Der Zugang zum WordPress-Administrationsbereich ist verloren. Die E-Mail funktioniert nicht, und die Nachricht zum Zurücksetzen des Passworts kommt nie an. Das Bedienfeld der Website liegt hinter einer undurchdringlichen Wand, und jede Minute Ausfallzeit schadet den Besuchern und Ihrem Ruf.

Kommt Ihnen das bekannt vor? Sie sind nicht allein. Mail-Ausfälle beim Hosting, Verlust des Zugriffs auf das E-Mail-Konto des Inhabers, Konto-Hacking: Die Ursachen sind zahllos, aber das Ergebnis ist immer dasselbe. Das standardmäßige Szenario „Passwort vergessen" ist nutzlos.

Glücklicherweise gibt es eine Alternative. Sie müssen lediglich über phpMyAdmin auf die Datenbank der Website zugreifen und den Passwort-Hash manuell ersetzen. Das ist zuverlässiger, als auf eine E-Mail zu warten, und dauert genau zwei Minuten. Wir behandeln alle funktionierenden Methoden, von Point-and-Click bis zur Kommandozeile.

💡 Kurzüberblick:

• Melden Sie sich über cPanel oder Ihr Hosting-Panel bei phpMyAdmin an
• Suchen Sie die Tabelle wp_users und bearbeiten Sie das Feld user_pass mit der MD5-Funktion
• Verwenden Sie für mehr Geschwindigkeit eine einzeilige SQL-Abfrage
• Setzen Sie das Passwort mit SSH-Zugang per WP-CLI mit einem Befehl zurück

Wenn die standardmäßige Passwort-Zurücksetzung wirkungslos ist

Der Standardmechanismus von WordPress ist einfach: Auf der Anmeldeseite klicken Sie auf „Passwort vergessen?", geben Ihren Benutzernamen oder Ihre E-Mail-Adresse ein und erhalten einen Link zum Zurücksetzen. Das funktioniert einwandfrei, solange die E-Mail funktioniert.

Probleme beginnen, wenn:

• Sie keinen Zugriff auf das mit dem Benutzerkonto verknüpfte E-Mail-Konto haben (die Admin-E-Mail wurde geändert, das Postfach wurde aufgegeben);
• Das Hosting keine System-E-Mails versendet: Die Funktion mail() ist deaktiviert, SMTP ist nicht konfiguriert, die E-Mail landet im Spam oder geht verloren;
• Die Website gehackt wurde und der Angreifer sowohl die E-Mail als auch das Administrator-Passwort geändert hat.

In all diesen Fällen ist der einzige garantierte Weg der direkte Zugriff auf die MySQL-Datenbank. phpMyAdmin ist auf praktisch jedem Hosting verfügbar: Es gehört zur Standardausstattung von cPanel, DirectAdmin, Plesk und ISPmanager. Es müssen keine zusätzlichen Tools installiert werden.

Methode 1: Manuelle Bearbeitung über die phpMyAdmin-Oberfläche

Die anschaulichste Methode. Geeignet, wenn Sie zum ersten Mal mit der Datenbank arbeiten und genau sehen möchten, was Sie ändern.

Schritt 1. Melden Sie sich bei phpMyAdmin an. Öffnen Sie Ihr Hosting-Bedienfeld (cPanel oder ähnlich), suchen Sie den Bereich „Datenbanken" und klicken Sie auf das phpMyAdmin-Symbol.

Schritt 2. Wählen Sie die Datenbank Ihrer Website aus. In der linken Spalte befindet sich die Liste der Datenbanken. Wählen Sie diejenige, die zu Ihrer Website gehört (wenn Sie den Namen nicht mehr wissen, prüfen Sie die Datei wp-config.php im Wurzelverzeichnis der Website, den Parameter DB_NAME).

Schritt 3. Öffnen Sie die Tabelle wp_users. Suchen Sie in der Tabellenliste die Zeile wp_users (das Präfix kann abweichen: wp_ ist die Voreinstellung, es könnte aber auch wpxy_, site_ oder ein anderes, bei der Installation festgelegtes Präfix sein). Klicken Sie auf „Anzeigen".

Schritt 4. Klicken Sie neben dem gewünschten Benutzer auf „Bearbeiten". Es öffnet sich ein Formular mit allen Kontofeldern.

