Wer eine WordPress-Website betreibt, kennt das Ritual: Login ins Backend, rote Zahl neben „Aktualisierungen”, drei Plugins und ein Theme updaten, Daumen drücken, dass nichts kaputtgeht. Und irgendwann die Mail vom Hoster: „Auf Ihrem Webspace wurde Schadsoftware gefunden.”
Die übliche Reaktion darauf lautet: mehr Sicherheits-Plugins, mehr Updates, mehr Wachsamkeit. Wir glauben, dass das die falsche Schlussfolgerung ist. Das Problem liegt nicht darin, dass Betreiber:innen zu wenig aktualisieren. Es liegt in der Architektur des Systems selbst.
Die Zahlen: Was 2025 im WordPress-Ökosystem passiert ist
Der Sicherheitsanbieter Patchstack dokumentiert jedes Jahr die Schwachstellen im WordPress-Ökosystem. Der Bericht „State of WordPress Security in 2026” fasst das Jahr 2025 zusammen – und die Zahlen sprechen eine deutliche Sprache:
- 11.334 neue Sicherheitslücken wurden 2025 im WordPress-Ökosystem gefunden – ein Anstieg von 42 % gegenüber dem Vorjahr.
- 91 % davon steckten in Plugins, 9 % in Themes. Im WordPress-Kern selbst waren es nur sechs, allesamt mit niedriger Priorität.
- 1.966 Schwachstellen (17 %) hatten einen hohen Schweregrad – also solche, die sich für automatisierte Massenangriffe eignen. Das waren mehr als in den beiden Vorjahren zusammen.
- 46 % der Schwachstellen waren zum Zeitpunkt der Veröffentlichung nicht gepatcht. Der Entwickler hatte also keinen Fix geliefert – oder das Plugin wurde gar nicht mehr gepflegt.
- Die mittlere Zeit bis zum ersten Angriff lag bei stark ausgenutzten Lücken bei fünf Stunden. Etwa die Hälfte der schwerwiegenden Lücken wurde innerhalb von 24 Stunden ausgenutzt.
Lies den letzten Punkt noch einmal. Fünf Stunden. Das ist die Zeit, die du im Durchschnitt hast, um von einer neuen Lücke zu erfahren, das Update einzuspielen und zu prüfen, ob die Seite noch läuft – bevor die ersten automatisierten Angriffe rollen. Nachts. Am Wochenende. Im Urlaub.
Quelle: Patchstack, State of WordPress Security in 2026
Warum gerade WordPress?
WordPress ist nicht schlecht programmiert. Der Kern ist ein ausgereiftes Stück Software, das von vielen Menschen gepflegt wird – die sechs Kern-Schwachstellen des Jahres 2025 belegen das. Das Problem ist ein anderes: WordPress ist das Betriebssystem des Webs. Nach Daten von W3Techs (Stand Januar 2026) laufen rund 43 % aller Websites weltweit mit WordPress, unter den CMS-basierten Seiten sind es über 60 %.
Diese Verbreitung hat zwei Konsequenzen:
Erstens lohnt sich jeder Angriff. Wer eine Lücke in einem Plugin mit 100.000 Installationen findet, muss keine einzelne Website angreifen. Er schreibt ein Skript, das das gesamte Internet nach dieser Plugin-Version durchsucht und alle Treffer automatisch übernimmt. Genau deshalb ist die Zeit bis zum ersten Angriff so kurz: Niemand sitzt vor deiner Website. Ein Bot findet sie.
Zweitens entsteht die Funktionalität aus Tausenden unabhängigen Quellen. Eine typische WordPress-Seite eines kleinen Unternehmens besteht aus dem Kern, einem Theme, einem Page-Builder wie Elementor, einem Formular-Plugin, einem SEO-Plugin, einem Cookie-Banner, einem Caching-Plugin, einem Sicherheits-Plugin und fünf bis zehn weiteren Helfern. Jedes davon ist Code von jemand anderem, mit eigenem Release-Zyklus, eigener Qualitätskontrolle – und eigenem Risiko, irgendwann aufgegeben zu werden. Die 46 % ungepatchten Lücken sind genau das: Plugins, deren Entwickler nicht mehr reagieren.
