WordPress-Sicherheit: Warum weniger Plugins mehr Schutz bedeuten

Plötzlich leitet die eigene Website auf dubiose Seiten weiter, Google zeigt eine Warnung an oder der Server verschickt nachts Spam. Wer das erlebt hat, fragt sich zuerst: Ist WordPress unsicher?

Kurz gesagt: Der WordPress-Kern ist selten das Problem. Laut dem Sicherheitsanbieter Patchstack steckten 2025 rund 91 Prozent aller neu entdeckten Sicherheitslücken in Plugins, also in Erweiterungen von Drittanbietern. Im Kern selbst wurden im ganzen Jahr nur sechs Lücken gemeldet, alle mit geringem Risiko.^[1] Wer WordPress sicher machen will, fängt deshalb bei den Plugins an: so wenige wie möglich, nur gepflegte, und alles in fester Routine aktualisiert.

• Plugins91 %
• Themes9 %
• WordPress-Kern6 Lücken

Quelle: Patchstack, State of WordPress Security in 2026

Stellen Sie sich Ihre Website wie ein Haus vor. Jedes Plugin ist eine zusätzliche Tür, zu der ein fremder Hersteller einen Schlüssel hat. Je mehr Türen, desto mehr kann schiefgehen.

Das eigentliche Problem: Plugin-Wildwuchs

In der Praxis sehen wir regelmäßig WordPress-Seiten mit 30 und mehr Plugins. Für ein Kontaktformular, einen Slider, ein paar Shortcodes und jede kleine Zusatzfunktion kommt ein weiteres hinzu. Über die Jahre wächst so ein System, das niemand mehr ganz überblickt.

Jedes Plugin bringt drei Dinge mit:

• Fremden Code, der mit denselben Rechten läuft wie WordPress selbst.
• Einen eigenen Zugang für Updates, über den der Hersteller jederzeit neuen Code auf Ihre Website bringen kann.
• Eine eigene Lebensdauer: Plugins werden verkauft, aufgegeben oder irgendwann nicht mehr gepflegt.

Wenn Updates zur Hintertür werden: vier Beispiele

Dass der Zugang für Updates missbraucht wird, ist kein theoretisches Risiko. Gerade wer gewissenhaft aktualisiert, holt sich in solchen Fällen die Hintertür selbst ins Haus:

• 2017: Ein neuer Besitzer kaufte drei Plugins aus dem offiziellen WordPress-Verzeichnis, eines davon mit über 50.000 Installationen. Kurz darauf enthielten sie eine Hintertür, über die Spam-Links in die Websites eingeschleust wurden.^[2]
• Juni 2024: Angreifer übernahmen fünf Entwicklerkonten auf WordPress.org mit Passwörtern aus früheren Datenlecks. Manipulierte Updates von acht Plugins legten neue Administratorkonten an, betroffen waren bis zu 116.000 Websites.^[3]
• Juni 2026: Bei einem Anbieter kostenpflichtiger Plugins wurde das System kompromittiert, über das neue Versionen gebaut und verteilt werden. Die Hintertür kam über die offiziellen, lizenzierten Updates.^[4]
• Juli 2026: Ein Video-Plugin mit rund 20.000 Installationen bekam in einer neuen Version eine gezielt eingebaute Hintertür, mit der sich die Anmeldung umgehen ließ. Der Sicherheitsdienst Wordfence entdeckte sie nach weniger als zwei Stunden.^[5]

Je mehr Plugins installiert sind, desto mehr solcher Türen gibt es.

Unser Ansatz: so wenig Plugins wie möglich

Wir setzen Plugins bewusst sparsam ein. Vieles, wofür andere ein Plugin installieren, programmieren wir direkt selbst: kleine Funktionen, Layout-Bausteine, Anpassungen am Verhalten der Seite. Das reduziert die Angriffsfläche und spart oft auch Ladezeit und Wartungsaufwand.

Für sicherheitskritische Aufgaben greifen wir dagegen gezielt auf bewährte Drittanbieter zurück, etwa bei Firewall, Login-Schutz oder Zahlungsabwicklung. Solche Funktionen baut man nicht selbst nach. Hier zählen die Erfahrung, die Prüfung und die schnellen Patches eines spezialisierten Anbieters.

Unsere Faustregel: Ein Plugin muss sich seinen Platz verdienen. Was wir sauber selbst lösen können, lösen wir selbst. Im Bild des Hauses: Wir bauen nur die Türen ein, die wirklich gebraucht werden. Und für die wichtigsten Schlösser vertrauen wir auf Spezialisten.

