# WordPress oder Agentur? Ein ehrlicher Vergleich

WordPress vs. Agentur: Was kostet was, wer trägt welches Risiko, wann ist welche Lösung richtig? Zahlen aus echten Projekten.

**Quelle:** https://blitzsicht.com/blog/wordpress-vs-blitzsicht/
**Autor:** Johannes Gottl · Blitzsicht, Regensburg
**Veröffentlicht:** 2026-05-27
**Lesezeit:** 11 Minuten

---

## Kurz gesagt

WordPress passt, wenn Sie ein IT-Team haben, ein großes Redaktionssystem oder einen Shop brauchen und die laufende Wartung bezahlen. Für einen Handwerksbetrieb, der Anfragen will und keine Server pflegen möchte, ist eine gewartete Agentur-Lösung meist die bessere Wahl. Den Ausschlag geben Sicherheit, Updates, DSGVO und Ladezeit.

Wenn Sie heute eine Website für Ihren Handwerksbetrieb suchen, hören Sie früher oder später zwei Empfehlungen: *"Nimm WordPress, das machen alle so"* — oder: *"Lass eine Agentur ran, die bauen dir was Ordentliches."* Beide Aussagen sind manchmal richtig und oft falsch.

Dieser Artikel ist kein Verkaufsgespräch. Es ist ein ehrlicher Vergleich — mit konkreten Zahlen, echten Risiken auf beiden Seiten, und einer klaren Empfehlung, **wann WordPress Sinn ergibt** und wann eine Agentur-Lösung die bessere Wahl ist.

## Was WordPress ist — und was nicht

WordPress ist ein **Content-Management-System (CMS)**, das 2003 als Blog-Software gestartet ist und heute nach eigenen Angaben rund 43 % aller Websites weltweit antreibt. Das klingt beeindruckend. Was diese Zahl nicht sagt: Der Großteil davon sind kleine Blogs, Visitenkarten-Sites, aufgegebene Domains, und Hobby-Projekte — nicht performante Geschäfts-Websites für aktive Anfragen-Generierung.

**Was WordPress gut kann:**

- Große Inhaltsmengen strukturiert verwalten (100+ Blogartikel, Produktkataloge)
- Redaktionelle Websites mit mehreren Autoren und Rollen
- WooCommerce-basierte Online-Shops (mit Einschränkungen — dazu gleich mehr)
- Bekannte Oberfläche für Teams, die Inhalte selbst pflegen wollen

**Was WordPress nicht kann — obwohl es das oft behauptet:**

- Seiten mit Lighthouse-Score ≥ 95 *ohne* massiven Optimierungs-Aufwand liefern
- Sicherheit ohne monatliche Update-Disziplin garantieren
- DSGVO-Konformität ohne Einzel-Plugin-Konfiguration sicherstellen
- Schnelle Deployments ohne Staging/Server-Wissen ermöglichen

Das ist kein Anti-WordPress-Rant. Das sind Fakten, die jeder Webentwickler bestätigt, der beide Welten kennt.

---

## Der Kernunterschied: Dynamisch vs. Statisch

Der wichtigste technische Unterschied, den kein Verkäufer erklärt: WordPress baut Seiten **zur Laufzeit** — bei jedem Seitenaufruf wird PHP ausgeführt, die Datenbank abgefragt, das HTML zusammengesetzt. Das kostet Zeit. Bei jedem einzelnen Besucher.

Moderne Agentur-Sites (wie die, die wir bei Blitzsicht bauen) funktionieren anders: Das HTML wird **einmal beim Build generiert** und dann als fertige Datei ausgeliefert. Kein PHP, keine Datenbankabfrage, keine Wartezeit.

