Mit Ihrer Zustimmung nutzen wir Dienste von Google und Microsoft für Statistik und Anzeigen (Remarketing). Ihre Auswahl können Sie jederzeit in den Cookie-Einstellungen ändern. Datenschutzerklärung · Impressum
Die Zukunft von Websites.Mehr Sicherheit, mehr Qualität.
Seit über 15 Jahren arbeiten wir mit WordPress und haben uns immer auch mit Alternativen beschäftigt. Jetzt ist es an der Zeit, sie ernsthaft in Erwägung zu ziehen. WordPress betreuen wir selbstverständlich weiter: Wir sichern es intensiv ab und entwickeln einfache Wege für den Umstieg.
Der Markt ändert sich – Sicherheit wird Qualitätsfrage.
Ob WordPress, andere CMS oder eigene PHP-Anwendungen: 2026 hat gezeigt, dass auch etablierte Technik verwundbar ist. KI erhöht dabei das Tempo für Angriff und Abwehr.
01Rückblick
wp2shellJuli 2026
php2shellOktober 2026
2026 traf es den Kern von WordPress und PHP selbst, nicht nur Plugins. Angriffe liefen teils schon vor den offiziellen Updates. Sicherheit hieß bisher vor allem, Updates einzuspielen und Angreifern hinterherzulaufen.
02Ausblick
Angriffe werden schnellerTempo
Weniger Angriffsfläche bietenSchutz
KI findet Lücken schneller, bei Angreifern wie bei Verteidigern. Wir setzen deshalb auf Systeme mit wenig Angriffsfläche und auf Schutz, der schon vor dem Update greift.
Nicht nur die Sicherheit ändert sich: Mit KI verändern sich auch Technik und Qualität: Die Technik wird schlanker, mehr Zeit geht in Strategie, Konzept und Inhalte.
Zur Einordnung: Für WordPress gibt es unzählige Plugins, viele davon sind veraltet und werden nicht mehr gewartet. Wir setzen ausschließlich auf gewartete Premium-Plugins. Auch dort gab es zuletzt sehr viele Updates wegen Sicherheitslücken. Das ist positiv und beunruhigend zugleich.
Unsere Empfehlung – weniger System, mehr Website.
Für neue Websites favorisieren wir heute Alternativen zu WordPress: statische Websites, bei Bedarf mit Headless-CMS. Dafür haben wir neun Systeme nach acht Kriterien verglichen und unsere eigene Website umgestellt. WordPress bieten wir dennoch weiter an.
Vergleich von WordPress und statischer Website mit Astro
Ladezeit4 von 5abhängig von Plugins, Server und Setup
Ladezeit5 von 5fertige Seiten, der Server berechnet nichts
Sicherheit
Sicherheit3 von 5Tendenz sinkend, mehr Angriffsfläche
Sicherheit5 von 5minimale Angriffsfläche, kein Login
Wartungsaufwand
Wartungsaufwand2 von 5laufend Updates für Kern, PHP und Plugins
Wartungsaufwand5 von 5automatisch, vorher auf Staging getestet
Gestaltungsfreiheit
Gestaltungsfreiheit3 von 5so weit, wie Core und Plugins es hergeben
Gestaltungsfreiheit5 von 5individuell im Code
Funktionsfreiheit
Funktionsfreiheit3 von 5im Rahmen von Core und Plugins
Funktionsfreiheit5 von 5Animationen, Konfiguratoren und eigene Funktionen
Pflege durch Ihr Team
Pflege durch Ihr Team5 von 5im gewohnten Editor
Pflege durch Ihr Team5 von 5per KI-Chat über MCP oder mit Payload
Im Live-Betrieb
Im Live-BetriebDatenbank, PHP und Login laufen im Live-System
Im Live-BetriebNur fertige Seiten, keine Datenbank, kein Login
CMS
CMSJa, eingebaut: Pflege im Backend mit Login
CMSPer KI-Chat über MCP oder headless mit Payload
Möglichkeiten mit KI
Möglichkeiten mit KIÜber Plugins und Themes, KI-Anbindung nachgerüstet
Möglichkeiten mit KIWeitreichend: Funktionen, Design und Schnittstellen entstehen individuell
Sinnvoll, wenn …
Sinnvoll, wenn …… viele Personen im gewohnten Editor arbeiten
Sinnvoll, wenn …… die Website schnell, sicher und gut auffindbar sein soll
Punkte von 0 bis 5: fünf = stark. Beim Wartungsaufwand bedeuten fünf Punkte wenig Aufwand.
