Kontaktformular, Backup, SEO, Cookie-Banner: Für fast jede Aufgabe gibt es ein WordPress-Plugin, meist sogar Dutzende. Das macht WordPress flexibel und gleichzeitig anfällig, denn jedes Plugin bringt eigenen Code, eigene Updates und mögliche Sicherheitslücken mit. Wir zeigen, welche Plugins eine Unternehmenswebsite wirklich braucht, woran Sie gute Plugins erkennen und warum weniger Plugins meist die bessere Wahl sind.
Was ein Plugin ist und wo Sie es finden
Ein Plugin ist eine Erweiterung, die WordPress neue Funktionen hinzufügt, ohne den Kern des Systems zu verändern. Technisch besteht es aus PHP-Code, oft ergänzt um CSS, JavaScript und eigene Tabellen in der Datenbank. Die wichtigste Quelle ist das offizielle Plugin-Verzeichnis auf WordPress.org mit rund 60.000 kostenlosen Plugins. Neue Plugins werden dort vor der Aufnahme geprüft, spätere Updates veröffentlichen die Entwickler aber selbst.
Daneben verkaufen viele Hersteller Premium-Plugins über ihre eigenen Websites. Verbreitet ist das Freemium-Modell: Die Grundversion ist kostenlos im Verzeichnis, erweiterte Funktionen schaltet eine Pro-Version frei, meist mit Jahreslizenz. Installiert werden Plugins im Backend unter Plugins, Installieren. Premium-Plugins laden Sie dort als ZIP-Datei hoch. Finger weg von raubkopierten Premium-Plugins, sogenannten Nulled-Versionen: Sie enthalten oft Schadcode und sind eine bekannte Ursache, wenn eine WordPress-Seite gehackt wird.
Warum weniger Plugins besser sind
Wie viele Plugins zu viele sind, lässt sich nicht mit einer Zahl beantworten. Ein sauber programmiertes Plugin für Weiterleitungen belastet die Website kaum, ein einzelner überladener Page Builder dagegen spürbar. Trotzdem hat jedes Plugin Folgekosten:
- Ladezeit: Viele Plugins laden ihre CSS- und JavaScript-Dateien auf jeder Seite, auch dort, wo sie gar nicht gebraucht werden. Das kostet vor allem auf Smartphones Zeit. Mehr dazu im Artikel Website Ladezeit.
- Sicherheit: Jedes Plugin ist zusätzlicher Code, der Lücken enthalten kann. Die meisten Schwachstellen in WordPress-Installationen stecken in Plugins und Themes, nicht im Kern. Auch deaktivierte Plugins liegen weiter auf dem Server und können angegriffen werden.
- Pflege: Jedes Plugin braucht Updates, und jedes Update kann mit anderen Plugins, dem Theme oder einer neuen WordPress-Version kollidieren.
- Abhängigkeit: Wird ein Plugin eingestellt, bleiben oft Shortcodes, Datenbanktabellen oder Layouts zurück, die Sie mühsam ersetzen müssen.
- Daten: Manche Plugins laden Dateien von fremden Servern oder übertragen Daten an den Hersteller. Das sollten Sie wissen, bevor Sie sie einsetzen.
Prüfen Sie deshalb vor jeder Installation, ob WordPress die Funktion nicht schon selbst mitbringt. Einige frühere Plugin-Klassiker gehören inzwischen zum Kern:
- XML-Sitemap unter /wp-sitemap.xml, seit Version 5.5
- Lazy Loading für Bilder, seit Version 5.5
- Bilder im Format WebP seit Version 5.8, AVIF seit Version 6.5
- Automatische Updates für Plugins und Themes, seit Version 5.5
- Website-Zustand unter Werkzeuge mit Hinweisen zu PHP-Version, HTTPS und veralteten Komponenten
- Wiederherstellungsmodus, der bei schweren Fehlern das verursachende Plugin pausiert
Welche Plugins eine Unternehmenswebsite wirklich braucht
Eine typische Unternehmenswebsite mit Leistungsseiten, Blog und Kontaktformular kommt mit wenigen Plugin-Kategorien aus. Die Namen in der Tabelle sind verbreitete Beispiele aus gängigen Übersichten, keine Empfehlung und keine Werbung. Welches Plugin passt, hängt von Theme, Hosting und Ihren Anforderungen ab.
