[admin]

Aus folgender Quelle (http://www.elmastudio.de/wordpress/wordpress-login-vor-angriffen-schuetzen/) eine sehr gute Anleitung:

>
> .htaccess Passwort- So funktioniert’s
>
> Als erstes musst du und über deinen FTP-Zugriff eine neue, leere Datei mit dem Namen .htpasswd im Hauptverzeichnis deiner Webseite (also da, wo sich auch bereits die .htaccess Datei befinden sollte) erstellen.
>
> Die neue, noch leere Datei lädst du dir dann lokal auf deinem Computer herunter und öffnest sie in einem Code-Editor. Mit Hilfe des Online htpasswd Generators kannst du jetzt ein Benutzername und Passwort eingeben und den Inhalt für die .htpasswd Datei erstellen.
> Code für die .htpasswd Datei über den htpasswd Online Generator.
>
> Code für die .htpasswd Datei über den .htpasswd Online Generator. -> http://www.htaccesstools.com/htpasswd-generator/
>
> Jetzt musst du noch den Code für die .htaccess Datei erstellen. Dazu kannst du diesen Code kopieren, du musst allerdings noch deinen eigenen AuthUserFile-Pfad zu deiner .htpasswd Datei ermitteln und im Code ersetzen. Um den Pfad herauszufinden, kannst du die Anleitung “How to find the full path to a file using PHP” und den Code auf der .htaccess Tools-Webseite nutzen.
> 1    <Files wp-login.php>
> 2    AuthType Basic
> 3    AuthName "My Protected Area"
> 4    AuthUserFile /var/www/webXy/html/ORDNERNAME/.htpasswd
> 5    Require valid-user
> 6    </Files>
>
> Wenn du den Code in die .htaccess Datei eingefügt hast und auch die neue .htpasswd Datei mit deinem Code in das Hauptverzeichnis deine Webseite hochgeladen hast, sollte jetzt die Passwort-Abfrage im Browser erscheinen und deinen Login so zusätzlich schützen.
>
> Eine ausführliche Beschreibung der Einrichtung eines .htaccess Passwortes für deine WordPress-Seite findest du außerdem im Artikel “Initiative: Mehr Sicherheit für WordPress durch den Admin-Schutz” auf dem ebiene Playground-Blog.

[admin]

Ein weiterer Hinweis dazu noch von Patrick Frech von www.cycleholix.de:

Bewährt hat sich mittlerweile eine Kombination aus:

https://wordpress.org/plugins/login-lockdown/

und

https://wordpress.org/plugins/rename-wp-login/

Login Lockdown sperrt nach X Versuchen die IP für einen gewählten Zeitraum. Zusätzlich besteht die Option bei Nutzernamen die nicht registriert sind sofort zu sperren. Die geblockten IP´s können eingesehen werden und können so dann auch direkt per htaccess ausgeschlossen werden.

rename wp-login ist eigentlich selbsterklärend. Die Login Seite für das Backend wird in etwas anderes beliebiges umbenannt. Da fast alle Angriffe gegen WP gescriptet sind, kann man dem Angreifer hier direkt den Wind aus den Segeln nehmen.

Mit diesen 2 Plugins kann die Sicherheit auf einfachem Wege stark erhöht werden. Netter Nebeneffekt ist, das sie kaum Speicher benötigen.