WordPress Passwort vergessen 2026: Reset in unter 5 Minuten

Warum WordPress keine Reset-Mail schickt

Bevor du tiefer in die Datenbank greifst, lohnt der Blick auf den häufigsten Ärger 2026: die Reset-Mail kommt einfach nicht an. In über 80 Prozent der Fälle liegt das am Mail-Versand des Hosters und nicht an einem echten Account-Problem. WordPress nutzt standardmäßig die PHP-Funktion mail(), und genau die wird bei vielen Shared-Hostern 2025 und 2026 hart limitiert oder komplett blockiert, weil sie ein Spam-Magnet ist.

Drei typische Ursachen. Erstens: der Hoster blockt mail() komplett oder erlaubt nur Versand von verifizierten Domain-Adressen. All-Inkl, IONOS, Strato, Hetzner und Hostinger handhaben das 2026 unterschiedlich streng. Zweitens: kein SMTP-Plugin installiert, die Mail wird zwar abgesetzt, landet aber nie bei einem echten Mail-Server. Drittens: die Mail kommt an, landet aber im Spam-Ordner oder in einem Quarantäne-System wie das von Microsoft 365. Bevor du Methode 2 bis 4 startest, prüfe in dieser Reihenfolge: Spam-Ordner, Hoster-Logs, Test mit einer Gmail-Adresse statt Firmen-Mail.

Methode 1: Passwort über das Login-Formular zurücksetzen

Der Standard-Weg 2026, funktioniert in 80 Prozent aller Fälle und dauert keine 60 Sekunden. Öffne die Login-Seite deiner WordPress-Installation. Der Standard-Pfad ist https://deine-domain.de/wp-login.php oder https://deine-domain.de/wp-admin. Falls ein Sicherheits-Plugin wie WPS Hide Login oder iThemes Security aktiv ist, kann der Pfad geändert sein — zum Beispiel /anmelden oder /secret-login. Schau in alte E-Mails oder ins Browser-Lesezeichen nach der echten URL.

Unter dem Login-Formular findest du den Link „Passwort vergessen“. Klick darauf, gib entweder deinen WordPress-Benutzernamen oder die E-Mail-Adresse ein, die im Profil hinterlegt ist, klick „Neues Passwort generieren“. WordPress schickt jetzt eine Mail mit einem Reset-Link an die hinterlegte Adresse. Link anklicken, neues Passwort vergeben, fertig. Der Link ist 2026 standardmäßig 24 Stunden gültig, danach musst du den Prozess wiederholen.

Methode 2: Reset über phpMyAdmin

Wenn keine Mail ankommt und du Zugang zur Datenbank hast, ist phpMyAdmin der zuverlässigste Weg 2026. Voraussetzung: Hosting-Account mit phpMyAdmin oder Adminer, plus Wissen über den Datenbank-Namen und das Tabellen-Präfix (Standard wp_, viele Sicherheits-Plugins ändern das auf wp_xyz123_).

Login in dein Hoster-Backend, phpMyAdmin öffnen, links die WordPress-Datenbank auswählen, dann die Tabelle wp_users öffnen. Suche deinen Benutzer (Spalte user_login oder user_email), klick rechts auf „Bearbeiten“. Im Feld user_pass trägst du jetzt das neue Passwort ein. Wichtig: WordPress speichert Passwörter nicht im Klartext, sondern als PHPass-Hash. Damit der Eintrag funktioniert, wähl in der Dropdown-Spalte „Funktion“ den Wert MD5 und schreib im Wert-Feld dein neues Klartext-Passwort. WordPress erkennt den MD5-Hash beim nächsten Login und konvertiert ihn automatisch in einen korrekten PHPass-Hash.

