Plugin wird nicht mehr gepflegt: was tun?

Wenn ein Plugin nicht mehr gepflegt wird, funktioniert es oft noch jahrelang. Es bekommt aber keine Sicherheitsupdates mehr. Wird darin eine Lücke bekannt, bleibt sie offen, und jede Website, auf der das Plugin läuft, ist angreifbar.

Das ist kein seltener Fall: Neu bekannte Sicherheitslücken rund um WordPress betreffen zum größten Teil Plugins, kaum WordPress selbst. Hier steht, wie Sie die Warnungen im Plugin-Verzeichnis einordnen, wie dringend es in Ihrem Fall ist und wie Sie ein Plugin geordnet ersetzen, ohne dass die Website bricht.

Drei Warnzeichen und was sie bedeuten

Ob ein Plugin noch gepflegt wird, sehen Sie im WordPress-Plugin-Verzeichnis auf der Seite des Plugins. Dort stehen „Zuletzt aktualisiert“ und „Getestet bis“, also die WordPress-Version, mit der der Hersteller das Plugin zuletzt geprüft hat. Drei Hinweise sollten Sie ernst nehmen, hier vom geringsten zum höchsten Risiko:

1. Lange nicht aktualisiert

Steht bei „Zuletzt aktualisiert“ ein Datum von vor zwei oder mehr Jahren, ist das ein Warnzeichen, auch wenn das Verzeichnis selbst keinen Hinweis anzeigt. Ein Plugin, das wenig kann, braucht nicht jeden Monat ein Update. Aber ein Formular- oder Shop-Plugin, das seit Jahren unverändert ist, wird vermutlich nicht mehr betreut.

2. „Nicht mit den 3 neuesten Hauptversionen getestet“

Diesen Hinweis zeigt das Verzeichnis oben auf der Plugin-Seite, wenn der Hersteller das Plugin seit drei großen WordPress-Versionen nicht mehr als geprüft gemeldet hat. Das heißt nicht, dass es nicht mehr läuft. Es heißt: Niemand bestätigt, dass es mit Ihrem WordPress zusammenpasst, und es wird möglicherweise nicht mehr gepflegt. Spätestens jetzt sollten Sie Ersatz suchen.

3. „Dieses Plugin wurde … stillgelegt“

Ein geschlossenes Plugin ist im Verzeichnis nicht mehr zum Download verfügbar und bekommt dort keine Updates mehr. Gründe sind etwa der Wunsch des Autors, ein Verstoß gegen die Regeln des Verzeichnisses oder ein Sicherheitsproblem. Der Grund wird teils erst einige Wochen nach der Schließung angezeigt. Steht dort „Grund: Sicherheitsproblem“, handeln Sie sofort: Plugin deaktivieren, wenn die Website ohne es auskommt, und Ersatz einrichten. Haben Sie den Verdacht, dass die Lücke schon ausgenutzt wurde, lesen Sie, was zu tun ist, wenn die Website schon befallen ist.

So prüfen Sie, wie dringend es ist

Nicht jedes alte Plugin ist gleich gefährlich. Vier Fragen helfen beim Einordnen:

Ist das Plugin aktiv oder nur installiert? Auch ein deaktiviertes Plugin liegt mit seinem Code auf dem Server. Es ist weniger gefährlich als ein aktives, aber nicht harmlos.
Gibt es eine bekannte Lücke? Mehrere Sicherheitsfirmen führen öffentliche Datenbanken, in denen Sie den Namen eines Plugins nachschlagen können. Ein Eintrag ohne behobene Version bedeutet: dringend.
Ist das Plugin für Besucher erreichbar? Plugins für Formulare, Datei-Uploads, Anmeldung oder Kommentare nehmen Eingaben von außen an. Sie sind eher ein Ziel als ein Plugin, das nur im Hintergrund etwas anzeigt.
Was hängt daran? Ein Plugin für Bestellungen oder Buchungen zu ersetzen, braucht mehr Vorbereitung als ein Galerie-Plugin. Das bestimmt, wie viel Zeit Sie für die Umstellung einplanen.

Ersatz finden

Suchen Sie im Plugin-Verzeichnis nach der Funktion, nicht nach dem Namen des alten Plugins. Ein guter Ersatz erfüllt diese Punkte:

Es wurde in den letzten Monaten aktualisiert.
„Getestet bis“ nennt eine aktuelle WordPress-Version.
Es hat viele aktive Installationen. Das ist keine Garantie, zeigt aber, dass es breit im Einsatz ist.
Im Supportforum werden Fragen beantwortet.
Der Hersteller ist erkennbar, mit eigener Website und Ansprechperson.

