Warum WordPress für Handwerker-Websites nicht mehr zeitgemäß ist

Ist WordPress selbst das Problem?

Nein. Patchstack zählt für 2025 nur 6 Sicherheitslücken im WordPress-Core, alle mit niedriger Priorität. 91 Prozent der neu gefundenen Lücken betrafen Plugins, 9 Prozent Themes. Genau hier liegt der Punkt für Handwerksbetriebe. Eine Seite mit Startseite, Leistungen, Referenzen, Kontakt und Impressum braucht keine Datenbank und keinen Login-Bereich. Wer sie trotzdem auf WordPress baut, übernimmt ein ganzes Plugin-Ökosystem, das gepflegt werden muss, solange die Seite online ist. Diese Pflege endet nicht beim Start, solange die Seite online ist.

Wie viele Plugin-Sicherheitslücken gibt es?

Patchstack meldet für 2025 insgesamt 11.334 neue Schwachstellen im WordPress-Umfeld, 42 Prozent mehr als 2024. Davon waren 4.124 (36 Prozent) ernst genug, dass Patchstack eigene Schutzregeln dafür ausgeliefert hat, und 1.966 (17 Prozent) hatten einen hohen Schweregrad. Auch kostenpflichtige Themes und Plugins sind betroffen. Patchstack schreibt, dass kostenpflichtige Komponenten weniger geprüft werden, weil Sicherheitsforscher schwerer an den Code kommen, und nennt hohe Zahlen ernster Lücken darin. Ein bezahltes Plugin ist also kein Ersatz für Updates. Zwei weitere Werte betreffen Betreiber direkt: 46 Prozent der Lücken waren zum Zeitpunkt der Veröffentlichung noch nicht behoben. Und bei den stark ausgenutzten Lücken lag der gewichtete Median bis zum ersten Angriff bei 5 Stunden. Bei einem Median von 5 Stunden bis zum ersten Angriff ist ein Update-Rhythmus von „einmal im Monat, wenn Zeit ist“ zu langsam. Und gegen eine noch nicht behobene Lücke hilft auch das pünktlichste Update nichts, weil es noch keins gibt. Wer weniger Plugins einsetzt, hat schlicht weniger Stellen, an denen so etwas auftreten kann. Ein Plugin für einen Kalender oder Slider bleibt installiert, auch wenn es niemand mehr pflegt.

Wer macht die Updates?

Offiziell unterstützt WordPress nur die jeweils neueste Version. Das Sicherheitsteam portiert Korrekturen zwar aus Kulanz auf ältere Versionen zurück, damit diese über automatische Updates abgesichert werden. Plugins und Themes gehören aber den jeweiligen Entwicklern, und auch dort muss jemand die Updates einspielen. Das WordPress-Handbuch nennt für ein manuelles Update als ersten Schritt die Sicherung der Datenbank und aller Dateien. Wer zwischen Baustelle und Angebot keine Zeit dafür hat, schiebt diese Arbeit auf. Eine Seite, die Updates erst nach Wochen einspielt, ist in der Zwischenzeit angreifbar.

Wie schnell sind WordPress-Seiten am Handy?

Der Web Almanac 2025 wertet echte Nutzerdaten aus. Danach bestehen nur 45 Prozent der WordPress-Websites mobil alle drei Core Web Vitals, WordPress gehört damit zu den schwächsten der verglichenen Systeme. Der mittlere Lighthouse-Performance-Wert liegt mobil bei 41, am Desktop bei 63. Nach Schätzungen nutzen rund 60 Prozent der WordPress-Seiten einen Page Builder. Auch der ist ein zusätzlicher Baustein, der eigene Updates braucht. Beim Largest Contentful Paint erreichen 53 Prozent der WordPress-Websites mobil einen guten Wert, bei der Layoutstabilität (CLS) rund 84 Prozent. Der Engpass ist also die Ladegeschwindigkeit des größten Elements auf der Seite, und die hängt davon ab, was Theme, Plugins und Page Builder zusätzlich laden. WordPress gehört beim Seitengewicht mit einem Median von 2.894 KB auf dem Handy zu den leichtesten Systemen im Vergleich. Die Mediane gelten für alle WordPress-Seiten, einzelne Installationen liegen darüber oder darunter. Der Maßstab für „gut“ ist nach web.dev ein Largest Contentful Paint von 2,5 Sekunden oder weniger, gemessen am 75. Perzentil der Seitenaufrufe.

