Um ein WordPress-Plugin prüfen zu können, bevor du es installierst, reichen fünf Signale: Wann gab es das letzte Update, bis zu welcher WordPress-Version wurde es getestet, wie reagiert der Entwickler im Support, gibt es offene Sicherheitslücken – und brauchst du die Funktion überhaupt? Wer diese Punkte vor der Installation abklopft und danach Updates, Rechte und ungenutzte Plugins im Blick behält, senkt das größte Risiko einer WordPress-Website deutlich.
Warum Plugins das größte Risiko deiner WordPress-Website sind
Der WordPress-Kern selbst ist selten das Problem. Laut dem Bericht „State of WordPress Security in 2026“ von Patchstack wurden 2025 insgesamt 11.334 neue Schwachstellen im WordPress-Ökosystem gemeldet – 91 Prozent davon in Plugins, 9 Prozent in Themes und nur sechs im Kern, alle mit niedriger Priorität.
Zwei weitere Zahlen aus demselben Bericht zeigen, warum Sorgfalt bei der Auswahl wichtig ist:
- 46 Prozent der Schwachstellen waren zum Zeitpunkt der Veröffentlichung noch nicht behoben. Ein Update hilft dir in diesen Fällen nicht – nur Deaktivieren, Ersetzen oder eine Schutzregel.
- Der gewichtete Median bis zur ersten Ausnutzung lag bei fünf Stunden. Wer Updates erst am Wochenende einspielt, ist bei kritischen Lücken oft zu spät.
Auch kostenpflichtige Erweiterungen sind nicht automatisch sicherer: 29 Prozent aller bei Patchstack eingegangenen Meldungen betrafen Premium- oder Freemium-Komponenten. Am häufigsten ausgenutzt wurde fehlerhafte Zugriffskontrolle („Broken Access Control“), also Funktionen, die Aktionen ohne ausreichende Rechteprüfung erlauben.
Welche Angaben im Plugin-Verzeichnis solltest du prüfen?
Jede Plugin-Seite auf wordpress.org hat eine Seitenleiste mit Meta-Angaben. Die deutschsprachige Version auf de.wordpress.org nennt sie Version, Zuletzt aktualisiert, Aktive Installationen, WordPress-Version, Getestet bis und PHP-Version. So liest du sie:
| Angabe | Was sie aussagt | Worauf du achtest |
|---|---|---|
| Zuletzt aktualisiert | Datum der letzten veröffentlichten Version | Liegt das Update viele Monate oder Jahre zurück, prüfe genauer, ob das Plugin noch gepflegt wird. |
| Getestet bis | Höchste WordPress-Version, mit der der Entwickler getestet hat | Sie sollte nahe an der aktuellen Hauptversion liegen. Kleinere Versionssprünge werden dabei ignoriert. |
| WordPress-Version / PHP-Version | Mindestanforderungen | Passt sie zu deinem Hosting? Eine sehr alte Mindest-PHP-Version allein ist kein Warnsignal, eine fehlende Unterstützung aktueller PHP-Versionen schon. |
| Aktive Installationen | Verbreitung | Viele Installationen bedeuten mehr Nutzer, die Fehler melden – aber auch ein attraktiveres Ziel für Angreifer. Sie ersetzen keine Prüfung. |
| Support | Statistik wie „Behobene Probleme in den letzten zwei Monaten“ | Lies einige aktuelle Support-Themen: Antwortet der Entwickler sachlich und zeitnah? |
| Entwicklung | Änderungsprotokoll und Code-Historie | Gibt es regelmäßige Versionen mit verständlichen Änderungsnotizen, etwa „Sicherheitsfix“? |
Laut WordPress-Dokumentation zur readme.txt beschreibt „Tested up to“ die WordPress-Version, gegen die das Plugin getestet wurde. Ist dieser Wert zu alt, zeigt das Verzeichnis einen deutlichen Hinweis. Auf betroffenen Plugin-Seiten steht dann sinngemäß: Das Plugin wurde mit den letzten drei Hauptversionen von WordPress nicht getestet, wird möglicherweise nicht mehr gepflegt und kann Kompatibilitätsprobleme haben. Diesen Hinweis solltest du ernst nehmen.
Was bedeutet es, wenn ein Plugin geschlossen ist?
Plugins werden laut Plugin-Entwickler-FAQ von WordPress.org wegen Richtlinienverstößen, Sicherheitsproblemen oder auf Wunsch des Autors geschlossen. Ein geschlossenes Plugin kann weder über die Website heruntergeladen noch im WordPress-Dashboard installiert werden. Erst nach 60 Tagen nennt die Seite den Grund – und auch dann nur grob, etwa „Sicherheit“ oder „Richtlinienverstoß“.