Das Update-Hamsterrad ist keine Lösung
Die Standard-Antwort der Branche auf diese Situation lautet „Wartungsvertrag”. Wöchentliche Updates, Backups, ein Sicherheits-Plugin mit Firewall, Monitoring. Wir haben das selbst angeboten, und es funktioniert – bis zu einem gewissen Grad.
Aber sieh dir an, was du damit eigentlich kaufst: Du bezahlst dafür, dass jemand ein Rennen gegen Bots läuft, das man nicht dauerhaft gewinnen kann. Jedes Update kann eine Seite auch kaputtmachen (jeder, der schon einmal ein Elementor-Update eingespielt hat, weiß das). Jedes Sicherheits-Plugin ist selbst wieder Code mit eigenen Lücken – Wordfence, das meistgenutzte Sicherheits-Plugin, taucht selbst regelmäßig in den Schwachstellen-Datenbanken auf. Und all das läuft auf einem Server, der 24 Stunden am Tag PHP-Code ausführt und auf eine Datenbank zugreift, in der deine Kundendaten liegen.
Das ist kein Vorwurf an Agenturen, die Wartung anbieten. Es ist eine Feststellung: Bei einem System, das für laufende Angriffe gebaut ist, ist Wartung das Beste, was man tun kann. Die eigentliche Frage ist, ob man dieses System überhaupt braucht.
Was eine Website eigentlich tun muss
Machen wir einen Schritt zurück. Was tut die Website eines Handwerksbetriebs, einer Praxis, eines Beratungsunternehmens oder eines kleinen Ladens den ganzen Tag?
Sie zeigt Texte und Bilder an. Sie nennt Leistungen, Öffnungszeiten, Adresse. Sie hat ein paar Unterseiten, vielleicht einen Blog oder Ratgeber. Und sie bietet einen Weg, Kontakt aufzunehmen.
Nichts davon braucht einen Server, der bei jedem Aufruf Code ausführt. Nichts davon braucht eine Datenbank. Nichts davon braucht ein Login, das rund um die Uhr im Internet erreichbar ist. Die Inhalte ändern sich vielleicht alle paar Wochen – nicht bei jedem Seitenaufruf.
WordPress tut trotzdem bei jedem einzelnen Besuch dasselbe: PHP starten, Plugins laden, Datenbank abfragen, Seite zusammenbauen, ausliefern. Tausendmal am Tag die gleiche Arbeit für das gleiche Ergebnis. Und tausendmal am Tag die gleiche Angriffsfläche.
Die Alternative: Websites, die keine Angriffsfläche haben
Eine statisch generierte Website dreht das Prinzip um. Die Seite wird einmal gebaut – auf dem Rechner der Entwicklerin oder in einem automatisierten Prozess –, und das Ergebnis sind fertige HTML-, CSS- und Bilddateien. Diese Dateien werden auf den Server gelegt. Fertig. Der Server muss nichts mehr berechnen, er liefert nur noch Dateien aus.
Was das für die Sicherheit bedeutet, lässt sich in einer Liste zusammenfassen, in der jede Zeile eine Angriffsklasse streicht:
| WordPress | Statische Website |
|---|---|
| PHP läuft bei jedem Aufruf auf dem Server | Kein Server-Code – nur Dateien |
| Datenbank mit Inhalten und Nutzerdaten | Keine Datenbank |
/wp-admin und /wp-login.php öffentlich erreichbar |
Kein Admin-Bereich |
| 10–20 Plugins von verschiedenen Entwicklern | Keine Plugins |
| Kontaktformular mit Server-Endpunkt | Kontakt per E-Mail, ohne Backend |
| Wöchentliche Plugin- und Core-Updates nötig | Keine CMS-Updates – Pflege heißt Inhalte |
Den Satz „Es gibt nichts zu hacken” sollte man mit Vorsicht verwenden – Sicherheit ist nie absolut. Aber die Angriffsfläche einer statischen Website beschränkt sich auf den Webserver selbst (der beim Hoster liegt und dort professionell gepflegt wird) und auf die Domain-Zugänge. Die gesamte Ebene, auf der sich 2025 über elftausend Schwachstellen angesammelt haben, existiert schlicht nicht.
