WordPress-Passwort über phpMyAdmin ändern: Admin-Zugang über die Datenbank wiederherstellen

Wenn du dein WordPress-Admin-Passwort vergessen hast und die normale Passwort-Wiederherstellung nicht funktioniert, kannst du das Passwort eines WordPress-Benutzers direkt über die Datenbank neu setzen. Bei einem CURIAWEB Hosting steht dir dafür phpMyAdmin über cPanel zur Verfügung.

Diese Methode ist besonders hilfreich, wenn du keinen Zugriff mehr auf die beim WordPress-Benutzer hinterlegte E-Mail-Adresse hast oder WordPress keine E-Mail zum Zurücksetzen des Passworts zustellen kann. Du benötigst dafür allerdings Zugriff auf das Hosting beziehungsweise cPanel und musst die richtige Datenbank deiner WordPress-Installation identifizieren.

Da du mit phpMyAdmin direkt auf die WordPress-Datenbank zugreifst, solltest du sorgfältig vorgehen. Eine falsche Änderung kann die Website oder einzelne Funktionen beeinträchtigen. In dieser Anleitung ändern wir deshalb ausschliesslich den für das Benutzerpasswort relevanten Eintrag.

Kurz erklärt: Öffne in cPanel phpMyAdmin, wähle die Datenbank deiner WordPress-Installation und öffne die Benutzertabelle. Bearbeite den gewünschten Benutzer und setze für user_pass ein neues Passwort mit der Funktion MD5. Nach dem ersten erfolgreichen Login verarbeitet WordPress das Passwort mit seinem aktuellen Passwort-Hashing-Verfahren weiter.

Wann solltest du das WordPress-Passwort über phpMyAdmin ändern? #

Die Änderung über phpMyAdmin ist eine alternative Wiederherstellungsmethode. Sie sollte nicht der normale Weg sein, wenn die integrierte Passwort-Wiederherstellung von WordPress funktioniert.

Verwende phpMyAdmin beispielsweise, wenn:

• du keinen Zugriff mehr auf die hinterlegte E-Mail-Adresse hast
• die E-Mail zur Passwort-Wiederherstellung nicht ankommt
• der WordPress-Mailversand nicht funktioniert
• du den Benutzer über die normale Wiederherstellung nicht zurücksetzen kannst
• du weiterhin Zugriff auf cPanel und die WordPress-Datenbank besitzt

Wenn du die hinterlegte E-Mail-Adresse erreichen kannst, solltest du zuerst die normale WordPress-Funktion „Passwort vergessen?“ verwenden.

Den regulären Weg erklären wir ausführlich in unserer Anleitung WordPress-Passwort vergessen: Admin-Zugang wiederherstellen.

Was ist phpMyAdmin? #

phpMyAdmin ist eine webbasierte Verwaltungsoberfläche für MySQL- beziehungsweise MariaDB-Datenbanken. WordPress speichert einen grossen Teil seiner Daten nicht in Dateien, sondern in einer Datenbank.

Dazu gehören beispielsweise:

• Beiträge und Seiten
• Kommentare
• Benutzerkonten
• Website-Einstellungen
• Plugin-Einstellungen
• Theme-bezogene Einstellungen
• Metadaten

Mit phpMyAdmin kannst du diese Datenbank direkt einsehen und bearbeiten. Genau deshalb ist das Werkzeug leistungsfähig, aber bei falscher Bedienung auch riskant.

Wichtig: Änderungen in phpMyAdmin wirken direkt auf die Datenbank. Es gibt keinen normalen WordPress-Papierkorb für versehentlich gelöschte oder überschriebene Datenbankwerte. Arbeite deshalb nur an den Einträgen, die in dieser Anleitung beschrieben werden.

Vor der Änderung ein Backup erstellen #

Bevor du Änderungen direkt an einer produktiven WordPress-Datenbank vornimmst, solltest du sicherstellen, dass eine aktuelle Datensicherung vorhanden ist.

Für die Änderung eines Passworts wird zwar nur ein einzelner Datenbankwert angepasst. Trotzdem ist eine Sicherung sinnvoll, weil ein versehentlicher Eingriff in die falsche Tabelle oder Datenbank schwerwiegendere Folgen haben kann.