Unser Fazit
Wir hängen an WordPress, schließlich arbeiten wir seit über 15 Jahren damit. Von Astro sind wir trotzdem überzeugt und halten es für zukunftssicherer, flexibler und performanter. Vormachen muss man sich dabei nichts: Die Anforderungen an Sicherheit steigen in jedem System. Wartung bleibt deshalb überall ein wesentlicher Faktor.
Weiter im Angebot
WordPress bei uns – weiterhin gut abgesichert.
WordPress betreuen wir weiter, und es hat klare Stärken. Bei wp2shell und php2shell waren unsere Hosting-Kunden dank Monitoring sofort geschützt. Dennoch braucht WordPress mehr Absicherung, weil hier mehr von außen erreichbar ist.
Was für WordPress spricht
Weit verbreitet: Viele Teams kennen den Editor bereits
Für fast jede Aufgabe gibt es eine Erweiterung
Inhalte pflegen Sie selbst im Backend
Viele Dienstleister und eine große Community
Sinnvoll, wenn viele Personen im gewohnten Editor arbeiten oder Abläufe an WordPress hängen.
So sichern wir WordPress ab
Eigener Agentur-Server bei mittwald in Deutschland
Schwachstellen-Check gegen die Patchstack-Datenbank alle sechs Stunden
Firewall mit Virtual Patching: blockiert bekannte Angriffe, bevor ein Update da ist
Sicherheitsrelevante Updates sofort, mit automatischem Test und Rollback
Tägliche Malware-Scans, verschlüsselte Backups in der EU
Alles in einer Instanz
Große Angriffsfläche
4Ebenen im Live-System
Angriffe
Angriffe aus dem Netz
Im Live-System
Frontend
Theme, Templates, Ausgabe
CMS und Login
/wp-admin, Benutzer, Redaktion
PHP und Datenbank
Laufzeit und Inhalte
Erweiterungen
je Aufgabe ein Plugin, mit eigenen Updates
Formulare
Cookie-Einwilligung
Caching
Bewertungen
Bildoptimierung
SEO
Formularversand
So sichern wir es ab: Firewall mit Virtual Patching, Schwachstellen-Check alle sechs Stunden, Sicherheitsupdates sofort, tägliche Malware-Scans.
Frontend, Login, PHP, Datenbank und Erweiterungen laufen gemeinsam im Live-System. Deshalb sichern wir hier mehr ab.
Was sich verändert
Tempo
Bei stark angegriffenen Lücken vergehen im Mittel rund fünf Stunden bis zur Massenausnutzung.
Angriffsfläche
Die große Auswahl an Erweiterungen ist eine Stärke. Zugleich lagen 2025 91 % der 11.334 neuen Schwachstellen in Plugins.
Über 20 Jahre gewachsen
WordPress hält Erweiterungen und Themes von früher lauffähig. Headless-Betrieb und KI-Anbindung lassen sich nachrüsten, gehören aber nicht zum Kern.
Astro baut alle Seiten schon vor dem Livegang und legt sie als fertige Dateien ab. Im Netz steht danach nur, was Besucher sehen: HTML, CSS und Bilder. Ein Login oder eine Datenbank gibt es dort nicht, also kaum Angriffsfläche.
Was Sie gewinnen
Sehr kurze Ladezeiten, weil der Server nichts berechnet
Kaum Angriffsfläche: kein Login, keine Datenbank, kein PHP
Updates laufen automatisch, vorher auf Staging getestet
Funktionen, Design und Animationen entstehen individuell im Code
Auch Mehrsprachigkeit und Multisites lassen sich sehr gut umsetzen
Gut zu wissen: Es gibt keinen Editor im Browser. Änderungen beauftragen Sie per KI-Chat über MCP oder bei uns, ab 2027 auch über martiv.
So sichern wir es ab: Hosting in Deutschland, Firewall, DDoS-Schutz, HTTPS und HSTS, Sicherheits-Header, tägliche verschlüsselte Backups, Uptime-Monitoring.
Im Live-System liegt eine Ebene: fertige Dateien. Build und Staging laufen getrennt davon.
Bei Bedarf · klassisches CMS
Redaktion bei Bedarf – getrennt von der Website.
