer prüfen

Unter Einstellungen und Allgemein findest du die Standardrolle für neue Benutzer. Bei einem normalen Blog sollte dort Abonnent stehen. Aktiviere die freie Registrierung nur, wenn du sie wirklich brauchst.

Prüfe eine neue Rolle zuerst auf einer Testkopie, wenn Plugins oder ein Mitgliederbereich beteiligt sind. Die Anleitung WordPress Staging erstellen zeigt dir einen sicheren Testablauf.

Administratorkonten besonders schützen

Ein Administrator darf fast die gesamte Website verändern. Schütze diese Konten deshalb mit einem langen, einzigartigen Passwort und einer Zwei Faktor Anmeldung. WordPress weist in seiner aktuellen Anleitung zu Angriffen auf Anmeldeseiten auf starke Passwörter, Passwortmanager und Zwei Faktor Anmeldung für Administratorkonten hin.

Nutze dein Administratorkonto nicht für jede kleine Textänderung. Ein getrenntes Redakteurkonto verringert das Risiko, dass du im Alltag versehentlich Einstellungen oder Plugins veränderst.

Zugänge für Werkzeuge getrennt behandeln

Ein Dienst, der über die WordPress Schnittstelle Beiträge veröffentlicht, braucht nicht dein normales Kennwort. WordPress bietet dafür widerrufbare Anwendungspasswörter. Erstelle für jedes Werkzeug einen eigenen Zugang und benenne ihn eindeutig.

Teile niemals denselben Zugang mit mehreren Diensten. Entfernst du später ein Werkzeug, kannst du dessen Zugang einzeln löschen.

Benutzer regelmäßig prüfen und entfernen

Öffne einmal pro Quartal die Benutzerliste. Prüfe Name, Rolle, letzte Zusammenarbeit und Zweck jedes Kontos. Entferne Zugänge ehemaliger Dienstleister sofort nach Abschluss der Arbeit.

Beim Löschen eines Benutzers fragt WordPress, was mit dessen Inhalten geschehen soll. Ordne bestehende Beiträge vorher einem anderen Benutzer zu. Sonst löschst du unter Umständen veröffentlichte Inhalte mit.

Erstelle vor größeren Änderungen an Konten und Rollen eine Sicherung. Der Beitrag WordPress Backup erstellen erklärt, welche Dateien und Datenbankteile dazugehören.

Eine einfache Zugangsliste führen

Notiere Person, Rolle, Zweck, Startdatum und geplantes Enddatum. Speichere dort keine Passwörter. Die Liste erinnert dich daran, vorübergehende Rechte wieder zu entziehen.

Die offizielle Anleitung zum Absichern von WordPress beschreibt Sicherheit als laufende Verringerung von Risiken. Eine einmalige Einrichtung reicht deshalb nicht.

Typische Fehler bei Benutzerrechten

Der häufigste Fehler ist ein gemeinsamer Administratorzugang. Danach folgen dauerhaft aktive Testkonten und Rechte, die nach einem Auftrag nie zurückgesetzt wurden.

• Kein gemeinsames Konto für mehrere Personen verwenden.
• Keine Administratorrolle aus Bequemlichkeit vergeben.
• Keine alten Konten ohne erkennbaren Zweck behalten.
• Keine Passwörter in Tabellen oder normalen E Mails speichern.
• Keine unbekannten Rollen aus Plugins ungeprüft übernehmen.

Bei automatischen Veröffentlichungen prüfst du zusätzlich, unter welchem Benutzer neue Beiträge erscheinen. Kontrolliere anschließend ausgehende Verweise und Kennzeichnungen. Der Beitrag Affiliate Links in WordPress verwalten nennt die wichtigen Prüfstellen.

Rechte nach einem Auftrag sauber zurücksetzen

Ein zeitlich begrenzter Zugang endet nicht automatisch, wenn du kein Ablaufdatum technisch eingerichtet hast. Plane deshalb schon beim Anlegen des Kontos die spätere Kontrolle ein. Trage den Termin in deinen Kalender ein und prüfe nach Abschluss des Auftrags, ob noch Entwürfe, Medien oder offene Änderungen vorhanden sind.

Stufe die Rolle nicht nur von Administrator auf Abonnent herab, wenn die Person keinen Zugang mehr braucht. Lösche das Konto nach der Inhaltszuordnung vollständig. Widerrufe außerdem Anwendungspasswörter, Freigabelinks und Zugänge beim Hosting, falls sie zum Auftrag gehörten. Ein gelöschtes WordPress Konto schützt wenig, wenn dieselbe Person weiterhin über einen anderen Zugang Änderungen durchführen darf.

Kurzer Rechtecheck für deinen Blog

Gehe jeden Benutzer einzeln durch und beantworte fünf Fragen: Kenne ich die Person? Braucht sie heute noch Zugang? Passt ihre Rolle zur aktuellen Aufgabe? Nutzt sie ein eigenes Konto? Ist ein Enddatum dokumentiert? Fehlt eine klare Antwort, sperrst du das Konto zunächst und klärst den Zweck.

Prüfe danach besonders Konten mit Administratorrechten. Bei einem kleinen Blog reichen meist ein oder zwei Administratoren. Weitere Personen sollten nur die Rechte erhalten, die ihre tägliche Arbeit verlangt. Kontrolliere auch Testkonten, alte Agenturzugänge und Benutzer mit ungewöhnlichen Namen. So findest du unnötige Rechte, bevor ein falscher Klick oder ein gestohlenes Passwort Schaden verursacht.

WordPress Benutzerrollen vergeben heißt, Aufgaben und Rechte klar zu verbinden. Starte mit der kleinsten passenden Rolle. Gib jeder Person ein eigenes Konto und sichere Administratoren besonders ab.

Öffne heute deine Benutzerliste. Entferne unbekannte Zugänge, setze die Standardrolle auf Abonnent und notiere für jedes fremde Konto einen klaren Zweck. Diese kurze Prüfung schützt deinen Blog ohne zusätzliche Technik.