Plugins für deinen Blog: So wählst du richtig

Das Wichtigste in Kürze:

• Im offiziellen WordPress-Verzeichnis stehen 70.994 kostenlose Plugins (Stand 11.10.2026). Die Auswahl ist riesig, deshalb brauchst du klare Kriterien.
• Laut Patchstack wurden 2025 im WordPress-Umfeld 11.334 neue Sicherheitslücken gefunden. 91 Prozent davon steckten in Plugins, im WordPress-Kern waren es nur 6.
• 46 Prozent der Lücken hatten bei ihrer Veröffentlichung noch kein Update. Stark ausgenutzte Lücken wurden im gewichteten Median nach 5 Stunden massenhaft angegriffen.
• Kostenpflichtig heißt nicht automatisch sicherer: In Premium-Plugins und -Themes fand Patchstack dreimal so viele aktiv ausgenutzte Lücken wie in kostenlosen.
• Jedes Plugin braucht eine konkrete Aufgabe, aktive Pflege und eine geklärte Datenfrage. Alles andere fliegt raus.

Jedes Plugin ist fremder Code mit vollen Rechten auf deinem Blog

WordPress läuft laut W3Techs auf 40,1 Prozent aller Websites (Stand 11.10.2026). Für kaum ein anderes System gibt es so viele Erweiterungen. Ein Klick auf „Installieren“ reicht, und ein Programm von fremden Entwicklern läuft mit Zugriff auf deine Datenbank, deine Beiträge und deine Leserdaten.

Der Sicherheitsdienstleister Patchstack wertet jedes Jahr die gemeldeten Schwachstellen aus. Für 2025 zählt er 11.334 neue Lücken, 42 Prozent mehr als im Vorjahr. 91 Prozent betrafen Plugins, 9 Prozent Themes, im WordPress-Kern gab es 6 Meldungen mit geringer Priorität.

Gefährlich ist vor allem das Tempo. Bei 46 Prozent der Lücken gab es zum Zeitpunkt der Veröffentlichung noch keine Korrektur. Rund die Hälfte der folgenschweren Lücken wurde innerhalb von 24 Stunden ausgenutzt, die am stärksten angegriffenen im gewichteten Median nach 5 Stunden.

Auch dein Hoster fängt das nur zum Teil ab. In einem Test von Patchstack bei beliebten Webhostern wurden nur 26 Prozent der Angriffe auf WordPress-Lücken blockiert. Die einfachste Vorsorge ist deshalb ein Plugin, das du gar nicht erst installierst.

Fünf Fragen, bevor du ein Plugin installierst

1. Welche Aufgabe soll es lösen?

Schreib die Aufgabe in einem Satz auf, bevor du suchst. „Ich brauche automatische Backups auf einem externen Speicher“ ist eine Aufgabe. „Mein Blog soll besser werden“ ist keine.

Prüfe danach, ob WordPress oder dein Theme das schon kann. Seit WordPress 5.5 lassen sich zum Beispiel automatische Updates für jedes Plugin einzeln einschalten. Dafür brauchst du keine Erweiterung.

2. Wird es gepflegt?

Auf jeder Plugin-Seite bei WordPress.org stehen „Zuletzt aktualisiert“ und „Getestet bis“. Die aktuelle WordPress-Version ist 7.1.3. Ein Plugin, das vor neun Jahren zuletzt aktualisiert und nur bis Version 4.9 getestet wurde, hat auf deinem Blog nichts zu suchen.

Wirf außerdem einen Blick ins Support-Forum des Plugins. Antworten die Entwickler auf Fragen und Fehlermeldungen, ist das ein gutes Zeichen. Viele unbeantwortete Threads sind ein Warnsignal.

3. Wer steht dahinter?

Schau nach, wer das Plugin entwickelt, seit wann und ob es eine erreichbare Website mit Impressum gibt. Das gilt auch für gekaufte Plugins. Patchstack hat 2025 gezielt Premium-Marktplätze untersucht: 76 Prozent der dort gefundenen Lücken waren in echten Angriffen ausnutzbar.

Die EU zieht die Hersteller stärker in die Pflicht. Laut Art. 14 des Cyber Resilience Act müssen Anbieter, die Software im Rahmen einer Geschäftstätigkeit in der EU vertreiben, seit 11.09.2026 aktiv ausgenutzte Schwachstellen melden. Die übrigen Anforderungen der Verordnung gelten ab 11.12.2027.