Wer ein klassisches CMS wünscht, bekommt Payload: Es lässt sich jederzeit an Astro andocken und später auch wieder entfernen. Die Website bleibt dabei statisch, beim Veröffentlichen entstehen die Seiten automatisch neu.
Was dazukommt
Redaktion mit Rollen, Vorschau und Versionen
Arbeitspakete statt Einzelseiten: mehrere Bereiche vorbereiten, auf Staging prüfen, gesammelt veröffentlichen
Von Grund auf getrennt: Redaktion und Website laufen unabhängig voneinander
KI-Werkzeuge greifen direkt auf die Inhalte im CMS zu
Mehrere Sprachen, Standorte oder Websites (Multisite) in einem CMS
Dazu gehört: Das CMS braucht eigenes Hosting und regelmäßige Updates. Beides übernehmen wir.
So sichern wir es ab: Wie bei der statischen Website, dazu für das CMS: Passkeys, Zwei-Faktor-Anmeldung, Rollen und Rechte, Brute-Force-Schutz, automatische Sicherheitsupdates.
Die Website bleibt statisch. CMS, Datenbank und Staging liegen abgeschottet dahinter und spielen Inhalte per Deploy aus.
Qualität entscheidet – die Technik wird schlanker.
Wir haben festgestellt, dass die Qualität mit dem neuen Astro-Setup bei gleichem Zeitaufwand erheblich höher ist und die Websites sicherer sind. Auch der Wettbewerb setzt KI ein, die Technik wird schlanker. Den Unterschied machen Strategie, Konzept, Qualität und stetige Optimierung.
Wohin die Zeit fließt
Bisher
Bisher floss der größte Teil der Zeit in technische Umsetzung und Wartung.
Künftig
Künftig geht der größte Teil in Strategie, Konzept, Design und Inhalte.
Strategie und Konzept
Design und Inhalte
Technische Umsetzung und Wartung
Schematische Darstellung unserer Einschätzung, keine Messwerte.
Geschwindigkeit
Seiten laden schneller, und bei gleichem Aufwand setzen wir mehr um.
Neue Möglichkeiten
Funktionen, Design und Schnittstellen entstehen individuell im Code, mit KI und mit Animationen.
Fleißarbeit automatisiert
Automatische Abläufe prüfen Updates, testen die Kompatibilität und leeren Caches. Die Zeit bleibt für Konzept, Inhalte und Absicherung.
Woran wir gerade arbeiten
Ein Ausblick – mit martiv bringen wir unsere Zusammenarbeit auf ein neues Level.
1 von 7
martiv entsteht gerade bei uns: eine Plattform, die Ihre Website auswertet, pflegt und mit Ihrer Marke verbindet. Sie sehen jederzeit, wie es Ihrer Website geht, und bekommen Empfehlungen, die zu Ihrem Unternehmen passen. Das Brain bündelt Ihre Corporate Identity und macht sie per MCP in Ihrem gewohnten KI-Chat nutzbar. Abstimmung, Freigaben und Projektplanung laufen an einem Ort, statt sich in E-Mails und Telefonaten zu verlieren.
Berichte, Kontrollen, Statistik
Konkrete nächste Schritte
Ihre Marke, für Ihre KI
Freigaben, Tickets, Planung
Wichtig zu wissen: Es entsteht keine Abhängigkeit. Website und CMS funktionieren auch ohne martiv. Unseren Kunden steht martiv ab 2027 zur Verfügung.
Gehostet in DeutschlandHetzner-Infrastruktur, die Daten bleiben in Deutschland
KI aus EuropaFür Agenten mit Firmendaten nutzen wir europäische KI-Modelle
Sicherheit der Plattform
Zwei-Faktor-Anmeldung
Passkeys
Mandantentrennung
KI nur mit Freigabe
Tägliche verschlüsselte Backups
Verschlüsselte Zugangsdaten (AES-256)
Rollen und Rechte
Firewall
DDoS-Schutz
Brute-Force-Schutz
Passwort-Leak-Prüfung
HTTPS und HSTS
Häufige Fragen – zu Systemwahl und Umstieg.
Bieten Sie WordPress weiterhin an?
Ja. Bestehende WordPress-Websites betreuen und hosten wir weiter, auch langfristig. Neue WordPress-Websites setzen wir um, wenn viele Personen im gewohnten Editor arbeiten oder Abläufe an WordPress hängen.
