WordPress ist extrem beliebt — aber kein Grund, es zu nutzen

Sie wollen eine Website. Drei verschiedene Leute raten Ihnen zu WordPress: ein Entwickler, eine Bekannte, ein Video. Also gehen Sie davon aus, dass man das eben so macht — und fragen sich insgeheim, ob nur Sie nicht verstehen, warum.

So geht es vielen. Was Ihnen da begegnet, ist ein Standard, keine Empfehlung. Von außen sieht beides gleich aus, meint aber meist etwas ganz anderes.

Auf WordPress laufen rund 39 % aller Websites (W3Techs, November 2026), und diesen Platz hat es sich ehrlich verdient. Aber „das nutzen alle“ ist eine Aussage über WordPress, nicht über Ihre Website. Um diesen Unterschied geht es hier.

Auf einen Blick

• WordPress ist nicht beliebt, weil es das beste Werkzeug für Ihre Website ist. Es ist beliebt, weil es die erste einfache Antwort war, weil rundherum ein ganzer bezahlter Markt entstanden ist und weil viele Entwickler es im Schlaf beherrschen.
• Keiner dieser Gründe hat mit Ihnen zu tun. Beliebtheit bringt Ihnen Verfügbarkeit — es findet sich immer jemand, der daran arbeiten kann —, aber weder Tempo noch Sicherheit noch Ruhe.
• Was sich 2026 wirklich geändert hat, ist das Tempo. Die Zeit zwischen „eine Sicherheitslücke wird bekannt“ und „jemand nutzt sie schon aus“ ist von Wochen auf wenige Tage geschrumpft. Da mitzuhalten ist schwer, selbst wenn Sie jemanden für die Pflege bezahlen — und die Bezahlung nimmt Ihnen das Risiko nicht ab.
• Onlineshops, Mitgliederbereiche und Redaktionen mit vielen Autoren sind die Fälle, in denen WordPress am meisten Sinn ergibt. Aber die Sicherheit ist dort heute eine dauerhafte Fachaufgabe, die jemand erledigen und jemand bezahlen muss.

Erst das Ehrliche: WordPress hat sich seinen Platz verdient

In den frühen 2000ern machte WordPress es möglich, eine Website zu haben, ohne Code zu schreiben. Davor musste man entweder programmieren lernen oder jemanden bezahlen, der es konnte. Das war ein echter Durchbruch und verdient die Anerkennung, die es bekommt.

Über ein Jahrzehnt lang war es die einfache Standardwahl. Die Software war kostenlos, Anleitungen gab es überall, Tausende fertige Designs standen bereit, und wer feststeckte, fand irgendwo eine Community, die die Frage schon beantwortet hatte. Wer zwischen 2008 und 2018 eine Website wollte, lag mit WordPress richtig.

Wer heute „nimm einfach WordPress“ sagt, ist also weder faul noch nachlässig. Da wird nur die richtige Antwort auf eine Frage wiederholt, die seit einer Weile anders zu beantworten ist. Genau deshalb ist WordPress noch überall: fünfzehn Jahre Vorsprung, und Vorsprung verstärkt sich selbst.

Warum WordPress immer noch so beliebt ist

Es gibt vier echte Gründe, und keiner davon lautet „es ist das beste Werkzeug für die Aufgabe“.

Gewohnheit — die Standardantwort

Viele Webentwickler haben mit WordPress angefangen. Dort sind sie schnell, sicher und souverän. Das Werkzeug zu empfehlen, das man am besten kennt, ist menschlich und nicht unehrlich — aber es bedeutet etwas Bestimmtes.

„Nehmen Sie WordPress“ heißt meist: „Damit kenne ich mich aus.“ Das ist eine nützliche Information über Ihren Entwickler, aber nicht automatisch über Ihre Website. Empfehlung und Vorliebe sind zwei verschiedene Dinge, und es lohnt sich zu fragen, welche von beiden Sie gerade bekommen.

Ein Markt, keine Wohltätigkeit

Rund um WordPress gibt es eine ganze Wirtschaft: Designs, Erweiterungen (Plugins), Hosting-Pakete, Wartungsverträge, Kurse, Agenturen. Ein großer Teil davon kostet Geld, und ein guter Teil wird an Leute wie Sie verkauft.

