Plugins als Sicherheitsrisiko

Bei einer Blog-Übernahme zählen wir als Erstes die installierten Plugins. 30 sind keine Seltenheit. 40 haben wir auch schon gesehen. Jedes einzelne davon ist ein Stück Code, das Schwachstellen enthalten kann, und bei dem du darauf vertraust, dass der Entwickler regelmäßig Updates liefert.

Das Problem ist nicht, dass Plugins grundsätzlich schlecht sind. Das Problem ist die Menge und die fehlende Prüfung.

Wenn du ein Plugin installierst, schau dir drei Dinge an: Wann war das letzte Update? Wie viele aktive Installationen hat es? Und gibt es bekannte Sicherheitsprobleme? Ein Plugin, das seit zwei Jahren kein Update mehr bekommen hat, ist ein Risiko, egal wie gut die Bewertungen sind.

Die Zahl der aktiven Installationen allein sagt wenig aus. Auch populäre Plugins hatten schon schwere Sicherheitslücken. Aber ein Plugin mit 500.000 Installationen wird schneller gepatcht als eines mit 2.000, weil mehr Augen drauf schauen und der Druck auf den Entwickler höher ist.

Weniger Plugins bedeuten weniger Angriffsfläche. Punkt.

Wir sehen oft Blogs, die fünf verschiedene Plugins für Dinge installiert haben, die ein gutes Theme von Haus aus kann: Social-Media-Buttons, Inhaltsverzeichnisse, verwandte Beiträge, Lazy Loading. Jedes dieser Plugins lädt eigene Skripte, eigene Stylesheets und eigenen PHP-Code. Das ist nicht nur langsam, sondern auch ein Sicherheitsrisiko.

Theme-integrierte Features haben einen klaren Vorteil: Sie kommen aus einer Hand, werden zusammen getestet und zusammen aktualisiert. Ein Plugin eines Drittentwicklers wird unabhängig gepflegt und kann bei einem WordPress- oder Theme-Update plötzlich inkompatibel werden.

Noch ein Punkt, der oft vergessen wird: Deaktivierte Plugins sind nicht sicher. Ein Plugin, das du deaktiviert, aber nicht gelöscht hast, liegt weiter auf dem Server. Wenn es eine bekannte Schwachstelle hat, kann diese trotzdem ausgenutzt werden. Was du nicht brauchst, löschst du komplett.

Unser Tipp: Geh heute durch deine Plugin-Liste und frag dich bei jedem einzelnen: Brauche ich das wirklich? Wenn die Antwort "vielleicht" ist, deaktiviere es für eine Woche. Wenn nichts fehlt, lösch es.