WordPress bietet standardmäßig sechs Benutzerrollen, vom Super Admin bis zum Abonnenten. Jede Rolle ist ein Satz von Berechtigungen: Beiträge veröffentlichen, Plugins installieren, Seiten anderer Benutzer bearbeiten. Für einen Seitenbetreiber mit Gastautoren sind drei Rollen besonders relevant: Mitarbeiter, Autor und Redakteur.

Der Unterschied zwischen ihnen läuft auf drei entscheidende Berechtigungen hinaus: Dateien in die Mediathek hochladen, ohne Prüfung veröffentlichen und auf Inhalte anderer Benutzer zugreifen. Die falsche Rolle bedeutet entweder einen handlungsunfähigen Autor, der keinen Screenshot in einen Beitrag einfügen kann, oder eine Sicherheitslücke, durch die jemand versehentlich veröffentlichte Seiten löscht.

Nachfolgend finden Sie eine schrittweise Aufschlüsselung jeder Rolle, ein Werkzeug zur Feinabstimmung der Berechtigungen und konkrete Szenarien, die zeigen, wer welche Rolle erhalten sollte.

💡 Kurzer Überblick:

• Wählen Sie eine Rolle passend zur Aufgabe: Mitarbeiter für Text, Autor für Beiträge mit Screenshots, Redakteur für Content-Manager
• Passen Sie Berechtigungen mit dem Plugin PublishPress Capabilities an, falls die Standardrolle nicht ausreicht
• Gewähren Sie genau den Zugriff, der für die Aufgabe nötig ist, und keine einzige Berechtigung mehr

Mitarbeiter-Rolle: minimaler Zugriff, maximale Kontrolle

Mitarbeiter ist die sicherste Rolle für einen freien Autor. Der Benutzer sieht nur den Bereich Beiträge und seine eigenen Entwürfe. Keine Seiteneinstellungen, Plugins, Themes oder Beiträge anderer Personen. Er erstellt Inhalte, klickt auf „Zur Überprüfung einreichen", und der Beitrag geht an einen Redakteur oder Administrator. Selbstveröffentlichung ist nicht erlaubt.

Entscheidende Einschränkung: Der Mitarbeiter hat keinen Zugriff auf die WordPress-Mediathek. Die Schaltfläche „Medien hinzufügen" im Editor fehlt. Der Autor kann keinen Screenshot der Oberfläche, keine Infografik und kein Beitragsbild einfügen. Für ein Blog, in dem jeder Artikel visuelle Inhalte enthält, ist das ein K.-o.-Kriterium.

Es gibt zwei Workarounds. Erstens: Stufen Sie die Rolle zum Autor hoch (mehr dazu weiter unten). Zweitens: Fügen Sie die Berechtigung upload_files über ein Plugin zur Mitarbeiter-Rolle hinzu.

Rollen mit einem Plugin konfigurieren

Zur Feinabstimmung von Rollen nutzen Sie PublishPress Capabilities (ehemals Capability Manager Enhanced). Das Plugin hat über 100.000 aktive Installationen und eine 4,5-Sterne-Bewertung auf WordPress.org; es ist der Branchenstandard für die Berechtigungsverwaltung. Die Kernfunktionen sind kostenlos.

Die Arbeit mit dem Plugin läuft auf das Setzen und Entfernen von Häkchen neben bestimmten Berechtigungen hinaus. Wählen Sie eine Rolle, markieren Sie die benötigten Berechtigungen, speichern Sie. Kein Code erforderlich. Für den Mitarbeiter fügen Sie einfach das Häkchen bei upload_files hinzu; Autoren können dann Bilder hochladen, bleiben aber nicht berechtigt zu veröffentlichen.

Dokumentieren Sie, welche Änderungen Sie für wen vorgenommen haben. Bei einem Dutzend Autoren und benutzerdefinierten Berechtigungen verliert man leicht den Überblick und gewährt versehentlich der falschen Person Zugriff auf die Plugin-Verwaltung. PublishPress Capabilities hat dafür einen Bereich Sichern & Wiederherstellen; erstellen Sie eine Momentaufnahme der Rollen, bevor Sie Änderungen vornehmen.