![Geschwindigkeit: Statische Website vs. WordPress — Performance-Vergleich auf Mobilgeräten](/images/hero/performance-speed.webp "Illustration, KI-generiert")

*Ladezeit-Vergleich: Statisch generierte Sites laden unter 200 ms. WordPress-Seiten brauchen typischerweise 800 ms bis 3 Sekunden — je nach Hosting und Plugin-Last.*

In Zahlen aus echten Lighthouse-Audits unserer Kunden:

| Metrik | WordPress (typisch, Agentur-Qualität) | Statische Astro-Site (Blitzsicht) |
|---|---|---|
| LCP mobil | 2,8 – 4,5 s | 0,9 – 1,8 s |
| Lighthouse Performance mobil | 55 – 78 | 92 – 99 |
| TTFB (Time to First Byte) | 400 – 1.200 ms | 40 – 120 ms |
| Plugin-Overhead | 200 – 800 KB JS | 0 KB (kein JS-Framework nötig) |

Warum das für Handwerker relevant ist: **Google rankt Mobile-Performance seit 2021 als Ranking-Faktor.** Eine Seite mit Lighthouse-Score 60 verliert gegen eine mit Score 95 — selbst wenn der Inhalt identisch ist.

---

## Sicherheit: Der Elefant im Raum

WordPress ist das beliebteste Angriffsziel im Web — nicht weil es schlecht entwickelt ist, sondern weil es überall ist. Laut Wordfence (WordPress-Sicherheits-Plugin, 2024) werden täglich **rund 100.000 WordPress-Sites angegriffen**. Wann immer eine Sicherheitslücke in WordPress Core, WooCommerce, Elementor, Yoast oder einem der 60.000+ verfügbaren Plugins veröffentlicht wird, folgen Angriffswellen innerhalb von Stunden.

![Vorhängeschloss an einer alten Werkstatttür als Bild für Sicherheit](/images/blog/wordpress-vs-blitzsicht/vorhaengeschloss.webp "Symbolbild, KI-generiert")

**Was das konkret bedeutet:**

- WordPress Core bekommt im Schnitt **6–8 Sicherheits-Updates pro Jahr**
- Beliebte Plugins wie Elementor, Contact Form 7, WooCommerce erscheinen in CVE-Datenbanken regelmäßig mit High-Severity-Einträgen
- Ein nicht gepatchtes WordPress ist nach 12–18 Monaten statistisch gesehen kompromittiert — nicht gefährdet, sondern kompromittiert

Das ist nicht theoretisch. In unseren [Website-Audits](/website-audit/) finden wir bei ungefähr jeder dritten WordPress-Site, die wir begutachten, entweder:

- PHP-Version End-of-Life (PHP 7.x läuft nach Dezember 2022 ohne Sicherheits-Updates)
- WordPress-Core 2+ Versionen hinter dem aktuellen Stand
- Plugins mit bekannten CVE-Einträgen, die seit Monaten nicht geupdated wurden
- Oder: bereits vorhandene Schadcode-Injektionen im `wp-content/uploads`-Verzeichnis

Eine statisch generierte Site ohne Server-Side-PHP hat diese Angriffsfläche schlicht nicht. Kein PHP, keine Datenbank-Abfragen im Live-System, kein wp-admin. Das ist kein Marketing-Claim — das ist Architektur.

---

## Das Update-Problem: Wer macht die Arbeit?

Hier liegt der versteckte Knackpunkt, den kein WordPress-Angebot transparent kommuniziert: **WordPress braucht Pflege.** Wöchentlich bis monatlich.

![Schraubenschlüssel auf einem Stapel Wartungsprotokolle](/images/blog/wordpress-vs-blitzsicht/wartung-schraubenschluessel.webp "Symbolbild, KI-generiert")

Konkret bedeutet "WordPress pflegen":

1. **Core-Updates** — automatisch per Hintergrund-Update möglich, aber trotzdem manchmal breaking
2. **Theme-Updates** — können das visuelle Layout verändern oder Customizations überschreiben
3. **Plugin-Updates** — riskanteste Kategorie; inkompatible Plugins sind die häufigste Crash-Ursache
4. **PHP-Version-Update beim Hoster** — muss koordiniert werden, kann Plugins brechen
5. **Backup-Strategie** — WordPress macht keine automatischen Backups; Plugin nötig, kostet Zeit

Die Frage, die Sie vor einem WordPress-Projekt stellen sollten: **Wer macht das nach dem Launch?**

- Der Freelancer, der gebaut hat? Manchmal — gegen Stundensatz.
- Sie selbst? Manche können das. Die meisten Handwerker haben andere Dinge zu tun.
- Die Agentur, die übernimmt? Ja — aber Wartungsverträge kosten 50–200 €/Monat extra.
- Niemand? Das ist die häufigste Antwort. Und das Ergebnis sehen wir in unseren Audits.