Eigene Lösungen, aber mit Sorgfalt

Selbst gebaute Funktionen sind nicht automatisch sicherer. Für eine Lücke in einem bekannten Plugin gibt es Warnmeldungen von Sicherheitsdiensten. Für eine Lücke in eigenem Code meldet sich niemand, die Verantwortung liegt ganz beim Entwickler.

Eigener Code muss deshalb mindestens so sorgfältig gebaut sein wie ein gut gepflegtes Plugin. Konkret heißt das:

• Jede Funktion prüft, wer sie gerade nutzt und ob er das darf.
• Eingaben aus Formularen werden geprüft und bereinigt, bevor sie gespeichert oder angezeigt werden.
• Datenbankabfragen sind so gebaut, dass niemand von außen eigene Befehle einschleusen kann.

Ebenso wichtig sind Dokumentation und Wartung. Neue PHP- und WordPress-Versionen betreffen eigenen Code genauso wie Plugins. Und Sie als Kunde sollen jederzeit nachvollziehen können, was auf Ihrer Website läuft.

Nicht die Anzahl zählt, sondern der Zustand

Die Zahl der Plugins allein sagt wenig. Fünf aufgegebene Plugins sind riskanter als fünfzehn aktiv gepflegte von seriösen Anbietern. Entscheidend ist, wann ein Plugin zuletzt aktualisiert wurde, wie schnell der Anbieter auf Lücken reagiert und ob es überhaupt noch gebraucht wird.

Ein Plugin ohne Updates ist wie ein Schloss, für das längst Nachschlüssel im Umlauf sind. Bekannte Sicherheitslücken sind genau solche Nachschlüssel.

Wie viel dabei vom Anbieter abhängt, zeigt eine weitere Zahl von Patchstack: Für 46 Prozent der 2025 gemeldeten Lücken gab es zum Zeitpunkt der Veröffentlichung noch kein Update.^[1] Wer dann betroffen ist, kann nicht einfach aktualisieren. Es bleibt nur, das Plugin abzuschalten, zu ersetzen oder die Lücke anders abzuschirmen.

Zu guter Pflege gehört deshalb mehr als das Einspielen von Updates. Man muss auch prüfen, ob ein Plugin noch lebt. Was nicht mehr gepflegt wird, sollte ersetzt oder durch eigenen Code abgelöst werden.

WordPress sicher machen: So prüfen Sie Ihre Plugins

1. Bestand aufnehmen: Melden Sie sich als Administrator an und öffnen Sie Plugins → Installierte Plugins. Wie viele sind es, und wie viele davon sind inaktiv?
2. Inaktive Plugins löschen, nicht nur deaktivieren. Ihre Dateien bleiben sonst auf dem Server und können je nach Plugin weiter angreifbar sein.
3. Pflegezustand prüfen: Auf der Seite des Plugins bei wordpress.org stehen „Zuletzt aktualisiert“ und „Getestet bis“. Ein Plugin, das seit über einem Jahr kein Update bekommen hat, ist ein Kandidat zum Austausch.
4. Notwendigkeit hinterfragen: Brauchen Sie die Funktion noch? Kann sie das Theme oder ein Plugin übernehmen, das ohnehin installiert ist?
5. Updates zeitnah einspielen, mit einer aktuellen Sicherung vorher. Sicherheitsupdates warten nicht bis zum nächsten Monat.

Monitoring, Absicherung und Routine

Wenige, gut ausgewählte Plugins sind die Basis. Darauf baut ein durchdachtes Monitoring auf, das Auffälligkeiten früh sichtbar macht. Der Rest ist Routine: Updates, Kontrollen und Backups in festen Abläufen statt im Feuerwehrmodus.

Monitoring erkennt Probleme, verhindert sie aber nicht. Deshalb sichern wir bei unseren Hosting-Kunden auch den Server selbst ab. Im Bild des Hauses: Selbst wenn jemand eine Tür aufbekommt, soll er nicht weit kommen.

• Jede Website läuft in einem eigenen, abgeschotteten Bereich. So kann ein Problem auf einer Seite nicht ohne Weiteres auf andere übergreifen.
• Eine Firewall filtert Angriffe heraus, bevor sie WordPress überhaupt erreichen.
• Jede Website wird zusätzlich individuell gehärtet.
• Veraltete PHP-Versionen, für die es keine Sicherheitsupdates mehr gibt, setzen wir nicht ein.
• Sicherungen werden 30 Tage lang auf einem getrennten System aufbewahrt.

Und was ist mit Headless-Systemen?

