WordPress Benutzerrollen: warum „Administrator für alle“ Ihr größtes Risiko ist

Von Manuel Hack, ihp media · Aktualisiert am 21. Juni 2026

Wer darf in Ihrem WordPress-Backend welchen Knopf drücken? Die Antwort steckt im Rollensystem, das WordPress seit seinen frühen Versionen mitbringt. Viele Website-Betreiber vergeben Zugänge nach Gefühl, geben externen Dienstleistern Administratorrechte, weil es schneller geht, oder vergessen alte Nutzerkonten. Das rächt sich: Ein gehackter Admin-Account legt eine Website vollständig lahm. Ein gehackter Redakteurs-Account kann dagegen zwar Inhalte ändern und löschen, aber die Website nicht übernehmen. Wer die Kontrolle über Zugänge hat, hat die Kontrolle über die Website.

Warum WordPress überhaupt ein Rollensystem hat

WordPress arbeitet intern mit einem Konzept aus Rollen und sogenannten Capabilities, also Berechtigungen. Eine Rolle ist nichts anderes als ein benanntes Bündel von Berechtigungen. Die Berechtigung publish_posts erlaubt das Veröffentlichen eines Beitrags. Die Berechtigung manage_options erlaubt den Zugriff auf die Grundeinstellungen. edit_users erlaubt die Bearbeitung anderer Nutzerkonten.

Jeder Nutzer trägt genau eine Rolle. Die Rolle bestimmt, welche dieser Berechtigungen er hat. Diese einfache Idee hat im Alltag spürbare Folgen für Sicherheit und Verantwortung. Wer activate_plugins hat, kann Plugins installieren und aktivieren. Über bösartige oder schlecht gepflegte Plugins kann ein Angreifer Schadcode einschleusen. Wer diese Berechtigung nicht hat, kann diesen Weg gar nicht erst betreten.

Die offizielle WordPress-Dokumentation beschreibt das Rollensystem als zentralen Mechanismus zur Zugriffskontrolle: Rollen definieren die Verantwortlichkeiten eines Nutzers innerhalb der Website, nicht seine Hierarchie. Ein Redakteur ist dem Administrator nicht unterstellt, er hat schlicht andere Aufgaben und damit andere Berechtigungen.

Die fünf Standardrollen im Überblick

WordPress bringt fünf Rollen mit, die für die meisten Websites ausreichen. Hier zunächst die Übersicht, danach jede Rolle einzeln mit ihren konkreten Berechtigungen.

Administrator: volle Kontrolle, hohes Risiko

Der Administrator hat auf einer Standard-WordPress-Installation Zugriff auf alles. Er darf Plugins installieren, aktivieren und löschen, Themes wechseln, den Theme-Editor öffnen, alle Einstellungen ändern, neue Nutzer anlegen, bestehende Nutzer bearbeiten oder löschen, Rollen vergeben und die gesamte Datenbank exportieren. Kurz: wer Administrator ist, hat die vollständige Kontrolle über die Website.

Genau das macht diese Rolle gefährlich, sobald zu viele Personen sie tragen. Jeder Administrator ist ein potenzieller Einstiegspunkt für Angreifer. Schwache Passwörter, wiederverwendete Zugangsdaten, Phishing-E-Mails: all das zielt auf Administratorkonten, weil dort der größte Hebel liegt. Eine genaue Übersicht der Administrator-Berechtigungen finden Sie in der offiziellen WordPress-Dokumentation zu Roles and Capabilities.

Faustregel: Auf einer typischen Unternehmenswebsite braucht genau ein Mensch den Administratorzugang, nämlich derjenige, der für Technik und Infrastruktur verantwortlich ist. Inhaltliche Mitarbeiter, externe Texter und Agenturen bekommen keine Administratorrolle.

Redakteur: Inhalte ohne Systemzugang

Der Redakteur ist die richtige Rolle für alle, die Inhalte der gesamten Website verantworten, ohne technischen Zugang zu benötigen. Er darf Beiträge und Seiten erstellen, bearbeiten und veröffentlichen, dabei auch Beiträge anderer Nutzer anfassen. Er kann Kategorien und Links verwalten, Kommentare moderieren und Dateien in die Mediathek hochladen.

