Wordpress CMS als professionelle Lösung - ist das System zu unrecht verkannt?

„Wie wäre es mit WordPress?“ — diese Frage erntet in Kundengesprächen oft ein Stirnrunzeln. Das Content-Management-System, das seit 2003 aus einer Blog-Software hervorgegangen und seither erheblich gewachsen ist, gilt vielen als Werkzeug für private Seiten, nicht für Unternehmen. Die Skepsis speist sich meist aus zweiter Hand: aus der Erinnerung an eine gehackte Seite, aus dem Ruf als „nur ein Blog”, aus einer schlecht gelaufenen Installation im Bekanntenkreis.

Die Wahrheit liegt dazwischen. WordPress ist das mit Abstand am weitesten verbreitete CMS, und ein erheblicher Teil bekannter Medien- und Unternehmensseiten läuft darauf. Es ist aber auch das System, bei dem der Abstand zwischen einer gut und einer schlecht betriebenen Installation am größten ist. Wer entscheiden will, ob es passt, sollte drei Dinge kennen: was es heute kann, wo es an Grenzen stößt und was der Betrieb tatsächlich verlangt.

Was sich seit dem Block-Editor geändert hat

Der einschneidendste Umbau der letzten Jahre war der Wechsel des Editors. Ende 2018 löste der Block-Editor — Projektname Gutenberg — die klassische Textbox ab. Inhalte werden seither aus einzelnen Blöcken zusammengesetzt: Absatz, Überschrift, Bild, Spaltenlayout, Tabelle, eingebettetes Video.

Der praktische Unterschied zeigt sich in der Redaktion. Vorher endeten anspruchsvollere Layouts entweder in HTML im Textfeld oder in einem Shortcode-Wirrwarr aus dem jeweiligen Theme — mit dem bekannten Effekt, dass beim Themewechsel die halbe Website in Kurzcodefragmenten zerfiel. Blöcke sind strukturierte Daten und überleben den Wechsel. Wiederverwendbare Blöcke und Block-Vorlagen erlauben es außerdem, ein Layout einmal festzulegen und der Redaktion zur Verfügung zu stellen, ohne dass sie es jedes Mal neu zusammenbaut.

Seit Anfang 2022 reicht das über den Inhaltsbereich hinaus: Mit dem Site-Editor und sogenannten Block-Themes lassen sich auch Kopf- und Fußbereich, Archivseiten und Einzelansichten in derselben Oberfläche gestalten — Full Site Editing. Für redaktionsgetriebene Seiten ist das ein echter Zugewinn an Selbstständigkeit. Für Projekte mit strengen Gestaltungsvorgaben ist es umgekehrt oft ein Grund, den Zugriff bewusst einzuschränken, damit das Corporate Design nicht innerhalb eines Jahres zerfasert.

Headless: WordPress nur als Redaktionssystem

Die zweite größere Entwicklung ist weniger sichtbar, aber für anspruchsvolle Projekte die interessantere. Seit Ende 2016 gehört eine REST-API zum Kern des Systems. Damit lassen sich Beiträge, Seiten, Medien und eigene Inhaltstypen als JSON abrufen und verändern — unabhängig davon, was WordPress selbst im Browser darstellt.

Daraus ergibt sich der Headless-Betrieb: WordPress dient nur noch als Redaktionsoberfläche, die Ausgabe übernimmt eine eigenständig gebaute Anwendung. Die Redaktion arbeitet in einer Umgebung, die sie kennt; die ausgelieferte Seite ist davon technisch entkoppelt und kann statisch erzeugt, aggressiv zwischengespeichert oder in eine bestehende Anwendung eingebettet werden.

Das lohnt sich nicht immer. Man handelt sich zwei Systeme statt einem ein, die Live-Vorschau funktioniert nicht mehr von selbst, und ein Teil des Plugin-Ökosystems greift ins Frontend ein und fällt damit weg. Sinnvoll ist der Aufbau dort, wo Inhalte an mehreren Stellen gebraucht werden — Website, App, Partnerportal — oder wo an die Auslieferung Anforderungen gestellt werden, die ein PHP-System im Live-Rendering nicht erfüllt. Wie so etwas aufgesetzt wird, beschreibt unsere Seite zur Webentwicklung.

Wo WordPress nicht die richtige Wahl ist

Ein Argument für ein System ist wenig wert, wenn nie gesagt wird, wann es nicht trägt.