Autor-Rolle: volle Kontrolle über die eigenen Beiträge

Autor ist die nächsthöhere Stufe nach dem Mitarbeiter. Der entscheidende Unterschied: Der Autor sieht die Schaltfläche „Medien hinzufügen" im Editor und kann Bilder, Videos und andere Dateien in die Mediathek hochladen. Auch das Festlegen eines Beitragsbildes ist verfügbar. Das ist ein vollständiges Werkzeugset, um von Anfang bis Ende ausgefeilte Inhalte zu erstellen.

Zusätzlich kann der Autor Beiträge veröffentlichen, ohne sie zur Überprüfung einzureichen, und seine eigenen veröffentlichten Einträge bearbeiten oder löschen. Die Beiträge anderer Benutzer und WordPress-Seiten bleiben tabu.

Die Selbstveröffentlichung ist der Hauptgrund zur Vorsicht. Wenn der Autor einen Fehler macht und einen Rohentwurf veröffentlicht oder beschließt, einen Beitrag einen Monat später ohne Absprache „nachzubessern", ist der redaktionelle Puffer dahin. Lösung: Entfernen Sie das Häkchen bei publish_posts für die Autor-Rolle über PublishPress Capabilities. Autoren müssen dann Beiträge zur Überprüfung einreichen, behalten aber den Zugriff auf Mediendateien.

Solch eine Mischform (Mitarbeiter + upload_files oder Autor ohne publish_posts) deckt die meisten Szenarien für Gastautoren ab: volle Kontrolle über Inhalt und visuelle Elemente ihres Beitrags bei gleichzeitigem Erhalt der redaktionellen Hürde.

Redakteur-Rolle: für Content-Manager

Redakteur ist eine Stufe unter dem Administrator. Ein Benutzer mit dieser Rolle kann nicht nur eigene Beiträge erstellen und veröffentlichen, sondern auch die Inhalte anderer Autoren verwalten: bearbeiten, veröffentlichen, löschen. Der Redakteur arbeitet zudem mit WordPress-Seiten (das Erstellen, Bearbeiten und Veröffentlichen fremder Seiten eingeschlossen).

Darüber hinaus moderiert der Redakteur Kommentare und verwaltet Kategorien und Schlagwörter. Der Zugriff auf Seiteneinstellungen, Plugins, Themes und die Benutzerliste bleibt gesperrt; das ist die Domäne des Administrators.

Weisen Sie die Redakteur-Rolle mit Bedacht zu. Sie ist die ideale Rolle für einen Content-Manager, Blog-Redakteur oder ausgelagerten Spezialisten, der für den gesamten Veröffentlichungsablauf verantwortlich ist: Entwürfe von Autoren annehmen, prüfen, veröffentlichen, Kommentare überwachen. Für reguläre Autoren ist der Redakteur überdimensioniert; die Fähigkeit, veröffentlichte Beiträge und Seiten anderer zu löschen, ist für jemanden, der lediglich Artikel schreibt, unnötig.

Sicherheit und häufige Fehler bei der Zugriffsgewährung

Die goldene Regel ist das Prinzip der geringsten Rechte: Gewähren Sie genau die Berechtigungen, die für die Aufgabe nötig sind, und keine einzige zusätzliche.

Zu vermeidende Fehler:

• Administrator vergeben, „damit garantiert alles funktioniert". Ein Administrator installiert und entfernt Plugins, wechselt das Theme, bearbeitet Seitendateien. Zum Schreiben von Beiträgen genügen Autor oder ein konfigurierter Mitarbeiter.
• Vergessen, den Zugriff zu entziehen. Ein Autor schreibt nicht mehr für das Blog; sein Konto bleibt mit Veröffentlichungsrechten bestehen. Überprüfen Sie Ihre Benutzerliste vierteljährlich; entfernen oder degradieren Sie inaktive Konten.
• Versäumnis, eine benutzerdefinierte Rolle zu dokumentieren. Ein halbes Jahr später wissen Sie nicht mehr, warum dieser Benutzer edit_others_posts hat und jener nicht. Führen Sie ein kurzes Änderungsprotokoll.

Für WordPress-Multisite-Installationen gelten dieselben Rollen mit einem Unterschied: Ein Administrator einer einzelnen Site im Netzwerk kann keine Plugins oder Themes installieren; das ist das Vorrecht des Super Admins.

Dieses kurze englischsprachige Video demonstriert den Rollenkonfigurationsprozess in Aktion, von der Zuweisung einer Rolle an einen Benutzer bis zur Bearbeitung einzelner Berechtigungen.