Schritt 5. Ersetzen Sie das Passwort. Löschen Sie im Feld user_pass den alten Hash und geben Sie Ihr neues Passwort ein. Wählen Sie im Dropdown-Menü „Funktion" die Option MD5 aus. Klicken Sie unten im Formular auf „OK".

Fertig. Das Passwort wird als MD5-Hash in der Datenbank gespeichert. Bei der allerersten Anmeldung erkennt WordPress das veraltete Format, hasht das Passwort automatisch mit einem modernen Algorithmus (PasswordHash mit Salt und 256 Iterationen) neu und schreibt die verstärkte Version in die Datenbank. Es sind keine weiteren Maßnahmen erforderlich; der Mechanismus zur Abwärtskompatibilität funktioniert seit Version 2.5.

Methode 2: Schnelles Zurücksetzen per SQL-Abfrage

Dasselbe Ergebnis, aber in einem Schritt. Praktisch, wenn Sie das Passwort ändern müssen, ohne durch Zeilen und Formulare zu navigieren.

Melden Sie sich bei phpMyAdmin an, wählen Sie die Datenbank Ihrer Website aus und wechseln Sie zum Tab SQL. Fügen Sie die Abfrage ein:

1
UPDATE `wp_users` SET `user_pass` = MD5('your-new-password') WHERE `user_login` = 'your-username';

Ersetzen Sie your-new-password durch das tatsächliche Passwort und your-username durch den Benutzernamen (das Feld user_login in der Tabelle). Falls das Tabellenpräfix von wp_ abweicht, korrigieren Sie es in der Abfrage. Klicken Sie auf „OK".

Die Abfrage wird sofort ausgeführt. Die Funktionsweise ist dieselbe: MD5 in der Datenbank, automatische Aufwertung des Hashs bei der ersten Anmeldung.

Methode 3: WP-CLI für alle, die mit dem Terminal vertraut sind

Wenn WP-CLI auf dem Server installiert ist (und auf einem ordentlichen VPS oder dedizierten Server ist das fast sicher der Fall), wird das Passwort mit einem Befehl geändert, ohne phpMyAdmin aufzurufen:

1
wp user update your-login --user_pass=new-password

WP-CLI ruft selbst wp_set_password() auf, und das Passwort wird sofort mit dem korrekten, modernen Hash geschrieben, ohne den MD5-Zwischenschritt. Der Befehl erfordert keine Angabe des Tabellenpräfixes, ist unabhängig von der PHP-Version und verändert keine anderen Benutzerfelder.

Wenn Sie das Administrator-Passwort zurücksetzen müssen, aber den Benutzernamen nicht mehr wissen, rufen Sie die Benutzerliste ab:

1
wp user list --role=administrator

Übergeben Sie dann den benötigten Benutzernamen an den Befehl wp user update.

Methode 4: Notfall-Zurücksetzung über die functions.php des Themes

Die „Notfall"-Option schlechthin, wenn Sie keinen Zugriff auf das Hosting-Panel haben, aber Website-Dateien per FTP oder über den Dateimanager des Hostings bearbeiten können.

Fügen Sie den folgenden Code in die functions.php des aktiven Themes ein, vor dem schließenden ?>-Tag (oder am Ende der Datei, falls kein solcher Tag vorhanden ist):

1
wp_set_password('new-password', 1);

Die Zahl 1 ist die Benutzer-ID (in der Regel 1 für den bei der Installation angelegten Administrator). Falls der Administrator eine andere ID hat, ersetzen Sie die Zahl.

Speichern Sie die Datei und öffnen Sie EINMAL eine beliebige Seite der Website. Das Passwort wird gesetzt. **Löschen Sie die Zeile unmittelbar danach aus der **functions.php; wenn Sie sie stehen lassen, wird das Passwort bei jedem Seitenaufruf zurückgesetzt.

Diese Methode ist grob, hilft aber, wenn die anderen nicht verfügbar sind.

Dieses 4-minütige Video zeigt den vollständigen Weg: von der Anmeldung bei cPanel bis zum Speichern des neuen Passworts in der Tabelle wp_users. Die Positionen der Schaltflächen und Dropdown-Menüs sind klar erkennbar; falls die Oberfläche Ihres Hostings abweicht, bleibt die grundsätzliche Logik dieselbe.

