Die WordPress Alternative für Unternehmen, die Ruhe wollen.

WordPress Sicherheit 2026 · Aktueller Stand

WordPress Sicherheitslücken sind kein Einzelfall, sondern eine strukturelle Konstante. Die Zahlen aus der WPScan-Datenbank zeigen, warum jede Plugin-Installation ein Risiko ist:

• — WPScan-Datenbank: 62.000+ bekannte Schwachstellen über alle WordPress-Versionen, Themes und Plugins.
• — 2025 allein: 486 Core-Lücken plus 393 Plugin- und Theme-Lücken.
• — 417 neue Plugin-Lücken in einer einzigen Woche im März 2025.
• — Aktuell (April 2026): CVE-2026-4283 im Plugin „WP DSGVO Tools" mit CVSS 9.1 — Kontenlöschung ohne Authentifizierung. Ausgerechnet ein Datenschutz-Plugin.
• — 39 % aller gehackten CMS liefen mit veralteter Software (Sucuri-Report).
• — Patch-Lücke: 91 von 203 neuen Schwachstellen in einer Woche blieben ungepatcht (SolidWP).

TTDSG, externe Ressourcen, Plugin-Audit

Eine dsgvo konforme website mit WordPress zu betreiben ist machbar — aber teuer und fehleranfällig. Die Probleme liegen in der Plugin-Architektur:

• — Jedes Plugin muss einzeln auf DSGVO-Konformität geprüft werden — der blogmojo-DSGVO-Check umfasst über 400 Plugins.
• — Viele Themes laden Google Fonts, CDNs oder Analytics-Skripte ohne Einwilligung — schon der Aufruf der Seite ist eine Datenübertragung an US-Dienste.
• — TTDSG vs. DSGVO: ein Cookie-Banner allein reicht nicht. Tracking-Skripte dürfen erst nach Consent geladen werden.
• — Social-, Kommentar-, Spam- und SEO-Plugins übertragen Daten an Drittanbieter — oft ohne dass der Betreiber davon weiß.
• — Google Analytics auf WordPress wird laut dr-dsgvo.de für EU-Betreiber nicht empfohlen.
• — Bußgelder bis 20 Mio. € oder 4 % vom Jahresumsatz — Aufsichtsbehörden prüfen aktiv.

Update-Zyklen, Plugin-Konflikte, versteckte Abos

Das „kostenlose" CMS ist nur die Spitze des Eisbergs. Wer eine WordPress-Seite betreibt, betreibt eine ganze Software-Lieferkette:

• — Core, Theme und Plugins haben eigene Update-Zyklen — und konfligieren regelmäßig nach Updates (klassischer „White Screen of Death").
• — „Kostenloses" CMS plus Managed Hosting plus Backup-Plugin plus Security-Plugin plus Caching-Plugin plus SEO-Plugin plus DSGVO-Plugin — die Summe ist teurer als ein klassischer Wartungsvertrag.
• — Ohne laufende Pflege wird jede WordPress-Installation innerhalb weniger Monate zum Sicherheitsrisiko.
• — Die meisten Inhaber pflegen ihre Seite nicht selbst — sondern bezahlen monatlich eine Agentur dafür, dass nichts kaputt geht.

PHP, Datenbank, Plugin-Bloat

WordPress generiert jede Seite dynamisch — bei jedem einzelnen Aufruf. Das hat Konsequenzen für Ladezeit, Hosting-Kosten und Google-Ranking:

• — Dynamische Generierung bedeutet PHP-Ausführung plus mehrere Datenbankabfragen pro Request.
• — Plugin-Bloat: jedes installierte Plugin bringt eigene CSS- und JS-Dateien mit, die auf jeder Seite mitgeladen werden.
• — Caching, CDN, Bildoptimierung und Datenbank-Tuning sind Pflicht für akzeptable Ladezeiten — und jeder dieser Layer ist ein eigenes Plugin oder Service.
• — Typische WordPress-Seiten erreichen Lighthouse-Scores zwischen 40 und 70 — selbst nach Optimierung selten über 85.