WordPress läuft auf rund 40 Prozent aller Websites weltweit (W3Techs, Oktober 2026). Das klingt nach einer sicheren Wahl — macht WordPress aber auch zu einem lohnenden Ziel für Angreifer. Wer viele Türen hat, wird am häufigsten geprüft.
Das Problem: Plugins, Themes und Updates
Die größte Schwachstelle von WordPress sind nicht die Kernfunktionen, sondern die tausenden Plugins und Themes. Das zeigen die Zahlen des Sicherheitsdienstleisters Patchstack: 2025 wurden rund um WordPress 11.334 neue Sicherheitslücken gemeldet — 91 Prozent davon in Plugins, 9 Prozent in Themes. Im WordPress-Kern selbst waren es nur sechs, alle mit geringer Gefahr.
Jedes Plugin ist also ein zusätzliches Einfallstor. Dazu kommt: Bei 46 Prozent der Lücken gab es zum Zeitpunkt der Veröffentlichung noch kein Update des Herstellers. Und schwere Lücken werden oft schon wenige Stunden nach Bekanntwerden ausgenutzt (Patchstack, „State of WordPress Security in 2026“). Wer Updates erst nach Wochen einspielt, ist zu spät.
- 91 % in Plugins
- 9 % in Themes
- 6 Lücken im WordPress-Kern selbst – von insgesamt 11.334
46 %der Lücken hatten bei Veröffentlichung noch kein Update des Herstellers
wenige Stundennach Bekanntwerden werden schwere Lücken oft schon ausgenutzt
Quelle: Patchstack, „State of WordPress Security in 2026“ (Daten für 2025).
Typische Risiken:
- Veraltete Plugins mit bekannten Sicherheitslücken
- Themes aus dubiosen Quellen mit verstecktem Schadcode
- Standard-Login unter
/wp-adminohne zusätzlichen Schutz - Keine regelmäßigen Backups
- Shared Hosting mit hunderten anderen WordPress-Seiten auf einem Server
Was passiert, wenn Ihre Website gehackt wird?
Die Folgen sind oft gravierender als gedacht:
- Google warnt vor Ihrer Seite — Besucher sehen eine Warnmeldung statt Ihrer Website
- Kundendaten werden gestohlen — bei Kontaktformularen ein echtes DSGVO-Problem
- Spam wird über Ihren Server verschickt — Ihre Domain landet auf Blacklists
- Die Reparatur kostet Zeit und Geld — Schadcode finden und entfernen, Lücke schließen, Passwörter ändern
Die Alternative: Statische Websites
Moderne statische Websites haben keine Datenbank, kein Login, keine Plugins. Die Seite besteht aus reinem HTML, CSS und JavaScript — das reduziert die Angriffsfläche drastisch im Vergleich zu WordPress.
Natürlich ist keine Website zu 100 Prozent sicher — der Server, die Deployment-Pipeline oder ein Kontaktformular können immer Angriffspunkte sein. Aber die typischen WordPress-Probleme (veraltete Plugins, kompromittierte Themes, SQL-Injection über die Datenbank) fallen komplett weg.
Vorteile statischer Websites:
- Drastisch reduzierte Angriffsfläche
- Kein CMS und keine Plugins, die ständig aktualisiert werden müssen
- Kurze Ladezeiten, weil keine Seite erst aus einer Datenbank zusammengesetzt wird
- Günstigeres Hosting
Ganz ohne Pflege geht es trotzdem nicht: Server, Software-Bausteine und Zertifikate brauchen weiterhin Updates. Es sind aber deutlich weniger, und die Plugin-Pflege entfällt ganz.
Für wen ist WordPress trotzdem sinnvoll?
WordPress hat seine Berechtigung — bei großen Portalen mit hunderten Autoren, bei Shops mit WooCommerce oder bei Projekten, die tägliche Content-Updates durch Nicht-Techniker erfordern. Für die meisten kleinen Unternehmen (Handwerker, Ärzte, Berater, Restaurants) ist WordPress aber oft überdimensioniert.
Was sollten Sie tun?
Wenn Sie eine WordPress-Website betreiben, prüfen Sie jetzt:
- Wann wurden Plugins und Themes zuletzt aktualisiert?
- Gibt es ein aktuelles Backup?
- Ist Ihr Login geschützt (2FA, Login-Limit)?
- Läuft Ihre Seite noch auf PHP 8.1 oder älter? Diese Versionen bekommen spätestens seit Ende 2025 keine Sicherheitsupdates mehr.
Oder lassen Sie Ihre Website kostenlos analysieren — ich prüfe Sicherheit, Performance und DSGVO-Konformität und zeige Ihnen, wo Handlungsbedarf besteht.