WordPress-Plugin-Audit — wissen, was auf deiner Website läuft.
30 Plugins, die Hälfte davon weiß niemand mehr wofür, zwei seit Jahren ohne Update, und die Seite lädt immer langsamer? Ein Plugin-Audit schafft Klarheit: Was ist sicher, was ist überflüssig, was bremst — und in welcher Reihenfolge wird aufgeräumt.
Ein Plugin-Audit ist eine systematische Prüfung aller installierten WordPress-Plugins auf Sicherheitslücken, Pflegezustand, Ladezeit-Einfluss, Konflikte, Datenschutz und Notwendigkeit. Ergebnis ist ein priorisierter Bericht mit konkreten Empfehlungen: behalten, aktualisieren, ersetzen, entfernen oder durch eine schlanke eigene Lösung ablösen.
Wann ein Audit sinnvoll ist.
- Die Website ist langsam, und niemand weiß genau, warum.
- Updates werden aus Angst nicht eingespielt, weil danach schon einmal etwas kaputt war.
- Die Website wurde von einem früheren Dienstleister übernommen.
- Es gab Spam, Warnungen oder einen Sicherheitsvorfall.
- Vor einem Relaunch soll klar sein, was mitgenommen wird.
- Die Datenschutzerklärung soll zu dem passen, was tatsächlich eingebunden ist.
Was geprüft wird.
| Bereich | Prüfpunkte |
|---|---|
| Sicherheit | Bekannte Schwachstellen, veraltete Versionen, verlassene Plugins, riskante Formulare und Upload-Funktionen |
| Pflegezustand | Letztes Update, Kompatibilität mit WordPress und PHP, Reaktion des Herstellers |
| Notwendigkeit | Wird das Plugin genutzt? Gibt es Überschneidungen mit anderen Plugins oder dem Theme? |
| Ladezeit | Welche Skripte und Styles lädt es wo, wie viele Datenbankabfragen erzeugt es? |
| Konflikte | JavaScript-Fehler, doppelte Bibliotheken, Fehlermeldungen im Protokoll |
| Datenschutz | Externe Verbindungen, Cookies, Datenübertragungen, Abgleich mit der Datenschutzerklärung |
| Datenbank | Reste deinstallierter Plugins, automatisch geladene Optionen, aufgeblähte Tabellen |
| Veränderungen am Code | Wurden Plugin-Dateien direkt verändert? Vergleich mit Originalversionen |
| Lizenzen | Abgelaufene Premium-Lizenzen ohne Updates, Kosten pro Jahr |
Selbst-Check in zehn Minuten.
Einen ersten Eindruck bekommst du ohne Hilfe:
- Plugins-Seite öffnen: Wie viele sind installiert, wie viele deaktiviert? Deaktivierte Plugins, die nicht gebraucht werden, entfernen — auch deaktiviert können sie ein Risiko sein.
- Updates prüfen: Welche Plugins warten auf Aktualisierung?
- Letztes Update je Plugin auf der Plugin-Seite bei wordpress.org nachsehen.
- Website-Zustand unter Werkzeuge öffnen: WordPress zeigt dort kritische Probleme und Empfehlungen.
- Bei jedem Plugin fragen: Weiß ich, wofür es da ist?
Bei Unklarheiten in Schritt 5 oder mehreren Plugins ohne Updates lohnt eine gründliche Prüfung.
# Alle Plugins mit Status, Version und verfügbaren Updates
wp plugin list --fields=name,status,version,update,update_version
# Wurden Plugin-Dateien gegenüber der Originalversion verändert?
# (funktioniert für Plugins aus dem wordpress.org-Verzeichnis)
wp plugin verify-checksums --all
# Größe der automatisch geladenen Optionen (häufige Bremse)
wp db query "SELECT SUM(LENGTH(option_value)) AS bytes FROM wp_options WHERE autoload IN ('yes','on','auto-on','auto')"
WP-CLI muss auf dem Server verfügbar sein, bei vielen Hostern ist es per SSH nutzbar. Das Tabellenpräfix wp_ kann abweichen. Die Befehle verändern nichts — sie lesen nur.
Der Bericht.
Am Ende steht kein 80-seitiges PDF, sondern eine priorisierte Liste:
| Priorität | Bedeutung | Beispiel |
|---|---|---|
| Sofort | Sicherheitsrisiko | Plugin mit bekannter Lücke, seit Jahren verlassen |
| Bald | Deutlicher Einfluss auf Ladezeit oder Stabilität | Slider-Plugin lädt 400 KB auf jeder Seite |
| Aufräumen | Überflüssig oder doppelt | Zwei Cookie-Plugins, ungenutztes Galerie-Plugin |
| Beobachten | Aktuell unkritisch, langfristig ersetzen | Premium-Plugin mit auslaufender Lizenz |
Zu jedem Punkt steht die Empfehlung — behalten, aktualisieren, ersetzen, entfernen oder durch eine schlanke eigene Lösung ablösen — und der geschätzte Aufwand.
Sicher aufräumen.
- Vollständiges Backup von Dateien und Datenbank.
- Kopie der Website als Testumgebung.
- Änderungen dort Punkt für Punkt umsetzen und nach jedem Schritt testen.
- Wichtige Wege prüfen: Formulare, Shop, Anmeldung, Sprachen.
- Auf der Live-Seite umsetzen, zu ruhiger Zeit.
- Ladezeit und Fehlerprotokolle vorher und nachher vergleichen.
Individuelle Plugins prüfen.