Was er nicht darf: Plugins installieren oder konfigurieren, Themes wechseln, andere Nutzer verwalten oder die WordPress-Grundeinstellungen ändern. Das Backend wirkt für ihn deutlich übersichtlicher, weil die ganzen technischen Menüs fehlen.

Typischer Einsatz: eine interne Redakteurin, die mehrere Autoren koordiniert, deren Texte abnimmt und veröffentlicht. Oder ein Content-Manager, der für die Inhaltspflege zuständig ist, aber keinen Einfluss auf die technische Konfiguration haben soll.

Autor: eigene Beiträge, keine Fremdkontrolle

Der Autor darf eigene Beiträge schreiben, bearbeiten, veröffentlichen und löschen. Er kann Dateien in die Mediathek hochladen, allerdings nur für seinen eigenen Gebrauch. Beiträge anderer Nutzer sieht er nicht, Seiten kann er nicht bearbeiten, Kategorien nicht anlegen.

Wichtig zu verstehen: Der Autor ist der erste in der Hierarchie, der selbst veröffentlichen darf, ohne auf Freigabe warten zu müssen. Das macht ihn geeignet für regelmäßige Blogger oder Redaktionsmitglieder, die eigenständig publizieren sollen, ohne den Gesamtredaktionsstand beeinflussen zu können.

Typischer Einsatz: ein fest angestellter oder freier Texter, der regelmäßig eigene Beiträge veröffentlicht. Für Gastautoren, die nur gelegentlich schreiben und deren Texte vor der Veröffentlichung geprüft werden sollen, ist die Mitarbeiter-Rolle die bessere Wahl.

Mitarbeiter: schreiben, aber nicht veröffentlichen

Der Mitarbeiter (im WordPress-Original: Contributor) darf Beiträge schreiben und bearbeiten, solange sie noch nicht veröffentlicht sind. Er darf sie aber nicht selbst online stellen, keine Dateien hochladen und keine fremden Beiträge anfassen. Sobald ein Mitarbeiter einen Text als fertig markiert, sieht ein Redakteur oder Administrator ihn in der Beitragsübersicht und kann ihn freigeben oder ablehnen.

Das klingt nach einer starken Einschränkung, ist aber oft genau das Richtige. Gastautoren, externe Texter auf Honorarbasis, Praktikanten: all das sind Fälle, in denen jemand Inhalte beisteuern soll, ohne dass die Redaktion die Kontrolle über die Veröffentlichung abgibt. Kein Bild, das ohne Prüfung in der Mediathek landet. Kein Text, der ungecheckt live geht.

Typischer Einsatz: Gastbeitrag-Autoren, externe Fachexperten, die einen einmaligen Text schreiben, oder neue Mitarbeiter in der Einarbeitungsphase, die noch nicht allein veröffentlichen sollen.

Abonnent: nur lesen, kein Inhalt

Der Abonnent hat exakt eine Berechtigung: read. Er kann sich einloggen, sein Profil bearbeiten und, falls die Website passwortgeschützte Inhalte führt, diese lesen. Im Backend sieht er fast nichts. Er kann keine Inhalte erstellen, keine Dateien hochladen und keinerlei Einstellungen ändern.

Für reine Informationswebsites ohne Mitgliederbereich ist diese Rolle kaum relevant. Interessant wird sie bei Membership-Websites, Kunden-Portalen oder Intranets, wo bestimmte Inhalte nur für eingeloggte Nutzer zugänglich sein sollen.

Das Prinzip der minimalen Rechte

Das Prinzip der minimalen Rechte, in der IT-Sicherheit als Least Privilege Principle bekannt, lässt sich direkt auf WordPress übertragen. Es beantwortet eine simple Frage: Was muss diese Person tun, und was braucht sie dafür genau? Alles darüber hinaus ist Risiko.

