Kurz gesagt: Öffne die bekannte Login-Adresse direkt, prüfe die konkrete Meldung und teste einen zweiten Browser. Nutze die Passwort-Zurücksetzen-Funktion, wenn tatsächlich das Passwort abgelehnt wird. Bei Weiterleitungen oder Sperren sind dagegen Cookies, Domainkonfiguration und Sicherheitsregeln die nächsten Prüfpunkte.
Bevor du anfängst
- Rufe die bekannte Website-Adresse selbst auf und kontrolliere Domain und HTTPS.
- Notiere den Wortlaut der Meldung und ob sie vor oder nach dem Absenden erscheint.
- Prüfe ohne weitere Wiederholungsversuche, ob ein zweiter berechtigter Administrator Zugriff hat.
1. Die richtige Anmeldung und Fehlermeldung prüfen
Bei einer üblichen Installation ist /wp-login.php die direkte Anmeldeseite. /wp-admin/ führt zur Verwaltung und leitet unangemeldete Besucher normalerweise zur Anmeldung weiter. Ergänze diese Pfade an der bekannten Adresse deiner WordPress-Installation; liegt WordPress in einem Unterordner, gehört dieser dazu. Hat ein Sicherheitsplugin die Login-Adresse geändert, nutze die hinterlegte eigene Adresse. Dass der Standardpfad dann nicht erreichbar ist, kann beabsichtigt sein. Prüfe deine Einrichtungsnotizen oder frage einen noch angemeldeten Administrator.
Achte auf die Domain in der Adresszeile. Nach einem Umzug können alte Lesezeichen auf eine frühere Installation zeigen. Auch eine Verwechslung von Live- und Testseite erklärt, warum ein vertrautes Passwort nicht akzeptiert wird. Wenn die Seite auf eine unbekannte Domain weiterleitet oder unerwartet fremde Zugangsdaten verlangt, brich die Anmeldung ab und lasse den möglichen Sicherheitsvorfall prüfen.
- „Passwort falsch“: Konto und Passwortwiederherstellung prüfen.
- Rückkehr zur leeren Loginmaske: Cookies und Weiterleitungskette prüfen.
- 403 oder ausdrückliche Sperre: Schutzsystem beziehungsweise Hosting-Regel prüfen.
- Kritischer Fehler statt Login: den PHP- oder Erweiterungsfehler untersuchen.
2. Passwort gezielt zurücksetzen
Prüfe zunächst, ob dein Passwortmanager einen veralteten Eintrag oder Zugang für eine andere Website ausfüllt. Achte auf versehentliche Leerzeichen und die tatsächlich verwendete E-Mail-Adresse. Wiederhole denselben erfolglosen Versuch nicht beliebig oft; eine Schutzfunktion kann das Konto oder deine IP-Adresse zeitweise sperren.
Klicke auf der echten Loginseite auf „Passwort vergessen?“, gib Benutzername oder Konto-E-Mail ein und fordere einmal einen neuen Link an. Öffne das zugehörige Postfach einschließlich Spamordner und verwende den zuletzt angeforderten Link. Wenn keine Nachricht ankommt, prüfe zuerst die eingegebene Adresse; danach den Mailversand. Ein noch angemeldeter Administrator kann unter „Benutzer → Alle Benutzer“ die Konto-Adresse prüfen. Passwörter, Rücksetzlinks und Mailserver-Zugangsdaten werden dabei nicht in Screenshots oder öffentliche Fehlertickets kopiert.
Keine Benutzer auf Verdacht löschen: Benutzerkonten können mit Beiträgen, Rollen und weiteren Daten verbunden sein. Eine gezielte Zugangswiederherstellung ist sinnvoller als das Löschen und Neuanlegen ohne Prüfung.
3. Eine Login-Schleife im Browser eingrenzen
WordPress braucht Cookies, um die Anmeldung zwischen den einzelnen Seitenaufrufen zu erkennen. Wird das erforderliche Cookie nicht gespeichert oder nicht an die erwartete Domain gesendet, kann die Anmeldung scheinbar gelingen und gleich wieder verloren gehen. Teste einen zweiten Browser mit erlaubten Cookies, bevor du etwas an der Website änderst.
Funktioniert die Anmeldung dort, öffne die Einstellungen des ursprünglichen Browsers und suche nach „Website-Daten“ beziehungsweise „Cookies“. Suche in der Liste nach deiner Domain und entferne nur deren gespeicherte Daten. Öffne die Loginadresse danach neu. Damit verlierst du gegebenenfalls weitere Anmeldungen derselben Website, aber nicht pauschal alle Browser-Anmeldungen. Prüfe außerdem Erweiterungen, die Anfragen oder Cookies verändern. Ein privates Fenster ist ein hilfreicher Vergleich, kann aber ebenfalls strengere Cookie-Regeln haben.