Auch selbst entwickelte oder von Dienstleistern programmierte Plugins gehören ins Audit. Hier wird zusätzlich der Code gelesen: Werden Eingaben geprüft und Ausgaben maskiert, Formulare mit Nonces geschützt, Berechtigungen abgefragt, Datenbankabfragen sicher gestellt? Werden Skripte nur dort geladen, wo sie gebraucht werden? Ist das Plugin mit der aktuellen PHP-Version kompatibel?
Wurden direkt Änderungen an fremden Plugins vorgenommen, zeigt Plugin anpassen lassen, wie sie sauber überführt werden.
Ablauf.
- Zugang: Administrator-Konto, idealerweise SSH oder Hosting-Zugang.
- Bestandsaufnahme aller Plugins, Theme, WordPress- und PHP-Version.
- Prüfung nach den oben genannten Bereichen, ohne Änderungen an der Live-Seite.
- Bericht mit Prioritäten und Aufwand, kurz besprochen.
- Optional: Umsetzung auf einer Testumgebung und Livegang.
Kosten.
Ein Audit einer typischen Unternehmenswebsite mit bis zu etwa 30 Plugins liegt im Bereich kleiner Erweiterungen ab etwa 800 €. Shops, sehr viele Plugins oder die Code-Prüfung individueller Plugins sind aufwendiger. Die Umsetzung der Empfehlungen wird separat nach Umfang angeboten. Laufende Pflege bestehender Seiten: WordPress Hilfe und Wartung.
Zusatzfunktion, Anpassung eines bestehenden Plugins, kleiner Rechner oder Shortcode.
Eigene Inhaltstypen, Einstellungen im Backend, Formulare, Logik, Dokumentation.
Schnittstellen zu CRM, ERP oder Zahlungsdiensten, Mitgliederbereiche, Lernplattformen.
Orientierungswerte, keine Fixpreise — nach einem kurzen Gespräch bekommst du ein Festpreisangebot.
Wer die Plugins entwickelt.
Ich bin Manuel Killert, WordPress-Entwickler aus Quakenbrück. Seit 2020 baue ich WordPress-Websites, seit einigen Jahren auch eigene Plugins: einen Bürgergeldrechner und einen Mietprüfer für das Jobcenter Cloppenburg, das Lernplattform-Plugin hinter spanisch-lernen.com mit über 300 Lektionen, KI-Generatoren für Content-Plattformen und 3D-Konfiguratoren als WordPress-Plugins. Als Dozent an der KW Design Akademie unterrichte ich unter anderem Plugin-Entwicklung. Du sprichst direkt mit der Person, die den Code schreibt.
Echte Projekte — live ansehen.
Eigene Plugins und individuelle Funktionen aus meinen Projekten.
Markenfest
Stärkerer Online-Shop — Webdesign, Content und individuelle Shop-Funktionen.
Website ansehen ↗
Jobcenter Cloppenburg
Bürgergeldrechner und Mietprüfer als eigene WordPress-Funktionen — durchdachte Formulare für echte Nutzer.
Fusion Foodie
Auftritt für Rezeptideen mit KI-Rezeptgenerator und SEO-Fundament.
Website ansehen ↗FAQ — WordPress-Plugin-Audit.
Was ist ein WordPress-Plugin-Audit?
Eine systematische Prüfung aller installierten Plugins auf Sicherheitslücken, Pflegezustand, Einfluss auf die Ladezeit, Konflikte, Datenschutz, Notwendigkeit und veränderten Code. Ergebnis ist ein priorisierter Bericht mit Empfehlungen, welche Plugins behalten, aktualisiert, ersetzt oder entfernt werden sollten.
Wann sollte ich meine Plugins prüfen lassen?
Wenn die Website langsam ist, Updates aus Angst nicht eingespielt werden, die Seite von einem früheren Dienstleister übernommen wurde, es Spam oder einen Sicherheitsvorfall gab, ein Relaunch ansteht oder die Datenschutzerklärung mit den eingebundenen Diensten abgeglichen werden soll.
Sind deaktivierte Plugins ein Sicherheitsrisiko?
Sie können eines sein, weil ihre Dateien weiterhin auf dem Server liegen. Plugins, die nicht mehr gebraucht werden, sollten deshalb nicht nur deaktiviert, sondern gelöscht werden.
Wie viele Plugins sind zu viele?
Es gibt keine feste Grenze. Entscheidend ist, ob jedes Plugin gebraucht wird, gepflegt ist, sich nicht mit anderen überschneidet und nur dort Skripte lädt, wo es nötig ist. Wenige schlecht gebaute Plugins können mehr schaden als viele gute.
Kann ich meine Plugins selbst prüfen?
Einen ersten Eindruck ja: installierte und deaktivierte Plugins zählen, ausstehende Updates und das Datum des letzten Updates prüfen, den Website-Zustand unter Werkzeuge öffnen und bei jedem Plugin klären, wofür es da ist. Für Code, Ladezeit und Datenschutz ist eine gründliche Prüfung sinnvoll.
Was kostet ein Plugin-Audit?
Ein Audit einer typischen Unternehmenswebsite mit bis zu etwa 30 Plugins liegt im Bereich ab etwa 800 Euro. Shops, sehr viele Plugins oder die Code-Prüfung individueller Plugins sind aufwendiger. Die Umsetzung der Empfehlungen wird separat angeboten.
Das bin ich – rechts im BildErzähl mir von deiner neuen Website.
Beschreib kurz, was du vorhast — du bekommst eine ehrliche Einschätzung zu Umfang, Zeit und Kosten.
Antwort meist innerhalb von 24 Stunden · hallo@manuelkillert.de