WordPress-Nachteile: Warum wir für Firmenwebsites davon abraten

Kurz gesagt: Für eine neue, klassische Firmenwebsite mit Leistungsseiten, Referenzen und Kontaktanfragen raten wir von WordPress ab. Nicht weil damit keine guten Websites möglich wären, sondern weil ein individuell zusammengestellter Mix aus CMS, Theme und Plugins häufig mehr laufende Betreuung verlangt, als das Unternehmen eigentlich benötigt. Unsere Empfehlung ist eine schlanke Website mit klaren Verantwortlichkeiten und einem Redaktionssystem nur dort, wo es gebraucht wird.

Nachrichtenstand: 22. Oktober 2026. Die folgenden Meldungen zeigen konkrete Betriebsrisiken. Sie belegen weder, dass jede WordPress-Website unsicher ist, noch, dass eine andere Technologie automatisch sicher wäre. Contentoren entwickelt Websites; dieser Beitrag erläutert unsere Auswahlentscheidung für Firmenprojekte.

Welche WordPress-Nachteile sind für Unternehmen entscheidend?

Der größte Nachteil ist nicht ein einzelnes fehlendes Feature. Es ist die dauerhafte Verantwortung für ein System aus mehreren beweglichen Teilen. Wer eine Website bestellt, kauft deshalb nicht nur das Design, sondern auch einen zukünftigen Betriebsaufwand.

Für einen Dienstleister mit zehn Leistungsseiten und einem Kontaktformular sind vor allem diese Punkte relevant:

• Wartung: WordPress, Plugins, Themes und die Serverumgebung müssen gepflegt werden. Nach Änderungen müssen Formulare, Darstellung und Schnittstellen weiterhin funktionieren.
• Abhängigkeiten: Jede wichtige Erweiterung bringt einen weiteren Anbieter, dessen Updateprozess und gegebenenfalls eine eigene Lizenz mit.
• Fehlersuche: Wenn eine Anfrage nicht ankommt, kann die Ursache im Formular, Mailversand, Hosting oder Zusammenspiel der Erweiterungen liegen. Zuständigkeiten müssen vorher geklärt sein.
• Folgekosten: Hosting allein deckt keine redaktionelle Pflege, Kompatibilitätstests, Wiederherstellung oder Sicherheitsvorfälle ab.
• Wechselaufwand: Inhalte lassen sich nicht immer mitsamt Page-Builder-Layouts, Spezialfeldern und Plugin-Funktionen in ein anderes System übernehmen.

Diese Nachteile sind nicht bei jeder Installation gleich stark. Sie entstehen besonders dann, wenn für jede Anforderung eine weitere Erweiterung hinzukommt, aber niemand den Gesamtbetrieb verantwortet. Eine günstige Erstumsetzung kann so später organisatorisch teuer werden.

Was sagen die aktuellen WordPress-Nachrichten im Oktober 2026?

Rank Math PRO: Ein Update-Kanal wurde zum Angriffsweg

Laut Sicherheitsmeldung von Rank Math enthielten bestimmte Downloads von Rank Math PRO 3.0.123 Schadsoftware. Betroffen war das Zeitfenster vom 15. Oktober 2026, 20:02 UTC, bis 16. Oktober 2026, 07:12 UTC. Der Anbieter entfernte die betroffenen Dateien und veröffentlichte die bereinigte Version 3.0.124. Die kostenlose WordPress.org-Version war von dieser Schadsoftware nicht betroffen.

Wer eine betroffene Kopie aktiviert hatte, sollte seine Website nach Herstellerangaben als kompromittiert behandeln. Die Anleitung umfasst Wiederherstellung beziehungsweise Bereinigung und den Austausch erreichbarer Zugangsdaten. Ein Plugin-Update allein ist in diesem Fall keine vollständige Bereinigung.

Unsere Einordnung: Auch der Bezug einer Erweiterung beim offiziellen Anbieter beseitigt das Lieferkettenrisiko nicht. Für Unternehmen zählt deshalb nicht nur, ob automatische Updates aktiviert sind, sondern auch, wer einen Vorfall erkennt und eine nachweislich saubere Wiederherstellung durchführt.

PHP: Die Verantwortung endet nicht beim WordPress-Dashboard

Am 21. Oktober 2026 veröffentlichte WordPress einen Hinweis auf zwei kritische PHP-Sicherheitslücken. Betreiber sollten die Hinweise ihres Hosters prüfen und PHP aktualisieren.

Wichtig für eine faire Einordnung: Diese Lücken sind nicht WordPress-spezifisch. Sie betreffen die darunterliegende PHP-Laufzeit; ein WordPress-Update ist dafür laut Mitteilung weder erforderlich noch vorgesehen. Der Fall zeigt aber, warum ein Website-Vertrag auch die Verantwortung für die Serverumgebung klären muss. Wer nur auf den grünen Update-Status im CMS schaut, prüft nicht das gesamte System.

