WordPress-Plugins: Das Wartungsrisiko, das viele Website-Checks übersehen

WordPress lebt von Plugins. Genau deshalb entstehen viele WordPress-Probleme auch durch Plugins. Ein Kontaktformular, ein Cookie-Banner, ein Page Builder, ein SEO-Plugin, ein Cache-Plugin, ein Slider, ein Chat-Widget, eine Statistik-Erweiterung: Jedes einzelne kann sinnvoll sein. Zusammen bilden sie aber schnell eine schwer durchschaubare technische Lieferkette.

Für Website-Betreiber ist das Risiko nicht nur "wurde WordPress aktualisiert?". Die bessere Frage lautet: Welche Plugins sind installiert, warum werden sie gebraucht, wer pflegt sie, welche Daten verarbeiten sie und was passiert, wenn eines davon ausfällt?

Plugins sind keine Deko

Ein Plugin ist Code, der auf der Website läuft. Es kann Daten speichern, Formulare verarbeiten, Skripte einbinden, Admin-Rechte erweitern, Frontend-Markup verändern oder externe Dienste kontaktieren. Deshalb gehört jedes Plugin in die Wartungsdokumentation.

Unkritisch wirkt ein Plugin oft nur, bis es nicht mehr gepflegt wird, eine Sicherheitslücke hat, mit PHP-Versionen bricht oder plötzlich Tracking-Skripte anders lädt. Besonders problematisch sind Plugins, die tief in Login, Checkout, Formularen, Caching oder Dateiuploads hängen.

Was ein Plugin-Audit prüfen sollte

Ein pragmatischer Plugin-Check kann sehr einfach starten:

1. Inventar: Liste aller aktiven und inaktiven Plugins.
2. Zweck: Warum ist das Plugin installiert? Welche Funktion würde fehlen?
3. Owner: Wer entscheidet über Updates und Alternativen?
4. Daten: Verarbeitet das Plugin personenbezogene Daten?
5. Skripte: Lädt es externe Ressourcen oder Tracking?
6. Update-Status: Wann wurde es zuletzt aktualisiert?
7. Redundanz: Gibt es zwei Plugins für denselben Zweck?
8. Exit: Kann man es entfernen, ohne Inhalte zu zerstören?

Allein diese Liste macht viele Altlasten sichtbar.

Typische Warnsignale

Ein Plugin sollte genauer geprüft werden, wenn es lange keine Updates hatte, sehr weitreichende Rechte verlangt, schlecht dokumentiert ist, viele unbekannte externe Skripte lädt oder nur wegen einer winzigen Funktion installiert wurde. Auch inaktive Plugins sollten nicht achtlos liegen bleiben. Wenn sie nicht gebraucht werden, gehören sie entfernt.

Page Builder verdienen besondere Aufmerksamkeit. Sie können Layouts schneller machen, erzeugen aber oft starken Lock-in. Wenn Inhalte nur noch als Shortcodes oder proprietäre Blöcke nutzbar sind, wird ein Relaunch später teuer.

Wartung als Prozess

Gute WordPress-Wartung ist kein einmaliger Klick auf "Update". Sinnvoll ist ein kleiner Prozess:

• Vor Updates Backup erstellen.
• Updates zuerst auf Staging testen, wenn die Website geschäftskritisch ist.
• Nach Updates Formulare, Checkout, Login und Cookie-Banner prüfen.
• Entfernte oder ersetzte Plugins dokumentieren.
• Quartalsweise Plugin-Liste ausmisten.
• Kritische Plugins mit Sicherheitsmeldungen beobachten.

Das ist weniger aufregend als ein Relaunch, aber deutlich günstiger als ein kaputter Checkout oder eine kompromittierte Website.

Fazit

WordPress-Plugins sind kein Problem, solange sie bewusst eingesetzt werden. Gefährlich wird es, wenn niemand mehr weiß, was installiert ist und warum. Ein Website-Check sollte deshalb Plugins nicht nur zählen, sondern ihre Funktion, Datenverarbeitung, Update-Lage und Abhängigkeiten bewerten.

Quellen

• WordPress Developer Resources: Plugin Handbook
• WordPress.org: Hardening WordPress
• OWASP: Vulnerable and Outdated Components

Hinweis: Dieser Beitrag ist eine technische Einordnung und keine Rechtsberatung.