WordPress-Plugins gibt es wie Sand am Meer. Oder, wie wir in der Steiermark sagen, „zum Saufuatan“. Die Versuchung ist groß und die Auswahl ist teils überwältigend, egal welche Funktionalität man auf der eigenen WordPress-Website einbauen möchte. Daher ist die Frage berechtigt:
Welche WordPress-Plugins braucht man?
Jede WordPress-Website braucht Plugins für sechs Aufgaben: die Einwilligung für Cookies und eingebundene Dienste, Sicherungen, den Schutz des Logins, SEO, die Optimierung von Bildern und den zuverlässigen Versand von E-Mails – dazu je nach Hosting ein Caching-Plugin. Welche Plugins ich dafür einsetze, steht in der Liste unten. Alles Weitere hängt vom Zweck der Website ab, und weniger Plugins sind fast immer besser.
Zusammenfassung: Sinn und Zweck von WordPress-Plugins
WordPress-Plugins erweitern die Funktionalität des sogenannten WordPress-Cores. Plugins können zwar auch Aussehen und Gestaltungselemente einer WordPress-Website verändern, dafür sollte man allerdings besser ein geeignetes WordPress-Theme wählen.
Im vorangegangenen elften Teil dieser Beitragsreihe habe ich Ihnen gezeigt, wie WordPress-Plugins funktionieren, was sie leisten und wie sie zu handhaben sind. Wenn Sie das lieber zuerst verstehen möchten, bevor wir hier konkrete Plugins besprechen, dann lesen Sie bitte diesen Artikel zuerst.
Willkommen also zum zwölften Teil meiner Beitrags-Reihe, in der ich eine komplette Website-Erstellung von Anfang bis Ende beschreibe. Hier geht es um die Plugins, die ich selbst auf meinen Websites und auf den Websites meiner Kunden einsetze, so auch hier auf WebsiteBerater.com.
Meine Empfehlungen auf einen Blick
- Einwilligung (Cookie-Banner): Real Cookie Banner
- Sicherungen: BackWPup
- Schutz des Logins und der Formulare: Two-Factor, Limit Login Attempts Reloaded und Simple Cloudflare Turnstile
- SEO: Rank Math
- Bilder optimieren: EWWW Image Optimizer
- Caching: je nach Hosting Breeze (bei Cloudways), LiteSpeed Cache (auf LiteSpeed-Servern) oder WP Super Cache
- E-Mail-Versand: FluentSMTP
- Für lange Artikel: Easy Table of Contents
- Bei Bedarf: TablePress oder wpDataTables für Tabellen, TranslatePress für mehrsprachige Websites
Alle diese Plugins sind im Plugin-Verzeichnis von WordPress.org zu finden, werden aktiv gepflegt und sind mit der aktuellen WordPress-Version getestet (Stand Oktober 2026). Für alle reicht die kostenlose Version. Im Folgenden erkläre ich, wofür ich jedes davon einsetze – und weiter unten, welche Plugins von früheren Versionen dieses Artikels ich nicht mehr empfehle und warum.
Warum weniger Plugins besser sind
Jedes Plugin ist ein Stück Software, das jemand anderer geschrieben hat und das auf Ihrer Website mitläuft. Das hat drei Folgen:
- Jedes Plugin braucht Updates, und zwar regelmäßig. Ein Plugin, das nicht mehr aktualisiert wird, ist früher oder später eine Sicherheitslücke.
- Jedes Plugin kostet Ladezeit und Server-Leistung, manche wenig, manche viel.
- Manche Plugins schicken Daten Ihrer Besucher an einen externen Dienst. Dann gehört dieser Dienst in Ihre Datenschutzerklärung, und oft brauchen Sie dafür vorher eine Einwilligung.
Deshalb lohnt es sich, vor jeder Installation zu fragen: Kann das mein Theme schon? Kann das eines der Plugins, die ich schon habe? Und wer kümmert sich um die Updates, wenn ich einmal keine Zeit habe?
WordPress-Sicherheit: Login und Formulare schützen
Wie schon an anderer Stelle erwähnt, ist WordPress grundsätzlich sehr sicher. Das hält aber niemanden davon ab, zu versuchen, sich durch Erraten von Benutzernamen und Passwörtern Zugang zu Ihrer Website zu verschaffen. Ein starkes Passwort ist die erste Hürde; die folgenden drei Plugins sind die nächsten.
Zwei-Faktor-Anmeldung mit Two-Factor
Wenn die Zwei-Faktor-Anmeldung (2FA) für Ihren Benutzer aktiviert ist, braucht man nach dem üblichen WordPress-Login noch einen zusätzlichen 6-stelligen Zahlencode, der sich laufend ändert. Diesen Code erzeugt eine Authenticator-App auf dem Smartphone, z.B. Google Authenticator, Authy oder 1Password. Damit ist ein erratenes oder gestohlenes Passwort allein wertlos. Von allen Maßnahmen in diesem Abschnitt ist das die wirksamste.
