Damit ein Angreifer nicht sofort den Benutzernamen des Administrators, der natürlich nicht „admin“ lauten sollte herausfindet, ist es zu raten, die ID des admin nicht auf 01 (systembedingt) zu belassen.

Wie dies umzusetzen ist, haben die „WordPress-Helden“ beschrieben
Quelle: https://wordpress-helden.net/