Bei Shops hängt es am Umfang. WooCommerce erweitert WordPress um Shop-Funktionen und ist bei überschaubaren Sortimenten eine wirtschaftliche Lösung, besonders wenn ohnehin ein inhaltlicher Schwerpunkt besteht. Bei großen Katalogen, komplexen Preislogiken oder ausgeprägten B2B-Anforderungen stößt der Aufbau an Grenzen — dazu steht mehr auf unserer Seite zum E-Commerce.

Bei Anwendungen mit eigener Fachlogik — Konfiguratoren, Buchungssysteme, Portale mit Rollen und Freigaben — wird WordPress schnell zum Fremdkörper. Es ist ein Inhaltssystem, kein Anwendungsrahmen. Man kann beides hineinbauen, zahlt aber dauerhaft dafür. Der Vergleich mit anderen Systemen steht auf der Seite zu Content-Management-Systemen, und wo die Grenze zur Eigenentwicklung verläuft, behandeln wir unter individuelle Weblösungen.

Der Punkt, an dem es tatsächlich schiefgeht

Die verbreitete Vorstellung, WordPress sei unsicher, trifft den Kern nicht. Der Kern des Systems wird aktiv gepflegt, und Sicherheitsaktualisierungen werden seit Jahren automatisch im Hintergrund eingespielt. Der weit überwiegende Teil der Sicherheitslücken, die in der Praxis ausgenutzt werden, stammt nicht aus dem Kern, sondern aus Erweiterungen und Themes — und dort meist aus solchen, die seit Jahren kein Update mehr gesehen haben.

Genau hier liegt der Unterschied zwischen einer professionell betriebenen und einer sich selbst überlassenen Installation. Das Muster ist immer dasselbe: Eine Seite wird gebaut, dabei werden zwanzig Plugins installiert, um einzelne Kleinigkeiten zu lösen. Danach kümmert sich niemand mehr. Nach drei Jahren sind vier davon nicht mehr weiterentwickelt, zwei kollidieren miteinander, niemand traut sich mehr zu aktualisieren, weil unklar ist, was dabei kaputtgeht — und irgendwann steht Werbung für Glücksspiel im Footer.

Was Betrieb praktisch bedeutet:

• Wenige Plugins. Jedes Plugin ist fremder Code mit vollen Rechten in der Installation. Die Frage vor der Installation lautet nicht „hilft es?“, sondern „ist es das dauerhafte Risiko wert?”.
• Herkunft prüfen. Wann kam das letzte Update, wie reagiert der Anbieter auf gemeldete Lücken, wie viele Installationen gibt es? Ein Plugin mit fünfzig Nutzern und zwei Jahre altem Stand gehört nicht auf eine Firmenseite.
• Updates in einer Testumgebung. Kernaktualisierungen und größere Plugin-Sprünge werden auf einer Kopie geprüft, nicht live. Ohne Testumgebung bleibt jedes Update ein Blindflug, und genau deshalb unterbleibt es irgendwann.
• Sicherungen, die zurückgespielt wurden. Ein Backup, das noch nie getestet wurde, ist eine Vermutung. Dazu gehören Datenbank und Dateien.
• Zugänge absichern. Individuelle Konten statt eines gemeinsamen Admin-Logins, Zwei-Faktor-Authentifizierung, Begrenzung fehlgeschlagener Anmeldeversuche, Abschalten nicht benötigter Schnittstellen.
• Aktuelle PHP-Version. Sie wird beim Betrieb regelmäßig übersehen und ist einer der wirksamsten Einzelpunkte — für die Sicherheit wie für die Geschwindigkeit.
• Aufräumen. Deaktivierte Plugins und ungenutzte Themes bleiben angreifbar, solange die Dateien auf dem Server liegen. Deaktivieren genügt nicht, löschen schon.

Datenschutzrechtlich kommt dazu, dass viele Erweiterungen Ressourcen von fremden Servern nachladen oder Cookies setzen, ohne dass es jemand bemerkt. Was dabei zu prüfen ist, steht auf unserer Seite zur DSGVO-Umsetzung für WordPress.

Also professionell oder nicht?

WordPress ist ein professionelles System, das mit sehr geringen Einstiegshürden ausgeliefert wird. Beides gehört zusammen — und die niedrige Hürde ist der Grund für den zwiespältigen Ruf: Weil jeder eine Installation aufsetzen kann, gibt es sehr viele schlechte.

Als Redaktionssystem für inhaltsgetriebene Websites ist es eine solide Wahl, im Headless-Betrieb auch für anspruchsvollere Aufbauten. Die eigentliche Entscheidung liegt aber weniger beim System als bei der Frage, ob jemand die Installation über die Jahre pflegt. Wo das geklärt ist, spricht wenig dagegen. Wo es nicht geklärt ist, wird auch ein teureres System die Sache nicht retten.