Bei mehreren WordPress-Installationen im selben Hosting ist besondere Aufmerksamkeit erforderlich. Stelle sicher, dass du tatsächlich mit der Datenbank der betroffenen Website arbeitest.

Schritt 1: In cPanel einloggen #

Logge dich zunächst in dein CURIAWEB Hosting beziehungsweise in cPanel ein.

Wenn du dein cPanel-Passwort nicht mehr kennst, kannst du das Passwort des cPanel-Hauptkontos über das CURIAWEB Kundencenter neu setzen. Das WordPress-Passwort und das cPanel-Passwort sind voneinander unabhängig.

Nach dem Login in cPanel suchst du den Bereich für Datenbanken und öffnest phpMyAdmin.

Schritt 2: phpMyAdmin öffnen #

Klicke in cPanel auf phpMyAdmin. Die Datenbankverwaltung wird anschliessend geöffnet.

Auf der linken Seite siehst du normalerweise die verfügbaren Datenbanken. Wenn dein Hosting nur eine einzige WordPress-Website enthält, ist die Zuordnung möglicherweise einfach. Bei mehreren Websites oder Anwendungen können jedoch mehrere Datenbanken vorhanden sein.

Wähle nicht auf Verdacht irgendeine Datenbank aus.

Wie finde ich die richtige WordPress-Datenbank? #

Wenn du nicht sicher bist, welche Datenbank zu deiner WordPress-Installation gehört, findest du den Datenbanknamen in der Datei:

wp-config.php

Diese Datei befindet sich normalerweise im Hauptverzeichnis deiner WordPress-Installation.

Du kannst sie beispielsweise über den Dateimanager in cPanel öffnen. Suche darin nach dem Eintrag für DB_NAME.

Er sieht sinngemäss so aus:

define( 'DB_NAME', 'name_der_datenbank' );

Der Wert bei DB_NAME ist der Datenbankname, den WordPress für diese Installation verwendet.

Achtung: Die Datei wp-config.php enthält sensible Zugangsdaten und Konfigurationswerte. Veröffentliche ihren Inhalt niemals und ändere dort keine Werte, wenn du lediglich den Datenbanknamen nachsehen möchtest.

Schritt 3: Richtige WordPress-Datenbank auswählen #

Wechsle zurück zu phpMyAdmin und wähle auf der linken Seite die Datenbank aus, die du über DB_NAME identifiziert hast.

Nach dem Öffnen zeigt phpMyAdmin die Tabellen dieser Datenbank an.

Bei einer WordPress-Installation findest du typischerweise Tabellen wie:

wp_posts

wp_options

wp_users

wp_usermeta

Allerdings muss der Tabellenpräfix nicht wp_ lauten.

Warum heisst die Benutzertabelle nicht immer wp_users? #

WordPress verwendet für seine Datenbanktabellen einen sogenannten Tabellenpräfix. Bei einer Standardinstallation lautet dieser häufig:

wp_

Die Benutzertabelle heisst dann:

wp_users

Der Präfix kann jedoch bei der Installation geändert worden sein. Die Tabelle könnte deshalb beispielsweise auch so heissen:

abc_users

oder:

cw1_users

Entscheidend ist nicht der Präfix, sondern der Tabellenname mit der Endung:

_users

Den tatsächlich verwendeten Tabellenpräfix kannst du ebenfalls in der Datei wp-config.php erkennen. Dort findest du einen Eintrag wie:

$table_prefix = 'wp_';

Schritt 4: WordPress-Benutzertabelle öffnen #

Öffne in phpMyAdmin die Tabelle, die auf _users endet.

Bei einer Installation mit dem Standardpräfix wäre das:

wp_users

Wähle anschliessend in phpMyAdmin die Ansicht „Anzeigen“ beziehungsweise „Browse“, falls die Datensätze nicht bereits dargestellt werden.

Jetzt solltest du die in dieser WordPress-Installation vorhandenen Benutzer sehen.

Wie erkenne ich den richtigen WordPress-Benutzer? #

In der Benutzertabelle befinden sich mehrere Spalten. Für die Identifikation des richtigen Kontos sind insbesondere folgende Felder hilfreich:

• ID – interne Benutzer-ID
• user_login – WordPress-Benutzername
• user_email – hinterlegte E-Mail-Adresse
• display_name – öffentlicher Anzeigename

Prüfe sorgfältig, welches Benutzerkonto du ändern möchtest.

