Passwort zurücksetzen

Ich würde noch folgendes empfehlen:

• Installiere https://de.wordpress.org/plugins/honeypot/ – das schützt meines Wissens nach auch das öffentlich sichtbare „Passwort vergessen“-Formular und hat vor kurzem bei einem ähnlichen Fall sofort geholfen.
• Deaktiviere die XMLRPC-Schnittstelle. Über diese können ebenfalls solche Anfragen kommen wie auch Nutzernamen ausgelesen werden. Ein von dir genutztes Sicherheitsplugin hat dafür sicherlich Einstellungen. Wenn du bisher kein Sicherheitsplugin hast, installiere eines. Eine Auswahl findest du hier: https://de.wordpress.org/plugins/tags/security/ – Alternativ ginge auch das hier: https://de.wordpress.org/plugins/disable-xml-rpc-api/ – aber Vorsicht: manche Plugins nutzen tatsächlich noch die XMLRPC-Schnittstelle. Sie zu deaktivieren würde auch Funktionen der Plugins stören. Da du keinen Website-Bericht geliefert hast, kann man da schwer beurteilen.
• Oder schütze dein Backend mit einem AuthBasic-Schutz. Auch das kann dir ein Sicherheitsplugin bereitstellen. Manche Hoster bieten es ebenfalls als Funktion an. Du müsstest dann vor jedem Zugriff auf /wp-login.php oder /wp-admin/ ein zusätzliches Passwort eingeben. Diese Möglichkeit stellt einen 100%igen Schutz vor dem Spam dar. Ob man ihn einrichten kann, hängt aber von deinem Hosting oder deinen Plugins ab.
• Prüfe, ob du öffentlich Nutzernamen ausgibst. Je nach eingesetztem Theme und Plugins kann das auch völlig unbewusst geschehen. SEO-Plugins tragen z.B. den Autor gerne in Meta-Daten ein, die für Vorschauen in Social Media genutzt werden. Prüfe auch, ob du Autoren-Seiten hast, die WordPress standardmäßig bereitstellt (und die man oft übersieht), die aber z.B. per SEO-Plugin deaktiviert werden können.

Ich denke auch, ein korrekt gesetzter AuthBasic-Schutz auf wp-login.php (Apache-Server =.htaccess-Passowort-Zugangsschutz) behebt das Problem nachhaltig und vollständig.

Versuche es mal mit folgendem Code. Speichere diesen als (z. B.) deactivate-password-reset.php ab und lade diese Datei hoch in das Verzeichnis mu-plugins (das Verzeichnis musst du wahrscheinlich auch erstellen) wp-content => mu-plugins
Also schlussendlich
wp-content => mu-plugins => deactivate-password-reset.php

<?php
/**
 * Hardened Password Reset Control (No Mail Handling)
 *
 * - Passwort-Reset nur für Administratoren
 * - Lostpassword / Reset-Actions mit 403 blockieren
 * - retrieve_password() technisch absichern
 * - Kein Redirect, kein UI-Trick
 */

defined('ABSPATH') || exit;

/*
|--------------------------------------------------------------------------
| 1. Reset nur für Administratoren erlauben
|--------------------------------------------------------------------------
*/

add_filter('allow_password_reset', function ($allow, $user_id) {

    if (!$user_id || !is_numeric($user_id)) {
        return false;
    }

    $user = get_userdata((int) $user_id);

    if (!$user || empty($user->roles)) {
        return false;
    }

    return in_array('administrator', (array) $user->roles, true);

}, 10, 2);

/*
|--------------------------------------------------------------------------
| 2. Reset-Actions frühzeitig blockieren (vor Core-Ausführung)
|--------------------------------------------------------------------------
*/

add_action('login_init', function () {

    if (empty($_REQUEST['action'])) {
        return;
    }

    $blocked_actions = ['lostpassword', 'retrievepassword', 'rp', 'resetpass'];

    if (in_array($_REQUEST['action'], $blocked_actions, true)) {
        status_header(403);
        nocache_headers();
        exit('403 Forbidden');
    }

}, 1);

/*
|--------------------------------------------------------------------------
| 3. retrieve_password() zusätzlich absichern
|--------------------------------------------------------------------------
*/

add_filter('retrieve_password', function () {

    return new WP_Error(
        'password_reset_disabled',
        'Password reset is disabled.'
    );

});

/*
|--------------------------------------------------------------------------
| 4. Lost-Password-URL neutralisieren
|--------------------------------------------------------------------------
*/

add_filter('lostpassword_url', function () {
    return home_url('/');
});

Aber Achtung: Nur Admins können ihr Passwort noch ändern, jedoch nur dann, wenn sie angemeldet sind. Wird die Passwort-Reset-Abfrage benötigt, dann kannst du die Datei deactivate-password-reset.php temporär (per FTP) entfernen oder das Passwort in der Datenbank ändern.

Es besteht noch die Möglichkeit, den Code so zu erweitern, dass keine Passwort-Reset-E-Mails gesendet werden, das ist aber überflüssig, wenn der obige Code funktioniert (denn dann werden die erst gar nicht mehr generiert). Sollten weitherhin E-Mails eintreffen, funktioniert der Code nicht vollständig.

Die Fragen gehören in den anderen Thread
¯\_(ツ)_/¯