WordPress - Das sinkende Schiff

WordPress war über ein Jahrzehnt das beliebteste Content-Management-System der Welt. Doch 2026 sinkt der Marktanteil so stark wie nie, die Zahl der Sicherheitslücken explodiert und an der Spitze des Projekts tobt ein Rechtsstreit. Ich schaue mir die Fakten an und zeige dir, welche Alternativen für eure Firmenwebsite mehr Sicherheit und Tempo bringen.

Ist WordPress noch zeitgemäß?

Für einen privaten Blog ja, für eine professionelle Firmenwebsite aus meiner Sicht immer seltener. Der Marktanteil von WordPress sinkt 2026 so stark wie nie seit Bestehen der Statistik, allein 2025 wurden über 11.000 neue Sicherheitslücken im WordPress-Ökosystem gemeldet, und an der Spitze des Projekts tobt seit Herbst 2024 ein Rechtsstreit, der die Community spaltet.

“Sinkendes Schiff” ist natürlich eine Zuspitzung, und zwar bewusst meine Meinung. WordPress betreibt weiterhin rund 40 % aller Websites weltweit und verschwindet sicher nicht morgen. Aber die Richtung hat sich gedreht, und genau darum geht es in diesem Artikel. Um die messbaren Zahlen dahinter, die größten Nachteile von WordPress im Alltag eines Unternehmers, und um die Alternativen, mit denen eure Website schneller und wartungsärmer läuft.

Vom Blog-System zum Marktführer

WordPress wurde 2003 von Matt Mullenweg und Mike Little als Fork der Blogging-Software b2/cafelog gestartet und entwickelte sich zum meistgenutzten Content-Management-System (CMS) der Welt. Die Open-Source-Lizenz, tausende Themes und Plugins und eine riesige Community machten es möglich, ohne Programmierkenntnisse eine eigene Website aufzusetzen. Vom simplen Blog bis zum Online-Shop mit WooCommerce.

Anfang 2015 lief WordPress laut W3Techs auf 23,3 % aller Websites, Anfang 2021 knackte es die 40-Prozent-Marke. Ein Erfolg, den kein anderes CMS auch nur annähernd erreicht hat. Doch nach Jahren der Stagnation um die 43 % fällt der Wert 2026 so schnell wie noch nie: von 43,0 % im Jänner auf 40,7 % Ende August (Stand 24. August 2026, die W3Techs-Seite zeigt immer die aktuellen Live-Werte).

Streit ums Steuer – die WordPress-Krise seit 2024

Das größte Risiko von WordPress ist gerade nicht technischer Natur, sondern die Führungskrise des Projekts selbst. Seit September 2024 liefern sich WordPress-Mitgründer Matt Mullenweg (Chef der Firma Automattic) und der große WordPress-Hoster WP Engine einen offenen Krieg, der vor Gericht gelandet ist und das Vertrauen vieler Agenturen und Entwickler beschädigt hat.

Meine Einschätzung

Technisch funktioniert WordPress heute genauso wie vor dem Streit. Aber eine Firmenwebsite ist eine Investition auf Jahre, und die hängt bei WordPress an einem Projekt, dessen zentrale Infrastruktur de facto eine einzelne Person kontrolliert. Genau diese Abhängigkeit hat der Konflikt schonungslos sichtbar gemacht. Für mich ist das der eigentliche Grund, warum große Teile der Community gerade das Vertrauen verlieren.

Warum WordPress-Websites so oft gehackt werden

WordPress-Websites werden vor allem deshalb so oft gehackt, weil das System das mit Abstand am weitesten verbreitete CMS ist und fast jede Installation aus Dutzenden Plugins von unterschiedlichen Entwicklern besteht. Angreifer müssen nur eine einzige bekannte Plugin-Lücke automatisiert im ganzen Netz absuchen und finden zuverlässig zehntausende ungepatchte Websites.