Ist unsere WordPress-Website bei Ihnen sicher?
Wir sichern sie mehrfach ab. Alle sechs Stunden prüfen wir auf bekannte Schwachstellen, eine Firewall blockiert Angriffe darauf schon vor dem Update. Sicherheitsrelevante Updates spielen wir sofort ein.
Warum empfehlen Sie für neue Websites trotzdem Astro?
Weil eine statische Website weniger Angriffsfläche bietet und ihre Wartung weitgehend automatisch läuft. Dazu kommen kürzere Ladezeiten, mehr Gestaltungsfreiheit und eine direkte Anbindung an KI-Werkzeuge.
Lässt sich WordPress nicht auch headless betreiben?
Ja, das geht. Dann hängt vieles an zusätzlichen Erweiterungen. Payload und Astro sind von Anfang an auf diese Trennung ausgelegt.
Können wir Inhalte nach dem Umstieg selbst pflegen?
Ja. Mit Payload bekommt Ihr Team eine Redaktionsoberfläche mit Rollen, Vorschau und Versionen. Bei einer rein statischen Website beauftragen Sie Änderungen per KI-Chat, über martiv oder direkt bei uns.
Was passiert mit unseren Google-Rankings und alten Adressen?
Wir leiten jede alte Adresse per 301 auf die passende neue weiter und übernehmen Titel und Beschreibungen. Nach dem Launch kontrollieren wir Rankings und Weiterleitungen in der Search Console.
Lohnt sich der Umstieg im Vergleich zur laufenden WordPress-Wartung?
Das hängt von Ihrer Website ab. Bei Astro entfallen Lizenzen für Erweiterungen und ein Großteil der Updates. Dafür steht einmalig der Umbau an. Im Gespräch rechnen wir das für Ihre Website durch.
Sind Astro und Payload für ein Unternehmen wie unseres nicht zu neu?
Beide gibt es seit 2021. Hinter Astro steht seit 2026 Cloudflare, hinter Payload seit 2025 Figma. Laut Hersteller setzen unter anderem Porsche, IKEA, Mazda und Vodafone sie ein.
Was passiert, wenn Cloudflare oder Figma die Richtung ändern?
Beide Systeme stehen unter der MIT-Lizenz. Der Code bleibt frei nutzbar und lässt sich weiterentwickeln, auch ohne den Hersteller. Ihre Inhalte liegen in offenen Formaten und gehören Ihnen.
Gehen Formulare und Newsletter auch ohne Plugins?
Ja. Formulare, Sprachen und Anbindungen an Newsletter- oder CRM-Systeme setzen wir als eigene Bausteine oder über Schnittstellen um. Sie laufen nicht als Erweiterung auf dem öffentlichen Server.
Hat eine statische Website gar keine Sicherheitslücken?
Keine Technik ist frei von Lücken. Eine statische Website bietet aber deutlich weniger Fläche: kein Login, keine Datenbank, kein Code, der auf Anfragen reagiert. Build-Werkzeuge und CMS halten wir trotzdem aktuell.
Wo liegen unsere Daten, und welche KI nutzen Sie?
Die Websites hosten wir in Deutschland. Für Firmendaten setzen wir auf KI aus Europa, etwa Mistral, für Code nutzen wir Claude. Inhalte und Änderungen gehen erst nach Ihrer Freigabe online.
Müssen wir alles auf einmal umstellen?
Nein. Sie können mit einer statischen Website starten und Payload später ergänzen, wenn Ihr Team selbst pflegen will. Ihre bestehende Website läuft so lange weiter.
Brauchen wir martiv für die neue Website?
Nein. martiv ist ein Zusatz, der die Zusammenarbeit einfacher macht: Sie sehen, wie es Ihrer Website geht, und geben Änderungen an einem Ort frei.
Freie Kapazitäten verfügbar
Sprechen wir – über Systemwahl oder KI.
Ob WordPress weiterbetreiben, umsteigen oder erst einmal vergleichen: Wir klären mit Ihnen, welches System zu Ihrer Website passt. Auch Ihre Fragen und Ideen zum Einsatz von KI in Ihrem Unternehmen besprechen wir gern. Das erste Gespräch ist unverbindlich, den Termin wählen Sie.
