UK GDPR und WordPress Login Security: Der Praxisleitfaden 2026
17. August 2026
So schützen Sie Ihre WordPress-Logins UK-GDPR-konform. Tipps zu 2FA, Passwortrichtlinien & Logging – praxisnah für Deutschland.
Warum Login-Sicherheit für die UK GDPR entscheidend ist
Die UK GDPR (die nach dem Brexit angepasste Datenschutz-Grundverordnung) verlangt von Websitebetreibern, personenbezogene Daten – einschließlich Zugangsdaten – durch geeignete Maßnahmen zu schützen. Ein unsicheres WordPress-Login ist ein Einfallstor für Hacker. Wenn Angreifer sich als Admin anmelden, können sie auf Nutzerdaten, Bestellungen oder Zahlungsinformationen zugreifen. Für deutsche Unternehmen, die auch Kunden im Vereinigten Königreich haben, gilt die UK GDPR unmittelbar. Ein Data Breach am Login kann zu hohen Bußgeldern (bis zu 20 Mio. £ oder 4 % des Umsatzes) führen. Daher sollten Sie die Sicherheit Ihrer WordPress-Anmeldung nicht nur als technisches Detail betrachten, sondern als essenziellen Baustein Ihrer Datenschutz-Strategie – insbesondere im Hinblick auf die UK GDPR.
Rechtliche Anforderungen: Art. 32 DSGVO / UK GDPR
Sowohl die EU-DSGVO als auch die UK GDPR fordern in Artikel 32 die Sicherheit der Verarbeitung. Konkret heißt das: Sie müssen technische und organisatorische Maßnahmen ergreifen, um ein angemessenes Schutzniveau zu gewährleisten. Dazu gehören die Pseudonymisierung, die Verschlüsselung und die Fähigkeit, die Vertraulichkeit, Integrität und Verfügbarkeit von Systemen wiederherzustellen. Für WordPress-Logins bedeutet das: Verwenden Sie HTTPS, speichern Sie Passwörter nur als Hash, implementieren Sie eine Zwei-Faktor-Authentifizierung und begrenzen Sie fehlgeschlagene Anmeldeversuche. Zudem müssen Sie dokumentieren, welche Maßnahmen Sie ergriffen haben – im Verzeichnis von Verarbeitungstätigkeiten. Diese Nachweispflicht sollten Sie ernst nehmen; im Prüfungsfall zählt, was Sie konkret umgesetzt haben, nicht was Sie planen.
Technische Maßnahmen: 2FA, Limit Login Attempts & Co.
Die effektivste Sofortmaßnahme ist die Aktivierung der Zwei-Faktor-Authentifizierung (2FA) für alle Benutzer, insbesondere Administratoren. Plugins wie WP 2FA oder Wordfence Login Security bieten Time-based One-Time Passwords (TOTP) per App oder E-Mail. Zusätzlich sollten Sie Login-Versuche begrenzen: Plugins wie „Limit Login Attempts Reloaded“ blockieren nach wenigen Fehlversuchen die IP-Adresse. Empfehlenswert ist auch die Änderung des Standard-Benutzernamens „admin“ und die Verwendung starker, einzigartiger Passwörter. Ergänzend können Sie die XML-RPC-Schnittstelle deaktivieren, da sie oft für Brute-Force-Angriffe genutzt wird. Eine Web Application Firewall (WAF) kann schädliche Anfragen vor dem Erreichen Ihres Logins abfangen. Denken Sie daran: Alle Maßnahmen müssen datenschutzfreundlich sein – also keine unnötige Speicherung von IP-Adressen ohne Rechtsgrundlage.
Passwortrichtlinien und sichere Authentifizierung
Eine klare Passwortrichtlinie ist ein zentrales Element Ihrer WordPress-Sicherheit. Das Bundesamt für Sicherheit in der Informationstechnik (BSI) empfiehlt seit 2023 keine regelmäßigen Zwangsänderungen mehr, sondern lange, komplexe Passwörter (mindestens 8 Zeichen, besser 15+). Für WordPress können Sie dies mit Plugins wie „Policy Manager“ oder „Passwords Evolved“ durchsetzen. Wichtig ist auch die Speicherung: WordPress speichert Passwörter standardmäßig als MD5, was unsicher ist. Neuere Versionen verwenden bcrypt oder portable PHP-Passwort-Hashes – achten Sie darauf, dass Ihr System auf dem neuesten Stand ist. Zusätzlich sollten Sie die Sitzungsverwaltung absichern: Setzen Sie kurze Session-Timeout-Zeiten und löschen Sie ungenutzte Sitzungen. Bei der UK GDPR spielt auch die Speicherdauer eine Rolle: Passwort-Hashes sollten nach Beendigung des Nutzungsverhältnisses gelöscht werden.
Protokollierung und Datenschutz: Was Sie bei Logs beachten müssen
Login-Protokolle sind für die Sicherheit hilfreich, aber sie enthalten personenbezogene Daten (IP-Adressen, Zeitstempel, Benutzernamen). Die UK GDPR verlangt, dass solche Logs zweckgebunden und verhältnismäßig sind. Sie müssen eine Rechtsgrundlage haben – oft ist das berechtigtes Interesse (Art. 6 Abs. 1 lit. f) – und eine Löschfrist festlegen. Als Faustregel: Bewahren Sie Login-Logs nur so lange auf, wie es für die Sicherheit notwendig ist, in der Regel 7 bis 30 Tage. Längere Speicherung erfordert eine dokumentierte Begründung. Setzen Sie Plugins ein, die die Log-Dateien automatisch bereinigen, z. B. „WP Security Audit Log“. Achten Sie darauf, dass Logs nicht öffentlich einsehbar sind und verschlüsselt gespeichert werden. Wenn Sie Logs an Dritte weitergeben (z. B. an einen Hosting-Anbieter), schließen Sie einen Auftragsverarbeitungsvertrag (AVV) ab – das gilt auch für UK-Dienstleister.
FAQ
Ja, wenn Sie personenbezogene Daten von Personen im Vereinigten Königreich verarbeiten, etwa weil Sie dorthin liefern oder dessen Sprache anbieten. Die UK GDPR ähnelt der EU-DSGVO, hat aber eigene Bußgeldregeln. Selbst ohne Niederlassung in UK kann das Gesetz anwendbar sein – ähnlich wie die DSGVO weltweit gilt.