Leitfaden für Anfänger zu WordPress-Benutzerrollen und -Berechtigungen

Haben Sie jemals ein Teammitglied oder einen Auftragnehmer eingestellt und ihnen einfach vollen Admin-Zugriff auf Ihre WordPress-Website gegeben? Das ist die schnelle Option, aber es ist ein bisschen so, als würde man jemandem die Schlüssel zum ganzen Haus geben, wenn er nur die Garage brauchte.

Der sicherere Ansatz ist direkt in WordPress integriert. Benutzerrollen und Berechtigungen ermöglichen es Ihnen, genau zu steuern, was jede Person tun kann, egal ob sie Beiträge schreibt, Einstellungen ändert oder Kundenaufträge bearbeitet.

In diesem Leitfaden für Anfänger erklären wir jede WordPress-Benutzerrolle und ihre Berechtigungen und zeigen Ihnen, wie Sie Rollen an die Bedürfnisse Ihres Teams anpassen.

Hier ist alles, was wir in diesem Leitfaden behandeln werden:

Was sind WordPress-Benutzerrollen und -berechtigungen?

In WordPress ist eine Benutzerrolle ein bezeichnetes Bündel von Berechtigungen, die die einzelnen Zugriffsrechte steuern, was jemand auf Ihrer Website tun kann. Die Zuweisung einer Rolle übergibt jemandem eine voreingestellte Liste dessen, was er berühren kann.

WordPress wird mit diesen integrierten Benutzerrollen geliefert:

• Abonnent – Kann das eigene Profil verwalten und Inhalte lesen. Sie können keine Änderungen an Ihrer Website vornehmen. Dies ist die Standardrolle für neue Benutzerregistrierungen und Mitgliedschaftsseiten.
• Mitarbeiter – Kann Beiträge schreiben und zur Überprüfung als Entwürfe speichern, aber sie können keine Beiträge veröffentlichen, Mediendateien hochladen oder veröffentlichte Inhalte bearbeiten. Diese Rolle eignet sich gut für Gastblogger.
• Autor – Kann eigene Beiträge schreiben, Mediendateien hochladen und veröffentlichen. Sie können auch eigene veröffentlichte Beiträge löschen, aber sie können keine Inhalte anderer Benutzer bearbeiten oder Kommentare moderieren. Dies ist die richtige Rolle für einen vertrauenswürdigen Redaktionsmitarbeiter.
• Redakteur – Kann alle Beiträge oder Seiten auf der Website veröffentlichen, bearbeiten und löschen, einschließlich Inhalten, die von anderen Benutzern erstellt wurden. Sie können auch Kommentare moderieren und Kategorien und Tags verwalten, aber sie können keine Plugins installieren, Einstellungen ändern oder Benutzerkonten verwalten. Diese Rolle eignet sich gut für einen leitenden Redakteur.
• Administrator – Hat die vollständige Kontrolle über eine einzelne WordPress-Website, einschließlich Plugins, Themes, Einstellungen und Benutzerkonten. Diese Rolle sollte nur Website-Besitzern oder Personen gegeben werden, denen Sie vollständig vertrauen.
• Super-Administrator (nur Multisite) – Hat die vollständige Kontrolle über alle Websites in einem WordPress-Multisite-Netzwerk, einschließlich Plugins, Themes und Benutzerverwaltung. Diese Rolle ist für die Person bestimmt, die das gesamte Netzwerk verwaltet.

Benötigen Sie eine schnelle Möglichkeit, WordPress-Benutzerrollen und -berechtigungen zu vergleichen? Klicken Sie auf unsere Infografik unten:

Wir empfehlen, das niedrigste Zugriffsniveau zu wählen, das für Ihre Bedürfnisse geeignet ist. Vermeiden Sie es beispielsweise, neuen Benutzern die Rolle des Redakteurs oder Administrators zu geben, es sei denn, sie benötigen diese wirklich.

Benutzerdefinierte Benutzerrollen, die von verschiedenen WordPress-Plugins hinzugefügt wurden

Zusätzlich zu den integrierten Rollen können beliebte WordPress-Plugins ihre eigenen benutzerdefinierten Benutzerrollen und Berechtigungen hinzufügen.

