Kurz gesagt: WordPress kennt fünf Standardrollen: Administrator (darf alles), Redakteur (verwaltet alle Inhalte), Autor (veröffentlicht eigene Beiträge), Mitarbeiter (schreibt eigene Beiträge, darf sie aber nicht veröffentlichen) und Abonnent (verwaltet nur das eigene Profil). In Multisite-Netzwerken kommt der Super-Admin hinzu. Gib jeder Person nur die Rolle, die sie wirklich braucht.
Rollen und Berechtigungen: das Prinzip
WordPress arbeitet mit Berechtigungen (Capabilities), etwa publish_posts (Beiträge veröffentlichen) oder install_plugins (Plugins installieren). Eine Rolle ist einfach ein Bündel solcher Berechtigungen. Jeder Benutzer bekommt eine Rolle, und Plugins können weitere Rollen und Berechtigungen hinzufügen, WooCommerce zum Beispiel „Kunde“ und „Shop-Manager“.
Die Rollen im Überblick
| Recht | Admin | Redakteur | Autor | Mitarbeiter | Abonnent |
|---|---|---|---|---|---|
| Eigenes Profil bearbeiten, Inhalte lesen | ja | ja | ja | ja | ja |
| Eigene Beiträge schreiben | ja | ja | ja | ja | nein |
| Eigene Beiträge veröffentlichen | ja | ja | ja | nein | nein |
| Medien hochladen | ja | ja | ja | nein | nein |
| Beiträge anderer bearbeiten und löschen | ja | ja | nein | nein | nein |
| Seiten verwalten | ja | ja | nein | nein | nein |
| Kategorien verwalten, Kommentare moderieren | ja | ja | nein | nein | nein |
| Ungefiltertes HTML einfügen | ja | ja | nein | nein | nein |
| Themes, Menüs, Widgets verwalten | ja | nein | nein | nein | nein |
| Plugins installieren und aktivieren | ja | nein | nein | nein | nein |
| Benutzer verwalten, Einstellungen ändern | ja | nein | nein | nein | nein |
Administrator
Voller Zugriff auf eine Website: Plugins, Themes, Einstellungen, Benutzer und alle Inhalte. Weil ein Administrator auch beliebigen PHP-Code über Plugins einschleusen kann, ist dieses Konto das wertvollste Ziel für Angreifer. Halte die Zahl der Admins so klein wie möglich.
Redakteur
Die Rolle für Chefredaktion und Content-Teams: darf alle Beiträge und Seiten bearbeiten, veröffentlichen und löschen, auch fremde, und Kommentare sowie Kategorien verwalten. Kein Zugriff auf Plugins, Themes und Einstellungen. Achtung: Redakteure dürfen in Einzelinstallationen ungefiltertes HTML inklusive JavaScript einfügen. Gib die Rolle deshalb nur vertrauenswürdigen Personen.
Autor
Schreibt, veröffentlicht und löscht die eigenen Beiträge und lädt Bilder hoch. Fremde Beiträge und Seiten sind tabu. Ideal für regelmäßige Gastautoren, denen du vertraust.
Mitarbeiter
Schreibt eigene Beiträge und reicht sie zur Prüfung ein, veröffentlicht aber nicht selbst und darf keine Medien hochladen. Ein Redakteur oder Admin gibt die Beiträge frei. Gut für neue oder einmalige Gastautoren.
Abonnent
Kann sich anmelden und das eigene Profil verwalten, sonst nichts. Die Rolle ist sinnvoll für Mitgliederbereiche oder für Kommentare mit Anmeldepflicht. Die Standardrolle für neue Registrierungen stellst du unter Einstellungen → Allgemein ein. Lass dort niemals „Administrator“ stehen, das ist ein beliebter Trick nach einem Einbruch.
Super-Admin (nur Multisite)
Verwaltet das gesamte Netzwerk: Websites anlegen, Plugins und Themes netzwerkweit installieren, Benutzer verwalten. Die Administratoren der einzelnen Websites dürfen in einem Netzwerk standardmäßig keine Plugins installieren und kein ungefiltertes HTML einfügen. Wie du ein Netzwerk einrichtest, liest du unter WordPress Multisite aktivieren.
Anleitung: Rolle eines Benutzers ändern
- Öffne Benutzer → Alle Benutzer.
- Setz einen Haken beim gewünschten Benutzer.
- Wähle oben im Feld „Rolle ändern zu …“ die neue Rolle und klicke auf „Ändern“.
