Nein, die meisten Unternehmen müssen nicht weg von WordPress. PHP2Shell war eine Lücke in PHP, der Sprache unter WordPress, und sie wurde innerhalb eines Tages geschlossen, bei jedem, der jemanden hatte, der sie schließt. Die Frage, die sich lohnt, ist nicht „welche Plattform“, sondern „wer betreibt sie“. Auch wenn ein Neuaufbau nötig ist, bleibt es in den meisten Fällen bei WordPress, sauber aufgesetzt mit wenigen, gepflegten Plugins. Dieser Artikel zeigt, woran Sie erkennen, welcher Weg zu Ihrem Unternehmen passt, was ein Wechsel kostet und was Sie dabei verlieren.
Was PHP2Shell über Ihre Website gesagt hat, und was nicht
PHP2Shell war eine Lücke in PHP, nicht in WordPress. Betroffen waren deshalb auch TYPO3, Drupal, Shopware und Magento, also praktisch jedes System, das auf einem PHP-Server läuft. Wer jetzt von WordPress auf ein anderes PHP-System wechselt, hätte dieselbe Woche erlebt.
Entscheidend war die Reaktionszeit: Wie schnell haben Hoster, Agentur oder eigene IT die Korrektur eingespielt und bestätigt? Unternehmen mit einem klaren Zuständigen hatten nach einem Tag eine Antwort. Unternehmen ohne Zuständigen suchen sie zum Teil noch.
Laut Patchstack (State of WordPress Security 2025) liegen über 90 Prozent der WordPress-Lücken in Plugins, nicht im Core. Plugin-Wildwuchs ist das Risiko, das man steuern kann: Jedes Plugin, das niemand mehr pflegt, bleibt offen, egal welche PHP-Version darunter läuft.
Den aktuellen Stand, den Patch-Status der großen Hoster und eine Vorlage für die Anfrage an Ihren Hoster finden Sie im Lagebild PHP2Shell.
Die vier Wege im Vergleich
Für Unternehmenswebsites gibt es vier realistische Wege. Die Tabelle zeigt, was jeder kostet, was er verlangt und was Sie dabei verlieren.
| WordPress, gewartet | WordPress, neu und schlank | Statisch / Headless (ohne PHP zur Laufzeit) | Shopify (Shops) | |
|---|---|---|---|---|
| Für wen | Bestehende Website mit funktionierender Struktur | Website mit gutem Inhalt, aber 20+ Plugins und altem Builder | Marketing-Website ohne Login, Shop, komplexe Formulare | Shop ohne Sonderlogik |
| Sicherheit | Abhängig von Wartung; mit Staging-Updates und Monitoring sehr gut | Wie WordPress, gewartet, mit weniger Angriffsfläche | Zur Laufzeit keine PHP-Angriffsfläche; Risiko verlagert sich auf CMS-Backend und Drittdienste | Betrieb vollständig beim Anbieter |
| Redaktion | Vertraut, ohne Entwickler | Vertraut | Neuer Workflow, oft Entwickler für Strukturänderungen | Vertraut, eingeschränkt |
| Kosten einmalig | 0 | ab 8.000 € | ab 8.000 €, meist mehr als ein WordPress-Neuaufbau | ab 8.000 € plus Migration |
| Kosten laufend | Wartung ab 149 €/Quartal | Wartung | Hosting günstig, Entwicklung bei Änderungen | ab 27 €/Monat plus Apps |
| Was man verliert | Nichts | Alte Plugins, manchmal Funktionen | Formulare, Suche, Personalisierung nur über Dienste; SEO-Umzug | Individualisierung, Datenhoheit |
WordPress-Alternativen für Unternehmen: welche es gibt und für wen
Wer über einen Wechsel nachdenkt, landet meist bei einem dieser Systeme. Die Liste beginnt bei den PHP-Systemen und endet bei den Plattformen ohne PHP.
- TYPO3
- Enterprise-CMS aus Deutschland für große, mehrsprachige Websites mit Rechte- und Freigabe-Workflows. Teurer in Entwicklung und Betrieb, dafür für Konzerne und Behörden gebaut. Ebenfalls PHP.
- Craft CMS, Statamic, Kirby
- schlanke PHP-Systeme für Agentur-Websites mit individuellem Design und wenig Plugins. Weniger Angriffsfläche als ein überladenes WordPress, aber kleinere Entwickler-Märkte.
- Drupal, Joomla
- technisch möglich, in Deutschland für neue Mittelstandsprojekte kaum noch verbreitet; beide PHP.
- Webflow, Framer
- gehostete Design-Plattformen ohne eigenen Server. Kein PHP, kein Patch-Thema beim Betreiber, aber Abhängigkeit vom Anbieter, Datenhaltung in den USA, begrenzte Logik.
- Headless CMS (Storyblok, Contentful, Sanity, Directus) mit statischem Frontend (Astro, Next.js, Hugo)
- Inhalte im CMS, Website als vorgebaute Dateien. Sehr schnell, zur Laufzeit kein PHP. Entwicklungsaufwand und laufende Entwicklerkosten höher; für Redaktionen ohne Entwickler oft zu starr.