| Kategorie | Aufgabe | Nötig, wenn | Beispiele |
|---|---|---|---|
| Sicherheit | Firewall, Login-Schutz, Überwachung von Dateiänderungen | fast immer, außer das Hosting übernimmt diese Aufgaben auf Serverebene | Wordfence, Solid Security, NinjaFirewall |
| Backup | automatische Sicherung an einen externen Speicherort | immer, sofern das Hosting keine unabhängigen Sicherungen liefert | UpdraftPlus, BackWPup |
| SEO | Seitentitel, Beschreibungen, Indexierung, Sitemap, strukturierte Daten | wenn Sie über Google gefunden werden wollen | Yoast SEO, Rank Math |
| Caching | fertige Seiten zwischenspeichern und schneller ausliefern | wenn das Hosting keinen Seitencache mitbringt | WP Super Cache, WP Fastest Cache, WP Rocket (kostenpflichtig) |
| Formulare | Kontakt- und Anfrageformulare erstellen | sobald Anfragen über die Website kommen sollen | Contact Form 7, gegen Spam etwa Antispam Bee |
| Datenschutz-Einwilligung | Cookie-Banner, das externe Dienste bis zur Einwilligung blockiert | wenn Analyse-Tools, Karten, Videos oder andere externe Dienste eingebunden sind | Real Cookie Banner, Borlabs Cookie, Complianz |
| Bildoptimierung | Bilder komprimieren und in WebP oder AVIF umwandeln | bei vielen Bildern oder wenn unbearbeitete Fotos hochgeladen werden | EWWW Image Optimizer, Smush |
Sicherheit
Ein einziges Security-Plugin genügt. Zwei Plugins mit derselben Aufgabe behindern sich gegenseitig und machen Fehler schwer auffindbar. Viele Schutzmaßnahmen wie Firewall und Malware-Scan lassen sich außerdem wirksamer auf dem Server umsetzen als innerhalb von WordPress. Einen Vergleich der bekanntesten Security-Plugins finden Sie auf unserer Seite zur WordPress-Sicherheit.
Backup
Bei Backups kommt es vor allem auf den Speicherort an: Mindestens eine Kopie gehört auf einen Speicher außerhalb des Webservers. Welche Backup-Plugins sich wofür eignen und wie Sie die Wiederherstellung testen, erklärt der Artikel WordPress Backup.
SEO
Ein SEO-Plugin ergänzt, was WordPress von Haus aus nicht gut kann: individuelle Seitentitel und Beschreibungen, gezieltes Ausschließen einzelner Seiten aus dem Index und eine steuerbare Sitemap. Nutzen Sie nur eines, zwei SEO-Plugins erzeugen doppelte Angaben im Quelltext. Was darüber hinaus zählt, lesen Sie im Artikel WordPress SEO.
Caching
Ein Seitencache speichert fertige HTML-Seiten, statt sie bei jedem Aufruf neu aus PHP und Datenbank zu erzeugen. Viele gute Hoster bieten das bereits auf dem Server. Dann ist ein zusätzliches Caching-Plugin überflüssig oder sogar hinderlich. Testen Sie nach jeder Einstellung Formulare, Login und bei Shops den Warenkorb, denn aggressive Optimierungen legen solche Funktionen schnell lahm. Welche Werte dabei zählen, erklärt der Artikel Core Web Vitals.
Formulare
Achten Sie bei Formular-Plugins auf zwei Dinge. Erstens auf Spamschutz, der ohne lästige Rätselaufgaben auskommt. Zweitens auf den Mailversand: WordPress verschickt E-Mails standardmäßig über den Webserver, und solche Mails landen häufig im Spam-Ordner. Zuverlässiger ist der Versand über einen echten Mailserver per SMTP, entweder per Plugin oder über die Einstellungen Ihres Hosters. Schicken Sie nach jedem Update eine Testnachricht ab.
Datenschutz-Einwilligung
Technisch muss ein Cookie-Banner vor allem eines leisten: externe Dienste wie Analyse-Tools, Google Maps oder YouTube erst laden, wenn Besucher zugestimmt haben. Ob das klappt, prüfen Sie im Browser mit den Entwicklerwerkzeugen im Reiter Netzwerk. Schriften binden Sie am besten lokal ein, dann entfällt dieser Dienst ganz, Plugins wie OMGF helfen bei Google Fonts. Welche Dienste eine Einwilligung brauchen und was im Banner stehen muss, sind Fragen zur DSGVO, die Sie mit Ihrem Datenschutzbeauftragten klären.
Bildoptimierung
WordPress erzeugt beim Hochladen automatisch mehrere Bildgrößen. Diese Dateien komprimiert ein Optimierungs-Plugin zusätzlich und wandelt sie auf Wunsch in moderne Formate um. Achten Sie darauf, wo die Bilder bearbeitet werden: Manche Plugins arbeiten auf Ihrem Server, andere schicken die Bilder an einen externen Dienst. Die beste Optimierung bleibt, Bilder schon in passender Größe hochzuladen.