Fünf Fragen an jedes WordPress-Angebot

Zum Aufbau kommen im Betrieb Posten dazu: Hosting, Lizenzen für kostenpflichtige Themes und Plugins, Backups, Updates und die Zeit, jemanden bei Problemen zu erreichen. Konkrete Beträge hängen vom Anbieter ab und stehen deshalb nicht hier. Diese fünf Fragen klären vorab, was im Angebot steckt:

1. Wer spielt Updates ein, und wie schnell?

Verlangen Sie eine konkrete Antwort: wöchentlich, innerhalb weniger Tage nach Erscheinen, oder nur auf Zuruf. Bei kritischen Lücken zählen Stunden.

2. Welche Plugins sind installiert?

Lassen Sie sich die Liste zeigen und fragen Sie bei jedem Eintrag, wofür er gebraucht wird. Jedes ungenutzte Plugin ist eine vermeidbare Angriffsfläche.

3. Wo liegen die Backups, und wer stellt sie wieder her?

Ein Backup, das nie zurückgespielt wurde, ist eine Annahme. Fragen Sie, wann das zuletzt getestet wurde.

4. Was passiert bei einer Sicherheitslücke?

Wer informiert Sie, wer schaltet die Seite im Notfall ab, wer räumt auf? Das sollte vorher feststehen.

5. Was passiert, wenn der Betreuer ausfällt?

Eine Seite, die nur eine Person versteht, ist ein Risiko für den Betrieb. Fragen Sie nach Zugangsdaten, Dokumentation und Vertretung.

Wann WordPress trotzdem passt

WordPress ist die richtige Wahl für einen Online-Shop, eine Redaktion mit mehreren Autoren oder einen Mitgliederbereich. Auch wenn ein Dienstleister die Wartung vertraglich übernimmt und nachvollziehbar Updates einspielt, ist es für Betriebe tragbar, die die Wartung nicht selbst machen. Als Entscheidungshilfe taugen drei Fragen: Ändern sich die Inhalte täglich? Müssen mehrere Personen ohne Technikwissen Texte pflegen? Braucht die Seite Funktionen wie Shop oder Login? Dreimal „nein“ spricht für eine schlankere Lösung. Für eine Handwerker-Website mit festen Inhalten gibt es Alternativen. Eine handgebaute Seite aus HTML und CSS kommt ohne Datenbank und Plugins aus, und was nicht installiert ist, kann keine Plugin-Lücke haben. Zwei Baukästen schneiden im Web Almanac mobil besser ab: Wix erreicht einen mittleren Lighthouse-Wert von 64, Webflow 58, WordPress 41. Baukästen haben eigene Einschränkungen, die Sie vor einer Entscheidung prüfen sollten.

Was Sie heute prüfen können

Melden Sie sich im WordPress-Dashboard an und sehen Sie unter „Aktualisierungen“ nach, wie viele Updates offen sind. Löschen Sie Plugins, die Sie nicht brauchen, statt sie nur zu deaktivieren. Und testen Sie Ihre Startseite mit PageSpeed Insights im Reiter „Mobil“. Notieren Sie sich alle drei Ergebnisse mit Datum. Sie sind der Maßstab, an dem sich jedes Angebot, jeder Wechsel und jede Änderung messen lässt. Wer sehen möchte, wie eine Alternative für den eigenen Betrieb aussähe, findet unten die kostenlose Website-Vorschau als einfachsten Weg.