Wenn mehrere Benutzer vorhanden sind, ändere nicht einfach den ersten Eintrag in der Tabelle.

Wichtig: Die Tabelle _users zeigt nicht direkt an, ob ein Benutzer Administrator, Redakteur oder Autor ist. Die WordPress-Rollen und Berechtigungen werden in der zugehörigen _usermeta-Tabelle gespeichert. Identifiziere das Konto deshalb anhand von Benutzername und E-Mail-Adresse oder prüfe bei Bedarf zusätzlich die Benutzerrolle.

Schritt 5: Benutzer in phpMyAdmin bearbeiten #

Wenn du den richtigen Benutzer eindeutig identifiziert hast, klicke beim entsprechenden Datensatz auf „Bearbeiten“.

phpMyAdmin zeigt dir nun die einzelnen Felder dieses Benutzers.

Suche das Feld:

user_pass

Dort befindet sich der gespeicherte Passwort-Hash des WordPress-Benutzers.

Der vorhandene Wert sieht nicht wie dein normales Passwort aus. Das ist korrekt und sollte auch so sein.

Warum kann ich das bestehende WordPress-Passwort nicht lesen? #

WordPress speichert Benutzerpasswörter nicht als normalen Klartext. Stattdessen wird aus dem Passwort mit einem kryptografischen Verfahren ein Passwort-Hash erzeugt und dieser in der Datenbank gespeichert.

Das bedeutet: Du kannst das vorhandene Passwort nicht einfach aus dem Feld user_pass herauslesen.

Wenn das Passwort vergessen wurde, wird deshalb ein neues Passwort gesetzt. Das alte Passwort wird nicht wieder sichtbar gemacht.

Schritt 6: Neues Passwort mit MD5 setzen #

Für die manuelle Wiederherstellung über phpMyAdmin unterstützt WordPress weiterhin die Möglichkeit, ein neues Passwort zunächst als MD5-Hash in user_pass zu speichern.

Passwort in phpMyAdmin ändern #

1. Suche beim ausgewählten Benutzer die Zeile user_pass.
2. Wähle in der Spalte „Funktion“ den Eintrag MD5.
3. Lösche im Wertefeld den vorhandenen Passwort-Hash.
4. Gib dort dein gewünschtes neues Passwort im Klartext ein.
5. Prüfe nochmals, ob du den richtigen Benutzer bearbeitest.
6. Speichere die Änderung über die entsprechende Schaltfläche in phpMyAdmin.

phpMyAdmin wendet beim Speichern die ausgewählte Funktion MD5 auf dein eingegebenes Passwort an. In der Datenbank wird dadurch nicht das eingegebene Klartextpasswort gespeichert, sondern dessen MD5-Wert.

Ist MD5 für WordPress-Passwörter nicht veraltet? #

Ja. MD5 allein ist kein modernes Verfahren zur sicheren Speicherung von Passwörtern und sollte nicht als dauerhaftes Passwort-Hashing-Verfahren eingesetzt werden.

Der hier beschriebene Vorgang ist eine von WordPress unterstützte Wiederherstellungsmethode. WordPress kann einen auf diese Weise gesetzten MD5-Passwortwert beim Login erkennen.

Wenn du dich anschliessend erfolgreich mit dem neuen Passwort anmeldest, wird der Passwort-Hash von WordPress mit dem aktuell verwendeten stärkeren Passwort-Hashing-Verfahren neu erzeugt und in der Datenbank gespeichert.

Wichtig: Wir verwenden MD5 hier nicht als Empfehlung für die Passwortspeicherung. Es dient ausschliesslich dazu, WordPress über die Datenbank ein neues bekanntes Passwort für die Wiederherstellung zu übergeben. Nach erfolgreicher Anmeldung aktualisiert WordPress den gespeicherten Hash.

Schritt 7: Bei WordPress anmelden #

Nachdem du die Änderung gespeichert hast, öffne die WordPress-Login-Seite.

Bei einer normalen Installation findest du sie unter:

https://deine-domain.ch/wp-login.php

oder:

https://deine-domain.ch/wp-admin

Melde dich mit dem zuvor identifizierten Benutzernamen beziehungsweise der zulässigen Anmeldekennung und dem gerade gesetzten neuen Passwort an.