4. Welche Daten fließen wohin?

Viele Plugins laden Schriften, Videos, Statistiken oder Werbung von fremden Servern. Dabei geht die IP-Adresse deiner Leser an Dritte. Das Landgericht München I hat am 20.01.2022 einen Website-Betreiber zu 100 Euro Schadensersatz verurteilt, weil seine Seite Google Fonts ohne Einwilligung vom Google-Server lud (Az. 3 O 17493/20).

Speichert ein Plugin Cookies oder liest es Informationen vom Gerät deiner Leser aus, brauchst du laut § 25 TDDDG grundsätzlich eine Einwilligung. Ausgenommen ist, was für den vom Nutzer gewünschten Dienst unbedingt erforderlich ist. Prüfe also vor der Installation, ob ein Plugin externe Dienste einbindet und ob es sich lokal betreiben lässt.

5. Was kostet es wirklich?

Viele Premium-Plugins kosten eine Jahresgebühr pro Website. Läuft die Lizenz aus, bekommst du oft keine Updates mehr, und genau die brauchst du für die Sicherheit. Rechne deshalb mit den Kosten über mehrere Jahre.

Dazu kommt deine Zeit für Einrichtung, Updates und Fehlersuche. Ein Plugin, das sich tief in deine Beiträge schreibt, etwa mit eigenen Shortcodes, wirst du später nur mit viel Aufwand wieder los.

Diese Grundausstattung braucht fast jeder Blog

Die meisten Blogs kommen mit wenigen Plugins für fünf Aufgaben aus. Die Beispiele in der Tabelle sind im WordPress-Verzeichnis aktiv gepflegt (Stand 11.10.2026). Wir haben sie nicht selbst getestet, sie sind ein Ausgangspunkt für deine eigene Prüfung.

Ein Consent-Plugin wie Complianz brauchst du, sobald dein Blog Dienste mit Cookies oder Tracking einbindet. Lässt du solche Dienste weg, entfällt die Einwilligung nach § 25 TDDDG für diese Dienste. Dann sparst du dir ein Plugin und deinen Lesern einen Klick.

Das frühere iThemes Security heißt im Verzeichnis inzwischen Kadence Security. Umbenennungen und Eigentümerwechsel kommen bei Plugins vor. Lies bei einem neuen Namen im Update-Hinweis nach, wer das Plugin jetzt verantwortet.

Jedes Plugin kostet Ladezeit, und Google misst sie

Google empfiehlt gute Core Web Vitals und schreibt, dass sie zu dem passen, was die Ranking-Systeme belohnen wollen. Gemessen werden Ladezeit (LCP), Reaktionszeit (INP) und visuelle Stabilität (CLS). INP hat am 12.03.2024 die frühere Kennzahl FID ersetzt, ältere Ratgeber nennen noch FID.

Plugins für Slider, Pop-ups, Social-Media-Buttons oder Page-Builder laden oft eigene Skripte auf jeder Seite. Miss deshalb mit PageSpeed Insights vor und nach jeder Installation. Wird INP oder LCP deutlich schlechter, wiegst du ab, ob die Funktion das wert ist.

Updates, Backups und Ausmisten halten deinen Blog stabil

• Erst sichern, dann aktualisieren. Die WordPress-Dokumentation rät, vor dem Einschalten automatischer Updates sicherzustellen, dass du zu einer früheren Version zurückkehren kannst. Ein Backup, das du nie wiederhergestellt hast, ist ungeprüft.
• Automatische Updates für einfache Plugins. Bei Sicherheits-, Backup- und SEO-Plugins sind schnelle Updates wichtig, weil Angreifer neue Lücken binnen Stunden nutzen.
• Große Plugins zuerst testen. Page-Builder oder Shop-Erweiterungen aktualisierst du am besten zuerst auf einer Testkopie deines Blogs, wie sie manche Hoster anbieten.
• Ausmisten. Ein deaktiviertes Plugin liegt weiter auf deinem Server. Was du seit Monaten nicht nutzt, löschst du.
• Einmal im Quartal prüfen. Geh deine Plugin-Liste durch und stell für jedes die Fragen von oben noch einmal.

