WordPress zieht die Notbremse. Ab sofort sollen Plugins vor jedem Update automatisiert geprüft werden, bevor sie im offiziellen Verzeichnis landen. Wer das als Fortschritt feiert, hat die eigentliche Botschaft überhört. Das Unternehmen, dessen Ökosystem die halbe E-Commerce-Welt im DACH-Raum trägt, sagt damit öffentlich: Wir können nicht mehr garantieren, dass das, was ihr da installiert, sicher ist. Also lassen wir eine Maschine drüberschauen.
WordPress launches automated plugin review to stop risky updates — die Maßnahme soll verhindern, dass schadhafte oder gefährliche Plugin-Versionen überhaupt erst ausgerollt werden.
Das klingt vernünftig. Es ist auch vernünftig — gemessen an der Alternative, nämlich gar nichts zu tun. Trotzdem ist die Symbolik fatal für jeden Händler, der seine Umsätze auf WooCommerce abwickelt.
Die Prüfung schützt das Verzeichnis, nicht den Shop
Ein automatisierter Review scannt Code, erkennt bekannte Muster, blockt offensichtlichen Schadcode. Was er nicht erkennt: ein Plugin, das legitim aussieht und sechs Monate später über ein stilles Update eine Datenbank-Schwachstelle öffnet. Was er ebenfalls nicht erkennt: den Shopbetreiber, der aus Bequemlichkeit Auto-Updates aktiviert lässt und damit jede noch so gute Vorprüfung aushebelt.
Und genau da liegt das Problem. Der klassische WooCommerce-Händler in Deutschland betreibt seinen Shop mit 20 bis 40 Plugins. Drei davon sind für Zahlungsabwicklung und Buchhaltung kritisch, fünf für Versand und Steuern, der Rest sammelt sich über Jahre an. Wer soll das noch überblicken? Die automatisierte Prüfung im Verzeichnis entbindet ihn nicht von dieser Verantwortung — sie suggeriert nur, dass er sie nicht mehr tragen muss. Das ist der gefährlichste Teil dieser Ankündigung.
Man muss es deutlich sagen: WordPress hat kein technisches Problem mit Plugins. Es hat ein Governance-Problem. Seit Jahren wächst das Verzeichnis schneller als jede manuelle Kontrolle. Die Zahl der Plugins liegt im Zehntausender-Bereich, ein erheblicher Teil davon wird nicht mehr gepflegt. Der automatisierte Review ist die Antwort auf eine Frage, die WordPress selbst nie laut gestellt hat: Wer haftet eigentlich, wenn ein Plugin den Shop lahmlegt?
Für DACH-Händler wird die Sorgfaltspflicht nicht kleiner
In Deutschland trifft diese Entwicklung auf einen regulatorischen Rahmen, der ohnehin keinen Spaß versteht. DSGVO, seit 2025 verschärfte Anforderungen an digitale Produkthaftung, für Shops mit EU-Umsatz die NIS2-Richtlinie. Wer heute eine Plugin-Lücke hat, über die Kundendaten abfließen, kann sich nicht damit herausreden, dass das Verzeichnis die Version doch freigegeben habe. Die Aufsichtsbehörde fragt nicht nach der App-Store-Logik von WordPress. Sie fragt, ob der Verantwortliche seine Systeme im Griff hatte.
Der automatisierte Review ist damit für den Händler kein Sicherheitsgewinn, sondern eine weitere Flanke, die er selbst schließen muss. Wer ernsthaft WooCommerce betreibt, braucht drei Dinge, die kein Plugin-Marktplatz liefert: ein Staging-System, in dem jedes Update erst getestet wird; ein Inventar aller installierten Plugins inklusive Verantwortlichem; und einen Update-Prozess, der nicht nach dem Gießkannenprinzip läuft. Das ist unsexy und kostet Zeit. Es ist die einzige Antwort auf ein Ökosystem, das seine eigenen Regeln nicht mehr durchsetzen kann.
Interessant ist übrigens der Zeitpunkt. WordPress hat in den vergangenen zwei Jahren massiven Gegenwind bekommen, nicht zuletzt durch den Rechtsstreit mit WP Engine. Der automatisierte Review ist auch ein Signal an Enterprise-Kunden und Agenturen, die zuletzt verstärkt zu Alternativen wie Shopify oder headless Lösungen abgewandert sind. Man will zeigen, dass man die Hausaufgaben macht. Das ist legitim — aber es ist Marketing, nicht Architektur.
Die eigentliche Frage ist nicht automatisiert oder manuell
Sie lautet: Warum betreibt ein Shop mit sechs- bis siebenstelligem Umsatz seine Warenwirtschaft auf einem System, dessen Kern-Sicherheitsmodell darin besteht, dass Freiwillige Plugins prüfen? Die Antwort ist unbequem. Weil es billig war. Weil Agenturen es verkauft haben. Weil niemand die wahren Betriebskosten eines selbst gehosteten Shops je auf die Rechnung geschrieben hat.
WordPress macht jetzt das, was jede Plattform irgendwann macht, wenn sie zu groß geworden ist: Es industrialisiert die Qualitätssicherung und schiebt die Verantwortung für das Ergebnis an die Nutzer weiter. Für Agenturen und Händler im DACH-Raum heißt das: Die Ära, in der ein WooCommerce-Shop mit ein paar Plugins und einem Hosting-Paket für 20 Euro im Monat als professionell galt, ist endgültig vorbei.
Wer das nicht wahrhaben will, wird in zwei Jahren von einem automatisierten Review lesen, der ihm sagt, dass sein Zahlungs-Plugin eine kritische Lücke hatte — drei Wochen, nachdem sie ausgenutzt wurde. Die Frage ist nicht, ob das passiert. Die Frage ist, ob es in Ihrem Shop passiert.