Automattic und WP Engine: Der Rechtsstreit läuft weiter

Der Bericht von The Repository vom 16. Oktober 2026 beschreibt die abgelehnte Bitte von Automattic um eine weitere Fristverlängerung. Nach diesem Stand war der Geschworenenprozess weiterhin für den 19. Oktober 2027 angesetzt. Das ist ein laufendes Verfahren, kein abschließendes Urteil über die Vorwürfe.

WordPress als Open-Source-Software, die Infrastruktur von WordPress.org, Automattics Hostingangebot WordPress.com und der Hoster WP Engine sind nicht dasselbe. Der Konflikt macht dennoch eine wichtige Beschaffungsfrage sichtbar: Von welchen externen Diensten hängen Updates, Erweiterungen und Unterstützung tatsächlich ab?

Unsere Schlussfolgerung ist nicht, dass WordPress verschwinden wird. Wir möchten für eine überschaubare Firmenwebsite möglichst wenige betriebsrelevante Abhängigkeiten einführen und einen Wechsel von Anfang an mitdenken.

Wie groß ist das Sicherheitsproblem bei Plugins?

Im „State of WordPress Security in 2026“-Bericht von Patchstack, aktualisiert am 25. Februar 2026, werden 11.334 im Jahr 2025 neu gefundene Schwachstellen im WordPress-Ökosystem ausgewiesen. Rund 91 Prozent entfielen auf Plugins und rund neun Prozent auf Themes; für den WordPress-Kern nennt der Bericht sechs Schwachstellen niedriger Priorität.

Das sind Zahlen eines Sicherheitsanbieters zu gemeldeten Schwachstellen, keine Quote gehackter Websites und kein kontrollierter Sicherheitsvergleich mit anderen CMS. Sie sprechen vor allem dafür, Erweiterungen als eigene Softwarelieferanten zu behandeln und nicht als kostenlose, wartungsfreie Bausteine.

Vor der Installation einer geschäftskritischen Erweiterung sollten Sie klären:

1. Wird sie aktiv gepflegt, und wie erfahren Sie von Sicherheitsmeldungen?
2. Wer prüft, ob eine neue Version mit Ihrer Website funktioniert?
3. Gibt es ein getestetes Backup und einen Wiederherstellungsplan?
4. Was passiert, wenn der Anbieter die Erweiterung einstellt?
5. Lässt sich dieselbe Anforderung ohne zusätzliche Erweiterung erfüllen?

Ist WordPress für SEO und GEO notwendig?

Nein. Suchmaschinen bewerten keine Website allein deshalb besser, weil WordPress oder ein bestimmtes SEO-Plugin eingesetzt wird. Wichtig sind unter anderem zugängliche Inhalte, hilfreiche Antworten, nachvollziehbare Seitenstrukturen, interne Links und eine saubere technische Umsetzung.

Für GEO, also Generative Engine Optimization, gilt ebenfalls: Das CMS ist kein Zitier-Automat. Google erklärt in seiner Dokumentation zu AI Overviews und AI Mode, dass die grundlegenden SEO-Empfehlungen weiter gelten und keine speziellen KI-Dateien oder zusätzlichen Markup-Typen nötig sind. Für die Berücksichtigung als unterstützender Link muss eine Seite indexiert und für die Darstellung mit einem Snippet geeignet sein.

WordPress kann diese Voraussetzungen erfüllen. Eine Website ohne WordPress ebenfalls. Entscheidend ist die Umsetzung, nicht das Logo des Systems. Wie Sie Inhalte dafür aufbauen, zeigt unser GEO-Ratgeber für Unternehmen.

Welche Alternative empfehlen wir für eine Firmenwebsite?

Für eine Website, die hauptsächlich Leistungen erklärt und Anfragen erzeugt, empfehlen wir eine schlanke, vorgerenderte oder statisch ausgelieferte Umsetzung. Wenn Mitarbeitende häufig Inhalte ändern, wird ein passendes CMS ergänzt. Redaktionsbedarf und öffentliche Website müssen nicht automatisch dasselbe System sein.

Das Ziel ist konkret: möglichst wenig Software im öffentlich erreichbaren Betrieb, keine unnötige Plugin-Sammlung und ein benannter Ansprechpartner für Änderungen und technische Pflege. Auch dieser Ansatz braucht Updates, sichere Zugänge und einen Plan für Formulare oder andere angebundene Dienste. Er ist nicht „wartungsfrei“.

Ein Beispiel: Ein Handwerksbetrieb braucht Leistungsseiten, Einzugsgebiet, Referenzen, Stellenangebote und ein Kontaktformular. Bevor wir einen Page Builder und mehrere Erweiterungen einplanen, prüfen wir, welche Inhalte tatsächlich selbst bearbeitet werden müssen. Für regionale Auffindbarkeit sind außerdem die Maßnahmen aus unserem Local-SEO-Ratgeber wichtiger als die Wahl eines bestimmten CMS.