⁉️🤔 Häufig gestellte Fragen

Kann ich einem Autor Zugriff auf nur eine Kategorie geben?

Standard-WordPress-Rollen beschränken den Zugriff nicht nach Kategorie. Der Autor sieht alle Kategorien und kann in jede davon veröffentlichen. Für eine Segmentierung benötigen Sie ein Plugin wie PublishPress Capabilities Pro oder User Role Editor; die kostenpflichtigen Versionen enthalten eine Funktion zur Taxonomie-Einschränkung.

Wie unterscheidet sich der Mitarbeiter in der Praxis vom Autor?

Der Mitarbeiter kann keine Mediendateien hochladen oder Beiträge veröffentlichen, sondern nur schreiben und zur Überprüfung einreichen. Der Autor lädt Bilder hoch und veröffentlicht eigenständig. Wenn der Autor Text ohne Bilder schreibt, genügt der Mitarbeiter. Enthalten die Beiträge Screenshots und Fotos, benötigen Sie den Autor oder einen Mitarbeiter mit der über ein Plugin hinzugefügten Berechtigung upload_files.

Gehen benutzerdefinierte Rolleneinstellungen nach einem WordPress-Update verloren?

Nein. Benutzerdefinierte Rollen und geänderte Berechtigungen werden in der WordPress-Datenbank in der Tabelle wp_options gespeichert (im Datensatz wp_user_roles). Größere WordPress-Updates fügen gelegentlich neue Standardberechtigungen hinzu, setzen aber keine Benutzerkonfigurationen zurück. Sichern Sie die Rollen vor einem größeren Update über das Plugin.

Wie überprüfe ich, ob ein neuer Autor die korrekten Berechtigungen hat?

Erstellen Sie einen Testbenutzer mit der gewünschten Rolle und melden Sie sich in einem privaten Browserfenster als dieser Benutzer an. Gehen Sie alle wichtigen Bildschirme durch: den Beitragseditor, die Mediathek, die Seitenliste, die Einstellungen. Bestätigen Sie, dass kein überflüssiger Zugriff besteht und der nötige Zugriff vorhanden ist. Das dauert 5 Minuten und spart Stunden an Fehlersuche.

Brauche ich ein Plugin, um Rollen zu konfigurieren, oder kann ich Code verwenden?

Code funktioniert ebenfalls. WordPress stellt vier Funktionen bereit: add_role() und remove_role() zum Erstellen und Löschen von Rollen sowie add_cap() und remove_cap() zum Hinzufügen und Entfernen einzelner Berechtigungen. Sie können die Aufrufe in der functions.php Ihres Themes oder Child-Themes platzieren. Ein Plugin bietet jedoch eine visuelle Oberfläche und Schutz vor Tippfehlern: Vertippt man sich im Code bei einem Berechtigungsnamen, versagt die Rolle stillschweigend; im Plugin sehen Sie das Kontrollkästchen und die Beschreibung.

Welche Rolle wählen: abschließende Aufschlüsselung

Eine kurze Orientierung basierend auf Ihren Szenarien:

• Ein Gastautor schreibt Text; ein Redakteur wählt die Bilder aus. Nutzen Sie Mitarbeiter. Minimaler Zugriff, keine Risiken.
• Ein Autor bereitet einen kompletten Beitrag vor: Text, Screenshots, Fotos. Autor. Wenn Sie die Hürde der Vorabprüfung beibehalten möchten, entfernen Sie die Berechtigung publish_posts über PublishPress Capabilities.
• Jemand steuert den Content-Fluss: Annehmen, Bearbeiten, Veröffentlichen, Kommentare überwachen. Redakteur. Genug Berechtigungen für das Management, nicht genug, um die Seite zu beschädigen.
• Sie sind der alleinige Inhaber und Autor. Administrator. Selbst dann ist es für die tägliche Arbeit sicherer, ein zweites Konto mit Redakteur anzulegen und das Admin-Konto nur für Einstellungen und Updates zu nutzen.

Investieren Sie einmalig 10 Minuten in die Rollenkonfiguration, und jeder nachfolgende Autor meldet sich mit genau den Berechtigungen an, die er benötigt: kein Risiko für die Seite, keine überflüssigen Rückfragen im Chat und keine Kompromisse bei der Sicherheit.