Für dich heißt das: Ist ein Plugin, das du bereits nutzt, plötzlich geschlossen, kommen über das Verzeichnis keine neuen Versionen mehr an. Suche in diesem Fall sofort nach einer Erklärung des Entwicklers und nach einer Alternative.
Wie prüfst du ein Plugin vor der Installation? Schritt für Schritt
1. Brauchst du die Funktion wirklich?
Jede Erweiterung ist zusätzlicher Code, den jemand pflegen muss. Die SEO-Küche fasst es in ihrem WordPress-SEO-Ratgeber so zusammen: nur so viele Plugins wie wirklich nötig. Manche Aufgaben lassen sich mit Bordmitteln, dem Theme oder einem bereits installierten Plugin lösen. Viele Plugins laden außerdem CSS und JavaScript auf Seiten, auf denen sie nicht gebraucht werden – das kostet Ladezeit. Wie du solche Bremsen findest, zeigt unser Beitrag „Wie machst du deine WordPress-Website schneller?“.
2. Bezugsquelle prüfen
Die offizielle Härtungsanleitung von WordPress empfiehlt, Plugins nur aus etablierten Verzeichnissen oder von seriösen Anbietern zu beziehen. Plugins auf wordpress.org durchlaufen vor der Freischaltung eine Prüfung und müssen die Plugin-Richtlinien einhalten. Dazu gehört etwa, dass ein Plugin ohne ausdrückliche Zustimmung keine externen Server kontaktieren und keinen fremden Code nachladen darf. Bei Premium-Plugins kaufst du direkt beim Hersteller – nie über inoffizielle Download-Seiten, die kostenpflichtige Plugins gratis anbieten.
3. Pflegezustand bewerten
Prüfe in der Seitenleiste „Zuletzt aktualisiert“ und „Getestet bis“ und öffne das Änderungsprotokoll. Ein gut gepflegtes Plugin hat regelmäßige Versionen, nachvollziehbare Änderungsnotizen und reagiert auf neue WordPress-Versionen. Bei Premium-Plugins prüfst du zusätzlich, wie lange die Lizenz Updates einschließt. Läuft sie aus, bekommst du in der Regel auch keine Sicherheitsupdates mehr.
4. Sicherheitshistorie nachschlagen
Suche den Plugin-Namen in einer öffentlichen Schwachstellen-Datenbank, etwa der kostenlos durchsuchbaren Patchstack-Datenbank. Entscheidend ist nicht, ob es jemals eine Lücke gab – das betrifft auch viele sehr gut gepflegte Plugins. Wichtig ist: Wurden gemeldete Lücken zügig behoben? Gibt es aktuell eine offene Schwachstelle ohne Patch? Dann installierst du das Plugin vorerst nicht.
5. Abhängigkeiten und Rechte prüfen
Seit WordPress 6.5 können Plugins im Header angeben, welche anderen Plugins sie benötigen. Laut Ankündigung der Plugin-Abhängigkeiten im Make-WordPress-Blog lässt sich ein abhängiges Plugin erst aktivieren, wenn die benötigten Plugins aktiv sind. Ein benötigtes Plugin kann nicht deaktiviert werden, solange abhängige Plugins aktiv sind. Achte vor der Installation darauf, wie viele Erweiterungen du dir damit insgesamt ins System holst.
Fordert ein Plugin Schreibzugriff auf Dateien oder kann es Code aus der Datenbank ausführen, ist besondere Vorsicht geboten. Die Härtungsanleitung rät, den Code dann prüfen zu lassen, und empfiehlt das Prinzip der minimalen Rechte. Dasselbe Prinzip gilt übrigens für Automatisierungen und Zugänge von Dritten, wie wir in „Wie kannst du KI-Agenten sicher einsetzen, ohne ihnen zu viele Rechte zu geben?“ beschreiben.
6. Erst auf einer Testumgebung ausprobieren
Installiere neue Plugins zuerst auf einer Staging-Kopie deiner Website. Prüfe dort, ob Layout, Formulare, Checkout und Ladezeit unverändert funktionieren. Viele Hoster bieten Staging mit einem Klick an – ob deiner das kann, gehört zu den Kriterien aus unserem Beitrag „Wie prüfst du, ob dein WordPress-Hosting wirklich zu deiner Website passt?“. Lege vor jeder Installation auf der Live-Seite ein vollständiges Backup von Dateien und Datenbank an.