Einige der häufigsten:

• WooCommerce – Fügt eine Rolle als „Kunde“ für Käufer hinzu, die ein Konto registrieren, sowie eine Rolle als „Shop-Manager“, die den Shop ohne vollständigen Administratorzugriff betreiben kann.
• Mitglieder-Plugins – Tools wie MemberPress und andere fügen ihre eigenen Mitgliederebenen hinzu, sodass zahlende Mitglieder auf geschützte Inhalte zugreifen können, ohne Bearbeitungsberechtigungen zu haben.
• SEO-Plugins – Tools wie AIOSEO oder Yoast fügen Rollen als „SEO-Manager“ und „SEO-Editor“ hinzu, sodass Sie SEO-Arbeiten delegieren können, ohne vollen Website-Zugriff zu haben.

So fügen Sie einen neuen WordPress-Benutzer mit der richtigen Rolle hinzu

Gehen Sie zuerst in Ihrem WordPress-Dashboard zu Benutzer » Neuen Benutzer hinzufügen, geben Sie dann den Benutzernamen, die E-Mail-Adresse und den Namen des Benutzers ein. Sie können selbst ein Passwort erstellen oder WordPress ein sicheres für Sie generieren lassen.

Scrollen Sie als Nächstes nach unten zum Dropdown-Menü „Rolle“, wählen Sie die entsprechende Benutzerrolle aus und klicken Sie auf „Benutzer hinzufügen“.

WordPress sendet dem neuen Benutzer dann eine E-Mail mit einem Link, um sein eigenes Passwort festzulegen, sowie einen Link zur Anmeldung auf Ihrer Website.

Beachten Sie, dass diese Schritte nur Benutzer abdecken, die Sie selbst hinzufügen.

Wenn Sie eine offene Registrierung zulassen, erhält jeder, der sich anmeldet, die Rolle, die unter „Standardrolle für neue Benutzer“ unter Einstellungen » Allgemein festgelegt ist. Lassen Sie diese auf Abonnent, damit ein offenes Anmeldeformular niemals einen Fremden mit einer höheren Rolle versieht.

Das Ändern der Rolle eines vorhandenen Benutzers funktioniert ebenfalls über ein Dropdown-Menü.

Gehen Sie unter Benutzer » Alle Benutzer auf den Link „Bearbeiten“ unter der Person, die Sie aktualisieren möchten. Wählen Sie dann ihre neue Rolle aus dem Dropdown-Menü „Rolle“ aus und klicken Sie unten auf der Seite auf „Benutzer aktualisieren“, um die Änderung zu speichern.

So passen Sie WordPress-Rollen und -Berechtigungen an

Die Standard-Benutzerrollen von WordPress funktionieren für die meisten Websites gut, aber es kann vorkommen, dass Sie mehr Kontrolle darüber benötigen, was Benutzer tun können.

Zum Beispiel möchten Sie vielleicht, dass ein Autor Beiträge bearbeiten kann, ohne die veröffentlichten löschen zu können, oder dass Mitwirkende Mediendateien hochladen können.

Der einfachste Weg, WordPress-Benutzerrollen und -Berechtigungen anzupassen, ohne Code zu schreiben, ist die Verwendung eines kostenlosen Plugins wie Members. Wir empfehlen diese Methode, da sie Ihnen eine einfache visuelle Oberfläche zur Verwaltung von Berechtigungen bietet. Sie unterstützt auch benutzerdefinierte Rollen, die von anderen Plugins erstellt wurden, und enthält alle seine Funktionen kostenlos.

Installieren und aktivieren Sie zuerst das Plugin. Sehen Sie sich unsere Anleitung an, wie man ein WordPress-Plugin installiert, um Details zu erfahren.

Nach der Aktivierung sehen Sie ein neues Menü „Mitglieder“ in Ihrem WordPress-Adminbereich. Gehen Sie zu Mitglieder » Rollen und klicken Sie dann auf den Link „Bearbeiten“ unter der Rolle, die Sie ändern möchten, z. B. „Autor“.

Wählen Sie die Berechtigungen aus, die Sie erteilen oder entfernen möchten.