Das ist kein Skandal — so funktionieren Märkte. Aber es erklärt etwas Wichtiges. Was beliebt ist, ist auch profitabel, und was profitabel ist, wird oft empfohlen. WordPress steht auch deshalb ganz vorne, weil sehr viele Menschen davon leben. Das hält es zu einem guten Teil an der Spitze, und mit der Frage, ob es zu Ihrer Website passt, hat es nichts zu tun.

Das Versprechen „Sie können es selbst ändern“

Das ist der ehrliche Grund, warum sich viele für WordPress entscheiden statt für eine von Hand gebaute Website: eine Anmeldeseite, auf der Sie einen Satz ändern, ein Foto tauschen oder Ihre Öffnungszeiten anpassen, ohne jemanden anzurufen.

Ein gutes Versprechen. Und eines, das oft still gebrochen wird. Viele bezahlen eine WordPress-Website, melden sich zweimal an, finden alles verwirrender als gedacht und schreiben wieder ihrem Entwickler — der die Änderung dann berechnet. Am Ende haben Sie die Rechnung, das Risiko und nichts von der Kontrolle, die Ihnen verkauft wurde.

Es findet sich immer jemand, der es kennt

Das ist ein echter Vorteil, da wollen wir nichts beschönigen. Tausende Freelancer und Agenturen kennen WordPress in- und auswendig. Was auch passiert, Sie stehen nie ohne Ansprechpartner da.

Passend dazu: Warum Ihre WordPress-Website immer wieder ausfällt — wie ständige Pflege in der Praxis aussieht.

Was sich 2026 geändert hat: Das Laufband wurde schneller

Alles bisher Gesagte gilt seit Jahren, und viele haben gut damit gelebt. Eines hat sich in letzter Zeit wirklich geändert, und es ist nicht, dass WordPress schlecht geworden wäre. Es ist das Tempo.

Lange war der Sicherheitsrat einfach: Halten Sie alles aktuell. Dieser Rat ging davon aus, dass Sie Wochen Zeit hatten. Eine Lücke wurde entdeckt, sie wurde veröffentlicht, und Sie konnten Ihre Website an einem ruhigen Abend aktualisieren, bevor etwas passierte.

2026 ist diese Annahme zerbrochen. Im Juli ließ sich WordPress selbst — die Hauptsoftware, kein Plugin — ohne Passwort übernehmen. Am 17. Juli wurde die Lücke öffentlich. Am 21. Juli bestätigte die US-Cybersicherheitsbehörde CISA, dass Angreifer sie bereits nutzten. Am 22. Juli kursierte fertiger Angriffscode. Fünf Tage von Anfang bis Ende.

WordPress spielte die Korrektur zwangsweise auf Websites mit eingeschalteten automatischen Updates ein. Viele Betreiber erfuhren davon erst aus den Nachrichten, wenn überhaupt. Die ganze Chronik von 2026 steht hier, falls Sie die Details möchten.

Warum wird die Lücke immer kleiner? Angreifer durchsuchen das ganze Netz automatisch, sodass eine frisch bekannte Lücke sehr schnell an sehr vielen Websites ausprobiert wird. Dieselbe Automatisierung macht es leichter denn je, eine einfache Website zu bauen — aber auf der Sicherheitsseite läuft die Uhr schneller.

So lässt es sich ehrlich betrachten: Das ist keine Frage des Könnens, die ein weiteres Schutz-Plugin löst. Es ist eine Frage der Zeit. Jemand muss innerhalb von Stunden auf eine Warnung reagieren, die Sie wahrscheinlich nie erreicht. Die meisten machen das nicht selbst — sie bezahlen jemanden dafür. Das ist vernünftig, aber das Risiko geht nicht weg; es ändert sich nur, wer die Arbeit macht. Ist diese Person langsam, zahlen trotzdem Ihre Website und Ihre Kunden dafür.

