Plugins bewerten und sicher auswählen

Plugins machen WordPress so vielseitig: Es gibt zehntausende im offiziellen Verzeichnis, für fast jede denkbare Funktion. Gleichzeitig sind sie die häufigste Ursache für Sicherheitslücken, Konflikte und langsame Seiten. Jedes Plugin führt bei jedem Seitenaufruf Code aus und bekommt weitreichende Rechte. Ein schlecht gepflegtes oder unseriöses Plugin kann eine ganze Website gefährden. Deshalb lohnt es sich, Plugins nicht nach dem ersten Suchtreffer zu installieren, sondern sie zu bewerten. Diese Lektion zeigt, worauf es ankommt, wie Sie Plugins sicher testen und pflegen und wann ein eigenes kleines Plugin die bessere Wahl ist.

1. Warum Plugins ein Risiko sind

Ein Plugin hat dieselben Rechte wie WordPress selbst: Es kann auf die Datenbank zugreifen, Dateien schreiben, E-Mails verschicken und Benutzer anlegen. Enthält es eine Sicherheitslücke, kann ein Angreifer genau diese Rechte nutzen. Sicherheitsdienste melden Jahr für Jahr, dass der größte Teil der bekannten Schwachstellen in WordPress-Websites nicht im Core, sondern in Plugins steckt. Besonders gefährlich sind Plugins, die nicht mehr gepflegt werden: Ihre Lücken werden nie geschlossen, sind aber öffentlich bekannt und werden automatisiert ausgenutzt.

2. Plugins bewerten

Vor jeder Installation lohnt ein kurzer Check. Probieren Sie es aus:

Die wichtigsten Hinweise stehen direkt im Plugin-Verzeichnis: Datum des letzten Updates, getestete WordPress-Version, Zahl der aktiven Installationen, Bewertungen und das Support-Forum, in dem man sieht, ob Probleme beantwortet werden. Ergänzend lohnt ein Blick in öffentliche Schwachstellen-Datenbanken für WordPress, in denen bekannte Lücken nach Plugin gelistet sind. Kostenpflichtige Plugins werden nur beim Hersteller direkt gekauft, nie als „kostenlose“ Kopie aus zweifelhaften Quellen.

3. Gute und schlechte Gewohnheiten

4. Der sichere Ablauf

5. Wann ein eigenes Plugin besser ist

Viele Websites installieren Plugins für Kleinigkeiten: einen zusätzlichen Hinweis im Footer, eine Weiterleitung, ein eigenes Feld, ein Analytics-Skript. Oft reichen dafür wenige Zeilen Code in einem eigenen, kleinen Plugin – ohne fremde Abhängigkeiten, ohne ungenutzte Funktionen, ohne Werbung im Adminbereich. Ein solches Plugin für eigene Anpassungen ist ohnehin empfehlenswert, statt Code in die functions.php eines Themes zu schreiben, der bei einem Theme-Wechsel verloren ginge. Modul 4 zeigt, wie das geht; schon hier ein Beispiel:

1<?php
2/**
3 * Plugin Name: Studio-Anpassungen
4 * Description: Kleine Anpassungen für die Website des Yogastudios.
5 * Version:     1.0.0
6 */
7
8// Direkten Aufruf der Datei verhindern
9defined( 'ABSPATH' ) || exit;
10
11// Hinweis unter jedem Kurs anzeigen
12add_filter( 'the_content', function ( $inhalt ) {
13    if ( is_singular( 'kurs' ) ) {
14        $inhalt .= '<p class="hinweis">Probestunde kostenlos – einfach online buchen.</p>';
15    }
16    return $inhalt;
17} );

6. Ein Beispiel

Die Website einer Zahnarztpraxis hatte 38 Plugins – viele davon für Kleinigkeiten, einige seit Jahren ohne Update. Eine Sicherheitsprüfung fand zwei Plugins mit bekannten Lücken. In einem Nachmittag wurde aufgeräumt: Nicht mehr genutzte Plugins wurden gelöscht, drei Plugins mit überschneidenden Funktionen durch eines ersetzt, acht Kleinigkeiten in einem eigenen Plugin mit rund 80 Zeilen Code zusammengefasst. Übrig blieben 12 gut gepflegte Plugins. Die Seite wurde spürbar schneller, das Backend übersichtlicher, und die monatliche Wartung dauert seitdem nur noch einen Bruchteil der Zeit.

7. Ein Blick nach vorn

Mit der Abilities API und dem MCP Adapter bekommen Plugins eine neue Rolle: Sie können ihre Funktionen als „Fähigkeiten“ beschreiben, die KI-Agenten nutzen dürfen – etwa „Termin buchen“ oder „Kurs anlegen“. Damit wird die Frage, welchem Plugin man vertraut, noch wichtiger, denn ein Agent handelt mit den Rechten, die Plugins bereitstellen. Wer schon heute sorgfältig auswählt, wenige und gut gepflegte Plugins einsetzt und eigene Anpassungen sauber in eigenen Plugins bündelt, ist für diese Entwicklung gut vorbereitet. Modul 7 zeigt die Einzelheiten.

8. Häufige Fragen

Wie viele Plugins sind zu viele? Eine feste Zahl gibt es nicht. Entscheidend sind Qualität und Überschneidungen, nicht die Anzahl. Zehn gut programmierte, schlanke Plugins können schneller und sicherer sein als drei überladene. Ein guter Richtwert ist, jedes Plugin begründen zu können: Welche Aufgabe erfüllt es, gibt es eine bessere Alternative, und wer kümmert sich um die Updates?

Sollte ich automatische Updates aktivieren? Für den Core sind automatische Sicherheitsupdates standardmäßig aktiv und sinnvoll. Für Plugins hängt es vom Plugin und von der Website ab. Bei gut gepflegten Plugins und regelmäßigen Backups sind automatische Updates meist ein Gewinn an Sicherheit. Bei geschäftskritischen Plugins wie Shop oder Buchung empfiehlt sich dagegen, Updates zuerst auf einer Staging-Kopie zu testen.

Was tun, wenn ein wichtiges Plugin nicht mehr gepflegt wird? Zunächst prüfen, ob es bekannte Sicherheitslücken gibt. Dann nach einer gepflegten Alternative suchen oder die benötigte Funktion in ein eigenes, kleines Plugin übertragen. Übergangsweise kann eine Web Application Firewall bekannte Angriffe abfangen, ersetzt aber keinen Wechsel. Je früher der Umstieg geplant wird, desto weniger Druck entsteht im Ernstfall.

Stand: September 2026, WordPress 7.1, PHP 8.3. Kursmaterial der Klarwerk Akademie. WordPress entwickelt sich schnell – maßgeblich ist die aktuelle Dokumentation auf developer.wordpress.org.