Benutzer löschen – Rolle ändern – Login sperren: 3 Methoden, um einen WordPress-Benutzer zu deaktivieren

In fast jeder WordPress-Installation existieren Benutzer-Logins, die es eigentlich gar nicht mehr braucht. Sie gehören ehemaligen Mitarbeitern, welche das Unternehmen längst verlassen haben, oder externen Dienstleistern, welche nur temporär Zugang zum WordPress Backend haben sollten. Das macht die Benutzerverwaltung schnell unübersichtlich und stellt auch ein Sicherheitsrisiko dar. Wie also kann man nicht mehr benötigte Benutzerprofile deaktivieren, ausblenden oder entfernen?

Die naheliegendste Methode gibt es in WordPress leider nicht: Die Checkbox «Benutzer deaktiveren» sucht man im Benutzerprofil vergeblich. Es gibt aber verschiedene andere Möglichkeiten, um ein vergleichbares Ergebnis zu erzielen.

WordPress-Benutzer löschen

Die radikalste Methode besteht darin, nicht mehr benötigte WordPress-Benutzer schlicht und einfach zu löschen. Dadurch gehen allerdings Information verloren, die man vielleicht behalten möchte, beispielsweise die Autorenschaft aller Beiträge und Seiten. Auch viele Plug-ins speichern Informationen zu den einzelnen Benutzern – hier kann die Löschung eines Benutzers noch weitere ungeahnte Konsequenzen haben. Zu dieser Methode sollten Sie deshalb nur dann greifen, wenn Sie wissen, was Sie tun.

Der Vorgang an sich ist aber sehr einfach: In der Liste aller Benutzer können Sie jeden Eintrag direkt löschen. Und falls Sie eine grössere Menge von Benutzern loswerden möchten, dann gibt es auch unter den «Mehrfachaktionen» einen entsprechenden Befehl.

Sofern der zu löschende Benutzer mindestens einen Artikel verfasst hat, erscheint der obige Dialog. Dieser erlaubt es, entweder diese Artikel ebenfalls zu löschen – oder aber die Artikel einem anderen Benutzer zuzuordnen. Beides hat Konsequenzen, und Sie können diese Aktion nicht mehr rückgängig machen!

Benutzerrolle anpassen

Wesentlich ungefährlicher und für die meisten Fälle völlig ausreichend ist die Anpassung der Benutzerrolle. Stuft man einen Benutzer zurück, so kann er sich weiterhin an der Website anmelden, hat aber weniger Rechte und kann somit keinen Schaden anrichten.

Standardmässig gibt es in WordPress fünf (bzw. sechs) Rollen:

• Super-Administrator: Diese Rolle existiert nur in sogenannten Multisite-Installationen. Sie kann nicht nur eine einzelne WordPress-Website, sondern ein ganzes Website-Netzwerk verwalten.
• Administrator: Diese Rolle hat sämtliche Rechte. Insbesondere können nur Administatoren Benutzerprofile erstellen, bearbeiten bzw. löschen.
• Redakteur (engl. Editor): Diese Rolle kann Inhalte publizieren und zudem nicht nur eigene, sondern auch Inhalte von anderen Benutzern bearbeiten.
• Autor (engl. Author): Diese Rolle darf ebenfalls Inhalte publizieren, kann aber nur die eigenen Beiträge bearbeiten.
• Mitarbeiter (engl. Contributor): Diese Rolle kann zwar Beiträge anlegen, aber nicht selbst publizieren – diese müssen also von einem Redakteur oder Administrator freigeschaltet werden.
• Abonnent (engl. Subscriber): Diese Rolle kann sich zwar an der Website anmelden und auch sein Benutzerprofil bearbeiten, hat aber ansonsten keine Rechte im WordPress Backend.