Wie hältst du installierte Plugins dauerhaft sicher?
Die Prüfung vor der Installation ist nur der erste Schritt. Danach zählt die Pflege.
Automatische Updates gezielt aktivieren
Seit WordPress 5.5 kannst du automatische Updates für jedes Plugin einzeln einschalten. Laut WordPress-Dokumentation zu automatischen Updates findest du dazu im Plugin-Bildschirm die Spalte „Automatische Aktualisierungen“. Mehrere Plugins kannst du per Mehrfachauswahl gleichzeitig umstellen. WordPress prüft standardmäßig zweimal täglich und verschickt E-Mails über erfolgreiche und fehlgeschlagene Updates.
Ein sinnvoller Kompromiss: Automatische Updates für kleinere, gut gepflegte Plugins aktivieren und geschäftskritische Erweiterungen wie Shop- oder Page-Builder-Plugins zeitnah manuell nach einem Test aktualisieren. Wichtig ist, dass Updates bei kritischen Lücken innerhalb von Stunden eingespielt werden, nicht erst nach Tagen.
Ungenutzte Plugins löschen, nicht nur deaktivieren
Die WordPress-Härtungsanleitung ist hier eindeutig: Plugins aktuell halten und alles löschen, was du nicht nutzt. Auch der Website-Zustand (Site Health) empfiehlt, inaktive Plugins zu entfernen, und meldet ausstehende Plugin-Updates als möglicherweise kritisches Problem. Ein deaktiviertes Plugin liegt weiterhin auf dem Server und wird bei Updates oft übersehen.
Regelmäßig den Bestand prüfen
Plane einmal im Monat einen kurzen Plugin-Check ein. Prüfe für jedes Plugin: Wird es noch gebraucht, ist es aktuell, ist es im Verzeichnis noch verfügbar und gibt es neue Schwachstellenmeldungen? Wer mehrere Websites betreut, profitiert von einem Sicherheitsdienst oder Plugin, das bekannte Schwachstellen automatisch meldet.
Checkliste: WordPress-Plugin prüfen
- Die Funktion wird wirklich gebraucht und lässt sich nicht mit vorhandenen Mitteln lösen.
- Bezugsquelle ist wordpress.org oder die offizielle Website des Herstellers.
- „Zuletzt aktualisiert“ liegt nicht lange zurück, „Getestet bis“ passt zur aktuellen WordPress-Version.
- Kein Warnhinweis zu fehlenden Tests mit den letzten drei Hauptversionen.
- Das Plugin ist nicht geschlossen.
- Support-Themen werden zeitnah und sachlich beantwortet.
- Keine offene Schwachstelle ohne Patch in einer Schwachstellen-Datenbank.
- Benötigte Zusatz-Plugins und PHP-Version passen zu deiner Installation.
- Test auf einer Staging-Umgebung bestanden, Backup vorhanden.
- Updates sind geregelt: automatisch oder zeitnah manuell.
- Bei Premium-Plugins: Lizenz mit Update-Zeitraum geklärt.
Häufige Fragen
Wie viele Plugins sind zu viele?
Eine feste Obergrenze gibt es nicht. Entscheidend ist, ob jedes Plugin eine klare Aufgabe hat, gepflegt wird und die Ladezeit nicht unnötig belastet. Zehn gut gepflegte Plugins können weniger riskant sein als drei vernachlässigte.
Sind Premium-Plugins sicherer als kostenlose?
Nicht automatisch. Laut Patchstack betrafen 29 Prozent der 2025 eingegangenen Meldungen Premium- oder Freemium-Komponenten. Prüfe deshalb auch kaufpflichtige Plugins nach denselben Kriterien und achte auf die Laufzeit der Update-Lizenz.
Reicht es, ein Plugin zu deaktivieren?
Nein. Wenn du ein Plugin nicht mehr brauchst, lösche es. Die WordPress-Dokumentation und der Website-Zustand empfehlen ausdrücklich, ungenutzte Plugins zu entfernen.
Was tust du, wenn ein genutztes Plugin eine Lücke ohne Update hat?
Deaktiviere es, wenn die Funktion verzichtbar ist, und suche eine gepflegte Alternative. Ist das Plugin unverzichtbar, kann eine Schutzregel eines Sicherheitsdienstes die Zeit bis zum Update überbrücken. Beobachte die Hinweise des Entwicklers und spiele den Patch sofort ein, sobald er erscheint.