Wenn Sie Ihre eigene Rolle oder die Administratorrolle ändern möchten, stellen Sie sicher, dass Sie ein Administrator-Konto unberührt lassen und die Änderung zuerst auf einem Ersatzkonto oder einer Staging-Website testen. Wenn Sie eine Kernberechtigung wie die Verwaltung von Einstellungen von einer Rolle entfernen, die Sie verwenden, können Sie sich aus Teilen des Dashboards aussperren. Daher ist es sicherer, es an einem Ort auszuprobieren, an dem Sie es rückgängig machen können.

Wenn Sie fertig sind, klicken Sie auf „Aktualisieren“, um Ihre Änderungen zu speichern.

So erstellen Sie eine benutzerdefinierte WordPress-Benutzerrolle

Wenn die integrierten WordPress-Benutzerrollen nicht Ihren Anforderungen entsprechen, können Sie Ihre eigene benutzerdefinierte Rolle erstellen. Dies ist nützlich, wenn Sie jemandem Zugriff auf bestimmte Aufgaben gewähren möchten, ohne ihm zu viele Berechtigungen zu erteilen.

Um eine benutzerdefinierte Rolle zu erstellen, gehen Sie zu Mitglieder » Neue Rolle hinzufügen und geben Sie einen Namen ein, z. B. „Virtueller Assistent“.

Wählen Sie als Nächstes die Berechtigungen aus, die Sie dieser Rolle gewähren möchten, indem Sie die entsprechenden Kontrollkästchen aktivieren. Klicken Sie dann auf „Rolle hinzufügen“, um zu speichern.

Ihre neue benutzerdefinierte Rolle wird dann in der Liste der Benutzerrollen angezeigt, wenn Sie einen neuen Benutzer hinzufügen oder einen vorhandenen bearbeiten.

Hinweis: Für Entwickler stellt WordPress auch die Funktionen add_role(), add_cap() und remove_cap() für die programmatische Verwaltung von Rollen und Berechtigungen zur Verfügung. Details finden Sie im WordPress Plugin Developer Handbook.

Dieses Snippet erstellt beispielsweise eine Rolle für virtuelle Assistenten und passt dann deren Berechtigungen an:

// Create a custom role with two starter capabilities
$role = add_role( 'virtual_assistant', 'Virtual Assistant', array( 'read' => true, 'edit_posts' => true ) );

// Add or remove individual capabilities on that role later
$role->add_cap( 'upload_files' );
$role->remove_cap( 'delete_posts' );

WordPress-Sicherheit & Benutzerrollen-Best-Practices für eine Multi-Author-Website

Die goldene Regel der Sicherheit ist, immer die am wenigsten erforderliche Berechtigung zu verwenden. Geben Sie jedem Teammitglied die kleinste Rolle, die es ihm ermöglicht, seine Arbeit zu erledigen.

Hier sind weitere Möglichkeiten, WordPress-Benutzerberechtigungen zu verwalten:

• Halten Sie Administrator-Konten auf ein Minimum beschränkt. Idealerweise nur ein oder zwei. Vermeiden Sie es, neue Teammitglieder standardmäßig zu Administratoren zu machen. Wenn ein Admin-Konto kompromittiert wird, könnte Ihre gesamte Website gefährdet sein.
• Überprüfen Sie Ihre Benutzerliste regelmäßig. Entfernen Sie nicht mehr benötigte Konten, da alte oder inaktive Konten Hackern einen einfachen Zugang ermöglichen.
• Fordern Sie eine starke Authentifizierung für privilegierte Konten an. Aktivieren Sie die Zwei-Faktor-Authentifizierung (2FA) für jedes Redakteurs- und Administratorkonto. Passkeys sind eine noch sicherere Option, die zum neuen Standard wird.
• Teilen Sie keine Anmeldungen. Geben Sie jeder Person ihr eigenes Konto, damit Sie sehen können, wer Änderungen vorgenommen hat, und den Zugriff schnell entziehen können, wenn jemand das Team verlässt. Gemeinsame Konten machen es unmöglich, Aktivitäten zu verfolgen.
• Führen Sie ein Aktivitätsprotokoll. Ein Konto pro Person hilft nur, wenn Sie tatsächlich sehen können, was jede Person getan hat. Installieren Sie daher ein Plugin für Aktivitätsprotokolle, um Anmeldungen, Beitragsbearbeitungen, Rollenänderungen und Plugin- oder Einstellungsänderungen aufzuzeichnen. Unser Leitfaden zu den besten WordPress-Plugins für Aktivitätsprotokolle vergleicht Optionen, damit Sie die richtige Wahl treffen können.