Nach dem Speichern sofort einloggen mit dem neuen Klartext-Passwort. Beim ersten erfolgreichen Login schreibt WordPress den sicheren PHPass-Hash zurück in die Datenbank. Falls dein Tabellen-Präfix nicht wp_ ist, ersetz im SQL den Tabellennamen entsprechend. Funktioniert in 2026 mit allen MariaDB- und MySQL-Versionen ab 5.7.

Methode 3: Reset über functions.php per FTP

Kein phpMyAdmin-Zugang, aber FTP funktioniert? Dann läuft der Reset über einen einmaligen Code-Snippet in der functions.php des aktiven Themes. Voraussetzung: FTP-Zugangsdaten und ein FTP-Client wie FileZilla oder Cyberduck. Diese Methode funktioniert 2026 mit jedem WordPress ab Version 4.0 und mit jedem Theme.

Verbind dich per FTP, navigier zu /wp-content/themes/dein-aktives-theme/ und lad die functions.php lokal herunter. Backup machen, dann ganz oben nach dem öffnenden <?php folgenden Code einfügen:

Datei speichern, zurück auf den Server hochladen, dann einmal die Login-Seite aufrufen — der Hook feuert beim Seitenaufbau und setzt das neue Passwort. Sofort einloggen, dann unbedingt den Code wieder aus der functions.php entfernen. Bleibt er drin, wird das Passwort bei jedem Seitenaufruf neu gesetzt, und niemand sonst kann sich einloggen. Für die ganz Vorsichtigen: nach dem Reset das Theme komplett austauschen oder zumindest die functions.php aus dem Theme-Repo neu ziehen.

Methode 4: Reset per WP-CLI

Die schnellste Methode für Profis 2026 — vorausgesetzt, der Hoster bietet SSH-Zugang und WP-CLI ist installiert. Hetzner Cloud, All-Inkl Premium, Raidboxes, Kinsta, WP Engine, Cloudways: alle bieten 2026 SSH und WP-CLI ab Werk. Bei IONOS, Strato und Hostinger ist es ein Klick im Backend, bei klassischen Shared-Hostern oft gar nicht verfügbar.

Per SSH einloggen, ins WordPress-Verzeichnis wechseln, dann reicht ein einziger Befehl:

WP-CLI erzeugt automatisch einen korrekten PHPass-Hash und schreibt ihn direkt in die wp_users-Tabelle. Kein MD5-Workaround, kein Theme-Eingriff, keine Datenbank-Tabelle suchen. Reset-Zeit unter 10 Sekunden. Wenn du WP-CLI noch nicht installiert hast, lohnt sich die einmalige Einrichtung — viele andere Admin-Aufgaben werden dadurch um Größenordnungen schneller. Werbeagentur Luppert in Landau in der Pfalz nutzt WP-CLI 2026 als Standard für alle Kunden-Sites.

SMTP einrichten damit Reset-Mails ankommen

Wenn der Reset funktioniert, aber zukünftig zuverlässig per Mail laufen soll, führt 2026 kein Weg an einem SMTP-Plugin plus externem Mail-Provider vorbei. Die PHP-mail()-Funktion ist tot — zu unzuverlässig, zu spam-anfällig, von vielen Mail-Providern direkt geblockt. Lösung: WordPress sendet über einen echten SMTP-Server, idealerweise mit DKIM und SPF signiert.

Empfohlenes Setup 2026: Plugin WP Mail SMTP (kostenlos in der Basis-Version, 49 USD/Jahr für Pro mit Logging) kombiniert mit einem externen Provider. Drei bewährte Optionen. Brevo (ehemals Sendinblue, EU-Server, DSGVO-konform, 300 Mails/Tag kostenlos). Mailgun (US-basiert, 5.000 Mails/Monat kostenlos, technisch sehr solide). Amazon SES (extrem günstig bei hohem Volumen, 0,10 USD pro 1.000 Mails, etwas komplexer im Setup).