Die Sicherheitsfirma Sucuri, die gehackte Websites bereinigt, wertet ihre Fälle jährlich aus. Im aktuellsten Hacked Website Report entfielen 95,5 % aller erkannten Infektionen auf WordPress-Websites. Fairerweise muss man dazusagen, dass WordPress auch den größten Marktanteil hat und die Zahl aus Sucuris eigener Kundschaft stammt. Sie bedeutet nicht, dass 95 % aller WordPress-Seiten gehackt werden. Das eigentliche Problem zeigt eine andere Statistik viel deutlicher, nämlich die Entwicklung der gemeldeten Sicherheitslücken im WordPress-Ökosystem:

Die Zahl der jährlich neu entdeckten Lücken hat sich also in nur zwei Jahren fast verdoppelt. Und der WordPress-Kern selbst ist dabei fast nie das Problem. 2025 entfielen laut Patchstack rund 91 % der Lücken auf Plugins, nur 6 Stück auf den Kern. Das Risiko steckt im Plugin-Dschungel, den fast jede WordPress-Installation braucht, weil das nackte System für eine Firmenwebsite nicht reicht.

Ein Klassiker aus der Praxis

Wie so ein Angriff abläuft, zeigt die SoakSoak-Malware von 2014. Eine einzige Lücke im weit verbreiteten Plugin Slider Revolution reichte, um über 100.000 Websites automatisiert zu infizieren. Die betroffenen Betreiber hatten meist keine Ahnung, dass dieses Plugin überhaupt in ihrem Theme steckte.

Diese Angriffe laufen vollautomatisch über Bots, die das ganze Internet nach verwundbaren Installationen durchsuchen. Auch die kleine Tischlerei in Linz ist betroffen, nicht nur große Konzerne. Statische Websites ohne Datenbank und ohne öffentliches Login bieten diesen Bots schlicht keine Angriffsfläche, wie ich im Artikel über XSS-Attacken genauer erkläre.

Warum WordPress-Seiten oft langsam laden

WordPress baut jede Seite bei jedem Aufruf frisch zusammen. PHP startet, fragt die Datenbank ab, lädt Theme und Plugins und liefert erst dann HTML aus. Dazu kommen bei typischen Installationen aufgeblähte Themes, ein Dutzend Plugin-Skripte und externe Ressourcen. Jedes einzelne davon kostet Ladezeit. Wie viel Tracking-Skripte konkret ausmachen, habe ich im Artikel darüber, wie der Cookie-Banner deine Website schneller macht, nachgemessen.

Wie stark sich das summiert, zeigt das HTTP Archive, das laufend Millionen echter Websites vermisst. Der Anteil der Websites, die Googles Core Web Vitals am Smartphone bestehen (die Messwerte für Ladezeit, Reaktionsfreude und visuelle Stabilität, die Google seit Juni 2021 fürs Ranking heranzieht):

Jede zweite WordPress-Website fällt also bei genau den Messwerten durch, die Google fürs Ranking verwendet. Der größte Schwachpunkt ist laut denselben Daten die Antwortzeit des Servers. Nur 24,4 % der WordPress-Websites erreichen mobil eine gute TTFB, also die Zeit bis zum ersten Byte. Kein Wunder, wenn jede Seite erst aus Datenbankabfragen zusammengebaut wird.

Was Langsamkeit kostet

Google hat gemeinsam mit SOASTA ausgewertet, wie Besucher auf langsame Seiten reagieren. Steigt die mobile Ladezeit von 1 auf 3 Sekunden, springen 32 % mehr Besucher ab, bei 5 Sekunden sind es bereits 90 % mehr. Jede eingesparte Sekunde bringt euch also direkt mehr Anfragen.

Genau deshalb baue ich alle Kundenwebsites statisch mit Astro. Die Seiten werden einmal fertig gebaut und liegen dann als fixe Dateien am Server, ohne Datenbank und ohne PHP. Meine Websites laden im Schnitt in 0,8 Sekunden und erreichen regelmäßig 100/100 bei Google PageSpeed Insights.

Wartung – die unterschätzten laufenden Kosten

Eine WordPress-Website ist nie fertig. Kern, Theme und jedes einzelne Plugin brauchen laufend Updates, sonst bleibt genau eine der über 11.000 jährlich gemeldeten Lücken offen. Und die Updates selbst sind ein Risiko. Nach jedem kann ein Plugin mit einem anderen kollidieren, dann ist das Kontaktformular tot oder die Seite zeigt nur noch einen Fehler. Ohne Grundkenntnisse in PHP steht man dann an.

