Plugins sterben leise. Kein Abschiedsbeitrag, keine Warnung im Dashboard — der Entwickler hört einfach auf, und das Plugin verrichtet scheinbar brav weiter seinen Dienst. Gefährlich wird es in dem Moment, in dem eine Sicherheitslücke bekannt wird: Bei gepflegten Plugins kommt der Patch, bei verwaisten kommt niemand. Angreifer wissen das — automatisierte Scans suchen gezielt nach Websites mit bekannten, nie geschlossenen Lücken. So erkennst du die Kandidaten, bevor es so weit kommt.
Die sechs Warnsignale
Alle Angaben findest du auf der Plugin-Seite im offiziellen WordPress-Verzeichnis — Prüfzeit: etwa drei Minuten pro Plugin.
- Letzte Aktualisierung lange her: Das deutlichste Signal. Bei mehr als einem Jahr ohne Update wird es bedenklich, ab zwei Jahren zeigt das Verzeichnis selbst eine Warnung an — dann ist die Frage nicht ob, sondern wann du wechselst.
- „Getestet bis“-Angabe hinkt hinterher: Bleibt die Kompatibilitätsangabe mehrere WordPress-Hauptversionen zurück, testet dort niemand mehr.
- Support-Forum verwaist: Offene Fragen stapeln sich seit Monaten ohne Antwort des Entwicklers — die Betreuung ist faktisch eingestellt, auch wenn noch Updates kämen.
- Aus dem Verzeichnis verschwunden: Wird ein Plugin geschlossen („closed“), steckt oft eine ungepatchte Sicherheitslücke dahinter. Tückisch: Deine installierte Kopie läuft weiter und bekommt nie wieder ein Update — solche Fälle haben höchste Priorität.
- Entwickler-Website tot: Bei Plugins außerhalb des Verzeichnisses (gekaufte Themes-Bundles!) ist die Anbieter-Website der einzige Update-Kanal — ist sie verschwunden, ist es das Plugin auch.
- Warnungen der Sicherheits-Community: Für WordPress-Plugins werden laufend Schwachstellen veröffentlicht und in öffentlichen Datenbanken katalogisiert. Ein Blick, ob dein Plugin dort mit ungepatchten Einträgen steht, gehört zur Prüfung.
Sonderfall: Premium-Plugins aus Theme-Paketen
Ein unterschätztes Risiko sind Plugins, die gekauften Themes beilagen (Slider, Page-Builder-Komponenten und Ähnliches). Sie aktualisieren sich oft nur über das Theme — und wenn dessen Lizenz ausläuft oder der Theme-Anbieter das Interesse verliert, sitzt du auf eingefrorenem Code mit Geschichte: Einige der größten WordPress-Sicherheitsvorfälle der vergangenen Jahre liefen über genau solche mitgelieferten Komponenten. Prüfe bei Theme-Bundles gezielt, welche Plugin-Versionen installiert sind und ob es dafür noch eine Update-Quelle gibt.
Fund bestätigt — was jetzt?
- Priorisieren: Geschlossene Plugins und solche mit bekannten Lücken sofort angehen; „nur lange nicht aktualisiert“ darf geordnet ersetzt werden.
- Ersatz suchen, nicht einfach löschen: Erst klären, welche Funktion wegfällt — dann einen gepflegten Nachfolger auswählen (aktive Entwicklung, brauchbares Support-Forum, ausreichende Verbreitung). Die Auswahl-Kriterien aus unseren Vergleichen (Backup, Security, Formulare) gelten überall.
- Sauber wechseln: Backup, Nachfolger einrichten, Alt-Plugin deaktivieren, testen, löschen, Datenbank-Reste aufräumen — der gleiche geordnete Ablauf wie beim Ausmisten.
- Ohne Ersatz leben können ist auch eine Antwort: Manche Funktion braucht schlicht kein Plugin mehr — das prüft sich mit den vier Inventur-Fragen.
Vorbeugen: die Halbjahres-Routine
Zweimal im Jahr die Plugin-Liste gegen die sechs Warnsignale halten — eine Viertelstunde, die das häufigste Einbruchsszenario entschärft. Wer es gründlicher mag, kombiniert das mit der kompletten Plugin-Inventur. Und falls der Verdacht besteht, dass bereits etwas passiert ist: WordPress gehackt — was tun.
So machen wir es bei Ammera
Genau diese Prüfung läuft bei uns nicht halbjährlich, sondern dauerhaft: Unsere Plattform kennt das Plugin-Inventar jeder betreuten Website und gleicht es laufend mit veröffentlichten Sicherheitslücken ab — wird eines deiner Plugins auffällig, erfahren wir es, nicht die Angreifer. Zusammen mit Pflicht-Backups und Update-Betreuung im Core-Modul ist das stille Sterben von Plugins damit kein stilles Risiko mehr. Zu den Modulen oder erst der kostenlose Website-Check — er erkennt installierte Plugins von außen und weist auf bekannte Problemfälle hin.
