Wenn du eine WordPress-Seite betreibst oder gerade überlegst, auf WordPress zu wechseln, wirst du früher oder später über den Begriff XML-RPC stolpern – meist im Zusammenhang mit Sicherheitswarnungen. In diesem Artikel erklären wir, was XML-RPC ist, warum es ein beliebtes Ziel für Angriffe ist und wie du XML-RPC blockieren kannst, ohne wichtige Funktionen deiner Seite zu beeinträchtigen.
Was ist XML-RPC in WordPress?
XML-RPC ist eine Schnittstelle (API), über die externe Anwendungen mit deiner WordPress-Installation kommunizieren können – zum Beispiel mobile Apps, die früher zum Veröffentlichen von Beiträgen genutzt wurden, oder bestimmte Plugins wie Jetpack. Die Datei xmlrpc.php liegt bei jeder Standard-WordPress-Installation im Hauptverzeichnis und ist von außen erreichbar.
Ursprünglich wurde XML-RPC entwickelt, um WordPress fernsteuern zu können, bevor es die heutige REST-API gab. Viele der Funktionen, für die XML-RPC früher gebraucht wurde, laufen inzwischen über modernere und sicherere Schnittstellen.
Warum solltest du XML-RPC blockieren?
Genau hier liegt das Problem: Über xmlrpc.php lassen sich mit einer einzigen Anfrage sehr viele Login-Versuche gleichzeitig durchführen (die sogenannte system.multicall-Methode). Angreifer nutzen das, um Brute-Force-Angriffe auf dein Login durchzuführen, ohne von klassischen Limits für Login-Versuche ausgebremst zu werden. Das kann nicht nur dein Passwort gefährden, sondern auch deinen Server unnötig belasten und deine Seite verlangsamen.
Da die meisten WordPress-Betreiber die ursprünglichen Funktionen von XML-RPC gar nicht mehr benötigen, ist es in der Regel sinnvoll, den Zugriff komplett zu sperren.
XML-RPC blockieren: So gehst du vor
Es gibt mehrere Wege, XML-RPC zu deaktivieren – je nachdem, welches Hosting und welche Tools du nutzt.
Variante 1: Über das Hosting-Panel (z. B. Plesk WP Toolkit)
Viele moderne Hosting-Umgebungen bringen bereits eine fertige Option zum Blockieren von XML-RPC mit. Bei Plesk mit WP Toolkit – wie es zum Beispiel bei turbopress zum Einsatz kommt – geht das ganz ohne Dateien zu bearbeiten:
Logge dich in Plesk ein.
Gehe im linken Menü zu WordPress.
Klicke bei der gewünschten WordPress-Installation auf Sicherheit.
Aktiviere die Option „Schutz gegen XML-RPC-Angriffe“ (bzw. „Disable XML-RPC“).
Klicke auf Anwenden.
Das ist der komfortabelste Weg, weil das Panel die passende Konfiguration automatisch übernimmt und du nichts falsch einstellen kannst.
Variante 2: Über die .htaccess-Datei
Falls dein Hosting kein solches Toolkit bietet, kannst du den Zugriff auch manuell über die .htaccess-Datei im Wurzelverzeichnis deiner WordPress-Installation sperren. Dazu bearbeitest du die Datei über den Dateimanager deines Hosters oder per FTP und fügst folgenden Code ein:
# XML-RPC blockieren
<Files xmlrpc.php>
Order Deny,Allow
Deny from all
</Files>Variante 3: Über ein Sicherheits-Plugin
Wer keinen Zugriff auf die .htaccess hat oder lieber mit der WordPress-Oberfläche arbeitet, kann auch ein Sicherheits-Plugin wie Wordfence oder iThemes Security nutzen. Diese bieten meist eine einfache Option, um XML-RPC-Zugriffe zu blockieren oder zumindest stark einzuschränken.
Wann solltest du XML-RPC nicht blockieren?
Du verwendest die offizielle WordPress-App auf deinem Smartphone, um Beiträge zu veröffentlichen oder zu verwalten.
Du nutzt einen Dienst, der explizit auf XML-RPC angewiesen ist (z. B. bestimmte Jetpack-Funktionen).
In diesen Fällen solltest du XML-RPC nicht komplett sperren, sondern gegebenenfalls nur einzelne, riskante Methoden wie system.multicall deaktivieren.
Fazit
Für die meisten WordPress-Seiten ist XML-RPC ein ungenutztes Einfallstor, das unnötige Angriffsfläche bietet. Wenn du keine App oder keinen Dienst nutzt, der explizit darauf angewiesen ist, lohnt es sich, XML-RPC zu blockieren – ob über dein Hosting-Panel, die .htaccess oder ein Sicherheits-Plugin. Im Zweifel gilt: blockieren, testen und bei Problemen gezielt wieder freischalten. Ein gut konfiguriertes WordPress-Hosting mit Plesk WP Toolkit, wie es turbopress bietet, macht diesen Schritt besonders einfach. XML-RPC ist dabei nur ein Baustein von vielen – einen vollständigen Überblick über sinnvolle Schutzmaßnahmen bietet unsere Checkliste zum Absichern von WordPress. Wer zusätzlich noch den Standard-Admin-Benutzernamen nutzt, sollte auch diesen zeitnah ändern.
Häufige Fragen zu XML-RPC blockieren
Was passiert, wenn ich XML-RPC einfach blockiere?
Für die meisten Websites ändert sich nichts Spürbares, da XML-RPC heute kaum noch aktiv genutzt wird. Nur wer eine App oder ein Plugin einsetzt, das explizit auf XML-RPC angewiesen ist, sollte vorher testen, ob alles weiter funktioniert.
Wie blockiere ich XML-RPC am einfachsten?
Bietet dein Hosting-Panel eine fertige Option (z. B. Plesk WP Toolkit), ist das der einfachste Weg ohne Dateien zu bearbeiten. Alternativ lässt sich der Zugriff manuell über die .htaccess-Datei sperren oder über ein Sicherheits-Plugin einschränken.
Brauche ich XML-RPC für die WordPress-App?
Die offizielle WordPress-App auf dem Smartphone kann XML-RPC nutzen. Wer sie aktiv verwendet, sollte XML-RPC nicht komplett sperren, sondern nur riskante Einzelmethoden wie system.multicall deaktivieren.
Warum ist xmlrpc.php ein beliebtes Angriffsziel?
Über die Methode system.multicall lassen sich mit einer einzigen Anfrage sehr viele Login-Versuche gleichzeitig durchführen, ohne von klassischen Limits für Login-Versuche ausgebremst zu werden – das macht xmlrpc.php attraktiv für Brute-Force-Angriffe.
