WordPress »User Enumeration« verhindern

Von: Jonas

In diesem Beitrag stellen wir euch ein Snippet bereit, womit ihr die »User Enumeration« in WordPress verhindern könnt.

Aktualisiert von 2018 – 2025 8 Kommentare

In vielen WordPress-Installationen ist es kein großes Problem die Benutzernamen der registrierten Benutzer in Erfahrung zu bringen. Das ist vor allem ein Problem in Bezug auf die Sicherheit der Website, da so schon die erste Hürde für einen Angriff überwunden ist. In diesem Beitrag stellen wir euch ein Snippet bereit, mit dem ihr verhindern könnt, dass die Benutzernamen ausgelesen werden können.

Wie funktioniert die WordPress »User Enumeration«?

Eine simple Möglichkeit in einer ungeschützten WP-Installation die Benutzernamen auszulesen, erfolgt über die URL. WordPress stellt standardmäßig in der Template-Hierachie Seitentypen für Autoren bereit (author.php). Wenn die author.php nicht vorhanden sein sollte, sucht WordPress nach dem übergeordneten Template, bis irgendwann die index.php einspringt. Es ist daher nicht möglich, dass es kein Template für die Ansicht von Autoren gibt.

Mit folgender URL ruft man besagte Autorenseite für den Benutzer mit der ID 1 auf: https://domain.de/?author=1. Der Benutzer mit der ID 1 wird bei der Installation von WordPress angelegt – die Wahrscheinlichkeit, dass es sich um einen Administrator handelt ist daher sehr groß.

Wenn nun in WordPress sprechende URLs eingestellt sind, so springt die URL bei der Eingabe der oben genannten Adresse automatisch auf eine Struktur wie diese um: https://domain.de/author/admin. Und schon ist der Benutzername bekannt.

Aufruf der Benutzer-URL über ID verhindern

Um die »User Enumeration« in WordPress zu verhindern, müsst ihr folgendes Snippet in eure functions.php oder in ein seitenspezifisches Plugin einfügen. Anschließend kann über die ID nicht mehr der Benutzername ausgelesen werden.

<?php
if ( ! is_admin() && isset($_SERVER['REQUEST_URI'])){
 if(preg_match('/(wp-comments-post)/', $_SERVER['REQUEST_URI']) === 0 && !empty($_REQUEST['author']) ) {
 wp_die('Du hast keine Rechte diese Adresse aufzurufen');
 }
}
?>

Um zu testen, ob eure Anpassung erfolgreich war, könnt ihr nun einfach eure Domain mit dem Anhang /?author=1 in die Adresszeile eures Browsers eingeben. Anschließend solltet ihr folgende Meldung erhalten:

Bitte beachtet, dass es viele Themes gibt, die das o.g. Autoren-Template bewusste verlinken um Autoren-Seiten zu bilden. In diesem Fall erreicht man die URL trotzdem.

Benutzernamen aus Autor-CSS-Klasse der Kommentare entfernen

Schreibt ihr auf eurer Website einen Kommentar als Autor, schreibt WordPress eine »Autor-CSS-Klasse« in den Kommentar. Diese Klasse sieht wie folgt aus: comment-author-[USERNAME]. Um diese Klasse zu entfernen, müsst ihr folgendes Snippet in eure functions.php übernehmen.

<?php
function kb_remove_comment_author_class( $classes ) {
 foreach( $classes as $key => $class ) {
  if(strstr($class, "comment-author-")) {
   unset( $classes[$key] );
  }
 }
 return $classes;
}
add_filter( 'comment_class' , 'kb_remove_comment_author_class' );
?>

WordPress REST API schließen

Über die REST API von WordPress lassen sich ebenfalls die Benutzernamen der Autoren auslesen. Solltet ihr die REST API also nicht verwenden, könnt ihr die Schnittstelle schließen. Da viele Editoren (u.a. der WordPress Block Editor) die API im Backend benötigen, solltet ihr die Deaktivierung auf das Frontend begrenzen oder nur einzelne Rounten schließen. Schreibt dazu folgendes Snippet in eure functions.php.

<?php
function kb_disable_wp_rest_api($access) {
    // Überprüfung, ob der Benutzer im Admin-Bereich (Backend) ist
    if (is_user_logged_in() || is_admin()) {
        return $access; // Zugriff erlauben
    }
    
    // REST-API für nicht eingeloggte Benutzer deaktivieren
    return new WP_Error('rest_API_cannot_access', __('REST API access is restricted.'), array('status' => rest_authorization_required_code()));
}

// Filter für die REST-API-Authentifizierung setzen
add_filter('rest_authentication_errors', 'kb_disable_wp_rest_api');
?>

WordPress-Benutzernamen aus Login-Maske entfernen

Auch in der Login-Maske von WordPress kann der Benutzername auftauchen. Dazu haben wir hier bereits einen Beitrag veröffentlicht.

Bitte beachtet, dass es sich bei allen hier genannten Möglichkeiten um Verschleierungs-Methoden handelt.

Geschrieben von:

Jonas Hellwig

Jonas ist Gründer der Agentur kulturbanause und des kulturbanause Blogs. Er arbeitet an der Schnittstelle zwischen UX/UI Design, Frontend und Redaktion und hat zahlreiche Fachbücher und Video-Trainings veröffentlicht. Jonas Hellwig ist regelmäßig als Sprecher auf Fachveranstaltungen anzutreffen und unterstützt mit Seminaren und Workshops Agenturen und Unternehmen bei der Planung, der Gestaltung und der technischen Umsetzung von Web-Projekten.

Jonas Hellwig bei Xing