- Anmeldung im zweiten Browser erfolgreich Die Website kann grundsätzlich Sitzungen aufbauen. Prüfe zuerst die lokalen Einstellungen und Website-Daten des ursprünglichen Browsers.
- Anmeldung überall in derselben Schleife Untersuche Domain, HTTPS-Weiterleitungen, Proxy-Konfiguration und Cache-Regeln. Wiederholtes Passwortsetzen ist dafür meist nicht der passende nächste Schritt.
4. Sicherheits- und Zwei-Faktor-Sperren lösen
Eine Meldung über zu viele Versuche, eine gesperrte Adresse oder eine zusätzliche Sicherheitsprüfung deutet auf einen anderen Fehler als ein vergessenes Passwort hin. Notiere Uhrzeit und Meldung. Prüfe über einen vorhandenen Administrator- oder Hosting-Zugang, welches System die Sperre auslöst. Das kann ein Plugin sein, aber auch ein vorgeschalteter Dienst.
Bei Zwei-Faktor-Problemen verwende die vorgesehenen Wiederherstellungscodes oder den geregelten Wiederherstellungsweg. Prüfe bei zeitbasierten Codes auch die Uhrzeit des verwendeten Geräts. Veröffentliche weder Codes noch QR-Grafiken. Eine gezielte Entsperrung sollte nur nach geklärter Berechtigung erfolgen; das pauschale Abschalten aller Schutzfunktionen öffnet unnötig weitere Zugänge.
5. Nach Umzug oder Update die letzte Änderung prüfen
Begann das Problem direkt nach einem Domainwechsel, einer HTTPS-Umstellung oder einer Proxy-Änderung, vergleiche die konfigurierte Website-Adresse mit der tatsächlich aufgerufenen Adresse. Hin- und Hersprünge zwischen HTTP und HTTPS oder verschiedenen Domains können den Aufbau einer Sitzung stören. Die gesamte Weiterleitungskette muss zusammenpassen.
Nach einem Plugin-Update helfen das Fehlerprotokoll und ein kontrollierter Test auf einer gesicherten Kopie. Deaktiviere dort gezielt die verdächtige Erweiterung. Wenn die Anmeldung wieder funktioniert, prüfe Kompatibilität und Konfiguration, bevor du die Korrektur übernimmst. Änderungen an Datenbankwerten, Serverregeln oder Konfigurationsdateien brauchen eine Sicherung und einen klaren Rückweg.
6. Den Zugang vollständig überprüfen
Nach der Wiederherstellung sollte nicht nur die erste Anmeldung funktionieren. Öffne mehrere Verwaltungsseiten, melde dich ab und wieder an und prüfe die tatsächlich benötigten Rechte. Teste gegebenenfalls auch einen normalen Benutzerzugang. So erkennst du, ob lediglich eine einzelne Seite erreichbar geworden ist oder die Sitzung wieder zuverlässig besteht.
Kontrolliere bei unerklärlich geänderten Zugangsdaten zusätzlich vorhandene Administratoren und letzte auffällige Änderungen. Halte für eine Supportanfrage die Domain, Fehlermeldung, letzte funktionierende Anmeldung und den letzten technischen Eingriff bereit. Das Passwort selbst gehört nicht in die Beschreibung. Bei Bedarf wird ein Zugang anschließend über einen geschützten Übertragungsweg bereitgestellt.
Häufige Fragen
Mein Passwort stimmt. Warum komme ich trotzdem nicht hinein?
Die Anmeldung kann an einer anderen Installation, Cookies, einer Weiterleitung, einer Schutzsperre oder der Zwei-Faktor-Prüfung scheitern. Der Wortlaut der Meldung und ein zweiter Browser helfen bei der Unterscheidung.
Was mache ich, wenn keine Mail zum Zurücksetzen ankommt?
Prüfe Postfach und Spamordner sowie die verwendete Konto-Adresse. Bleibt die Mail aus, muss der Versand untersucht werden. Ein anderer berechtigter Administrator oder der Hoster kann bei der autorisierten Wiederherstellung helfen.
Soll ich einfach alle Plugins deaktivieren?
Nicht pauschal auf der laufenden Website. Dadurch können Formulare, Shop und weitere Funktionen ausfallen. Teste auf einer gesicherten Kopie zuerst die Erweiterung, die zur Fehlermeldung oder letzten Änderung passt.
Ist eine gesperrte Anmeldung ein Hinweis auf einen Hack?
Nicht automatisch. Schutzregeln, falsche Zugangsdaten und Konfigurationsfehler sind ebenfalls möglich. Unbekannte Administratoren, fremde Weiterleitungen oder unerklärliche Änderungen sind zusätzliche Warnzeichen, die untersucht werden sollten.