Die langsame Abkehr von WordPress
WordPress betreibt noch immer vier von zehn Websites. Sein Anteil sinkt, Plugins tragen den Grossteil des Risikos, und der Streit in seinem Zentrum steuert auf einen Prozess zu.
WordPress ist einer der grossen Erfolge von Open Source. Es begann als Werkzeug für Blogs und wuchs zur Software hinter einem grossen Teil des Webs, frei nutzbar, frei veränderbar, mit einem Ökosystem aus Themes, Plugins und Hostern, mit dem fast jeder publizieren kann.
Als Agentur haben wir jahrelang WordPress-Websites gebaut und betreut, und viele gute Websites laufen weiterhin darauf. Das ist kein Nachruf. Aber drei Dinge haben sich gleichzeitig geändert, und ein Unternehmen, das seine Website auf WordPress betreibt, sollte alle drei kennen: Der Anteil hat gedreht, das Risiko sitzt in den Plugins, und die Führung des Projekts steckt seit zwei Jahren in einem Streit, der nun auf eine Jury zusteuert.
Der Anteil hat gedreht
W3Techs, das die Technologie hinter Websites erfasst, zeigt WordPress fast ein Jahrzehnt lang im Aufstieg: von 23,3 Prozent aller Websites Anfang 2015 auf 43,2 Prozent Anfang 2022. Dann flachte es ab. Im Januar 2025 lag es bei 43,6 Prozent, im Januar 2026 bei 43,0 Prozent. Am 12. Oktober 2026 lag der Wert bei 40,1 Prozent.
Das ist immer noch mehr als alle anderen Content-Management-Systeme zusammen und 58,6 Prozent der Websites, deren System W3Techs erkennen kann. Aber die Richtung ist neu. Im selben Zeitraum wuchs Shopify von 4,7 auf 5,4 Prozent aller Websites und Wix von 3,3 auf 4,2 Prozent, während Joomla und Drupal weiter schrumpften. Zählungen wie diese hängen von der Methode ab, die Richtung zählt also mehr als die Dezimalstelle.
Das Risiko sitzt in den Plugins
Der Kern von WordPress ist in gutem Zustand. Patchstack, ein Sicherheitsunternehmen, das das Ökosystem beobachtet, zählte 2025 im WordPress-Kern nur sechs Schwachstellen, alle mit niedriger Priorität.
Das Ökosystem drumherum ist eine andere Sache. Patchstack zählte 2025 11'334 neue Schwachstellen in ganz WordPress, 42 Prozent mehr als 2024. 91 Prozent lagen in Plugins und 9 Prozent in Themes. Bei 46 Prozent hatte der Entwickler noch keinen Fix bereit, als die Lücke öffentlich wurde. Und bei den Lücken, auf die sich Angreifer am stärksten stürzten, betrug die mittlere Zeit von der Offenlegung bis zur massenhaften Ausnutzung fünf Stunden.
Patchstack verkauft Schutz genau davor, seine Darstellung verdient also die übliche Sorgfalt. Das Muster ist jedoch strukturell. Eine Firmenwebsite betreibt oft viele Plugins von vielen Autoren, jedes mit eigenem Update-Rhythmus, eigener Qualität und eigenem Geschäftsmodell. Jedes davon ist Code auf dem öffentlichen Server. Sie aktuell zu halten, ist eine wöchentliche Aufgabe, und die Wochen, in denen sie ausfällt, sind die, auf die es ankommt.
Zwei Jahre Turbulenzen
Im September 2024 forderte Matt Mullenweg, der Chef von Automattic und die führende Figur des WordPress-Projekts, auf der Konferenz WordCamp US die Community auf, WP Engine nicht mehr zu bezahlen, einen der grössten WordPress-Hoster. In einem Beitrag danach nannte er das Unternehmen ein «Krebsgeschwür» für WordPress. Mullenweg hatte für die Nutzung der Marke WordPress eine Lizenzgebühr verlangt: 8 Prozent des monatlichen Bruttoumsatzes von WP Engine.
Am 25. September sperrte WordPress.org WP Engine von seinen Ressourcen, was bei einigen der von ihm gehosteten Websites die Updates von Plugins und Themes unterbrach. Im Oktober verklagte WP Engine Automattic und Mullenweg, und WordPress.org übernahm die Kontrolle über Advanced Custom Fields, ein beliebtes Plugin, das WP Engine betreute. Im Dezember erliess eine Bundesrichterin eine einstweilige Verfügung, die den Zugang von WP Engine und das Plugin wiederherstellte.