⁉️🤔 Häufig gestellte Fragen

Warum ausgerechnet MD5, wenn dieser Algorithmus als unsicher gilt?

MD5 ist in phpMyAdmin die einzige verfügbare Hash-Funktion, die WordPress versteht, wenn sie direkt in die Datenbank eingefügt wird. Der MD5-Hash wird jedoch nur bis zur ersten Anmeldung gespeichert: Der CMS-Kern prüft das Passwort, erkennt das veraltete Format und ersetzt es transparent durch PasswordHash, einen modernen Algorithmus mit Salt und 256 Iterationen. Der endgültige Hash in der Datenbank ist robust. MD5 dient hier als Transportbrücke, nicht als dauerhafte Speicherung.

Was tun, wenn das Tabellenpräfix nicht wp_ lautet und ich es nicht kenne?

Öffnen Sie die Datei wp-config.php im Wurzelverzeichnis der Website und suchen Sie die Zeile $table_prefix. Der Wert dieser Variablen ist das Präfix. Wenn Sie keinen Zugriff auf die Dateien haben, scrollen Sie durch die Tabellenliste in phpMyAdmin: users endet immer auf _users, und das Präfix ist anhand benachbarter Tabellen (_posts, _options usw.) erkennbar.

Kann ich auf phpMyAdmin verzichten, wenn ich nicht in die Datenbank gehen möchte?

Ja, verwenden Sie WP-CLI (Methode 3) oder setzen Sie das Passwort über functions.php zurück (Methode 4). WP-CLI erfordert SSH-Zugang zum Server, während functions.php FTP oder den Dateimanager des Hostings voraussetzt. Wenn Sie beides nicht haben, bleibt phpMyAdmin die einzige Option, aber es erledigt die Aufgabe zuverlässig.

Funktioniert diese Methode, wenn die Website unter PHP 8+ und einer aktuellen WordPress-Version läuft?

Ja. Alle beschriebenen Methoden funktionieren mit aktuellen Versionen von WordPress und PHP. Der Mechanismus zur Abwärtskompatibilität für MD5-Hashes wurde seit Version 2.5 nicht aus dem Kern entfernt, da zu viele Websites auf diesem Weg aktualisieren. Auch die MySQL-Funktion MD5() ist nirgendwo hingegangen.

Ich habe das Passwort geändert, kann mich aber immer noch nicht anmelden. Woran liegt das?

Prüfen Sie drei Dinge. Erstens: Das Feld user_login könnte versehentlich zusätzliche Leerzeichen oder Tippfehler enthalten; beim Benutzernamen wird die Groß- und Kleinschreibung sowie das Tastaturlayout beachtet. Zweitens: Die Website könnte die alte Sitzung zwischengespeichert haben, öffnen Sie die Anmeldeseite daher im Inkognito-Modus. Drittens: Falls ein Sicherheits-Plugin installiert ist (Wordfence, Solid Security), blockiert es möglicherweise die Anmeldung per IP nach mehreren Fehlversuchen. Warten Sie 15 Minuten oder setzen Sie die Sperre über dieselbe Datenbank in der Tabelle des Plugins zurück.

Passwortverlust ist keine Katastrophe, wenn Sie die Alternative kennen

phpMyAdmin wirkt auf diejenigen abschreckend, die noch nie in eine Datenbank geschaut haben. Aber das WordPress-Passwort darüber zu ändern, ist eine Operation mit drei Klicks und einem Dropdown-Menü. Wenn Sie sie einmal beherrschen, stehen Sie nie wieder ausgesperrt vor dem Anmeldebildschirm.

Wenn Ihre Website auf einem regulären Hosting liegt, ist phpMyAdmin Ihr Werkzeug (Methode 1 oder 2). Wenn Sie einen VPS oder dedizierten Server mit Konsolenzugang haben, erledigt WP-CLI (Methode 3) es schneller. Und selbst wenn das Hosting-Panel nicht verfügbar ist und Sie nur FTP haben, rettet Sie functions.php (Methode 4). Wählen Sie den Weg, der gerade verfügbar ist, und erlangen Sie in zwei Minuten die Kontrolle über Ihre Website zurück.