Stell dir vor, du bist Handwerker in Wien und hast dir vor drei Jahren eine WordPress-Seite machen lassen. Irgendwann lädt sie spürbar langsam, Kunden erzählen dir, dass das Kontaktformular nichts absendet, und im Admin-Bereich warten 14 Updates, von denen du keines anzugreifen traust. Also engagierst du jemanden, der das repariert. Kostet Geld, dauert, und in einem halben Jahr geht das Spiel von vorne los. Genau solche Fälle landen regelmäßig bei mir, und meistens rechnet sich die Reparatur gegenüber einem Neustart nicht mehr.

Welche Alternativen zu WordPress gibt es?

Die beste Alternative hängt davon ab, was eure Website können muss. Für die typische Firmenwebsite (Leistungen zeigen, gefunden werden, Anfragen bringen) ist eine individuell programmierte, statisch generierte Website die stärkste Option, weil schneller, sicherer und ohne Update-Stress.

• Statische Websites mit modernen Frameworks wie Astro: Die komplette Website wird vorab gebaut und als fertige Dateien ausgeliefert. Das ist der Weg, den ich für alle Kundenprojekte gehe, und der Hauptgrund für die Messwerte weiter oben.
• Headless CMS wie Contentful oder Strapi: Inhalte werden getrennt vom Design verwaltet und per Schnittstelle abgefragt. Spannend für größere Redaktionen, braucht aber einen Entwickler für das Frontend.
• Shopify für klassische Online-Shops: ausgereift, gehostet, mit allem Drum und Dran. Für reine Shops meist die bessere Wahl als WooCommerce.
• Baukästen wie Wix oder Jimdo: bequem für den Start, lösen aber nicht das Abhängigkeitsproblem. Den ausführlichen Vergleich findest du in meinem Baukasten-Vergleich.
• KI-Tools wie Lovable oder Bolt: verlockend schnell, für einen seriösen Unternehmensauftritt aber mit erheblichen Fallstricken, von Sicherheitslücken bis zum fehlenden Impressum. Die Details stehen im Artikel über die Risiken einer mit AI gebauten Website.

Für wen WordPress trotzdem noch passt

Ganz ehrlich, es gibt Fälle, in denen WordPress weiterhin eine vernünftige Wahl ist. Wer täglich selbst bloggt und gerne im Backend arbeitet, wer ein Redaktionsteam mit ausgefeilten Freigabe-Workflows hat, oder wer eine sehr spezielle Community-Funktion braucht, für die es genau ein passendes Plugin gibt, der fährt mit WordPress unter Umständen gut. Voraussetzung ist immer, dass sich jemand verlässlich um Updates, Backups und Sicherheit kümmert.

So gelingt der Umstieg von WordPress

Der Wechsel weg von WordPress ist deutlich unkomplizierter, als die meisten glauben, weil die bestehende Website während der gesamten Umstellung online bleibt. So läuft es bei mir ab:

1. Bestandsaufnahme: Welche Seiten und Inhalte gibt es, welche bringen tatsächlich Besucher? Ein Blick in die Google Search Console zeigt, was bleiben muss.
2. Inhalte übernehmen und verbessern: Texte und Bilder werden übernommen und dabei gleich für Suchmaschinen überarbeitet, statt sie 1:1 zu kopieren.
3. Weiterleitungen planen: Jede alte URL bekommt eine 301-Weiterleitung auf die passende neue Seite, damit Google-Rankings und gesetzte Links erhalten bleiben.
4. Neue Website testen und freigeben: Die neue Seite entsteht parallel unter einer Vorschau-Adresse, die alte bleibt bis zur Freigabe unberührt online.
5. Umschalten: Erst nach deiner Freigabe wird die Domain umgestellt. Für Besucher gibt es keine Ausfallzeit, der Wechsel passiert im Hintergrund.

Beim Relaunch nicht auf die URL Weiterleitungen vergessen! Wer die alten URLs einfach ins Leere laufen lässt, verschenkt jahrelang aufgebaute Rankings. In meinen Projekten gehören die Weiterleitungen deshalb fix zum Umfang, genauso wie die aktualisierte Sitemap in der Google Search Console.

Dein nächster Schritt

Wenn deine WordPress-Seite langsam lädt, ständig Updates verlangt oder du dich einfach nicht mehr drüber traust, dann schick mir den Link. Ich schaue sie mir kostenlos an und sage dir ehrlich, ob sich ein Umstieg für euch auszahlt oder ob es die alte Seite noch tut. Kein Verkaufsdruck, versprochen. Das Erstgespräch ist kostenlos und unverbindlich.