Große Organisationen betreiben WordPress durchaus sicher. Sie haben eigene Sicherheitsleute, geprüften Code und Überwachung rund um die Uhr. So viel Aufmerksamkeit verlangt WordPress, wenn etwas schiefgeht. Die meisten, die eine Website betreiben, haben nichts dergleichen — einen Entwickler, der sie zwischen anderen Kunden unterbringt, oder niemanden, der für die Sicherheit zuständig ist.

Was Ihnen vor dem Start niemand erklärt

Drei Dinge sollten Sie wissen, bevor Sie sich festlegen.

Ihre Website wird zur Einnahmequelle für andere. WordPress-Erweiterungen sind oft kostenlos zu installieren, und sie sind Geschäfte. Manche wechseln den Besitzer. In einem Fall von 2026 kaufte jemand eine bekannte Plugin-Sammlung und lieferte über den normalen Update-Knopf schädlichen Code an Websites aus — laut WordPress.org mehr als 20.000. Wer ein Plugin installiert, vertraut also nicht nur seinem Preis, sondern seiner Besitzgeschichte und jedem künftigen Besitzer.

Die Sicherheitslösung ist ein weiteres Ding, das abgesichert werden muss. Die übliche Antwort auf das Plugin-Risiko ist ein weiteres Plugin, das die anderen überwacht. Jetzt haben Sie eine Sache mehr zu aktualisieren, eine Sache mehr, die kaputtgehen kann, und meist eine weitere Jahresgebühr.

Aufmerksamkeit ist der versteckte Preis. Eine WordPress-Website verlangt ständig kleine Entscheidungen über Software, die Sie nicht nutzen: dieser Update-Hinweis, jene seltsame Einstellung, eine Warnung zu einem Design, das Sie nie angefasst haben. Bezahlen Sie jemanden, landet das in dessen Postfach — aber es ist immer noch Ihre Website, über die entschieden wird, und Ihr Name steht unter dem Ergebnis. Das Geld ist nur die Hälfte. Die andere Hälfte ist, dauerhaft ein wenig verantwortlich zu sein für ein System, in das Sie nicht hineinsehen können.

Was Ihre Kunden tatsächlich bemerken

Niemand hat je einen Klempner, einen Salon oder eine Anwältin wegen der Software ihrer Website gewählt. Kunden bemerken, ob die Seite lädt, bevor sie aufgeben, ob die Website nach einem echten Menschen aussieht und ob sie die Telefonnummer darauf finden.

Darum hilft ein Perspektivwechsel. „Womit soll ich sie bauen?“ ist eine technische Frage. „Bringt sie mir Kunden, ohne zu einem Sicherheitsproblem zu werden, das ich nicht mehr loswerde?“ ist die eigentliche. Die meisten betreiben ihre Website ohnehin nicht selbst — das macht jemand anderes. Aber wer bezahlt, verschiebt die Klicks, nicht das Risiko. Wenn etwas schiefgeht, steht trotzdem Ihr Name auf der Website, und die Daten Ihrer Kunden liegen dahinter.

Eine Art von Website beantwortet die zweite Frage, ohne etwas zurückzuverlangen: eine statische Website. Es ist dieselbe Idee wie bei jeder Website — Seiten, die Ihre Besucher lesen —, nur ohne die Teile, die gefüttert werden müssen. Es gibt keine Anmeldeseite zum Erraten, keine Plugins zum Aktualisieren und keinen Speicher dahinter, in den man einbrechen kann. Das ganze Update-Laufband und die ganze Plugin-Wirtschaft betreffen Sie schlicht nicht.

Klingt das nach einer kleineren Website, dann stimmt das. Kleiner ist der Punkt. Die meisten Websites, die Informationen zeigen sollen, schleppen Technik mit sich herum, die sie kein einziges Mal brauchen werden.

Wo WordPress die naheliegende Antwort war

Seien wir fair: Dass „beliebt“ ein schlechter Grund ist, macht WordPress nicht zu einem schlechten Werkzeug.