Je weiter unten eine Rolle in dieser Liste steht, desto weniger Rechte hat also ein Benutzer mit der entsprechenden Rolle. Falls Sie auf Nummer sicher gehen wollen, dann wählen Sie die Option «Keine Benutzerrolle für diese Website»: So kann sich der Benutzer zwar weiterhin einloggen, er sieht aber lediglich den schwarzen Admin-Toolbar am oberen Fensterrand – er hat also keinerlei Zugriff auf das Backend und kann nicht einmal seine E-Mail-Adresse oder sein Passwort ändern.

Aber Achtung: Alle diese Aussagen gelten nur für die Standard-Konfiguration von WordPress. Über Plug-ins oder über die Theme-Datei functions.php können die Rechte dieser Rollen verändert oder auch ganz neue Rollen definiert werden.

Passwort und E-Mail-Adresse ändern

Eine weitere Methode besteht darin, das Passwort des betreffenden Benutzers zu ändern. Als Administrator brauchen Sie lediglich im entsprechenden Benutzerprofil auf den Button «Passwort generieren» zu klicken – WordPress schlägt Ihnen dann ein neues und ausreichend sicheres Passwort vor, das Sie nur noch speichern müssen. Falls sich der Benutzer danach einzuloggen versucht, erhält er die bekannte Fehlermeldung, dass sein Passwort ungültig sei.

Damit diese Methode zuverlässig funktioniert, müssen Sie allerdings sicherstellen, dass der Benutzer das Passwort nicht selbst zurücksetzen kann, indem er die «Passwort vergessen»-Funktion nutzt. Diese Funktion setzt voraus, dass der Benutzer Zugriff auf das E-Mail-Konto hat, welches im Benutzerprofil hinterlegt ist. Bei einem ehemaligen Mitarbeiter erledigt sich dieses Problem in der Regel von selbst, weil nach dem letzten Arbeitstag in der Regel auch das E-Mail-Konto deaktiviert wird.

In allen anderen Fällen muss man auch die E-Mail-Adresse ändern, und das macht diese Methode nicht ganz so elegant. Denn erstens wird der Benutzer über die Änderung seiner E-Mail-Adresse informiert, und zweitens müssen Sie zwingend eine neue Adresse eingeben, die zudem eindeutig sein muss. Am besten nutzen Sie eine fiktive Adresse aus Ihrer eigenen Domain, die zugleich klarmacht, dass es sich um einen deaktivierten Benutzer handelt. Wenn also die ursprüngliche Adresse andy.author@gmail.com lautet, dann würden wir sie in unserem Fall auf andy.author.inactive@metoki.ch ändern.

Plug-ins

Falls Sie die obigen Lösungen nicht überzeugt haben, dann können Sie auch ein Plug-in installieren, um WordPress-Benutzer zu deaktivieren. Hier gibt es sehr unterschiedliche Ansätze:

Die einfachste Lösung ist ein Plug-in wie Disable Users: Hier können Benutzer über eine Checkbox im Benutzerprofil deaktiviert werden. User Locker erfüllt einen ähnlichen Zweck, ist allerdings schon sehr lange nicht mehr aktualisiert worden.

Falls Sie Benutzer nicht bloss manuell, sondern auch automatisiert deaktivieren möchten, dann sollten Sie sich Plug-ins wie z.B. Expire Users oder User Blocker anschauen. Damit können Sie vorab festlegen, zu welchem Zeitpunkt bzw. Datum ein Login nicht mehr gültig sein soll.

Auch verschiedene Security Plug-ins bieten die Möglichkeit, Benutzerkonten temporär zu sperren oder dauerhaft zu deaktivieren. Bei uns hat sich WP Cerber bewährt, das ebenfalls eine simple Checkbox im Benutzerprofil bereitstellt. Zusätzlich kann man hier noch eine individuelle Fehlermeldung für den Benutzer sowie eine Notiz für Administratoren hinterlegen.

Falls Sie Benutzerrollen anlegen oder anpassen möchten, dann sollten Sie sich Plug-ins wie Members oder User Role Editor anschauen. Allerdings sind Rollen und Rechte keine einfache Materie – falls es Ihnen wirklich nur darum geht, einige Benutzer zu deaktivieren, dann ist dies definitiv der falsche Weg.