Oft sinnvoll, aber nicht immer nötig
- Weiterleitungen: Ein Plugin wie Redirection hilft, wenn sich Adressen ändern, etwa bei einem Relaunch. Viele SEO-Plugins bringen diese Funktion mit. Hintergründe im Artikel 301-Weiterleitung.
- Staging: Bietet Ihr Hoster keine Testumgebung, erstellt ein Plugin wie WP Staging eine Kopie der Website für Tests.
- Wartungsmodus: für größere Umbauten, siehe WordPress Wartungsmodus.
- Shop: WooCommerce, wenn Sie Produkte verkaufen. Das ist ein eigenes Projekt mit eigenen Anforderungen, siehe Onlineshop erstellen lassen.
Darauf können Sie meist verzichten
- Buttons zum Teilen in sozialen Netzwerken, die fremde Skripte laden. Einfache Links erfüllen denselben Zweck.
- Slider und Animations-Pakete, die viel Code für wenig Nutzen laden
- Plugins für Kleinigkeiten, die ein paar Zeilen CSS erledigen
- Mehrere Plugins für dieselbe Aufgabe, etwa zwei SEO- oder zwei Caching-Plugins
- Werkzeuge für einmalige Aufgaben wie Linkprüfung oder Datenbankbereinigung. Nach Gebrauch wieder löschen.
Kriterien für gute Plugins
Bei der Auswahl zählt die zuverlässige Pflege mehr als die Zahl der Funktionen. Die wichtigsten Angaben stehen im Plugin-Verzeichnis direkt neben der Beschreibung:
- Zuletzt aktualisiert: Ein Update in den letzten Monaten spricht für aktive Pflege. Ein Jahr ohne Update ist ein Warnsignal.
- Getestet bis: Idealerweise die aktuelle WordPress-Version. Wurde ein Plugin mit den letzten drei Hauptversionen nicht getestet, zeigt das Verzeichnis einen Warnhinweis.
- Aktive Installationen: Eine hohe Zahl spricht für Verbreitung, und Probleme fallen schneller auf. Wenige Installationen sind kein Ausschlusskriterium, verlangen aber einen genaueren Blick.
- Bewertungen: Lesen Sie gezielt die aktuellen negativen Bewertungen. Sie zeigen, wo es hakt und wie der Entwickler reagiert.
- Support: Das Verzeichnis zeigt, wie viele Anfragen im Support-Forum in den letzten zwei Monaten gelöst wurden. Viele offene Themen ohne Antwort sind ein schlechtes Zeichen.
- Entwickler: Steht ein Unternehmen oder ein aktives Team dahinter, mit Dokumentation und nachvollziehbarem Änderungsprotokoll?
- Anforderungen: Die nötige Version von WordPress und PHP passt zu Ihrem Server.
- Umfang: Das Plugin erledigt Ihre Aufgabe und nicht zwanzig weitere, die Sie nie nutzen.
- Lizenz: Bei Premium-Plugins gibt es Updates nur mit gültiger Lizenz. Läuft sie aus, bekommen Sie auch keine Sicherheitsupdates mehr.
Ein Sonderfall sind geschlossene Plugins. Das Verzeichnis kennzeichnet sie mit dem Hinweis, dass sie nicht mehr zum Download verfügbar sind, oft mit dem Grund, zum Beispiel einem ungelösten Sicherheitsproblem. Ist so ein Plugin bei Ihnen installiert, suchen Sie zeitnah eine Alternative.
Neue Plugins sicher installieren
Ein neues Plugin ist schnell installiert und manchmal schwer wieder loszuwerden. Mit diesem Ablauf vermeiden Sie böse Überraschungen:
Bedarf klären
Welche Aufgabe soll das Plugin lösen? Kann WordPress, Ihr Theme oder ein bereits installiertes Plugin das schon?
Kandidaten prüfen
Vergleichen Sie zwei oder drei Plugins anhand der Kriterien oben und lesen Sie die Beschreibung bis zum Ende, auch den Abschnitt zu externen Diensten.
Backup anlegen
Sichern Sie Dateien und Datenbank, bevor Sie etwas installieren. So kommen Sie jederzeit zum Stand davor zurück.
Auf einer Testumgebung ausprobieren
Installieren und konfigurieren Sie das Plugin zuerst auf einer Staging-Kopie. Aktivieren Sie nur die Module, die Sie wirklich brauchen.