Ein Beispiel: Eine Texterin schreibt monatlich zwei Blogbeiträge. Sie braucht keinen Administratorzugang. Sie braucht streng genommen noch nicht einmal die Autorenrolle, denn die erlaubt selbstständiges Veröffentlichen. Wenn ihre Texte vor dem Livegang geprüft werden sollen, ist die Mitarbeiterrolle die richtige Wahl. Wenn sie eigenständig publizieren soll, ist die Autorenrolle passend. Die Redakteurrolle wäre zu viel, weil sie fremde Beiträge anfassen könnte.

Das Prinzip gilt auch für Notfall-Zugänge. Wer einem Hoster oder einem Support-Team temporären Zugang gibt, sollte sich fragen: Braucht dieser Support-Techniker wirklich Administratorrechte? Oder reicht ein Redakteurszugang, um das Problem zu diagnostizieren? In vielen Fällen reicht weniger.

Externe Dienstleister und Agenturen sicher einbinden

Externe Dienstleister sind einer der häufigsten Wege, über die zu weitreichende Rechte vergeben werden. Ein Webdesigner bekommt Administratorzugang, weil es schnell geht. Eine SEO-Agentur will Einblick ins Backend, also wird ein weiterer Admin angelegt. Ein Entwickler soll einen Fehler prüfen, also bekommt er die höchste Rolle.

Das ist bequem, aber riskant. Externe Stellen haben eigene Sicherheitsinfrastrukturen, eigene Passwortpraktiken und eigene Risiken. Was bei Ihnen intern unter Kontrolle ist, liegt außerhalb bei einer anderen Firma oder Einzelperson. Es gibt drei Regeln für externe Zugänge:

Erstens: So wenig Rechte wie möglich. Eine SEO-Agentur, die Keyword-Rankings auswertet und Metatexte pflegt, braucht keinen Administratorzugang. Ein Redakteurskonto genügt für nahezu alle inhaltlichen Aufgaben. Ein Entwickler, der nur einen PHP-Fehler debuggt, braucht keinen dauerhaften Zugang, sondern einen temporären, der nach der Arbeit gelöscht wird.

Zweitens: Separate Konten, keine geteilten Logins. Wer gemeinsame Zugangsdaten mit einem Dienstleister teilt, verliert die Nachvollziehbarkeit. Im Falle eines Vorfalls ist nicht mehr klar, wer wann was geändert hat. Jeder externe Nutzer bekommt ein eigenes Konto, damit die Zugriffe protokollierbar bleiben.

Drittens: Zugänge danach löschen. Ein häufig übersehener Schritt. Wenn ein Projekt abgeschlossen ist, eine Agentur gewechselt wird oder ein Freelancer den Auftrag beendet hat, werden alle zugehörigen Nutzerkonten sofort gelöscht. Inaktive Konten sind ein Sicherheitsrisiko, weil niemand mehr auf die Aktivität achtet. Dass ein unbenutzter Account kompromittiert wird und sich über Monate unentdeckt im Backend befindet, ist keine Theorie, sondern ein reales Angriffsszenario.

Wer seine WordPress-Website betreuen lässt, sollte außerdem regelmäßig die Nutzerliste prüfen: Unter Benutzer im Backend sieht man alle aktiven Konten mit ihren Rollen. Ein kurzer Blick alle drei bis sechs Monate reicht, um veraltete Zugänge zu finden. Mehr dazu im verwandten Ratgeber WordPress Login absichern: Passwörter, Zwei-Faktor und Benutzerrollen.

Wann eine eigene Rolle sinnvoll ist

Die fünf Standardrollen passen für die meisten Websites. Es gibt aber Szenarien, in denen sie zu grob sind. Drei typische Fälle:

Sehr eingeschränkte Aufgaben. Ein Shop-Mitarbeiter soll Bestellungen im WooCommerce-Backend bearbeiten, aber weder Beiträge sehen noch Seiten anfassen. Die Standardrollen bilden das nicht ab. Eine eigene Rolle kann genau die WooCommerce-spezifischen Berechtigungen bündeln, ohne darüber hinaus etwas zu erlauben.