Alternativ bearbeitest du das Profil des Benutzers und änderst dort die Rolle. Deine eigene Rolle kannst du nicht so ändern, dass du die Benutzerverwaltung verlierst. WordPress verhindert das, damit du dich nicht aussperrst.
Welche Rolle für wen?
- Dienstleister, der ein Plugin einrichtet: temporär Administrator, danach wieder entziehen oder das Konto löschen.
- Du selbst beim täglichen Schreiben: ein zweites Konto als Redakteur. So arbeitest du im Alltag ohne Admin-Rechte, und ein gestohlenes Passwort richtet weniger Schaden an.
- Stammautorin: Autor.
- Einmaliger Gastbeitrag: Mitarbeiter.
- Werkzeuge und KI-Assistenten mit Zugriff auf die Website: ein eigenes Konto mit der kleinsten passenden Rolle, meist Redakteur.
Die Standardrolle für neue Registrierungen und alle anderen Grundeinstellungen erklärt WordPress-Einstellungen im Überblick. Weitere Maßnahmen gegen übernommene Konten findest du unter WordPress sicherer machen.
Zugriff für Werkzeuge: Anwendungspasswörter
Apps, Automatisierungen und KI-Werkzeuge, die über die REST-API auf deine Website zugreifen, sollten nie dein normales Passwort bekommen. Dafür gibt es seit WordPress 5.6 Anwendungspasswörter: Unter Benutzer → Profil → Anwendungspasswörter vergibst du einen Namen (etwa „Newsletter-Tool“) und erhältst ein eigenes Passwort nur für diese Anwendung.
- Ein Anwendungspasswort hat genau die Rechte des Benutzers, zu dem es gehört. Lege für Werkzeuge deshalb einen eigenen Benutzer mit kleiner Rolle an, statt das Passwort an deinem Admin-Konto zu erzeugen.
- Es funktioniert nur für API-Zugriffe, nicht für die normale Anmeldung im Backend.
- Im Profil siehst du, wann ein Anwendungspasswort zuletzt genutzt wurde, und widerrufst es mit einem Klick, wenn du das Werkzeug nicht mehr nutzt.
Rechte anpassen
Reichen die Standardrollen nicht, passt du sie mit einem Plugin an, zum Beispiel Members oder User Role Editor. Damit legst du eigene Rollen an oder gibst etwa Redakteuren das Recht, Menüs zu bearbeiten. Rollen werden in der Datenbank gespeichert. Deaktivierst du das Plugin, bleiben die Änderungen bestehen, bis du sie zurücksetzt.
Für Fortgeschrittene: Rollen mit WP-CLI und Code
# Alle Rollen anzeigen
wp role list
# Berechtigungen einer Rolle anzeigen
wp cap list editor
# Rolle eines Benutzers setzen
wp user set-role anna author
# Alle Administratoren auflisten (regelmäßig prüfen!)
wp user list --role=administrator --fields=ID,user_login,user_email,user_registered
# Redakteuren das Bearbeiten von Menüs und Widgets erlauben
wp cap add editor edit_theme_optionsIn eigenem Code prüfst du immer Berechtigungen, nie Rollen: current_user_can( 'edit_posts' ) statt einer Abfrage auf „Redakteur“. So funktioniert dein Code auch mit angepassten Rollen. Mit der Konstante DISALLOW_UNFILTERED_HTML in der wp-config.php nimmst du allen Rollen das Recht auf ungefiltertes HTML.
Passend dazu: Warum WordPress bei manchen Rollen HTML-Code wie <iframe> beim Speichern entfernt (Berechtigung unfiltered_html), erklärt Visuellen Editor deaktivieren und direkt in HTML schreiben.
Frage dazu? Du brauchst eine maßgeschneiderte Rolle? Frag im Forum „Allgemeine Fragen zu WordPress“: Zum WPDE-Forum
Häufige Fragen
Darf ein Redakteur Plugins installieren?
Nein. Plugins, Themes, Einstellungen und Benutzer sind Administratoren vorbehalten.
Was ist der Unterschied zwischen Autor und Mitarbeiter?
Ein Autor veröffentlicht eigene Beiträge selbst und lädt Bilder hoch. Ein Mitarbeiter reicht Beiträge nur zur Prüfung ein und darf keine Medien hochladen.
Mein Konto ist plötzlich kein Administrator mehr. Was tun?
Prüfe mit einem anderen Admin-Konto oder per WP-CLI die Rollen. Ist kein Admin mehr vorhanden, setzt du deine Rolle per wp user set-role zurück. Unerklärliche Rollenänderungen können auf einen Einbruch hindeuten.