Messen und testen
Vergleichen Sie die Ladezeit vorher und nachher und prüfen Sie Formulare, Menü und die mobile Ansicht.
Dokumentieren
Führen Sie eine kurze Liste: Plugin, Zweck, Lizenz, Ablaufdatum, Ansprechpartner. Beim nächsten Aufräumen wissen Sie dann, wofür jedes Plugin da ist.
Wenn Plugins sich nicht vertragen
Funktioniert nach einer Installation oder einem Update plötzlich etwas nicht mehr, steckt oft ein Konflikt zwischen zwei Plugins oder zwischen Plugin und Theme dahinter. Die klassische Fehlersuche: alle Plugins deaktivieren, dann eines nach dem anderen wieder einschalten, bis der Fehler auftritt. Auf einer Live-Website ist das heikel. Das kostenlose Plugin Health Check & Troubleshooting aus dem offiziellen Verzeichnis bietet einen Modus, in dem Plugins und Theme nur für Ihre eigene Sitzung abgeschaltet werden, Besucher sehen weiter die normale Seite.
Kommen Sie gar nicht mehr ins Backend, deaktivieren Sie ein Plugin per SFTP, indem Sie seinen Ordner unter wp-content/plugins umbenennen. Wie Sie nach einem fehlerhaften Update Schritt für Schritt vorgehen, zeigt der Artikel WordPress Updates.
Plugins regelmäßig aufräumen
Einmal im Jahr lohnt ein kritischer Blick auf die Plugin-Liste. Wird jedes Plugin noch gebraucht? Gibt es Überschneidungen? Wurde eines lange nicht aktualisiert? Nicht mehr benötigte Plugins deaktivieren Sie, testen die Website und löschen sie danach. Viele Plugins hinterlassen beim Löschen Einstellungen oder eigene Tabellen in der Datenbank. Manche bieten in ihren Einstellungen eine Option, diese Daten beim Deinstallieren mit zu entfernen. Legen Sie vor jeder Bereinigung der Datenbank ein Backup an.
Schlanke WordPress-Websites mit wenigen Plugins
Weniger Plugins, weniger Pflege
Als WordPress-Agentur entwickeln wir Websites mit eigenem Theme statt Page-Builder. Damit entfällt eine ganze Reihe von Plugins, die sonst nur für Layout und Gestaltung nötig wären. Für bestehende Websites prüfen wir im kostenlosen Website-Check unter anderem veraltete Software und Plugins. Die laufenden Updates mit Backup und Test übernimmt auf Wunsch unsere WordPress-Wartung.
Häufige Fragen
Wie viele Plugins sind zu viele?
Eine feste Grenze gibt es nicht. Es kommt darauf an, was die Plugins laden und wie gut sie gepflegt sind. Als Faustregel gilt: Jedes Plugin muss einen klaren Zweck haben, den WordPress oder das Theme nicht selbst erfüllen. Doppelte Funktionen und ungenutzte Plugins gehören gelöscht.
Sind WordPress-Plugins kostenlos?
Die Plugins im offiziellen Verzeichnis sind kostenlos. Viele davon haben eine kostenpflichtige Pro-Version mit Jahreslizenz. Rein kommerzielle Plugins kaufen Sie direkt beim Hersteller. Planen Sie die jährlichen Lizenzen ein, denn ohne gültige Lizenz gibt es keine Updates.
Sind deaktivierte Plugins ein Sicherheitsrisiko?
Ja. Ein deaktiviertes Plugin liegt weiter auf dem Server, und manche Sicherheitslücken lassen sich auch dann ausnutzen. Plugins, die Sie nicht mehr brauchen, sollten Sie deshalb nicht nur deaktivieren, sondern löschen.
Kann ich zwei Security- oder Caching-Plugins gleichzeitig nutzen?
Davon ist abzuraten. Zwei Plugins mit derselben Aufgabe greifen an denselben Stellen ein, behindern sich und erschweren die Fehlersuche. Wählen Sie für jede Aufgabe genau ein Plugin, und prüfen Sie vorher, was Ihr Hosting bereits erledigt.
Woran erkenne ich, ob ein Plugin noch gepflegt wird?
Im Plugin-Verzeichnis stehen das Datum des letzten Updates, die zuletzt getestete WordPress-Version und die Aktivität im Support-Forum. Ein Jahr ohne Update, ein Warnhinweis zu fehlenden Tests oder viele unbeantwortete Anfragen sprechen dafür, sich nach einer Alternative umzusehen.