DNS-Einträge nicht vergessen: SPF-Record und DKIM-Schlüssel müssen für die Versand-Domain hinterlegt sein. Brevo, Mailgun und SES liefern die nötigen Werte im Dashboard, du trägst sie einmal in deiner Domain-Verwaltung ein. Danach landen WordPress-Mails 2026 zuverlässig im Posteingang und nicht im Spam.

Was tun wenn auch der Admin-User komplett weg ist

Härtester Fall 2026: kein User-Login mehr bekannt, keine Mail erreichbar, alte Admin-Accounts wurden gelöscht oder von einem Hack entfernt. Lösung: neuen Admin-User direkt per SQL in der Datenbank anlegen. Voraussetzung: phpMyAdmin oder ein anderer Datenbank-Zugang.

Im phpMyAdmin SQL-Tab folgende Befehle ausführen, Tabellen-Präfix gegebenenfalls anpassen:

Wichtig: die meta_key-Werte müssen das Tabellen-Präfix tragen, also wp_capabilities bei Standard-Installation, wp_xyz123_capabilities bei verändertem Präfix. Nach dem Insert kannst du dich mit Login „notfall_admin“ und Passwort „Notfall2026!“ anmelden. Erste Aktion danach: über Profil ein sicheres Passwort setzen, alte verwaiste Admins entfernen, Sicherheits-Audit fahren — wenn der Admin verschwunden war, war wahrscheinlich ein Hack im Spiel.

2FA aktiviert und Code-Generator weg — Recovery

Zwei-Faktor-Authentifizierung ist 2026 Standard und richtig wichtig — aber sie bringt eigene Probleme, wenn das Handy mit dem Authenticator verloren geht oder die Backup-Codes weg sind. Auch hier gibt es einen Weg. Voraussetzung: FTP- oder Datei-Zugang zur WordPress-Installation.

Lösung: das 2FA-Plugin temporär deaktivieren, indem du seinen Ordner umbenennst. Per FTP nach /wp-content/plugins/ navigieren. Den Ordner des aktiven 2FA-Plugins finden — häufig two-factor, wp-2fa, google-authenticator oder wordfence (Wordfence bündelt 2FA). Ordner umbenennen, zum Beispiel von two-factor auf two-factor_OFF. WordPress erkennt das Plugin nicht mehr und deaktiviert es automatisch. Login funktioniert wieder nur mit Passwort.

Häufige Fehler beim Passwort-Reset

Fünf Klassiker, die 2026 immer wieder auftauchen und Reset-Versuche scheitern lassen. Erstens: der MD5-Hash wird falsch generiert. Wer in phpMyAdmin im Dropdown „Funktion“ vergisst und das Klartext-Passwort direkt einträgt, hat danach gar kein gültiges Passwort mehr in der Datenbank. Ergebnis: jeder Login-Versuch scheitert, weil WordPress den Klartext nicht hashen kann.

Zweitens: das Tabellen-Präfix wurde vergessen. Viele Sicherheits-Plugins ändern wp_ auf einen zufälligen Wert wie wp_a8x2k_. Die SQL-Befehle aus Tutorials funktionieren dann nicht, weil die Tabelle wp_users gar nicht existiert. Drittens: User-Capabilities fehlen. Wer einen Admin direkt per SQL anlegt, vergisst oft die Einträge in wp_usermeta — Login funktioniert, aber das WordPress-Backend zeigt eine leere Seite mit „Sorry, you are not allowed to access this page“.

Viertens und fünftens: der Reset-Code in der functions.php bleibt drin, oder ein Caching-Plugin behält alte Sessions. Beim ersten Problem hilft nur das saubere Entfernen des Hooks. Beim zweiten reicht ein Cache-Leeren oder ein Login aus einem anderen Browser/Inkognito-Fenster. Wer mit WP Rocket, W3 Total Cache oder LiteSpeed Cache arbeitet, sollte nach jedem Reset einmal komplett den Cache purgen.

Häufige Fragen 2026

Kostenloses Angebot
☎ Jetzt anrufen