Häufig gestellte Fragen zu WordPress-Rollen und Berechtigungen

Warum kann mein Mitarbeiter keine Bilder hochladen?

Mitarbeiter haben standardmäßig nicht die Berechtigung upload_files. Sie haben zwei Möglichkeiten:

• Befördern Sie sie zum Autor. Autoren haben vollen Upload-Zugriff.
• Berechtigung erteilen. Verwenden Sie das Members-Plugin, um die Berechtigung upload_files zur Rolle des Autors hinzuzufügen.

Wie kann ich die Fähigkeit von Autoren einschränken, veröffentlichte Beiträge zu bearbeiten?

Standardmäßig können Autoren ihre eigenen Live-Beiträge bearbeiten (auch nach der Veröffentlichung). Um diese Fähigkeit zu entfernen, verwenden Sie das Members-Plugin, um die Berechtigung edit_published_posts für die Rolle Autor zu verweigern. Autoren können ihre Entwürfe weiterhin bearbeiten, aber keine veröffentlichten Beiträge.

Wie kann ich Gastbeiträge annehmen, ohne WordPress-Admin-Zugriff zu gewähren?

Weisen Sie jedem Gastautor eine Beitragschreiberebene in WordPress zu. Dies ermöglicht es ihnen, Beiträge zu schreiben und Entwürfe zur Überprüfung einzureichen, ohne die Möglichkeit zu haben, Medien hochzuladen oder Ihre Admin-Einstellungen zu erreichen.

Wenn Sie lieber keine Benutzerkonten in WordPress erstellen möchten, dann ist ein Formular-Plugin für das Frontend der richtige Weg und wird oft von Top-Publikationen verwendet. Es ermöglicht Gastautoren, Beiträge von einer Seite Ihrer Website einzureichen, ohne dass eine Anmeldung erforderlich ist.

Formular-Plugins wie WPForms oder Gravity Forms ermöglichen es Ihnen, ein Formular zu erstellen, das einen Entwurfsbeitrag erstellt, der einem Admin-Konto zur Überprüfung und Veröffentlichung zugewiesen wird.

Was passiert, wenn ich mich versehentlich aus dem Admin-Bereich aussperre?

Keine Sorge, das ist fast immer behebbar. Wenn Sie noch einen zweiten Administrator-Account haben, melden Sie sich damit an und setzen Sie Ihre eigene Rolle unter Benutzer » Alle Benutzer zurück auf Administrator. Klicken Sie unter Ihrem Namen auf „Bearbeiten“, wählen Sie im Dropdown-Menü „Rolle“ die Option „Administrator“ aus und klicken Sie auf „Benutzer aktualisieren“.

Wenn Sie keinen anderen Admin-Login haben, bitten Sie einen Teamkollegen, der einen hat, Ihre Rolle auf demselben Bildschirm zu ändern.

Wenn sich überhaupt niemand als Administrator anmelden kann, muss die Korrektur auf Datenbank- oder Hosting-Ebene erfolgen. Der einfachste Weg ist, das Support-Team Ihres Hosters zu bitten, Ihren Zugriff wiederherzustellen.

Wir hoffen, dieser Leitfaden hat Ihnen geholfen, mehr über WordPress-Benutzerrollen und -berechtigungen zu erfahren. Für weitere Tipps sehen Sie sich unseren Leitfaden zu den besten Sicherheitspraktiken für WordPress oder unsere Auswahl der besten WordPress-Plugins für die Benutzerregistrierung an.

Wenn Ihnen dieser Artikel gefallen hat, abonnieren Sie bitte unseren YouTube-Kanal für WordPress-Video-Tutorials. Sie finden uns auch auf Twitter und Facebook.