WordPress: beliebt, aber verwundbar
WordPress ist das meistgenutzte Content-Management-System der Welt. Für viele Unternehmen war es jahrelang die naheliegende Wahl: günstig, schnell aufgesetzt, tausende Themes und Plugins verfügbar. Doch genau diese Beliebtheit hat eine Kehrseite.
Laut dem Wordfence Threat Report 2025 wurden allein im vergangenen Jahr über 1.800 kritische Sicherheitslücken in WordPress-Plugins gemeldet. Das sind fünf pro Tag. Jede einzelne davon kann dazu führen, dass Ihre Website gehackt, verändert oder komplett übernommen wird.
Rund 97 Prozent aller WordPress-Sicherheitslücken gehen auf Plugins und Themes zurück — nicht auf den WordPress-Kern selbst.
Warum Plugins das größte Risiko sind
Eine durchschnittliche WordPress-Website nutzt 20 bis 30 Plugins: für Kontaktformulare, SEO, Caching, Backups, Cookie-Banner, Slider und vieles mehr. Jedes einzelne Plugin ist ein Einfallstor.
Das Problem: Die meisten Plugins werden von kleinen Teams oder Einzelpersonen entwickelt. Es gibt keine verbindlichen Sicherheitsstandards, kein Audit-Verfahren, keine Garantie für regelmäßige Updates. Wenn ein Plugin-Entwickler das Interesse verliert, bleibt die Lücke offen — und Ihre Website wird zum Ziel.
Drei typische Angriffsszenarien:
- SQL Injection: Über ein unsicheres Formular-Plugin greifen Angreifer direkt auf Ihre Datenbank zu — inklusive Kundendaten
- Cross-Site Scripting (XSS): Schadcode wird über ein Plugin in Ihre Website eingeschleust und an Besucher weitergegeben
- Backdoor-Installation: Hacker installieren versteckte Zugänge, die auch nach einem Update bestehen bleiben
Die versteckten Kosten eines Hacks
Viele Unternehmer denken: „Wer sollte ausgerechnet meine kleine Website hacken?“ Die Antwort: niemand persönlich. Angriffe laufen automatisiert. Bots scannen das Internet nach bekannten Lücken — unabhängig davon ob Sie 10 oder 10.000 Besucher haben.
Was ein Hack kosten kann:
- Google-Blacklisting: Ihre Website wird als „gefährlich“ markiert. Besucher sehen eine Warnung statt Ihrer Seite. Bis das behoben ist, verlieren Sie Sichtbarkeit und Vertrauen
- Datenverlust: Kundendaten, Bestellungen, Anfragen — alles weg oder in fremden Händen
- DSGVO-Meldepflicht: Bei personenbezogenen Daten müssen Sie den Vorfall innerhalb von 72 Stunden der Aufsichtsbehörde melden. Sonst drohen Bußgelder
- Wiederherstellung: Ein Entwickler braucht oft 10 bis 20 Stunden um eine gehackte WordPress-Seite zu bereinigen — wenn überhaupt ein sauberes Backup existiert
Was bedeutet „Custom Code“?
Custom Code heißt: Ihre Website wird individuell programmiert, ohne WordPress, ohne Plugins, ohne aufgeblähtes CMS. Nur der Code, den Ihre Website tatsachlich braucht — nicht mehr und nicht weniger.
Das klingt aufwändiger als ein WordPress-Theme. Ist es im ersten Schritt auch. Aber die Vorteile überwiegen deutlich:
- Keine Plugin-Abhängigkeit: Kein Kontaktformular-Plugin das seit 8 Monaten kein Update bekommen hat. Stattdessen ein Formular das genau das tut was es soll — und nichts anderes
- Minimale Angriffsfläche: Wo kein CMS läuft, gibt es kein Login, keine Datenbank-Zugriffsschicht, keinen Admin-Bereich den Bots angreifen können
- Bessere Performance: Ohne den Überbau von WordPress laden Custom-Code-Websites in der Regel unter einer Sekunde
- Weniger Wartung: Keine wöchentlichen Plugin-Updates die getestet und eingespielt werden müssen
Aber ist Custom Code nicht teurer?
Die ehrliche Antwort: Am Anfang ja. Eine maßgeschneiderte Website kostet mehr als ein WordPress-Theme für 59 Euro. Aber rechnen Sie die laufenden Kosten gegen:
- Hosting mit PHP und MySQL: 15–30 Euro pro Monat (Custom Code läuft oft kostenlos auf Plattformen wie Vercel oder Netlify)
- Premium-Plugins: 200–500 Euro pro Jahr
- Wartung und Updates: 50–150 Euro pro Monat bei einer Agentur
- Sicherheits-Plugins: 100–300 Euro pro Jahr
Nach zwei bis drei Jahren hat eine WordPress-Website oft mehr Gesamtkosten verursacht als eine individuell entwickelte Lösung. Ohne das Risiko eines Hacks einzurechnen.
Für wen lohnt sich der Umstieg?
Custom Code ist nicht für jeden die richtige Wahl. Wenn Sie täglich Blog-Artikel veröffentlichen und ein Team von Redakteuren haben, kann ein CMS sinnvoll sein. Aber für die meisten kleinen und mittleren Unternehmen — Handwerker, Berater, Dienstleister, Praxen — ist die Website eine digitale Visitenkarte mit Kontaktformular. Dafür braucht es kein WordPress.
Fazit: Sicherheit ist kein Feature — es ist die Grundlage
WordPress-Sicherheit im Jahr 2026 bedeutet: regelmäßig Updates einspielen, Plugins prüfen, Backups machen, Sicherheits-Plugins kaufen und hoffen dass kein Zero-Day-Exploit dazwischenkommt. Oder Sie entscheiden sich für eine Website die diese Probleme gar nicht erst hat.
Sie möchten wissen, wie sicher Ihre aktuelle Website ist? Unser kostenloser Website-Scanner prüft Ihre Seite auf bekannte Schwachstellen — in 30 Sekunden, ohne Registrierung.