Websites herunterladen, die Limit Login Attempts Reloaded nutzen

Über Limit Login Attempts Reloaded

Brute Force ist der am wenigsten raffinierte Angriff, dem eine öffentliche WordPress-Website ausgesetzt ist, und zugleich der, dem sie ständig ausgesetzt ist. Limit Login Attempts Reloaded begegnet ihm auf die denkbar einfachste Weise: Das Plugin zählt fehlgeschlagene Logins von einer Adresse oder für einen Benutzernamen und blockiert weitere Versuche, sobald ein Schwellenwert überschritten ist. Es erschien 2015 als in PHP geschriebenes Plugin, wird unter der Lizenz GPL v2 vertrieben und gehört zu den Härtungsmaßnahmen, die Administratoren eher nach einer schlechten Woche ergänzen als bei der Einrichtung.

Ein Plugin dieser Art ist schwerer zu erkennen als ein Theme oder ein Framework, und diesen Zusammenhang sollte man kennen, bevor man die Zahl liest. Stand Oktober 2026 erkennen wir Limit Login Attempts Reloaded auf 186 Websites. Ein Login-Limiter erledigt den Großteil seiner Arbeit serverseitig und hat allen Grund, nichts über sich preiszugeben, deshalb erfasst unsere Zahl Installationen, die eine sichtbare Spur hinterlassen, und nicht alle, die existieren. Die installierte Basis ist größer als das, was wir veröffentlichen, und kein öffentlicher Scan kann diese Lücke schließen.

Bei den Websites, die wir sehen, sagt der Einsatz etwas Bestimmtes über den Betreiber aus. Jemand hat bewusst ein Sicherheits-Plugin installiert, was eine gepflegte WordPress-Website von einer verwaisten unterscheidet, und gepflegte Websites sind diejenigen, die Backups, Monitoring, Managed Hosting, Malware-Bereinigung und Sicherheitsabonnements kaufen. Dieselbe Spur kennzeichnet außerdem einen Inhaber, der bereits akzeptiert hat, dass die Härtung seine Aufgabe ist, und mit ihm ist ein Verkaufsgespräch erheblich kürzer als eines, das ganz von vorn beginnt.

Die Grenzen gelten in beide Richtungen. Eine sichtbare Spur kann ein Plugin überdauern, das deaktiviert und nicht entfernt wurde, und eine Website kann einen gleichwertigen Schutz innerhalb einer umfassenderen Sicherheitssuite betreiben, die wir unter einem anderen Namen verzeichnen würden. Als Hinweis darauf, dass Härtung zur Routine des Betreibers gehört, ist das Feld verlässlich. Als Inventarposten ist es das nicht, und man sollte es nicht heranziehen, um zu behaupten, was heute auf einer bestimmten Website installiert ist.

So oder so lohnt es sich, die Liste als Datei vorliegen zu haben statt als Abfrage. Die Prüfung einer Domain sagt Ihnen etwas über eben diese Domain. Die exportierten Daten der Kategorie Security liefern Ihnen jede WordPress-Website, auf der die Erkennung anschlägt, zusammen mit Hoster, Land, Endung sowie den anderen Plugins und Diensten im selben Stack, und nur in dieser Form lässt sich ein Segment systematisch bearbeiten, statt eine Vermutung zu bestätigen.