Was folgte, schadete dem Projekt mehr als dem Hoster. Im Januar 2025 kürzte Automattic seinen zugesagten Beitrag zu WordPress auf rund 45 Stunden pro Woche, von rund 2'560, um Ressourcen in den Rechtsstreit zu stecken. Im April entliess es 16 Prozent seiner Belegschaft, und WordPress teilte mit, 6.8 werde das letzte grosse Release von 2025 sein. Ende Mai kehrte Automattic um und kam zum Kern zurück. Im Juni lancierte die Linux Foundation FAIR, ein föderiertes Repository für Plugins und Themes, das so entworfen ist, dass keine einzelne Quelle die Updates kontrolliert.
Der Fall ist längst nicht erledigt. Am 24. September 2026 liess die Richterin die kartellrechtlichen Ansprüche von WP Engine wieder aufleben, die sie ein Jahr zuvor abgewiesen hatte, und stellte fest, dass Automattic und Mullenweg weder Eigentümer noch eingetragene Inhaber der WordPress-Marken sind, auf die sie sich beriefen. Auch die meisten Widerklagen von Automattic bleiben bestehen. Ein zehntägiger Geschworenenprozess ist für Oktober 2027 angesetzt.
Was es für ein Unternehmen auf WordPress bedeutet
Nichts davon macht eine WordPress-Website über Nacht unsicher. Eine gut gepflegte Installation mit wenigen Plugins, einem guten Hoster und einer namentlich verantwortlichen Person für die Updates kann ein Unternehmen jahrelang tragen. Für einen Blog, eine kleine Präsentationswebsite oder ein Team, das die Plattform gut kennt, ist Bleiben oft die vernünftige Wahl.
Was die letzten zwei Jahre gezeigt haben, ist die Abhängigkeit. Die Updates einer Website, ihre Plugins und das Vertrauen in ihre Lieferkette laufen über ein einziges Repository, und eine Zeit lang wurden die Entscheide über dieses Repository im Rahmen eines kommerziellen Streits getroffen. Kommt ein Ökosystem hinzu, in dem fast die Hälfte der neuen Lücken öffentlich ist, bevor sie behoben sind, lautet die Frage nicht mehr, ob WordPress funktioniert. Sie lautet, wie viel der Website ein Unternehmen auf Teile stützen will, die es nicht kontrolliert.
Gebaute Websites mit einem CMS obendrauf
Deshalb wechseln mehr Unternehmen zu gebauten Websites: einer Website, die aus Code zu schnellen Seiten kompiliert wird, mit einem Content-Management-System obendrauf für die Menschen, die sie bearbeiten. Die öffentliche Website hat dann keine Plugins und keinen Admin-Login, die man angreifen könnte. Jede Änderung läuft durch einen Build, der getestet wird, bevor er live geht. Die Inhalte liegen in Dateien, die dem Unternehmen gehören, nicht in einer Datenbank, die ein Anbieter geformt hat.
Der Kompromiss ist real. Eine gebaute Website braucht für neue Funktionen Entwickler, wo WordPress für fast alles ein Plugin hat. Und das Bearbeiten muss gut gebaut sein, sonst vermisst das Marketingteam das alte Admin-Panel innert einer Woche.
Für dieses Problem wurde Studio gemacht. Sein Kern ist ein CMS auf Websites, die in Next.js, Vite oder TanStack gebaut sind, ohne Plugins und ohne PHP auf der öffentlichen Website. Jede Veröffentlichung wird geprüft, einmal gebaut, getestet, live geschaltet, verifiziert und bei einem Fehler von selbst zurückgerollt, und jede Veröffentlichung schreibt die Inhalte per Commit in das eigene Repository des Unternehmens. Wer Inhalte pflegt, klickt ein Wort an, um es zu ändern, und sieht die Live-Seite. Studio ist derzeit im Status «Früher Zugang».
Maschinen können die Builds, die Tests und die Rollbacks übernehmen. Was eine Seite sagt und ob sie gut genug ist, um hinauszugehen, bleibt bei den Menschen, die dafür geradestehen.
Wo man anfängt
Zählen Sie Ihre Plugins und schreiben Sie auf, wer jedes betreut, wann es zuletzt aktualisiert wurde und was es tut. Entfernen Sie, was niemand braucht. Stellen Sie sicher, dass jedes Plugin, auch die bezahlten, seine Updates erhält und dass eine namentlich bestimmte Person sie jede Woche prüft. Exportieren Sie Ihre Inhalte einmal und prüfen Sie, ob Sie sie im Ernstfall umziehen könnten.
Entscheiden Sie dann bewusst. Behalten Sie WordPress dort, wo es Ihnen dient, mit weniger Teilen und einer klaren Verantwortung. Wo die Website für das Geschäft zentral ist, lohnt sich ein Gespräch über eine gebaute Website mit einem CMS obendrauf.