Wenn die Anmeldung funktioniert, ist der WordPress-Zugang wiederhergestellt.

Nach dem erfolgreichen Login das Passwort nochmals ändern? #

Das ist nicht zwingend erforderlich, wenn du über phpMyAdmin bereits ein starkes und einzigartiges Passwort gesetzt hast und WordPress dieses beim erfolgreichen Login neu gehasht hat.

Du kannst das Passwort trotzdem direkt im WordPress-Dashboard nochmals ändern, wenn du beispielsweise über phpMyAdmin nur ein temporäres Wiederherstellungspasswort verwendet hast.

Öffne dazu dein WordPress-Profil und setze dort ein endgültiges starkes Passwort.

Den normalen Passwortwechsel im Dashboard erklären wir ausführlich unter WordPress-Passwort ändern: Admin-Passwort sicher im Dashboard aktualisieren.

Was ist ein gutes temporäres Wiederherstellungspasswort? #

Auch ein temporäres Passwort sollte nicht einfach admin123, passwort oder der Name deiner Website sein.

Ein schwaches Passwort kann bereits während der kurzen Zeit bis zur nächsten Änderung ein unnötiges Risiko darstellen.

Verwende deshalb auch für die Wiederherstellung ein langes, zufälliges und einzigartiges Passwort.

Am einfachsten erzeugst und speicherst du dieses mit einem Passwortmanager.

Passwort geändert, aber Login funktioniert weiterhin nicht #

Wenn die Anmeldung nach der Änderung weiterhin scheitert, solltest du nicht sofort weitere Datenbankwerte verändern.

Prüfe zuerst die häufigsten Ursachen:

• Hast du die richtige WordPress-Datenbank bearbeitet?
• Hast du den richtigen Benutzer ausgewählt?
• Hast du tatsächlich das Feld user_pass geändert?
• War beim Speichern die Funktion MD5 ausgewählt?
• Verwendest du beim Login das gerade gesetzte Passwort?
• Füllt dein Browser oder Passwortmanager automatisch ein altes Passwort ein?
• Versuchst du dich bei der richtigen WordPress-Installation anzumelden?

Teste den Login gegebenenfalls in einem privaten beziehungsweise Inkognito-Fenster des Browsers, damit keine alten Zugangsdaten automatisch eingesetzt werden.

Mehrere WordPress-Installationen im selben Hosting #

Wenn in deinem Hosting mehrere WordPress-Websites betrieben werden, ist die korrekte Zuordnung der Datenbank besonders wichtig.

Jede eigenständige WordPress-Installation kann eine eigene Datenbank verwenden. Es ist auch technisch möglich, dass mehrere Installationen Tabellen innerhalb derselben Datenbank mit unterschiedlichen Präfixen verwenden.

Verlasse dich deshalb nicht nur auf den Namen einer Datenbank. Prüfe im Zweifelsfall sowohl:

• DB_NAME in der jeweiligen wp-config.php
• $table_prefix in derselben Datei

Damit kannst du sowohl die richtige Datenbank als auch die richtigen WordPress-Tabellen identifizieren.

Was tun, wenn die Tabelle wp_users nicht existiert? #

Wenn du keine Tabelle mit dem Namen wp_users findest, bedeutet das nicht automatisch, dass etwas fehlt.

Sehr wahrscheinlich verwendet deine Installation einen anderen Tabellenpräfix.

Suche nach einer Tabelle, die auf:

_users

endet und vergleiche den Präfix mit dem Eintrag $table_prefix in deiner wp-config.php.

Bearbeite nicht einfach eine ähnlich aussehende Benutzertabelle, wenn mehrere WordPress-Installationen dieselbe Datenbank verwenden.

Wie erkenne ich, ob der Benutzer wirklich Administrator ist? #

Die eigentliche Benutzerrolle wird nicht direkt im Feld user_pass oder in der _users-Tabelle gespeichert.

WordPress speichert Rolleninformationen in der Tabelle:

wp_usermeta

beziehungsweise bei einem anderen Präfix entsprechend:

deinpraefix_usermeta

Die Zuordnung erfolgt über die Benutzer-ID. Für einen normalen Passwort-Reset musst du diese Tabelle nicht verändern.

