Warum WordPress-Seiten ständig gepatcht werden müssen
Eine typische WordPress-Website besteht aus mindestens drei Schichten — und jede davon kann eine Sicherheitslücke haben:
- PHP — die Laufzeitumgebung auf dem Server. Beispiel: PHP2Shell, Oktober 2026.
- Der WordPress-Kern — beispielsweise wp2shell im Juli 2026, ausnutzbar bei einer Standard-Installation ohne ein einziges Plugin.
- Plugins und Themes — oft von kleinen Teams oder Einzelpersonen, unterschiedlich gut gepflegt. Hier entsteht laut den Sicherheitsberichten der WordPress-Szene die große Mehrheit aller gemeldeten Lücken.
Angreifer suchen nicht Ihre Firma. Sie suchen eine Versionsnummer — automatisiert, rund um die Uhr, bei Millionen Websites gleichzeitig.
Dazu kommt eine Login-Seite, die jeder unter /wp-admin findet, und eine Datenbank, die bei jedem Seitenaufruf mitläuft. Nichts davon ist ein Fehler — es ist der Preis für ein System, das alles können soll. Das Problem entsteht, wenn niemand zuständig ist: Viele Firmen-Websites wurden einmal gebaut und seitdem nicht mehr angefasst.
Die Alternativen im ehrlichen Vergleich
„Website ohne WordPress" heißt nicht automatisch „Website selbst programmieren". Es gibt vier realistische Wege:
| Ansatz | Angriffsfläche | Selbst pflegbar | Laufender Aufwand | Passt für |
|---|---|---|---|---|
| WordPress, professionell betreut | mittel bis hoch | ja | hoch: PHP, Kern, Plugins, Themes | Shops und Seiten mit vielen Erweiterungen |
| Baukasten (Wix, Jimdo, Squarespace) | gering — Anbieter ist zuständig | ja | gering, aber Abo und Abhängigkeit | Kleinstbetriebe, digitale Visitenkarte |
| Statische Website | sehr gering | eher nein (ohne Zusatz-CMS) | gering | Seiten, die sich selten ändern |
| Modernes Headless-Setup (z. B. Next.js + Payload CMS) | gering | ja — eigenes Redaktionssystem | gering: ein Update-Pfad, automatisch geprüft | Firmen-Websites, die gepflegt und gefunden werden sollen |
Einordnung aus der Praxis, keine Garantie — Sicherheit hängt immer auch von Betrieb und Pflege ab.
Was „ohne PHP" konkret bedeutet — am Beispiel dieser Website
Diese Website lief selbst früher auf WordPress. 2026 habe ich sie auf ein schlankes Setup umgezogen: Next.js für die Seite, Payload als Redaktionssystem, beides in einer Anwendung, gehostet in der EU. Texte, Leistungen und Referenzen pflege ich weiterhin bequem in einer Admin-Oberfläche — mit Live-Vorschau bei jedem Tastendruck.
Was weggefallen ist: PHP, die Plugin-Sammlung, die öffentliche WordPress-Login-Seite. Abhängigkeiten werden wöchentlich automatisch auf Updates geprüft; jedes Update muss einen vollständigen Test-Build bestehen, bevor es live geht. Am Tag der PHP2Shell-Warnung gab es für diese Website schlicht nichts zu tun.
Ehrlicherweise gehört dazu: Auch moderne Technik hat Lücken. Im Dezember 2025 traf eine kritische Schwachstelle (CVE-2025-55182, oft „React2Shell" genannt) genau diesen Technik-Stack — React Server Components in Next.js. Der Unterschied liegt nicht darin, nie betroffen zu sein, sondern darin, wie viele Baustellen man im Blick behalten muss und wie schnell der Fix live ist: Bei einer einzigen Anwendung ist das ein Update und ein Deployment — in Minuten, nicht ein Wochenende mit Plugin-Kompatibilitätstests.
Umstieg ohne Ranking-Verlust: So läuft ein Wechsel
- Bestandsaufnahme. Welche Seiten gibt es, welche bringen über Google Besucher (Search Console), welche Formulare und Funktionen hängen an Plugins?
- Inhalte übernehmen und aufräumen. Texte, Bilder, Struktur — oft die Gelegenheit, veraltete Seiten zusammenzufassen.
- Jede alte URL weiterleiten. Saubere 301-Weiterleitungen sorgen dafür, dass Google-Rankings und externe Links mit umziehen. Bei dieser Website wurden die alten WordPress-Adressen automatisch auf die neuen Seiten umgeleitet.
- Go-live und beobachten. Sitemap einreichen, Search Console auf Fehler prüfen, Ladezeiten messen.
- Übergabe. Sie pflegen Ihre Inhalte selbst — oder ich übernehme das, ganz wie es passt.
Wann Sie bei WordPress bleiben sollten
Ein Umstieg ist kein Selbstzweck. Wenn Sie einen WooCommerce-Shop mit vielen Erweiterungen betreiben, Ihr Team WordPress gut kennt und ein Budget für professionelle Wartung da ist, kann WordPress die richtige Wahl bleiben. Dann aber konsequent:
- Gepflegtes Hosting mit aktuellem PHP (mindestens 8.2)
- Automatische Updates für Kern und Plugins, regelmäßig kontrolliert
- So wenige Plugins wie möglich — jedes ungenutzte löschen, nicht nur deaktivieren
- Zwei-Faktor-Login für alle Admins
- Tägliche Backups außerhalb des Servers
- Eine Person, die zuständig ist — namentlich