Ansprechpartner & AutorenDennis Deux & Fynn Schodde
Unsere Plattform, über die Sie Änderungen beauftragen und freigeben. Mehr dazu weiter unten auf dieser Seite.
Web-Framework, das Seiten beim Build als fertiges HTML erzeugt. Ohne Server zur Laufzeit, daher schnell und sicher.Web-Framework auf Basis von React. Es liefert schnelle Seiten, die Suchmaschinen und KI gut lesen können.Open-Source-CMS auf Basis von Next.js. Sie pflegen die Inhalte dort, die Website bekommt sie über eine Schnittstelle.Redaktionssystem ohne eigene Darstellung: Es verwaltet nur die Inhalte und liefert sie über eine Schnittstelle an die Website.Content-Management-System: Oberfläche, in der Sie Texte und Bilder ohne Programmierkenntnisse pflegen.Teil von martiv: Designvorgaben, Tonalität, Zielgruppe, Leistungen und Produkte, Fakten sowie Dos and Don'ts Ihres Unternehmens an einem Ort.Model Context Protocol: offener Standard, über den KI-Assistenten wie ChatGPT oder Claude auf Werkzeuge und Daten zugreifen.Suchmaschinenoptimierung: Maßnahmen, damit Ihre Website in Suchmaschinen wie Google besser gefunden wird.Generative Engine Optimization: Optimierung dafür, dass KI-Assistenten Ihre Inhalte finden und als Quelle nennen.Suchmaschinenwerbung: bezahlte Anzeigen in den Suchergebnissen, etwa über Google Ads.Testumgebung: eine nicht öffentliche Kopie der Website, auf der Änderungen vor der Veröffentlichung geprüft werden.Einfaches Textformat, in dem Zeichen Überschriften, Listen und Links markieren. Menschen und KI lesen es gleich gut.Web Content Accessibility Guidelines: internationaler Standard für barrierefreie Websites. Stufe AA ist der übliche Maßstab.Programmiergerüst mit fertigen Grundbausteinen, auf dem Websites und Anwendungen aufbauen.Einzelne Seite für ein Angebot oder eine Kampagne, ausgerichtet auf eine Handlung wie eine Anfrage.Arbeitsweise, bei der ein Mensch jedes KI-Ergebnis prüft, bevor es verwendet oder veröffentlicht wird.Software entsteht im Gespräch mit einer KI, die den Code schreibt. Schnell, aber oft ohne Prüfung von Sicherheit und Qualität.Sammlung aus Farben, Schriften und Bausteinen mit festen Regeln, die einen Auftritt überall einheitlich hält.Kleine Bewegungen an Buttons, Formularen oder Symbolen, die zeigen, dass eine Aktion angekommen ist.Klickbares Modell der Website, mit dem sich Aufbau und Gestaltung vor der Programmierung prüfen lassen.Fertige Designvorlage, etwa für WordPress. Viele Websites mit demselben Theme sehen sich zum Verwechseln ähnlich.Erweiterung, die WordPress um eine Funktion ergänzt. Jedes zusätzliche Plugin braucht Updates und Pflege.Software mit öffentlichem Quellcode. Jeder darf sie einsetzen und weiterentwickeln, ohne an einen Anbieter gebunden zu sein.Aufbau, bei dem Redaktion und Website getrennt laufen. Die Website holt sich die Inhalte über eine Schnittstelle.Programmiersprache, mit der WordPress und viele andere CMS jede Seite beim Aufruf auf dem Server erzeugen.Die Firewall blockiert Angriffe auf eine bekannte Lücke, noch bevor das eigentliche Update eingespielt ist.Automatisches Zurücksetzen auf den vorherigen Stand, wenn ein Update einen Fehler verursacht.Anmeldung ohne Passwort, bestätigt per Fingerabdruck, Gesichtserkennung oder Gerätecode. Schützt vor Phishing.Schutz vor Angriffen, die eine Website mit massenhaften Anfragen überlasten und so lahmlegen wollen.Schutz vor automatisiertem Durchprobieren von Passwörtern: Auffällige Absender werden gesperrt.Vorgabe an den Browser, die Website nur verschlüsselt per HTTPS aufzurufen.Schadsoftware. Regelmäßige Scans prüfen, ob Dateien der Website unbemerkt verändert wurden.Laufende automatische Überwachung von Erreichbarkeit, Ladezeit und Sicherheit, mit Alarm bei Problemen.