• Ein echter Onlineshop mit Lagerbestand, Versand und Zahlungen. Das ist immer noch der stärkste Fall für WordPress (oder für einen gehosteten Shop-Dienst). Aber einen Shop sicher zu halten ist heute eine Daueraufgabe, und ein Shop, der ausfällt, bezahlt das mit Bestellungen.
• Mitgliederbereiche oder Logins — Menschen melden sich an, um private Inhalte zu sehen. Dieselbe Rechnung, mit mehr persönlichen Daten im Spiel.
• Eine Redaktion mit mehreren Autoren, die täglich veröffentlichen, mit Entwürfen und einem Freigabeprozess. Wieder dieselbe Rechnung — und Ihre Leser bemerken jede Stunde, in der die Website nicht erreichbar ist.
• Eine Website ganz ohne Budget zum Selbermachen, wenn die echte Alternative gar keine Website ist. Hier gilt weiterhin: Ein kostenloses Werkzeug mit einer Sicherheitsrechnung, die Sie nicht bezahlen können, ist immer noch besser als keine Website. Wissen Sie nur, dass die Rechnung echt ist.

Hier also die ehrliche Fassung. WordPress ist nicht kaputt und kein Betrug. Der Handel hat sich verändert. Jahrelang hat man Verfügbarkeit und einfache Entwicklung gegen die Sicherheitsarbeit getauscht, und das hat sich gelohnt. Heute ist die Sicherheitshälfte eine dauerhafte Fachaufgabe — eine, die Sie entweder richtig besetzen oder bezahlen, und die Bezahlung nimmt Ihnen das Risiko nicht ab.

Wählen Sie das Werkzeug passend zur Aufgabe. Für die meisten Websites ist WordPress heute nicht dieses Werkzeug.

Ihr 60-Sekunden-Check

• ☐ Jemand hat mir WordPress empfohlen, weil ich es brauche, nicht weil die Person es kennt
• ☐ Meine Website braucht ein Login, einen Shop oder tägliche Veröffentlichungen mehrerer Leute
• ☐ Ich kann die Person nennen, die sich um die Updates meiner Website kümmert — und das bin nicht ich
• ☐ Ich weiß, was diese Person konkret für die Sicherheit tut — Einzelheiten, keine Zusicherungen
• ☐ Ich weiß, welche meiner Plugins wichtig sind und wem jedes davon gerade gehört

Überwiegend nein? Sie brauchen kein WordPress — Sie brauchen eine Website. Überwiegend ja? Dann brauchen Sie diese Funktionen von irgendwoher, und WordPress ist ein Weg dorthin. Aber die Funktionen sind der leichte Teil. Entscheidend sind die letzten drei Zeilen: Ohne echte Sicherheitsbetreuung lohnt sich der Handel nicht.

Fazit

WordPress ist kein Fehler, den jemand gemacht hat. Es ist ein Standard, der weitervererbt wurde — von Entwicklern, von Agenturen und von allen, denen vor zehn Jahren „nimm einfach WordPress“ gesagt wurde und die es weitergaben.

Standards sind in Ordnung. Sie sind schnell, vertraut und funktionieren meistens. Zum Problem werden sie erst, wenn sie Sie Geld, Kunden oder Schlaf kosten. Dann lohnt sich die einzige Frage, die zählt: Was muss meine Website eigentlich leisten?

Lautet die Antwort „zeigen, wer ich bin und wie man mich erreicht“, bekommen Sie das ohne angehängten Wartungsplan. Und ist die Antwort größer — ein Shop, ein Mitgliederbereich, eine tägliche Redaktion —, gilt dieselbe Frage, nur hängt jetzt eine Sicherheitsrechnung daran, die Sie tragen können müssen.

Passend dazu: Gründe, WordPress 2026 nicht zu nutzen — die vollständige Chronik des letzten Jahres in klarer Sprache.

Passend dazu: Warum Ihre Website nicht kompliziert sein muss — das Argument für Einfachheit, diesmal ohne die WordPress-Geschichte.

Unsicher, ob Ihre Website WordPress braucht oder einfach nur funktionieren soll? Sagen Sie uns, was sie leisten muss — und wir sagen Ihnen ehrlich, welches von beidem zutrifft.

Angebot anfordern →