Am 28. August 2026 hat hafenstudios jedes der 70.909 Plugins abgerufen, die im WordPress-Verzeichnis gelistet waren. Das Ergebnis klingt zunächst alarmierend: 41.395 davon, also 58,4 Prozent, hatten seit über einem Jahr keine neue Version bekommen. Wer Websites für Kunden betreut, sollte diese Zahl kennen und sie richtig einordnen können. Sie beschreibt zuerst das Verzeichnis als Ganzes, und das sieht anders aus als eine typische Kundenseite.
Still nach Stückzahl, lebendig nach Nutzung
Gewichtet man die Plugins nach ihren aktiven Installationen, schrumpft der Anteil der stillen auf 3,7 bis 7,8 Prozent. Die Spanne entsteht, weil das Verzeichnis Installationszahlen nur grob gerundet meldet. Der Unterschied erklärt sich aus der Verteilung. Bei Plugins mit weniger als 1.000 Installationen hatten 61,7 Prozent seit über einem Jahr kein Release, bei Plugins ab einer Million Installationen sind es 1,5 Prozent. 67 Plugins tragen zusammen 41,5 bis 60,9 Prozent aller Installationen.
Für die Praxis heißt das: Die großen Namen, die auf fast jeder Kundenseite laufen, werden in aller Regel gepflegt. Das Risiko sitzt in den kleinen Erweiterungen, die irgendwann für einen einzelnen Zweck installiert wurden. Ein Shortcode für eine Tabelle, ein Widget aus dem Relaunch vor vier Jahren, ein Importwerkzeug, das nach dem Umzug niemand mehr entfernt hat.
Still heißt nicht unsicher
Bevor Sie Kunden mit der Zahl konfrontieren, gehört eine Einordnung dazu. Ein Plugin ohne Release seit einem Jahr ist kein Sicherheitsbefund. Manche kleinen Plugins erledigen genau eine Aufgabe, und die funktioniert seit Jahren. Der Census misst nur, wann zuletzt eine Version erschienen ist. Über Schwachstellen oder über die Pflichten aus dem Cyber Resilience Act sagt diese Zahl ausdrücklich nichts.
Ein Hinweis ist ein stilles Plugin trotzdem. Wenn eine neue WordPress- oder PHP-Version erscheint, passt es vermutlich niemand mehr daran an. Und falls doch eine Lücke bekannt wird, fehlt jemand, der sie schließt.
Wenn ein Plugin aus dem Verzeichnis verschwindet
Eine zweite Zahl aus derselben Erhebung ist für Agenturen fast wichtiger. Von 123.970 jemals vergebenen Plugin-Kennungen waren am Stichtag 53.061 nicht mehr gelistet, das sind 42,8 Prozent oder zwei von fünf. Warum eine Kennung fehlt, sagt die Liste nicht. Darunter sind geschlossene Plugins, aber auch Kennungen, unter denen nie eine Version erschienen ist.
Für eine Kundenseite zählt der Einzelfall. Ein installiertes Plugin, das aus dem Verzeichnis genommen wurde, läuft weiter, bekommt über WordPress aber keine Updates mehr. Wer das mitbekommen will, muss gezielt danach schauen.
So prüfen Sie Ihren Bestand
Der Bericht enthält in Abschnitt 7 ein Prüffeld. Sie tragen dort die Kennungen der Plugins ein, die auf einer Seite laufen, eine pro Zeile. Für jede Kennung sehen Sie dann den Stand vom Stichtag: Installationsband, letztes Release, bis zu welcher WordPress-Version der Autor getestet hat, und ob die Kennung noch gelistet war. Die Kennung ist der Ordnername unter wp-content/plugins. Mit WP-CLI holt wp plugin list --field=name die ganze Liste in einem Schritt. Die Abfrage läuft im Browser, die Liste wird nicht übertragen.
Für eine Agentur mit vielen Kundenseiten lohnt sich das als fester Termin. Ein Durchgang dauert je Seite wenige Minuten, und am Ende steht eine kurze Liste der Plugins, über die man mit dem Kunden sprechen sollte.
Was in den Wartungsvertrag gehört
Aus den Zahlen lassen sich drei einfache Regeln ableiten. Erstens bekommt jede Kundenseite eine Plugin-Liste mit Kennung, Zweck und dem Datum der letzten Version, einmal im Quartal aktualisiert. Zweitens wird jedes Plugin ohne Release seit über einem Jahr einzeln bewertet. Läuft die Funktion inzwischen über WordPress selbst oder über ein Plugin, das ohnehin installiert ist, wird das stille entfernt. Drittens gehen vor jedem größeren Update von WordPress oder PHP die stillen Plugins zuerst auf die Testumgebung.
Dieser Aufwand ist überschaubar und lässt sich in einem Wartungsvertrag sauber beschreiben. Er zeigt dem Kunden, wofür er zahlt, und er verhindert eine typische Notlage im Agenturalltag: eine Seite, die nach einem Update nicht mehr lädt, weil ein Plugin aus dem Jahr 2019 mit der neuen PHP-Version nicht zurechtkommt.
Die Daten zum Nachlesen
Der vollständige Plugin-Census 01/2026 von hafenstudios legt Methode, Grenzen und Rohdaten offen, jede Zahl lässt sich nachrechnen. Die erste Ausgabe ist ausdrücklich eine Basislinie. Ob sich die Lage verbessert oder verschlechtert, kann erst eine zweite Erhebung zeigen.
In eigener Sache
Hinter Charming Media und hafenstudios steht derselbe Betreiber. Der Census stammt von Horst Wenzel, der selbst Plugins im WordPress-Verzeichnis veröffentlicht; der Bericht nennt diesen Interessenkonflikt in einem eigenen Abschnitt. Die Empfehlungen oben gelten für jedes Plugin, auch für unsere eigenen.
- 58 Prozent der WordPress-Plugins sind still: was das für Ihre Kundenseiten bedeutet - 29. Oktober 2026
- Fehler im Kurssystem: 17 typische Probleme mit Mitgliederbereichen und ihre Lösung - 27. Oktober 2026
- Echte Kategorieseiten und Besuchszählung ohne Cookies: SEO-Entscheidungen beim B2B-Shop Landwiese - 27. Oktober 2026
