Die WordPress Alternative für Unternehmen, die Ruhe wollen.

WordPress Sicherheit 2026 · Aktueller Stand

WordPress Sicherheitslücken sind kein Einzelfall, sondern eine strukturelle Konstante. Die Zahlen aus der WPScan-Datenbank zeigen, warum jede zusätzliche Plugin-Installation die Angriffsfläche vergrößert:

• — WPScan-Datenbank: 62.000+ bekannte Schwachstellen über alle WordPress-Versionen, Themes und Plugins.
• — 2025 allein: 486 Core-Lücken plus 393 Plugin- und Theme-Lücken.
• — 417 neue Plugin-Lücken in einer einzigen Woche im März 2025.
• — Aktuelles Beispiel (Stand April 2026): die in der NVD geführte Schwachstelle CVE-2026-4283 in einem WordPress-Plugin mit hohem CVSS-Score, Quelle und Details siehe Link. Sicherheitslücken treffen laut Datenbanken auch Plugins, die selbst dem Datenschutz dienen sollen.
• — 39 % aller gehackten CMS liefen mit veralteter Software (Sucuri-Report).
• — Patch-Lücke: 91 von 203 neuen Schwachstellen in einer Woche blieben ungepatcht (SolidWP).

TTDSG, externe Ressourcen, Plugin-Audit

Eine dsgvo konforme website mit WordPress zu betreiben ist machbar, aber teuer und fehleranfällig. Die Probleme liegen in der Plugin-Architektur:

• — Jedes Plugin muss einzeln auf DSGVO-Konformität geprüft werden. Der blogmojo-DSGVO-Check umfasst über 400 Plugins.
• — Viele Themes laden Google Fonts, CDNs oder Analytics-Skripte ohne Einwilligung. Schon der Aufruf der Seite ist eine Datenübertragung an US-Dienste.
• — TTDSG vs. DSGVO: ein Cookie-Banner allein reicht nicht. Tracking-Skripte dürfen erst nach Consent geladen werden.
• — Social-, Kommentar-, Spam- und SEO-Plugins übertragen Daten an Drittanbieter, oft ohne dass der Betreiber davon weiß.
• — Google Analytics auf WordPress wird laut dr-dsgvo.de für EU-Betreiber nicht empfohlen.
• — Bußgelder bis 20 Mio. € oder 4 % vom Jahresumsatz. Aufsichtsbehörden prüfen aktiv.

Update-Zyklen, Plugin-Konflikte, versteckte Abos

Das „kostenlose" CMS ist nur die Spitze des Eisbergs. Wer eine WordPress-Seite betreibt, betreibt eine ganze Software-Lieferkette:

• — Core, Theme und Plugins haben eigene Update-Zyklen und konfligieren regelmäßig nach Updates (klassischer „White Screen of Death").
• — „Kostenloses" CMS plus Managed Hosting plus Backup-Plugin plus Security-Plugin plus Caching-Plugin plus SEO-Plugin plus DSGVO-Plugin. Die Summe ist teurer als ein klassischer Wartungsvertrag.
• — Ohne laufende Pflege wird eine WordPress-Installation mit der Zeit anfälliger, weil ungepatchte Lücken offen bleiben. Das gilt umso mehr, je mehr Plugins im Einsatz sind.
• — Die wenigsten Inhaber pflegen ihre Seite selbst. Die meisten bezahlen monatlich eine Agentur dafür, dass nichts kaputt geht.

PHP, Datenbank, Plugin-Bloat

WordPress generiert jede Seite dynamisch, bei jedem einzelnen Aufruf. Das hat Konsequenzen für Ladezeit, Hosting-Kosten und Google-Ranking:

• — Dynamische Generierung bedeutet PHP-Ausführung plus mehrere Datenbankabfragen pro Request.
• — Plugin-Bloat: jedes installierte Plugin bringt eigene CSS- und JS-Dateien mit, die auf jeder Seite mitgeladen werden.
• — Caching, CDN, Bildoptimierung und Datenbank-Tuning sind Pflicht für akzeptable Ladezeiten, und jeder dieser Layer ist ein eigenes Plugin oder Service.
• — Ungetunte WordPress-Seiten erreichen je nach Theme und Plugin-Last in meinen Audits oft Lighthouse-Scores zwischen 40 und 70. Mit konsequenter Optimierung sind höhere Werte erreichbar, kosten aber laufenden Pflegeaufwand.