Was das für dich als Blogger heißt

Ein gehackter Blog verliert Leser, Rankings und Kooperationen zugleich. Werden über eine Plugin-Lücke Spam-Links in deine Artikel geschrieben, stehen sie auch neben den Marken, mit denen du zusammenarbeitest. Deine Plugin-Liste ist deshalb Teil deines Angebots an Unternehmen.

Zwei Punkte betreffen bezahlte Kooperationen direkt. Bezahlte Links markierst du laut Google mit rel="sponsored" oder rel="nofollow", sonst gelten sie als Link-Spam.

Prüfe, ob dein Editor oder dein SEO-Plugin das Attribut setzen kann, oder trag es in der HTML-Ansicht ein. Wie du gesponserte Artikel richtig kennzeichnest, steht in Kennzeichnungspflicht bei Blog-Kooperationen: Das musst du wissen.

Schalte außerdem deinen RSS-Feed nicht mit einem Sicherheits- oder Performance-Plugin ab. Wenn du deinen Blog bei trusted blogs anmeldest, prüfen wir vor der Freigabe unter anderem den Feed. Ob WordPress insgesamt zu deinem Blog passt, liest du in WordPress für deinen Blog: Passt es wirklich?, weitere Werkzeuge außerhalb von WordPress in Mach deinen Blog-Alltag effizienter mit den richtigen Tools.

Was das für Unternehmen heißt

Ein gesponserter Artikel soll Jahre online bleiben, und das klappt nur auf einem gepflegten Blog. Google empfiehlt gute Core Web Vitals und führt gehackte Inhalte in seinen Spamrichtlinien. Leidet der Blog, verliert auch dein Artikel Leser.

Die Plugin-Liste eines Blogs steht nicht im Katalog. Hinweise liefern die SEO-Kennzahlen im Marktplatz, etwa der geschätzte organische Traffic und die Zahl der rankenden Keywords. Prüfe nach der Veröffentlichung, ob der Link das vereinbarte Attribut trägt, bevor du die Auszahlung freigibst.

Unsere Einschätzung: Weniger Plugins, dafür gepflegte

Die Frage nach dem „besten“ Plugin führt in die Irre. Entscheidend ist, wie viele fremde Programme du mit vollen Rechten auf deinem Blog laufen lässt und ob du sie im Blick behältst. Fünf gepflegte Plugins mit klarer Aufgabe sind sicherer und schneller als zwanzig, die sich irgendwann angesammelt haben.

Ehrlicherweise gehört dazu: Eine feste Obergrenze gibt es nicht, und wir kennen keine belastbare Studie, die eine bestimmte Plugin-Zahl mit Sicherheit oder Ladezeit verknüpft. Ein einziges schlecht gepflegtes Plugin kann mehr Schaden anrichten als zehn gute. Die Prüfung bei trusted blogs umfasst Feed, Themen, Impressum und Mindestqualität, die technische Pflege bleibt deine Aufgabe.

Wie siehst du das? Wie viele Plugins laufen auf deinem Blog, und welches würdest du nie wieder hergeben? Hast du schon einmal eines wegen einer Sicherheitslücke entfernen müssen? Schreib uns deine Erfahrung in die Kommentare.

Dieser Artikel gibt einen Überblick (Stand Oktober 2026) und ersetzt keine Rechtsberatung im Einzelfall.

Quellen

• WordPress.org: Plugin-Verzeichnis, Anzahl laut Plugin-API und aktuelle WordPress-Version (abgerufen 11.10.2026)
• W3Techs: Usage statistics and market share of WordPress (11.10.2026)
• Patchstack: State of WordPress Security in 2026 (aktualisiert 25.02.2026, Daten für 2025)
• Europäische Union: Verordnung (EU) 2024/2847 (Cyber Resilience Act), Art. 14 und Art. 71 (23.10.2024)
• Landgericht München I: Endurteil vom 20.01.2022, 3 O 17493/20 (Google Fonts)
• Telekommunikation-Digitale-Dienste-Datenschutz-Gesetz: § 25 Schutz der Privatsphäre bei Endeinrichtungen
• WordPress.org: Plugin and themes auto-updates (abgerufen 11.10.2026)
• Google Search Central: Core Web Vitals und Google-Suchergebnisse (abgerufen 11.10.2026)
• Google Search Central Blog: Introducing INP to Core Web Vitals (Mai 2023, Update vom 12.03.2024)
• Google Search Central: Ausgehende Links für Google qualifizieren
• Google Search Central: Spamrichtlinien für die Google Websuche