Agentur-Zugang mit Einschränkungen. Eine Wartungsagentur soll Plugins aktualisieren und Backups prüfen dürfen, aber keine Inhalte bearbeiten und keine Nutzer verwalten. Der Administrator wäre zu viel, der Redakteur zu wenig. Eine eigene Rolle mit genau den nötigen Capabilities löst das.

Abgespeckte Administratoren. In manchen Unternehmen gibt es mehrere technisch verantwortliche Personen, aber nicht alle sollen Nutzerkonten anlegen oder löschen dürfen. Eine eigene Rolle kann alle Administrator-Capabilities bis auf create_users, delete_users und edit_users umfassen.

Eigene Rollen lassen sich per Code anlegen: add_role() erstellt die Rolle, $role->add_cap() weist ihr einzelne Capabilities zu.

<?php
/**
 * Eigene WooCommerce-Rolle: shop_operator
 * Kann Bestellungen und Produkte verwalten, sonst nichts.
 * Als mu-plugin in wp-content/mu-plugins/ ablegen.
 */
add_action( 'init', function() {
    if ( get_role( 'shop_operator' ) ) {
        return; // Rolle existiert bereits, nichts tun
    }

    $role = add_role(
        'shop_operator',
        'Shop-Mitarbeiter',
        [] // Keine Standardrechte
    );

    if ( $role ) {
        $role->add_cap( 'read' );               // Backend-Login
        $role->add_cap( 'manage_woocommerce' ); // Bestellungen, Produkte, Berichte
        $role->add_cap( 'view_admin_dashboard' ); // Dashboard sichtbar
    }
} );

Wer das ohne Code umsetzen will, findet dafür das Plugin User Role Editor auf wordpress.org. Es erlaubt das Anlegen und Bearbeiten von Rollen direkt im Backend.

Hinweis: Eigene Rollen, die über Plugins angelegt wurden, werden in der WordPress-Datenbank gespeichert und bleiben auch nach Plugin-Deaktivierung erhalten. Bei einer Plugin-Deinstallation ohne sauberes Cleanup können verwaiste Rollen-Einträge entstehen. Wer eigene Rollen einsetzt, sollte das im Blick behalten. Mehr zur technischen Absicherung in unserem Artikel zur WordPress-Backup-Strategie.

Aus der Praxis: wie wir Rollen in Kundenprojekten vergeben

In einem Projekt für einen mittelständischen Dienstleister mit eigenem Redaktionsteam hatten wir folgende Ausgangslage: drei interne Mitarbeiterinnen pflegten regelmäßig Blogbeiträge und Leistungsseiten, zwei externe Texter lieferten Gastbeiträge, eine SEO-Agentur hatte laufenden Backend-Zugang, und der vorherige Webentwickler war noch mit einem Administratorkonto in der Liste.

Das erste, was wir nach Projektübernahme taten: die Nutzerliste bereinigen. Der alte Entwickler-Account wurde gelöscht. Die SEO-Agentur bekam statt des Administratorzugangs ein Redakteurskonto, das für ihre Arbeit an Metatexten und Inhalten vollständig ausreichend war. Die internen Redakteurinnen behielten die Autorenrolle, weil sie eigenständig veröffentlichen. Die externen Texter bekamen die Mitarbeiterrolle, damit ihre Beiträge intern abgenommen werden, bevor sie online gehen.

Das Ergebnis: weniger Konten mit Administratorrechten, klare Zuständigkeiten und eine Nutzerliste, die bei einem Sicherheitsvorfall sofort Auskunft darüber gibt, wer Zugang hat und was er darf. Eine konkrete Anleitung zur Härtung des Login-Bereichs über Benutzerrollen hinaus steht im Ratgeber WordPress Login absichern.

• Nutzerliste vollständig auf aktuelle und notwendige Konten prüfen
• Alte und inaktive Konten sofort löschen
• Für jeden Nutzer prüfen: Welche Aufgabe hat er genau?
• Dem Nutzer nur die Rolle zuweisen, die diese Aufgabe abdeckt
• Externe Dienstleister und Agenturen nie als Administrator einrichten
• Geteilte Logins auflösen, jedem Nutzer ein eigenes Konto geben
• Zugänge für beendete Projekte oder gewechselte Dienstleister sofort löschen
• Standardrolle für neue Nutzer in Einstellungen prüfen (unter Einstellungen / Allgemein)
• Erwägen, ob eigene Rollen für Spezialzwecke sinnvoll sind
• Alle vergebenen Administratorkonten halbjährlich auf Notwendigkeit prüfen

Häufige Fragen zu WordPress-Benutzerrollen

Kann ein Redakteur Plugins installieren?