Wenn du lediglich das Passwort eines bekannten Administrators zurücksetzen möchtest, lasse die Rolleninformationen unverändert.

Nicht machen: Ändere nicht auf Verdacht Werte in _usermeta, um einem Benutzer Administratorrechte zu geben. Das ist für einen normalen Passwort-Reset weder erforderlich noch sinnvoll.

Unbekannten Administrator nicht einfach übernehmen #

Wenn du bei der Suche nach deinem Benutzer ein unbekanntes Administrator-Konto entdeckst, solltest du dieses nicht einfach verwenden oder lediglich dessen Passwort ändern.

Ein unbekannter Administrator kann verschiedene Ursachen haben. Möglicherweise gehört das Konto zu einem Mitarbeiter, Entwickler oder einer früheren Agentur. Es kann aber auch ein Hinweis auf einen unbefugten Zugriff sein.

Prüfe deshalb zuerst, wem das Konto gehört.

Wie du WordPress-Benutzer, Rollen und Berechtigungen richtig verwaltest, erklären wir in unserer Anleitung WordPress-Benutzer verwalten: Konten, Rollen und Berechtigungen richtig einrichten.

Was tun bei Verdacht auf einen gehackten WordPress-Zugang? #

Wenn du das Passwort nicht deshalb zurücksetzt, weil du es vergessen hast, sondern weil du einen unbefugten Zugriff vermutest, reicht eine reine Passwortänderung möglicherweise nicht aus.

Ein Angreifer mit Administratorrechten könnte beispielsweise:

• weitere Benutzerkonten angelegt haben
• Plugins installiert oder verändert haben
• Theme-Dateien manipuliert haben
• Weiterleitungen eingerichtet haben
• Schadcode in Dateien oder Datenbankinhalte eingefügt haben

In einem solchen Fall solltest du die Website als möglichen Sicherheitsvorfall behandeln und nicht lediglich das Passwort ersetzen.

WordPress-Passwort nicht direkt als Klartext speichern #

Trage niemals einfach ein neues Passwort in user_pass ein und speichere es ohne die vorgesehene Hash-Funktion als Klartext.

WordPress erwartet dort keinen normalen lesbaren Passwortwert.

Für die in dieser Anleitung beschriebene Wiederherstellung wählst du deshalb in phpMyAdmin ausdrücklich die Funktion:

MD5

und gibst das neue Passwort im zugehörigen Wertefeld ein.

Keine fremden Online-MD5-Generatoren verwenden #

Du musst dein neues Passwort nicht auf irgendeiner Website in einen MD5-Wert umwandeln.

Davon raten wir ausdrücklich ab.

Wenn du ein Passwort bei einem fremden Online-Dienst eingibst, gibst du diesem Dienst dein Passwort preis. Ob der Anbieter es speichert, protokolliert oder anderweitig verarbeitet, kannst du nicht zuverlässig beurteilen.

phpMyAdmin kann die benötigte MD5-Funktion direkt beim Speichern anwenden. Es gibt deshalb keinen Grund, dein neues WordPress-Passwort an einen externen Hash-Generator zu übermitteln.

Sicherheitsregel: Gib Passwörter niemals in unbekannte Online-Generatoren, Passwort-Checker oder Hash-Websites ein. Für diesen Vorgang übernimmt phpMyAdmin die notwendige Umwandlung lokal auf dem Server.

WordPress-E-Mail-Versand nach der Wiederherstellung prüfen #

Wenn du phpMyAdmin verwenden musstest, weil die E-Mail zur Passwort-Wiederherstellung nicht angekommen ist, solltest du nach erfolgreichem Login die Ursache dafür beheben.

Sonst stehst du beim nächsten vergessenen Passwort möglicherweise wieder vor demselben Problem.

Prüfe zuerst, ob die beim WordPress-Benutzer hinterlegte E-Mail-Adresse korrekt und erreichbar ist.

Für eine zuverlässigere Zustellung von WordPress-Systemnachrichten empfiehlt sich ausserdem ein korrekt konfigurierter SMTP-Versand.

CURIAWEB-Kunden steht dafür GoSMTP PRO kostenlos zur Verfügung. Die Einrichtung erklären wir in unserer Anleitung WordPress-E-Mails per SMTP versenden.