Manche Agenturen empfehlen inzwischen sogenannte Headless-Systeme als sichere Alternative zu WordPress. Auch sie müssen laufend gepflegt werden. Mitte Oktober 2026 veröffentlichte etwa das verbreitete Framework Next.js ein Notfall-Update gegen zwei kritische Sicherheitslücken.^[6]

Dazu kommt: Unter jedem System liegen weitere Schichten mit eigenen Updates, bei WordPress etwa PHP. Mehr dazu in unserem Beitrag Warum die PHP-Version entscheidet. Sicher ist also kein System von allein. Entscheidend ist, ob jemand die Bausteine sorgfältig auswählt und dauerhaft pflegt.

Wer sich um Ihre Plugins kümmert

Mit der WordPress Wartung halten wir WordPress, Plugins und Themes aktuell und behalten Ihre Website im Blick. Liegt sie auf unseren eigenen Servern im Managed WordPress Hosting, sichern wir zusätzlich den Server ab, wie oben beschrieben.

Und falls es doch passiert ist: Was Sie in der ersten Stunde tun sollten, lesen Sie unter WordPress gehackt.

Ihr nächster Schritt

Stellen Sie Ihrer Agentur oder Ihrem Dienstleister drei Fragen:

1. Wie viele Plugins laufen auf meiner Website, und wofür wird jedes gebraucht?
2. Wer prüft, ob die Plugins noch gepflegt werden, und wie oft?
3. Wie schnell werden Sicherheitsupdates eingespielt, und gibt es vorher eine Sicherung?

Bekommen Sie auf eine dieser Fragen keine klare Antwort, sprechen Sie uns an. Wir schauen uns Ihre Website an und zeigen Ihnen, welche unnötigen Türen sich schließen lassen.

Häufige Fragen zur WordPress-Sicherheit

Ist WordPress unsicher?

Der WordPress-Kern ist selten das Problem: 2025 wurden dort nur sechs Lücken gemeldet, alle mit geringem Risiko, während 91 Prozent der neuen Lücken in Plugins steckten. Wie sicher eine WordPress-Website ist, hängt deshalb vor allem davon ab, welche Erweiterungen installiert sind und wie sie gepflegt werden.

Wie viele Plugins sind zu viele?

Eine feste Grenze gibt es nicht. Entscheidend ist, ob jedes Plugin gebraucht wird, aktiv gepflegt wird und von einem vertrauenswürdigen Anbieter stammt. Unsere Faustregel: Jedes Plugin muss sich seinen Platz verdienen.

Reicht es, ein Plugin zu deaktivieren?

Nein. Ein deaktiviertes Plugin bleibt mit seinen Dateien auf dem Server und kann je nach Plugin weiter angreifbar sein. Was Sie nicht brauchen, sollten Sie löschen.

Sind kostenpflichtige Plugins sicherer?

Nicht automatisch. Im Juni 2026 kam eine Hintertür ausgerechnet über die offiziellen Updates kostenpflichtiger Plugins, die kostenlosen Versionen desselben Anbieters waren nicht betroffen.^[4] Entscheidend ist, wie sorgfältig ein Anbieter arbeitet.

Brauche ich ein Sicherheits-Plugin?

Eine Firewall und ein Schutz der Anmeldung sind sinnvoll. Ob das ein Plugin übernimmt oder der Server, hängt vom Hosting ab: Bei unseren Hosting-Kunden filtert eine Firewall Angriffe, bevor sie WordPress erreichen. Ein Sicherheits-Plugin ersetzt aber keine regelmäßige Wartung.

Wie mache ich WordPress sicher?

Halten Sie WordPress, Theme und Plugins aktuell, löschen Sie alles, was Sie nicht brauchen, und ersetzen Sie Plugins, die nicht mehr gepflegt werden. Sichern Sie die Admin-Zugänge mit einer Zwei-Faktor-Anmeldung, legen Sie regelmäßig Sicherungen außerhalb des Servers an und achten Sie auf eine aktuelle PHP-Version.

Quellen

• [1] Patchstack, State of WordPress Security in 2026: patchstack.com
• [2] Wordfence, „Three Plugins Backdoored in Supply Chain Attack“, Dezember 2017: wordfence.com
• [3] Wordfence, „3 More Plugins Infected in WordPress.org Supply Chain Attack Due to Compromised Developer Passwords“, Juni 2024: wordfence.com
• [4] Security Affairs, „ShapedPlugin Supply Chain Attack Backdoors Pro Plugin Updates“, 23.06.2026: securityaffairs.com
• [5] Wordfence, „Wordfence PRISM Detected Backdoored WordPress Plugin within Two Hours of it Being Introduced“, Juli 2026: wordfence.com
• [6] Cyber Security Agency of Singapore, „Critical Vulnerabilities in Next.js“, 20.10.2026: csa.gov.sg

Bildnachweis: Beitragsbild und Foto im Artikel sind KI-generierte Symbolbilder.