Ein schlecht ausgewähltes Plugin ist einer der häufigsten Wege, wie ein WordPress am Ende kompromittiert wird — nicht wegen eines schwachen Passworts, sondern weil man fremden Code installiert, ohne vorher irgendetwas zu prüfen. Hier erfährst du, worauf es wirklich ankommt, nicht nur “schau dir die Bewertungen an”.
Warum Plugins so ein Schwachpunkt sind
Jedes Plugin, das du installierst, ist Code, der mit vollem Zugriff auf deine Website läuft — auf deine Datenbank, deine Dateien, die Konten deiner Nutzer. Ein veraltetes oder schlecht gepflegtes Plugin mit einer bekannten Schwachstelle ist mit Abstand der häufigste Einstiegspunkt bei gehackten WordPress-Websites — viel häufiger als schwache Passwörter.
Worauf es wirklich ankommt
Datum der letzten Aktualisierung
Ein Plugin, das seit über einem Jahr nicht aktualisiert wurde, ist ein Warnsignal, selbst wenn es viele aktive Installationen hat. Ohne Updates bleibt jede später entdeckte Schwachstelle für immer ungepatcht.
Kompatibilität mit deiner WordPress-Version
Bestätigt das Plugin keine Kompatibilität mit aktuellen WordPress-Versionen, ist das ein Zeichen dafür, dass der Entwickler es aufgegeben haben könnte, auch wenn es sich technisch noch installieren lässt.
Anzahl aktiver Installationen, nicht nur die Bewertungen
Bewertungen lassen sich leichter manipulieren als die Anzahl aktiver Installationen. Ein Plugin mit wenigen Installationen und perfekten Bewertungen verdient mehr Misstrauen als eines mit Tausenden Installationen und der ein oder anderen mittelmäßigen Bewertung.
Historie bekannter Schwachstellen
Dass ein Plugin in der Vergangenheit eine Schwachstelle hatte, disqualifiziert es nicht automatisch — entscheidend ist, ob sie schnell behoben wurde, als sie entdeckt wurde. Ein Entwickler, der Monate braucht, um eine bekannte Lücke zu schließen, ist das eigentliche Warnsignal, nicht die Lücke selbst.
Fordert mehr Berechtigungen als nötig
Sei misstrauisch bei einem einfachen Plugin (zum Beispiel eines, das nur ein Formular anzeigen soll), das Berechtigungen verlangt, die nichts mit seiner Funktion zu tun haben — Zugriff auf Systemdateien, auf andere Integrationen, auf Daten, die es für seine Aufgabe nicht braucht.
Bevor du ein bereits installiertes Plugin aktualisierst
Ein vom Entwickler schlecht getestetes Update kann deine Website zerstören oder, schlimmer noch, eine neue Schwachstelle einführen. Ein aktuelles Backup zu haben, bevor du irgendein Plugin aktualisierst — besonders eines mit Zugriff auf sensible Daten — ist keine Paranoia, sondern gesunder Menschenverstand.
Häufige Fragen
Sind kostenpflichtige Plugins automatisch sicherer?
Nicht unbedingt — Bezahlen garantiert keine aktive Pflege. Dieselben Kriterien (aktuelle Updates, schnelle Reaktion auf Schwachstellen) gelten gleichermaßen, ob kostenpflichtig oder kostenlos.
Wie viele Plugins sind “zu viele” für ein WordPress?
Es gibt keine magische Zahl — entscheidend ist, dass jedes einzelne gerechtfertigt und gepflegt ist, nicht die genaue Anzahl. Zehn gut ausgewählte, aktuelle Plugins sind sicherer als drei aufgegebene.
Wie erkenne ich, ob ein bereits installiertes Plugin eine bekannte Schwachstelle hat?
Ein Sicherheitsscanner, der deine installierten Plugins mit Datenbanken bekannter Schwachstellen abgleicht, ist der zuverlässigste Weg — jedes Plugin einzeln von Hand zu prüfen, ist auf Dauer nicht realistisch.