Ich verwende dafür das Plugin Two-Factor, das von Mitwirkenden des WordPress-Projekts selbst entwickelt wird. Nach der Aktivierung richtet jeder Benutzer die 2FA in seinem eigenen Profil (Benutzer → Profil) ein: QR-Code mit der App scannen, angezeigten Code eingeben, fertig. Wichtig: Erzeugen Sie dort auch die Backup-Codes und bewahren Sie sie sicher auf. Sollte Ihrem Smartphone etwas „zustoßen“, werden Sie diese brauchen.
Per SMS oder E-Mail versandte Codes sind weniger sicher als eine App. Zwei 2FA-Plugins gleichzeitig sollten Sie nie verwenden.
Fehlversuche begrenzen mit Limit Login Attempts Reloaded
Dieses Plugin sperrt eine IP-Adresse für eine Weile, nachdem von dort mehrmals hintereinander ein falsches Passwort eingegeben wurde, und zeigt Ihnen, wer es mit welchen Benutzernamen versucht. Ich verwende es nur im lokalen Modus. Die Cloud-Funktionen schicken die IP-Adressen Ihrer Besucher an den Anbieter und brauchen dann einen eigenen Absatz in der Datenschutzerklärung; die 2FA dieses Plugins lasse ich ausgeschaltet, weil das Two-Factor-Plugin diese Aufgabe schon übernimmt.
Sollten Sie sich einmal selbst ausgesperrt haben: Melden Sie sich über eine andere Internetverbindung an, z.B. über die mobilen Daten Ihres Smartphones, und heben Sie die Sperre in den Einstellungen des Plugins auf.
Formulare schützen mit Cloudflare Turnstile
Gegen Spam in Kontakt-, Kommentar- und Anmeldeformularen setze ich Cloudflare Turnstile ein, mit dem Plugin Simple Cloudflare Turnstile. Turnstile prüft im Hintergrund, ob ein Mensch das Formular ausfüllt, meist ohne dass der Besucher etwas anklicken muss, und ist kostenlos.
Früher habe ich an dieser Stelle Google reCAPTCHA empfohlen. Davon bin ich abgekommen: reCAPTCHA bringt Google als zusätzlichen Empfänger von Besucherdaten in Ihre Datenschutzerklärung. Läuft Ihre Website ohnehin über Cloudflare, kommt mit Turnstile kein neuer Dienstleister dazu.
Und Wordfence?
Bis vor kurzem stand hier eine ausführliche Anleitung für Wordfence. Wordfence wird weiterhin gepflegt und kann sinnvoll sein, wenn Ihr Hosting-Anbieter keine eigene Firewall für Websites betreibt. Ich setze es nicht mehr ein: Auf dem Hosting, das ich für meine Kunden verwende, übernimmt diese Aufgabe eine Firewall des Hosting-Anbieters, und Wordfence würde dieselbe Arbeit noch einmal machen – auf Kosten der Server-Leistung. Fragen Sie Ihren Hosting-Anbieter, was er an Schutz schon mitbringt, bevor Sie ein großes Sicherheits-Plugin installieren.
Warum es übrigens wenig bringt, nur die Adresse der Login-Seite zu ändern, habe ich in meinem Artikel Die WordPress Login-URL zu ändern schützt nicht genug! beschrieben.
Sicherungen mit BackWPup
Eine Sicherung ist die Versicherung gegen alles, was sonst schiefgehen kann: ein missglücktes Update, ein gehackter Zugang, ein versehentlich gelöschter Beitrag. Ich verwende dafür BackWPup. Es sichert Dateien und Datenbank nach einem Zeitplan und kann die Sicherung schon in der kostenlosen Version an einen anderen Ort schicken, z.B. per FTP auf einen anderen Server, zu Dropbox oder auf einen S3-kompatiblen Speicher.
Zwei Regeln dazu: Eine Sicherung, die nur auf demselben Server liegt wie die Website, hilft nicht, wenn dieser Server ausfällt. Und eine Sicherung ist erst dann eine, wenn Sie einmal ausprobiert haben, ob sie sich auch wieder einspielen lässt.
Datenschutz: Einwilligung mit Real Cookie Banner
Sobald Ihre Website Dienste einbindet, die Daten Ihrer Besucher an Dritte schicken, z.B. YouTube-Videos, Google Maps oder ein Statistik-Werkzeug, brauchen Sie in der Regel vorher die Einwilligung der Besucher. Dafür verwende ich Real Cookie Banner. Es blockiert solche Dienste, bis der Besucher zugestimmt hat, und speichert die Einwilligungen nachvollziehbar. Für die meisten kleinen Websites reicht die kostenlose Version.