Prüfen Sie auch, ob Sie überhaupt ein Plugin brauchen. Vieles, wofür früher ein Plugin nötig war, können WordPress und aktuelle Themes heute selbst, etwa Galerien, Spalten oder Schaltflächen im Blockeditor. Dann ist der beste Ersatz gar kein Plugin.

Umstellen, ohne dass etwas bricht

Sicherung anlegen. Dateien und Datenbank, an einem Ort außerhalb des Servers. Entscheidend ist eine Sicherung, die sich zurückspielen lässt.
In einer Testkopie arbeiten. Richten Sie das neue Plugin zuerst in einer Kopie Ihrer Website ein, die Besucher nicht sehen. Viele Hoster bieten dafür eine Kopierfunktion an.
Inhalte und Einstellungen übertragen. Achten Sie besonders auf Kurzbefehle in eckigen Klammern (Shortcodes) in Ihren Seiten. Sie gehören zum alten Plugin und erscheinen nach dem Abschalten als Text auf der Seite.
Vergleichen. Klicken Sie durch alle Seiten, auf denen das Plugin vorkommt. Schicken Sie ein Formular ab, legen Sie eine Testbuchung an.
Auf der echten Website umstellen und dieselben Seiten noch einmal prüfen.
Das alte Plugin löschen, nicht nur deaktivieren. Erst dann ist sein Code vom Server.

Wenn es keinen Ersatz gibt

Manchmal gibt es für eine Funktion kein gleichwertiges Plugin. Dann bleiben drei Wege:

Die Funktion streichen. Fragen Sie ehrlich, ob sie noch jemand nutzt. Oft ist das die einfachste Lösung.
Nachbauen lassen. Ein Entwickler kann die Funktion schlank und passend für Ihre Website umsetzen. Das kostet einmal, danach ist sie Teil der Pflege.
Eine Weiterführung verwenden. Manchmal übernimmt jemand ein aufgegebenes Plugin unter neuem Namen. Das ist nur sinnvoll, wenn Sie wissen, wer dahintersteht, und die Herkunft vertrauenswürdig ist.

Was wir nicht empfehlen: den Code des alten Plugins selbst zu flicken. Sie wissen nicht, welche Lücken noch darin stecken, und beim nächsten Problem stehen Sie wieder allein da.

Vorbeugen

Je weniger Plugins, desto weniger kann veralten. Sehen Sie Ihre Plugin-Liste zweimal im Jahr durch: Was wird nicht mehr gebraucht, was wurde lange nicht aktualisiert? Prüfen Sie vor jedem neuen Plugin dieselben Punkte wie beim Ersatz. Automatische Updates lassen sich in WordPress seit Version 5.5 für jedes Plugin einzeln einschalten; sie helfen aber nur, solange der Hersteller noch Updates liefert. Die Durchsicht der Plugins gehört deshalb zu dem, was zur WordPress-Wartung gehört.

Aus unserer Arbeit

Als wir im Oktober 2026 Websites auf neuere PHP-Versionen umgestellt haben, zeigte sich bei älteren WordPress-Websites immer wieder dasselbe: Was die neue Version verhindert, sind fast immer alte Plugins oder Themes, die nicht mehr gepflegt werden. Einzelne Websites mussten deshalb vorübergehend auf der älteren Version bleiben, bis der Inhaber entschieden hatte, wie es weitergeht. Ein veraltetes Plugin ist also nicht nur eine eigene Lücke, es hält auch die übrige Technik zurück. Mehr dazu: wenn die PHP-Version veraltet ist.

Kurz zusammengefasst

Ein Plugin ohne Pflege läuft oft weiter, bekommt aber keine Sicherheitsupdates mehr.
Warnzeichen: lange nicht aktualisiert, „nicht mit den 3 neuesten Hauptversionen getestet“, „stillgelegt“.
Stillgelegt wegen eines Sicherheitsproblems: sofort handeln.
Ersatz zuerst in einer Testkopie einrichten, mit einer Sicherung, die sich zurückspielen lässt.
Das alte Plugin danach löschen, nicht nur deaktivieren.

Sie möchten sich darum nicht selbst kümmern? Bei Website betreut spielen wir jedes Update zuerst in einer Kopie Ihrer Website ein und melden uns, wenn ein Plugin nicht mehr mitkommt. Für Unternehmen kostet Betreut 29 € im Monat zzgl. USt. (34,80 € inkl. 20 % USt.), mit Hosting, monatlich kündbar.