WordPress: beliebt, aber verwundbar
WordPress ist das meistgenutzte Content-Management-System der Welt: Laut W3Techs läuft es auf 40,3 Prozent aller Websites (Stand: 15. September 2026). Für viele Unternehmen war es jahrelang die naheliegende Wahl: günstig, schnell aufgesetzt, tausende Themes und Plugins verfügbar. Doch genau diese Beliebtheit hat eine Kehrseite.
Laut dem Report „State of WordPress Security in 2026“ von Patchstack wurden 2025 11.334 neue Sicherheitslücken im WordPress-Umfeld gefunden — 42 Prozent mehr als 2024. 1.966 davon stuft Patchstack als hoch ein, und bei 46 Prozent gab es zum Zeitpunkt der Veröffentlichung noch kein Update vom Entwickler. Jede einzelne Lücke kann dazu führen, dass Ihre Website gehackt, verändert oder komplett übernommen wird.
Von den neuen Lücken des Jahres 2025 steckten laut Patchstack 91 Prozent in Plugins und 9 Prozent in Themes — der WordPress-Kern selbst war kaum betroffen.
Warum Plugins das größte Risiko sind
Eine typische WordPress-Website nutzt eine ganze Reihe von Plugins: für Kontaktformulare, SEO, Caching, Backups, Cookie-Banner, Slider und vieles mehr. Jedes einzelne Plugin ist ein Einfallstor.
Das Problem: Viele Plugins werden von kleinen Teams oder Einzelpersonen entwickelt. Wie sorgfältig geprüft und gepflegt wird, liegt beim jeweiligen Entwickler — eine Garantie für regelmäßige Updates gibt es nicht. Wenn ein Plugin-Entwickler das Interesse verliert, bleibt die Lücke offen — und Ihre Website wird zum Ziel.
Drei typische Angriffsszenarien:
- SQL Injection: Über ein unsicheres Formular-Plugin greifen Angreifer direkt auf Ihre Datenbank zu — inklusive Kundendaten
- Cross-Site Scripting (XSS): Schadcode wird über ein Plugin in Ihre Website eingeschleust und an Besucher weitergegeben
- Backdoor-Installation: Hacker installieren versteckte Zugänge, die auch nach einem Update bestehen bleiben
Die versteckten Kosten eines Hacks
Viele Unternehmer denken: „Wer sollte ausgerechnet meine kleine Website hacken?“ Die Antwort: niemand persönlich. Angriffe laufen automatisiert. Bots scannen das Internet nach bekannten Lücken — unabhängig davon ob Sie 10 oder 10.000 Besucher haben.
Was ein Hack kosten kann:
- Google-Blacklisting: Ihre Website wird als „gefährlich“ markiert. Besucher sehen eine Warnung statt Ihrer Seite. Bis das behoben ist, verlieren Sie Sichtbarkeit und Vertrauen
- Datenverlust: Kundendaten, Bestellungen, Anfragen — alles weg oder in fremden Händen
- DSGVO-Meldepflicht: Bei personenbezogenen Daten müssen Sie den Vorfall in der Regel innerhalb von 72 Stunden der Aufsichtsbehörde melden (Art. 33 DSGVO). Sonst drohen Bußgelder
- Wiederherstellung: Eine gehackte WordPress-Seite zu bereinigen kostet Entwicklerzeit — und gelingt nur sauber, wenn ein unbeschädigtes Backup existiert
Was bedeutet „Custom Code“?
Custom Code heißt: Ihre Website wird individuell programmiert, ohne WordPress, ohne Plugins, ohne aufgeblähtes CMS. Nur der Code, den Ihre Website tatsachlich braucht — nicht mehr und nicht weniger.
Das klingt aufwändiger als ein WordPress-Theme. Ist es im ersten Schritt auch. Aber die Vorteile überwiegen deutlich:
- Keine Plugin-Abhängigkeit: Kein Kontaktformular-Plugin das seit 8 Monaten kein Update bekommen hat. Stattdessen ein Formular das genau das tut was es soll — und nichts anderes
- Minimale Angriffsfläche: Wo kein CMS läuft, gibt es kein Login, keine Datenbank-Zugriffsschicht, keinen Admin-Bereich den Bots angreifen können
- Bessere Performance: Ohne den Überbau von WordPress können Websites sehr schnell laden — unsere Referenzseiten erreichten am 6. August 2026 bei PageSpeed Insights (Desktop) 100 von 100 Punkten
- Weniger Wartung: Keine wöchentlichen Plugin-Updates die getestet und eingespielt werden müssen
Aber ist Custom Code nicht teurer?
Die ehrliche Antwort: Am Anfang ja. Eine maßgeschneiderte Website kostet mehr als ein gekauftes WordPress-Theme. Aber rechnen Sie die laufenden Kosten gegen (Erfahrungswerte, keine repräsentative Erhebung):
- Hosting mit PHP und MySQL: 15–30 Euro pro Monat. Vorsicht bei Gratis-Tarifen für eigenen Code: Den kostenlosen Hobby-Tarif von Vercel etwa erlaubt der Anbieter nur für private, nicht kommerzielle Projekte (Vercel, Stand: September 2026)
- Premium-Plugins: 200–500 Euro pro Jahr
- Wartung und Updates: 50–150 Euro pro Monat bei einer Agentur
- Sicherheits-Plugins: 100–300 Euro pro Jahr
Nach zwei bis drei Jahren kann eine WordPress-Website so mehr Gesamtkosten verursacht haben als eine individuell entwickelte Lösung. Ohne das Risiko eines Hacks einzurechnen.
Für wen lohnt sich der Umstieg?
Custom Code ist nicht für jeden die richtige Wahl. Wenn Sie täglich Blog-Artikel veröffentlichen und ein Team von Redakteuren haben, kann ein CMS sinnvoll sein. Aber für die meisten kleinen und mittleren Unternehmen — Handwerker, Berater, Dienstleister, Praxen — ist die Website eine digitale Visitenkarte mit Kontaktformular. Dafür braucht es kein WordPress.
Fazit: Sicherheit ist kein Feature — es ist die Grundlage
WordPress-Sicherheit im Jahr 2026 bedeutet: regelmäßig Updates einspielen, Plugins prüfen, Backups machen, Sicherheits-Plugins kaufen und hoffen dass kein Zero-Day-Exploit dazwischenkommt. Oder Sie entscheiden sich für eine Website die diese Probleme gar nicht erst hat.
Sie möchten wissen, wo Ihre aktuelle Website steht? Website kostenlos prüfen: Der Check misst in rund 60 Sekunden Geschwindigkeit, DSGVO-Grundlagen (Impressum, Datenschutz, Schriften von fremden Servern, Tracking vor der Zustimmung) und die Auffindbarkeit bei Google — das Ergebnis erscheint direkt, ohne E-Mail. Einen Sicherheitstest auf Lücken in Plugins ersetzt er nicht.