WordPress kann dagegen sinnvoll sein, wenn ein Unternehmen bereits eine gut betreute Installation, eingespielte Redaktion und konkrete WordPress-abhängige Funktionen besitzt. Das ist ein anderer Ausgangspunkt als eine neue, überschaubare Firmenwebsite.

Was sollten Unternehmen mit einer bestehenden WordPress-Website tun?

Eine funktionierende Website muss nicht wegen einer Nachricht sofort neu gebaut werden. Trennen Sie den akuten Sicherheitsstatus von der strategischen Systementscheidung.

• Zuerst prüfen: Welche Versionen und Erweiterungen sind installiert? Trifft eine aktuelle Sicherheitsmeldung darauf zu? Wer übernimmt die Reaktion?
• Betrieb bewerten: Sind Updates, Backups und Wiederherstellung vertraglich geregelt und tatsächlich geprüft?
• Kosten vergleichen: Stellen Sie die Gesamtkosten von Weiterbetrieb und Wechsel gegenüber, nicht nur Hosting und Erstellung. Unser Website-Kosten-Ratgeber liefert dafür ein Rechenmodell.
• Wechsel vorbereiten: Erfassen Sie wichtige Inhalte, Suchzugriffe, alte URLs, Formulare und Schnittstellen. Die SEO-Checkliste für den Website-Relaunch hilft bei der Planung.

Bei einem bestätigten Vorfall steht die Absicherung vor dem Relaunch. Eine neue Website allein bereinigt keine kompromittierten Zugangsdaten oder betroffenen Drittsysteme.

Häufige Fragen zu WordPress für Unternehmen

Warum rät Contentoren für neue Firmenwebsites von WordPress ab?

Für klassische Firmenwebsites stehen laufende Updates, Plugin-Abhängigkeiten und die Koordination mehrerer Anbieter häufig in keinem guten Verhältnis zum benötigten Funktionsumfang. Wir empfehlen dafür eine schlanke Website mit klar geregeltem Betrieb und nur den Funktionen, die das Unternehmen tatsächlich braucht.

Ist WordPress grundsätzlich unsicher?

Nein. WordPress kann mit professionellem Betrieb sicher eingesetzt werden. Entscheidend sind die konkrete Installation, ihre Erweiterungen, Hosting, Zugriffsrechte und die Reaktion auf Sicherheitsmeldungen. Ein Vorfall bei einem Plugin bedeutet nicht, dass alle WordPress-Websites betroffen sind.

Muss eine bestehende WordPress-Website sofort ersetzt werden?

Nein. Prüfen Sie zuerst Sicherheitsstatus, Wartungsaufwand, laufende Kosten und geschäftlichen Nutzen. Eine gut betreute Website kann weiterlaufen. Ein Wechsel braucht einen Plan für Inhalte, URLs, Weiterleitungen und Formulare; bei einem Sicherheitsvorfall hat zunächst die Absicherung Vorrang.

Unser Fazit: Die Website soll Ihr Geschäft unterstützen, nicht Ihr Wartungsprojekt werden

Für neue klassische Firmenwebsites raten wir von WordPress ab, wenn sein Ökosystem mehr Abhängigkeiten schafft, als der konkrete Bedarf rechtfertigt. Die aktuellen Nachrichten unterstreichen die Bedeutung von Lieferkette, Serverpflege und klaren Zuständigkeiten. Sie ersetzen aber keine Prüfung Ihrer tatsächlichen Anforderungen.

Sie möchten wissen, welche Umsetzung für Ihr Unternehmen sinnvoll ist? Besprechen Sie Ihre Website mit Contentoren. Wir klären zuerst Inhalte, Funktionen und Betrieb – und entscheiden danach über die Technik.

Quellen und Nachrichtenstand

Geprüft am 22. Oktober 2026. Sicherheitsmeldungen und Gerichtsverfahren können sich nach diesem Stand ändern.

• Rank Math: PRO 3.0.123 Security Incident – Herstellerhinweise zum Vorfall vom 15./16. Oktober 2026, betroffenen Downloads und Wiederherstellung.
• WordPress.org: Critical PHP Security Release – offizielle Mitteilung vom 21. Oktober 2026; ausdrücklich nicht WordPress-spezifische Schwachstellen.
• The Repository: Automattic’s New Lawyers Lose Bid for More Time in Legal Fight With WP Engine – Verfahrensbericht vom 16. Oktober 2026, kein abschließendes Urteil.
• Patchstack: State of WordPress Security in 2026 – Bericht vom 25. Februar 2026 mit Daten aus 2025.
• Google Search Central: AI features and your website – technische Voraussetzungen und Inhaltsempfehlungen für Googles KI-Suchfunktionen.