Bei Blitzsicht liegt die Wartung im monatlichen Retainer. Sie machen keine Updates, kein Backup, keine Server-Konfiguration. Das ist keine Werbung — das ist ein anderes Modell. [Wie das konkret aufgeteilt ist, zeigen wir auf der So-funktioniert's-Seite](/so-funktionierts/).

---

## DSGVO: Compliance-Falle WordPress

WordPress selbst ist keine DSGVO-Verletzung — aber die typische WordPress-Installation ist es fast zwingend. Warum?

![Aktenordner und Stempel als Bild für Datenschutzpflichten](/images/blog/wordpress-vs-blitzsicht/aktenordner-stempel.webp "Symbolbild, KI-generiert")

**Das Problem mit Plugins und Drittanbieter-Diensten:**

WordPress-Sites nutzen standardmäßig (oder nach typischer Agentur-Konfiguration) eine Kombination aus Diensten, die personenbezogene Daten ins Nicht-EU-Ausland übertragen:

- **Google Fonts** — per Default extern eingebunden (US-Server). OLG München urteilte 2022: IP-Übertragung an Google ohne Einwilligung = DSGVO-Verstoß
- **Google Analytics (Universal/GA4)** — IP-Adressen in den USA, Consent-Pflicht, oft falsch konfiguriert
- **Elementor / Page-Builder** — lädt eigene Ressourcen teilweise von CDNs außerhalb EU
- **Contact Form 7** — keine Datenschutzerklärung automatisch, manuelle Integration nötig
- **WordPress.com Stats / Jetpack** — Daten in den USA

Das bedeutet: Selbst wenn Sie einen DSGVO-Experten beauftragen, muss jedes Plugin einzeln geprüft und konfiguriert werden. Sobald Plugins geupdated werden, kann sich das Verhalten ändern — ohne dass jemand es merkt.

Unsere Blitzsicht-Sites laufen ohne Google Fonts (System-Schriften), ohne Google Analytics (Plausible, EU-hosting, DSGVO-native), ohne externe CDNs im Live-Betrieb. Das spart einen ganzen Audit-Schritt. Der [Paket-Vergleich](/pakete/) zeigt, was in jedem Tier enthalten ist.

---

## Wann WordPress die richtige Wahl ist

Jetzt die faire Einschätzung: Es gibt Fälle, in denen WordPress Sinn ergibt.

**WordPress ist richtig, wenn:**

1. **Sie ein IT-Experten-Team haben**, das Compliance, Updates und Monitoring übernimmt — intern oder vertraglich
2. **Sie ein Redaktionssystem brauchen** mit mehreren Autoren, Freigabe-Workflows, Versionierung — ein Nachrichtenportal, ein Verband, eine große Kanzlei
3. **Sie WooCommerce-Shop mit komplexen Anforderungen brauchen** — Produktvarianten, Versandregeln, Kunden-Login — und bereit sind, das Budget für einen soliden Developer zu investieren (typisch: 8.000–20.000 €)
4. **Sie bereits eine WordPress-Site haben, die gut funktioniert** — warum wechseln, wenn sie performt, sicher ist und gewartet wird?

**WordPress ist falsch, wenn:**

1. **Sie ein Handwerksbetrieb mit 1–20 Mitarbeitern sind**, der "eine Website, die Anfragen bringt" will — nicht ein CMS verwalten
2. **Ihr letzter Entwickler nicht mehr erreichbar ist** — das passiert in 40–60 % der kleinen WordPress-Projekte nach 2–3 Jahren
3. **Sie keine Zeit und kein Budget für regelmäßige Wartung haben** — dann wird Ihre Website in 12–18 Monaten zum Sicherheitsrisiko
4. **Ihre wichtigste Anforderung ist Google-Ranking in lokalen Suchanfragen** — WordPress kann das, aber statische Sites können es mit weniger Aufwand und besser