- Shopify
- für Shops ohne Sonderlogik. Betrieb komplett beim Anbieter, monatliche Kosten, der Shop selbst nicht von PHP2Shell betroffen.
Wer wegen PHP2Shell wechselt, sollte wissen: TYPO3, Craft, Statamic, Kirby, Drupal und Joomla laufen ebenfalls auf PHP. Ohne PHP zur Laufzeit sind nur gehostete Plattformen und statische Frontends.
Website ohne PHP: wann es sinnvoll ist, wann nicht
„Ohne PHP“ heißt: Beim Aufruf einer Seite läuft auf dem Server kein Programmcode, ausgeliefert werden fertige Dateien. Das macht die Website schnell und verkleinert die Angriffsfläche. Es ist aber keine Abkürzung.
Sinnvoll
- wenige Redakteure
- seltene Änderungen
- keine Logins
- hohe Performance-Anforderung
- Compliance-Druck (öffentliche Hand, Konzern-IT)
Nicht sinnvoll
- Blog mit mehreren Autoren
- Karriereportal
- Mitgliederbereich
- Buchung
- mehrsprachige Redaktion ohne Entwickler
Eine statische Website ist nicht wartungsfrei. Sie verschiebt die Wartung vom Server zum Build-Prozess und zu den Diensten dahinter.
Entscheidungsbaum: Welcher Weg passt zu Ihrem Unternehmen?
Höchstens drei Fragen, eine Richtung. Der Baum ersetzt kein Audit, aber er zeigt, in welche Gruppe Ihr Unternehmen wahrscheinlich gehört.
Betreiben Sie einen Shop?
- Ja
Weiter mit der Frage nach der Sonderlogik.
- Nein
Weiter mit der Frage nach Login, Mitgliedern und Buchung.
Braucht der Shop Sonderlogik, etwa B2B-Preise, ERP-Anbindung oder Konfiguratoren?
- Ja
WooCommerce, gewartet.
- Nein
Shopify prüfen.
Gibt es Login, Mitgliederbereich oder Buchung?
- Ja
WordPress, gewartet oder neu.
- Nein
Weiter mit der Frage nach der Redaktion.
Mehr als zwei Redakteure oder wöchentliche Änderungen?
- Ja
WordPress.
- Nein
Statisch oder headless prüfen.
Was ein Wechsel kostet, was man leicht vergisst
Die Rechnung für die neue Plattform ist selten der größte Posten. Teuer werden die Arbeiten drumherum:
- Redirects und SEO-Umzug. Jede alte URL braucht ein Ziel. Fehlen Weiterleitungen, verlieren Sie Rankings, die über Jahre gewachsen sind.
- Inhalte migrieren. Texte, Bilder, Downloads und Metadaten ziehen um. Dabei wird meist auch aufgeräumt, und das kostet Zeit.
- Formulare und Tracking neu. Kontaktformulare, Newsletter-Anbindung, Consent-Banner und Analytics werden neu eingerichtet und getestet.
- Schulung. Redakteure lernen einen neuen Workflow. Ohne Schulung landet jede Änderung wieder beim Entwickler.
Zeit: 6 bis 14 Wochen. Die alte Website bleibt bis zum Umzug online.
Unsere Haltung
Wir bauen WordPress, WooCommerce und Shopify und haben kein Interesse, Ihnen einen Wechsel zu verkaufen, der nichts bringt. Das Audit endet in einem von drei Ergebnissen, und „behalten“ ist eines davon.
FAQ
Häufige Fragen zu WordPress-Alternativen
Nein; die Lücke liegt in PHP und ist geschlossen, sobald der Hoster die Korrektur eingespielt hat. Unsicher ist eine Website ohne Zuständigen.
Eine Website, bei der das Content-Management-System (der „Kopf“) vom sichtbaren Frontend getrennt ist. Redakteure pflegen Inhalte im CMS, ein separates System baut daraus die Seiten, oft als statische Dateien ohne PHP zur Laufzeit. Vorteil: Geschwindigkeit und weniger Angriffsfläche. Nachteil: mehr Entwicklung, weniger Freiheit für Redakteure.
Der Shop selbst nicht: Shopify läuft nicht auf PHP. Apps von Drittanbietern laufen auf deren eigenen Servern, teils mit PHP; bei wichtigen Apps lohnt eine Nachfrage beim Anbieter.
Ein Neuaufbau beginnt bei uns bei 8.000 €. Eine statische Website kostet meist mehr als ein WordPress-Neuaufbau, weil Formulare, Suche und Redaktion über Dienste angebunden werden. Den Festpreis inklusive Inhaltsmigration, Formularanbindung und Redirects nennen wir nach dem Audit; laufend fallen Hosting (gering) und Entwicklerstunden bei Änderungen an.
Sechs bis vierzehn Wochen, abhängig von Seitenzahl, Sprachen und Integrationen. Die alte Website bleibt bis zum Umzug online.
