Datenschutz- und Haftungsrisiken bei WordPress in Deutschland: Wann ein Website-Neuaufbau die klügere Geschäftsentscheidung ist

Kurze Antwort
WordPress ist für kleine Unternehmen oft eine schnelle und kostengünstige Lösung. Doch bei klaren Datenschutz-, Sicherheits- oder Performance-Problemen kann ein kompletter Neuaufbau mit einem modernen, schlanken CMS oder einer statischen/Headless-Lösung langfristig kostengünstiger sein als kontinuierliches Patchen und Flickwerk. Die Entscheidung sollte auf messbaren Risiken basieren — rechtlich, technisch und geschäftlich — nicht auf der Annahme, dass mehr Plugins oder ein neues Theme die Probleme lösen.

Probleme und Symptome

• Rechtlich: Unsicherheiten bei Einwilligung, Drittanbieter-Einbindungen (z. B. Google-Fonts, Analytics) oder Datenübermittlungen in Drittstaaten können in Deutschland zu Abmahnungen und Unterlassungsansprüchen führen. Gerichtliche Entscheidungen und Behörden bewerten bereits einzelne Fälle als datenschutzrelevant. (dejure.org)
• Performance / UX: Langsame Ladezeiten, sichtbare Layout-Sprünge (CLS) oder schlechte Interaktionslatenz (INP) senken die Conversion-Raten und beeinflussen die Sichtbarkeit in Google. Core Web Vitals (LCP, INP, CLS) sind die von Google genutzten Feld-Metriken für Page Experience. (developers.google.com)
• Sicherheit & Wartung: Veraltete Core-Versionen, ungepflegte Plugins/Themes und fehlende Prozesse für Updates/Backups erhöhen die Wahrscheinlichkeit erfolgreicher Angriffe. Staatliche Stellen empfehlen Hartung, Patch-Management und mehrschichtige Absicherung. Symptome, die sofort alarmieren: wiederkehrende Abmahnungen, häufige Hacks, sinkende organische Sichtbarkeit trotz Content-Investitionen, dauerhaft „Poor“ in Core Web Vitals.

Messbare Faktoren

• Core Web Vitals: Feld-Daten im 75. Perzentil: LCP, INP, CLS. Quellen: Google Search Console, PageSpeed Insights und Chrome UX Report für Länderauswertungen. Lab-Tools wie Lighthouse und WebPageTest helfen bei der Ursachenanalyse, ersetzen jedoch nicht das Feld-Monitoring. (support.google.com)
• Datenschutz-Checkliste: Welche Dritt-Domains werden beim Seitenaufruf kontaktiert (Fonts, CDNs, Tracker)? Welche Daten werden dabei übertragen (IP, User-Agent)? Liegen gültige Rechtsgrundlagen (Einwilligung) oder Auftragsverarbeitung/SCCs vor? Verwenden Sie Browser-Netzwerkanalyse oder Privacy-Scanner (z. B. Cookie-Scans). (edpb.europa.eu)
• Sicherheits-Hygiene: Core/Plugin/Theme-Versionen, letztes Update-Datum, offene CVE-Einträge, Datei-Integritätsprüfung, Backup-Intervalle, WAF-Logs. OWASP-Top-Risiken zur Priorisierung (z. B. Sicherheitskonfiguration, Authentifizierung, Injection). (devguide.owasp.org)
• Business-Metriken: Conversion Rate, Absprungrate, Ladezeit zu Conversion-Korrelation, Umsatz pro Besucher. A/B-Tests vor und nach technischen Änderungen.

Verifizierte Fakten

• Core Web Vitals sind LCP, INP und CLS; Google aggregiert Felddaten (CrUX) und bietet Reports in Search Console/PageSpeed Insights. (developers.google.com)
• Cookie- und Tracking-Einwilligung muss aktiv und nachweisbar erfolgen; das EuGH-Urteil Planet49 stellte klar, dass voreingestellte Zustimmungen nicht genügen. (eur-lex.europa.eu)
• Der EuGH hat in Schrems II bestätigt, dass Datenübermittlungen in Drittstaaten streng zu prüfen sind; Standard-Vertragsklauseln bleiben möglich, erfordern aber Fall-zu-Fall-Prüfungen und ggf. ergänzende Maßnahmen. (eur-lex.europa.eu)
• Deutsche Gerichte (z. B. LG München I, Jan. 2022) haben unter bestimmten Bedingungen die dynamische Einbindung von Google Fonts ohne Einwilligung als DSGVO-Verstoß gewertet. (dejure.org)
• BSI und andere Behörden empfehlen regelmäßige Updates, Härtung und mehrschichtige Schutzmechanismen für CMS-Installationen. (staging.drweb.de)

Geschäftliche Auswirkungen

• Rechtlich/finanziell: Abmahnungen, Unterlassungsansprüche, ggf. Schadensersatz; selbst kleine Beträge und Verwaltungskosten summieren sich und belasten KMU. (dejure.org)
• Umsatz: Schlechte Page-Experience reduziert organische Sichtbarkeit und Conversion; Ladezeit-Verbesserungen zeigen regelmäßig zweistellige Conversion-Zuwächse in Praxisbeispielen (bei konkreten Tests zu verifizieren). (developers.google.com)
• Betriebskosten: Zeit für Patches, Debugging, Incident-Response, Supporttickets; bei stark verkabelten WP-Installationen steigen die jährlichen Maintenance-Kosten deutlich gegenüber schlanken, modularen Lösungen.

