WordPress-Plugins auswählen, bewerten und aufräumen

Ein Plugin läuft mit denselben Rechten wie WordPress selbst: Es kann Ihre Datenbank lesen und ändern, Dateien anlegen und E-Mails versenden. Wenn Sie ein Plugin installieren, vertrauen Sie also dem Entwickler. Veraltete und schlecht gepflegte Plugins sind ein häufiger Einstiegspunkt für Angreifer. Hier erfahren Sie, wie Sie ein Plugin vor der Installation beurteilen und wie Sie aufräumen, was Sie nicht mehr benötigen.

Zuerst: Brauchen Sie dafür überhaupt ein Plugin?

Kann WordPress das selbst? Spalten, Buttons, Tabellen, eine einfache Sitemap und Lazy Loading von Bildern sind bereits enthalten.
Kann Ihr Theme das? Bei einem Block-Theme regeln Sie vieles im Website-Editor.
Haben Sie bereits ein Plugin, das dies erledigt? Zwei Plugins für denselben Zweck, etwa zwei Cache-Plugins, zwei SEO-Plugins oder zwei Sicherheits-Plugins, behindern sich gegenseitig und verursachen Fehler.

Es gibt keine feste Obergrenze. Aber jedes Plugin muss gepflegt werden, kann mit anderen kollidieren und eine Sicherheitslücke haben. Eine Website mit wenigen, gut ausgewählten Plugins lässt sich leichter gesund halten.

Woher beziehen Sie Plugins?

Aus dem Plugin-Verzeichnis von wordpress.org, auch erreichbar über Plugins > Neues Plugin hinzufügen in Ihrem Dashboard.
Von der Website eines bekannten Entwicklers, für kostenpflichtige Plugins und Erweiterungen.
Niemals von Websites, die kostenpflichtige Plugins gratis anbieten. Solche Nulled-Plugins enthalten oft eine Hintertür oder Spam-Links, und sie erhalten keine Updates.

Warnsignale auf der Plugin-Seite

Merkmal	Warnsignal
Zuletzt aktualisiert	Vor mehr als einem Jahr. Dann funktioniert es mit neuen Versionen von WordPress und PHP möglicherweise nicht mehr richtig.
Getestet bis (WordPress-Version)	Eine deutlich ältere Version als die aktuelle. Auf wordpress.org wird dann ein Warnhinweis auf der Seite angezeigt.
Erforderliche PHP-Version	An sich kein Warnsignal, prüfen Sie aber, ob sie zur PHP-Version Ihres Pakets passt.
Aktive Installationen	Sehr wenige: Dann bemerken nur wenige Menschen Fehler. Nicht immer schlecht, aber genauer hinsehen.
Bewertungen und Support	Viele aktuelle schlechte Bewertungen oder Fragen im Forum, auf die der Entwickler nicht reagiert.
Geschlossenes Plugin	Die Seite meldet, dass das Plugin geschlossen wurde, manchmal mit Angabe des Grundes, etwa ein Sicherheitsproblem. Ersetzen Sie es.

Prüfen Sie außerdem eine öffentliche Datenbank mit bekannten Sicherheitslücken in WordPress-Plugins, etwa die von Patchstack, Wordfence oder WPScan. Eine Lücke, die schnell behoben wurde, ist kein Problem. Ein Entwickler, der monatelang nichts unternimmt, schon. Achten Sie auch darauf, was das Plugin mit den Daten Ihrer Besucher macht: Sendet es diese an einen Dienst des Entwicklers, gehört das in Ihre Datenschutzerklärung.

Deaktivieren oder löschen?

	Deaktivieren	Löschen
Was passiert?	WordPress lädt das Plugin nicht mehr. Die Dateien bleiben in `wp-content/plugins` erhalten.	Die Dateien werden entfernt. Manche Plugins räumen auch ihre Einstellungen und Tabellen in der Datenbank auf, andere lassen diese bestehen.
Risiko	Eine Lücke in einer einzelnen Datei des Plugins bleibt erreichbar. Angreifer suchen nach bekannten verwundbaren Dateien, nicht nach aktiven Plugins.	Weg ist weg. Ihre Einstellungen gehen möglicherweise verloren.
Wann?	Nur vorübergehend, zum Beispiel bei der Fehlersuche.	Wenn Sie das Plugin nicht mehr verwenden.

Das gilt auch für Themes, die Sie nicht verwenden. Löschen Sie ein Plugin unter Plugins: zuerst Deaktivieren, danach Löschen.

Aufräumen: eine feste Routine

Gehen Sie Ihre Plugins zum Beispiel jedes Quartal durch und stellen Sie sich zu jedem Plugin vier Fragen:

Wofür ist es da? Wenn Sie es nicht mehr wissen, finden Sie es heraus.
Wird es noch verwendet? Ein Slider-Plugin, obwohl nirgends ein Slider vorhanden ist, kann weg.
Geht es auch ohne, weil WordPress, das Theme oder ein anderes Plugin das bereits erledigt?
Wird es noch gepflegt? Achten Sie auf die oben genannten Warnsignale.

Erstellen Sie zuerst ein Backup oder arbeiten Sie auf einer Kopie, siehe WordPress-Staging-Umgebung erstellen. Löschen Sie jeweils nur ein Plugin und prüfen Sie danach, ob Ihre Website noch funktioniert. Achten Sie auf Shortcodes: Löschen Sie ein Plugin, das beispielsweise [formulier id="2"] bereitgestellt hat, erscheint dieser Text danach wortwörtlich auf Ihrer Seite.

Befindet sich Ihre Website im Website Manager von Mein WebOké, sehen Sie unter Verwalten > Plugins & Themes alle Ihre Plugins und Themes mit ihrer Version und können sie dort aktualisieren. Siehe Geht das auch in Mein WebOké? Der Website Manager.

Ein Plugin abschalten, wenn das Dashboard nicht funktioniert

Verursacht ein Plugin einen kritischen Fehler oder eine weiße Seite, können Sie es abschalten, indem Sie seinen Ordner in wp-content/plugins umbenennen. WordPress sendet bei einem solchen Fehler oft auch eine E-Mail mit einem Link zum Wiederherstellungsmodus. Wie das Schritt für Schritt funktioniert, lesen Sie in Fehler 500 oder „kritischer Fehler“ auf Ihrer Website (auch nach einem WordPress-Update). Sperrt Sie ein Sicherheits-Plugin aus, siehe Ich kann mich nicht bei WordPress anmelden: Was nun?