Was sonst noch an rechtlichen Pflichten auf einer Website hängt, steht in meinem Artikel Impressum, Datenschutzerklärung, Cookie-Banner: Was Ihre Website in Österreich und Deutschland braucht.
SEO mit Rank Math
WordPress bringt von sich aus schon eine saubere Grundlage für Suchmaschinen mit. Ein SEO-Plugin gibt Ihnen darüber hinaus die Kontrolle über Titel und Beschreibung jeder Seite in den Suchergebnissen, erzeugt eine XML-Sitemap und strukturierte Daten.
Ich verwende Rank Math in der kostenlosen Version. Den Ausschlag gegeben haben zwei Funktionen, die dort schon kostenlos dabei sind: eine Verwaltung von Weiterleitungen und ein Protokoll der aufgerufenen Seiten, die es nicht gibt (Fehler 404). Beides braucht man spätestens, wenn man Seiten umbenennt oder zusammenlegt. Yoast SEO, das ich früher an dieser Stelle empfohlen habe, ist ebenfalls eine gute Wahl; wichtig ist nur, dass nie zwei SEO-Plugins gleichzeitig aktiv sind.
Werbung (Affiliate-Link): Rank Math und die Pro-Version ansehen
WordPress-Optimierung: Bilder und Caching
Die Optimierung einer WordPress-Website ist ein umfangreiches Thema, das sich ein paar eigene Artikel verdient hat. Einen Einstieg finden Sie in meinem Artikel Optimierung in WordPress, einfach erklärt. Zwei Plugins gehören aber auf praktisch jede Website:
Bilder optimieren mit EWWW Image Optimizer
Bilder sind meist der größte Teil dessen, was ein Besucher herunterladen muss. EWWW Image Optimizer komprimiert hochgeladene Bilder und erzeugt kleinere WebP-Versionen. Ich verwende es im lokalen Modus: Die Bilder werden auf Ihrem eigenen Server bearbeitet und nicht an einen externen Dienst geschickt. Mehr dazu in meinem Artikel Wichtig: Bilder in WordPress optimieren (und zwar richtig).
Caching: welches Plugin, hängt vom Hosting ab
Ein Caching-Plugin speichert fertige Seiten zwischen, damit WordPress sie nicht bei jedem Aufruf neu zusammenbauen muss. Welches das richtige ist, hängt vom Server ab:
- Cloudways: Breeze, das Plugin des Hosting-Anbieters selbst, das auch dessen Server-Cache leert
- Server mit LiteSpeed: LiteSpeed Cache, das den Cache des Webservers selbst nutzt
- Sonst: WP Super Cache, das fertige Seiten als statische Dateien ablegt
Verwenden Sie immer nur ein Caching-Plugin, und schalten Sie Funktionen zum Zusammenfassen von CSS- und JavaScript-Dateien nur ein, wenn Sie danach gründlich testen. Auf meinen Divi-Websites lasse ich das ganz weg, weil Divi seine Dateien selbst optimiert.
E-Mails zuverlässig versenden mit FluentSMTP
Ohne weiteres Zutun verschickt WordPress E-Mails, z.B. die Nachrichten aus Ihrem Kontaktformular, über die einfache Mail-Funktion des Servers. Solche Nachrichten landen oft im Spam-Ordner oder kommen gar nicht an, und niemand merkt es. FluentSMTP schickt alle E-Mails stattdessen über ein richtiges E-Mail-Konto oder einen Versanddienst, protokolliert sie und meldet, wenn eine nicht zugestellt werden konnte. Es ist kostenlos, ohne Bezahlversion.
Plugins für bestimmte Zwecke
Plugins, die die Funktionalität Ihrer Website erweitern, sind ein eigenes Kapitel. Letzten Endes handelt es sich dabei um ein Fass ohne Boden, und welche Sie brauchen, hängt vom Zweck Ihrer Website ab. Diese setze ich ein, wenn der Bedarf da ist:
Inhaltsverzeichnis für lange Artikel: Easy Table of Contents
Easy Table of Contents erstellt aus den Überschriften eines Beitrags automatisch ein Inhaltsverzeichnis mit Sprungmarken, so wie Sie es oben auf dieser Seite sehen. Für kurze Seiten brauchen Sie es nicht; für lange Anleitungen ist es eine große Hilfe, vor allem auf dem Smartphone.