Dazu kommen Nebeneffekte, die nichts mit Sicherheit zu tun haben und trotzdem jeden Tag wirken: Statische Seiten laden deutlich schneller, weil nichts berechnet werden muss. Sie brauchen kein Caching-Plugin, kein Optimierungs-Plugin, kein Sicherheits-Plugin. Sie kosten im Betrieb weniger, weil das Hosting anspruchsloser ist – und die Betreuungspauschale fließt in Inhalte und Weiterentwicklung statt in Update-Rennen.
„Aber ich will meine Inhalte selbst pflegen”
Das ist der häufigste Einwand, und er ist berechtigt. WordPress hat einen Editor, in dem man Texte ändern kann. Wie geht das ohne CMS?
Bei unseren Websites liegen Texte und Artikel als einfache Textdateien (Markdown) im Projekt. Eine Überschrift ist eine Zeile mit ## davor, fett ist **fett**. Das lernt man in zehn Minuten, und es ist – ehrlich gesagt – weniger fehleranfällig als ein Page-Builder mit 40 Einstellungen pro Element. Wer nicht selbst Hand anlegen möchte, schickt die Änderung per E-Mail; sie ist meist innerhalb eines Werktags online.
Für Kund:innen, die regelmäßig und umfangreich publizieren, gibt es Editor-Oberflächen, die Markdown-Dateien bearbeiten, ohne einen Server mit Login zu betreiben. Aber für die meisten kleinen Unternehmen, bei denen sich Inhalte alle paar Wochen ändern, ist das gar nicht nötig.
Was du jetzt tun kannst
Wenn du eine WordPress-Website betreibst, sind das die ehrlichen Optionen:
- Aufräumen. Jedes Plugin, das du nicht zwingend brauchst, deaktivieren und löschen. Nicht nur deaktivieren – löschen, denn auch inaktive Plugins können Lücken enthalten. Prüfen, wann jedes verbleibende Plugin zuletzt aktualisiert wurde. Alles, was älter als ein Jahr ist, ist ein Risiko.
- Automatische Updates aktivieren und akzeptieren, dass dabei gelegentlich etwas kaputtgeht. Regelmäßige Backups, die du auch wirklich wiederherstellen kannst.
- Umsteigen. Wenn deine Website vor allem informiert und Kontakt ermöglicht – und das trifft auf die große Mehrheit der Unternehmensseiten zu –, ist eine statische, individuell entwickelte Website die nachhaltigere Lösung. Der Umzug ist gut planbar, bestehende URLs und Rankings bleiben erhalten. Wie das konkret abläuft, beschreiben wir im Artikel Von WordPress zur individuell entwickelten Website.
Fazit
WordPress-Sicherheit ist kein Problem mangelnder Disziplin. Es ist die logische Folge eines Systems, das aus Tausenden Fremdkomponenten besteht, auf einem ständig aktiven Server läuft und das beliebteste Ziel automatisierter Angriffe im Internet ist. Man kann dieses Problem mit Aufwand klein halten. Oder man baut Websites, die es nicht haben.
Wir haben uns für Letzteres entschieden – für unsere eigene Website und für die unserer Kund:innen. Wenn du wissen willst, was das für dein Projekt bedeuten würde, schreib uns. Wir schauen uns deine bestehende Seite an und sagen dir ehrlich, ob sich ein Wechsel lohnt.