Prioritäten: Jetzt / Nächste 3–6 Monate / Später

• Jetzt (sofort):
  • CrUX-Check in GSC und PageSpeed Insights durchführen (LCP/INP/CLS). (support.google.com)
  • Rechtslage prüfen: Was bindet extern? Cookies/Fonts/Analytics inventarisieren; vorläufige Maßnahmen: lokale Einbindung (Fonts), Consent-Banner nach EDPB-Leitlinien. (dejure.org)
  • Sicherheitsbasics: Backups, Auto-Security-Updates für kritische Patches, starke Passwörter/2FA, Plugin-Audit (abandoned/unkritisch entfernen). (developer.wordpress.org)
• Nächste 3–6 Monate:
  • Technische Schuld auflisten: langsame Themes, Page-Builder-Bloat, schlecht getestete Plugins.
  • Messbare Verbesserungs-Sprints (Lighthouse-Lab → Produktions-Monitoring).
  • Rechtliche Dokumentation vervollständigen (AV-Verträge, Auftragsverarbeiter, Prüfprotokolle).
• Später (6–18 Monate):
  • Entscheidung über Rebuild prüfen: TCO-Vergleich (Wartung vs. Neuaufbau), Risikoannahmen, SEO-Auswirkung, Skalierbarkeit (Headless/Static/Frameworks).
  • Wenn Rebuild: Migrationsplan mit Content-Freeze, SEO-Mapping (URLs, Redirects), Test- und Rollback-Strategie.

Entscheidungskriterien: Wann ein kompletter Neuaufbau ratsam ist

• Technische Gründe:
  • Systematisch schlechte CWV trotz Optimierungs-Sprints (z. B. LCP >4s für Kernseiten im CrUX-Report). (developers.google.com)
  • Hohe Abhängigkeit von nicht wartbaren oder sicherheitskritischen Plugins (kein Update, kein Support).
• Rechtliche/Compliance-Risiken:
  • Wenn Dritt-Services/Integrationen wiederholt Datenschutzrisiken verursachen und keine datenschutzkonforme Alternative möglich ist (z. B. Dritt-CDN, Schrift-Hosts, Tracking), oder die Kosten rechtlicher Absicherung (SCCs, DPA-Audits) unverhältnismäßig sind. (eur-lex.europa.eu)
• Geschäftliche/Ökonomische Gründe:
  • Steigende Wartungskosten und verlorene Umsätze überwiegen die einmaligen Rebuild-Kosten (TCO-Analyse).
  • Bedarf an moderner Architektur (Headless, Performance-SLA, bessere Integrationsfähigkeit für CRM/Shop/Automatisierung).

Pragmatische Empfehlungen

• Wenn Sie weniger als 10 Seiten und viele Probleme haben: Neubau als statische/SSG-Site (z. B. Hugo, Eleventy) oder kleiner CMS-Dienst kann die sicherste, günstigste Option sein.
• Für E-Commerce mit vielen Transaktionen: Headless/managed Commerce + schlanke Frontend-Implementierung, um Performance, Sicherheit und Compliance zentral zu steuern.
• Bevor Sie neu bauen: immer ein Audit (Performance + Datenschutz + Security) mit klaren Messgrößen durchführen; nur auf dieser Basis ist die Rebuild-Entscheidung belastbar.

Checkliste

1. Monitoring: Core Web Vitals in GSC aktivieren; Basis-Leseprobe (Top 5 Traffic-URLs) messen. (support.google.com)
2. Datenschutz-Inventar: alle Dritt-Requests (Fonts, CDNs, Tracker) dokumentieren; lokale Einbindung prüfen. (dejure.org)
3. Recht: Consent-Mechanismus nach EDPB-Leitlinien implementieren; Dokumentation der Rechtsgrundlagen. (edpb.europa.eu)
4. Sicherheit: Plugin-Audit (entfernen/ersetzen), automatisierte Backups, 2FA, WAF prüfen; Update-Policy definieren. (developer.wordpress.org)
5. TCO-Rechnung: aktuelle jährliche Wartungs- und Incident-Kosten vs. Rebuild-Kosten + erwartete Einsparungen (z. B. geringere Hacks, bessere Conversion).
6. MVP-Test: Bei Rebuild zuerst eine Kernseite migrieren, messen (CrUX & Conversion), dann weiterrollen. (developers.google.com)

Abschluss
Ein Neuaufbau ist keine „Modeentscheidung“, sondern dann wirtschaftlich sinnvoll, wenn messbare technische, rechtliche oder betriebliche Risiken regelmäßig wiederkehren und Optimierungen am existierenden WordPress-System diese Probleme nicht zuverlässig beheben. Beginnen Sie mit einem kurzen Audit (CrUX, Plugin-Inventar, Update-Status, Backup/Restore-Test) und treffen Sie die Rebuild-Entscheidung auf Basis von Kennzahlen, nicht nur auf Bauchgefühl.