Nein. Der Redakteur hat keinen Zugriff auf das Plugin-Menü. Plugins installieren, aktivieren oder deaktivieren darf nur der Administrator, auf einer Standard-Installation sind das Berechtigungen, die ausschließlich der Administrator trägt.

Was passiert, wenn ich einem Mitarbeiter versehentlich die falsche Rolle gebe?

Sie können die Rolle jederzeit unter Benutzer ändern. Wählen Sie den Nutzer aus, scrollen Sie zum Feld „Rolle“ und speichern Sie. Die Änderung wirkt sofort.

Wie viele Administratoren sollte eine WordPress-Website haben?

So wenige wie möglich. Für eine typische Unternehmenswebsite reicht ein Administratorkonto aus, nämlich das der Person oder Agentur, die für Technik und Wartung verantwortlich ist. Jeder zusätzliche Administrator ist ein potenzieller Angriffsvektor. Im Wartungsvertrag mit einer Agentur sollte geregelt sein, welche Zugänge angelegt werden und wer sie nach Projektende löscht.

Was ist die sichere Standard-Rolle für neue Nutzer?

WordPress setzt die Standard-Rolle für neu angelegte Nutzer unter Einstellungen / Allgemein. Standardmäßig steht dort „Abonnent“, was die sicherste Wahl ist. Wer regelmäßig neue Autoren anlegt, könnte versucht sein, die Standardrolle auf „Autor“ zu ändern. Besser ist es, die Rolle bei jeder Neuanlage bewusst zu setzen statt automatisch zu vergeben.

Kann ich eine Rolle nur für WooCommerce-Bestellungen erstellen?

Ja, mit einem Plugin oder per Code. WooCommerce bringt eigene Capabilities mit, zum Beispiel manage_woocommerce. Eine eigene Rolle kann genau diese Capability enthalten und sonst nichts. Das ergibt einen „Shop-Manager“-Zugang, der Bestellungen bearbeitet, aber keine Blog-Inhalte sieht.

Was ist der Unterschied zwischen Autor und Mitarbeiter?

Der Autor darf seine fertigen Beiträge selbst veröffentlichen. Der Mitarbeiter nicht. Texte von Mitarbeitern warten auf Freigabe durch einen Redakteur oder Administrator. Das ist der einzige, aber entscheidende Unterschied. Wer Gastautoren Texte beisteuern lässt, ohne jede Veröffentlichung zu kontrollieren, vergibt mit der Autorenrolle stillschweigend das Recht zur direkten Publikation.

Wie erkenne ich, ob meine Website noch alte Nutzerkonten hat?

Gehen Sie im Backend unter Benutzer und filtern Sie nach Rolle. Achten Sie besonders auf Administratoren und Redakteure, weil diese die weitreichendsten Rechte haben. Wer den letzten Eintrag „vor drei Jahren“ hat oder zu einer Agentur gehört, mit der Sie nicht mehr zusammenarbeiten, sollte sofort gelöscht werden.

Müssen externe Agenturen zwingend Administratorzugang haben?

Für reine Inhaltspflege, SEO-Arbeit oder Redaktionsunterstützung ist ein Redakteurskonto ausreichend. Administratorzugang brauchen Agenturen nur für technische Arbeiten wie Plugin-Installation, Theme-Konfiguration, Datenbankzugriff oder Server-seitige Einstellungen. Selbst dann sollte der Zugang zeitlich begrenzt sein und nach Abschluss der Arbeiten wieder gelöscht werden. Wer eine dauerhafte Betreuung sucht, sollte im Wartungsvertrag genau regeln, welche Zugänge die Agentur hält und wie das nach Vertragsende gehandhabt wird.