Tabellen in WordPress: TablePress oder wpDataTables
Für einfache Tabellen reicht der Tabellen-Block von WordPress. Sollen Besucher eine Tabelle sortieren, durchsuchen oder blättern können, verwende ich TablePress, das kostenlos ist und Tabellen auch aus Excel- oder CSV-Dateien übernimmt. Für große Datenmengen und Diagramme ist wpDataTables die stärkere Wahl. Mehr dazu in meinem Artikel Tabellen in WordPress, einfach erklärt.
Werbung (Affiliate-Link): wpDataTables ansehen
Mehrsprachige Websites: TranslatePress
Soll Ihre Website in mehreren Sprachen erscheinen, verwende ich TranslatePress. Damit übersetzen Sie direkt auf der Seite, so wie der Besucher sie sieht, wahlweise mit einer automatischen Übersetzung als Ausgangspunkt. Worauf es bei mehrsprachigen Websites sonst ankommt, steht in meinem Artikel Mehrsprachige Website mit WordPress: Der Leitfaden.
Werbung (Affiliate-Link): TranslatePress ansehen
Online-Shop und Online-Buchung
Ein Internet-Shop oder eine Online-Buchung von Terminen sind so umfangreiche Themen, dass ich ihnen eigene Artikel gewidmet habe – und nicht immer ist ein Plugin dafür die beste Lösung.
Was ich nicht mehr empfehle
Dieser Artikel stammt ursprünglich aus dem Jahr 2019. Einige Plugins, die ich damals empfohlen habe, empfehle ich heute nicht mehr:
- Wordfence Login Security, das 2FA-Plugin von Wordfence: wurde am 17. August 2026 auf Wunsch des Autors aus dem Plugin-Verzeichnis entfernt. Stattdessen: Two-Factor (oben).
- Disable REST API: zuletzt im September 2023 aktualisiert und nur bis WordPress 6.3 getestet.
- Google-reCAPTCHA-Plugins: Stattdessen verwende ich Cloudflare Turnstile (oben).
- Wordfence: wird gepflegt, ist aber auf Hosting mit eigener Firewall doppelte Arbeit (oben).
- Monarch und Bloom von Elegant Themes, für Teilen-Buttons und Newsletter-Formulare: Ich setze beide nicht mehr ein.
- Caldera Forms, früher meine Empfehlung für Formulare: wurde im April 2022 aus dem Plugin-Verzeichnis entfernt.
Das ist auch der Grund, warum man Empfehlungslisten für Plugins immer mit Datum lesen sollte. Ob ein Plugin noch gepflegt wird, sehen Sie selbst im Plugin-Verzeichnis von WordPress.org: am Datum der letzten Aktualisierung, an der Angabe, bis zu welcher WordPress-Version es getestet ist, und an einem deutlichen Hinweis, wenn ein Plugin geschlossen wurde. Wie ich bei der Auswahl eines Plugins sonst vorgehe, steht in meinem Artikel WordPress Plugins einfach erklärt.
Nächste Schritte
In diesem Artikel haben wir uns mit konkreten Plugins für eine WordPress-Website befasst. Nach diesem zweiten Teil, in dem es um Plugins und damit um die Funktionalität einer WordPress-Website gegangen ist, wird es jetzt Zeit, dass wir uns endlich auch einmal ein Bisschen um das Aussehen einer WordPress-Website kümmern.
Bevor wir aber zu konkreten Auswahlkriterien für WordPress-Themes kommen, ist es wichtig, dass wir etwas erschaffen oder herstellen oder vorbereiten, womit man auch konkret ausprobieren kann, wie gut ein gewähltes Theme wirklich aussieht und ob es funktioniert oder nicht.
Daher geht es im nächsten Teil erst einmal um Inhalte und wie man ein paar solche erstellt. Da das manchen Menschen nicht unbedingt leicht fällt (das Schreiben von Texten nämlich), gebe ich als nächstes 9 super-einfache Tipps für erste Website-Inhalte. Viel Vergnügen damit!
Jetzt Teil 13 lesen!
Feedback zu diesem Artikel
Über Feedback zu diesem Artikel freue ich mich, z.B. welche WordPress-Plugins Sie persönlich für unentbehrlich halten. Falls Ihnen der Artikel nicht geholfen hat, kommentieren Sie bitte unbedingt ein paar Zeilen zu den konkreten Problemen, die hier noch nicht ausreichend besprochen oder erklärt sind.
Oder lassen Sie unten einen allgemeinen Kommentar für mich da, ob Lob, Kritik oder eine Frage, die ich hier nicht beantwortet habe, ich bin immer für Hinweise und Anregungen dankbar, die diesen Artikel verbessern. Bitte beachten Sie: Um Spam zu vermeiden, lese ich jeden Kommentar persönlich und gebe ihn dann erst frei. Seien Sie also nicht überrascht, wenn es ein Bisschen dauert, bis er zu sehen ist. Danke für Ihr Verständnis!