Nach der Wiederherstellung Benutzer und E-Mail-Adresse kontrollieren #

Wenn du dich wieder anmelden kannst, öffne:

Benutzer → Profil

Prüfe dort insbesondere:

• die hinterlegte E-Mail-Adresse
• deinen Anzeigenamen
• ob das neue Passwort sicher gespeichert ist
• ob du dauerhaft Zugriff auf die hinterlegte E-Mail-Adresse besitzt

Als Administrator solltest du zusätzlich unter Benutzer → Alle Benutzer prüfen, ob alle vorhandenen Konten bekannt und weiterhin erforderlich sind.

Warum der Datenbankzugriff besonders geschützt werden muss #

Der Zugriff auf phpMyAdmin ermöglicht wesentlich mehr als nur das Zurücksetzen eines WordPress-Passworts. Wer Zugriff auf die Datenbank erhält, kann zahlreiche Inhalte und Einstellungen einer Website einsehen oder verändern.

Schütze deshalb auch deinen cPanel-Zugang mit einem starken und einzigartigen Passwort und gib Hosting-Zugangsdaten nur an Personen weiter, die sie tatsächlich benötigen.

WordPress-Benutzer, cPanel, FTP und andere technische Zugänge sollten grundsätzlich getrennte Passwörter verwenden.

Warum du das Passwort nicht in wp-config.php findest #

Gelegentlich wird angenommen, das WordPress-Administratorpasswort müsse sich in wp-config.php befinden. Das ist falsch.

Die Datei enthält Zugangsdaten für die WordPress-Datenbank, nicht die normalen Passwörter der WordPress-Benutzer.

Dort findest du beispielsweise:

• Datenbankname
• Datenbankbenutzer
• Datenbankpasswort
• Datenbankserver
• Tabellenpräfix

Diese Daten haben eine andere Funktion und sollten nicht verändert werden, um ein WordPress-Benutzerpasswort zurückzusetzen.

Typische Fehler beim Passwort-Reset über phpMyAdmin #

• die falsche WordPress-Datenbank auswählen
• den Tabellenpräfix nicht beachten
• den falschen Benutzer bearbeiten
• das Feld user_pass mit einem anderen Feld verwechseln
• das neue Passwort ohne Hash-Funktion speichern
• einen externen Online-MD5-Generator verwenden
• unnötig Werte in _usermeta verändern
• mehrere Datenbankwerte gleichzeitig ändern
• ohne Sicherung umfangreiche Änderungen durchführen
• nach der Wiederherstellung die Ursache für ausgefallene WordPress-E-Mails ignorieren

Merke: Für einen normalen Passwort-Reset über phpMyAdmin musst du nur den richtigen WordPress-Benutzer identifizieren und dessen user_pass korrekt neu setzen. Ändere keine anderen Datenbankwerte, wenn dies für die Wiederherstellung nicht erforderlich ist.

Zusammenfassung #

Wenn die normale WordPress-Passwort-Wiederherstellung nicht funktioniert, kannst du das Passwort eines Benutzers mit Zugriff auf cPanel über phpMyAdmin neu setzen.

Identifiziere zuerst über DB_NAME in der wp-config.php die richtige Datenbank und beachte den dort definierten $table_prefix. Öffne anschliessend die Tabelle _users, wähle den richtigen Benutzer und bearbeite das Feld user_pass. Für die Wiederherstellung kannst du in phpMyAdmin die Funktion MD5 auswählen und ein neues Passwort setzen. Nach dem erfolgreichen Login aktualisiert WordPress den gespeicherten Passwort-Hash mit seinem aktuellen Verfahren.

Wenn du weiterhin Zugriff auf die hinterlegte E-Mail-Adresse hast, solltest du statt phpMyAdmin zunächst die normale WordPress-Passwort-Wiederherstellung verwenden. Nach erfolgreichem Login kannst du dein Passwort jederzeit regulär über das WordPress-Dashboard ändern.

Prüfe anschliessend deine WordPress-Benutzer und Administratoren. Musstest du phpMyAdmin verwenden, weil keine Wiederherstellungs-E-Mail angekommen ist, solltest du ausserdem den WordPress-E-Mail-Versand per SMTP korrekt konfigurieren.