---

## Der Preisvergleich: Was Sie wirklich bezahlen

Die häufigste Falschaussage im Vergleich: "WordPress ist günstiger." Das stimmt nur für die Setup-Kosten, nicht für den 5-Jahres-Zeitraum.

| Kriterium | WordPress (Freelancer) | WordPress (Agentur) | Blitzsicht Business |
|---|---|---|---|
| **Setup** | 1.500 – 4.000 € | 4.000 – 12.000 € | 4.990 € |
| **Hosting** | 15 – 40 €/Monat | inkl. oder 20 – 50 €/Monat | inkl. |
| **Wartung** | 0 (Sie machen es) oder 50 – 150 €/Monat extra | 50 – 200 €/Monat inkl. | inkl. (149 €/Monat) |
| **Sicherheits-Audit** | extra, einmalig 200 – 800 € | manchmal inkl. | inkl. (automatisiert) |
| **DSGVO-Compliance** | extra, einmalig 300 – 1.000 € | manchmal inkl. | inkl. |
| **Total 3 Jahre** | ca. 7.000 – 13.000 € | ca. 11.000 – 22.000 € | ca. 10.350 € |

Was diese Tabelle nicht zeigt: **Das Risiko**. Eine WordPress-Site, die gehackt wurde, kostet 800–5.000 € für Bereinigung, neue SSL, Datenschutz-Meldung (falls Kundendaten betroffen), und mögliche Bußgelder. Das passiert. Das ist kein Extremfall.

Eine statisch generierte Site ohne Datenbankzugriff hat dieses Risiko strukturell nicht.

Mehr zu unseren konkreten Paket-Preisen finden Sie direkt auf der [Pakete-Übersicht](/pakete/).

---

## Performance-Vergleich: Was Google sieht

Wir haben über die letzten 18 Monate Lighthouse-Daten aus 60+ Kunden-Sites ausgewertet und mit WordPress-Sites in vergleichbaren Branchen verglichen:

![Tagesaktuelle Messwerte von Google PageSpeed auf der Startseite von blitzsicht.com](/images/blog/wordpress-vs-blitzsicht/screenshot-live-messwerte.webp "Screenshot: blitzsicht.com, September 2026")

| Messung | WordPress (gepflegte Agentur-Site) | WordPress (Standard-Freelancer) | Blitzsicht Ø |
|---|---|---|---|
| Lighthouse Performance mobil | 68 | 44 | 94 |
| SEO-Score | 88 | 74 | 99 |
| Accessibility | 81 | 67 | 96 |
| Best Practices | 79 | 58 | 100 |
| LCP (Largest Contentful Paint) | 3,1 s | 5,4 s | 1,4 s |

Das ist kein Labor-Ergebnis. Das sind echte Messungen aus dem Chrome User Experience Report (CrUX) und unseren eigenen Audits.

**Was das für Google-Ranking bedeutet:** Core Web Vitals sind seit 2021 offizieller Ranking-Faktor. Eine Site mit LCP > 4 Sekunden hat strukturelle Ranking-Nachteile — unabhängig von Inhalt, Keywords und Backlinks.

---

## Die Frage, die Sie sich wirklich stellen müssen

Bevor Sie zwischen WordPress und einer Agentur entscheiden, ist die eigentliche Frage: **Was ist Ihre Kernaufgabe?**

Als Handwerker ist Ihre Kernaufgabe: Kunden betreuen, Aufträge abwickeln, Qualität liefern. **Nicht**: Server administrieren, Plugins aktuell halten, DSGVO-Logs führen.

WordPress ist ein Tool — kein Problem, solange jemand dieses Tool professionell bedient. Das Problem ist, dass die meisten Handwerksbetriebe nach dem Website-Launch allein damit sind. Ohne Support, ohne Wartung, ohne jemanden der anruft, wenn die Site um 3 Uhr nachts durch ein kompromittiertes Plugin Spam verschickt.

Das ist kein Angriff auf WordPress. Das ist eine Beschreibung der Realität in 80 % der Projekte, die wir bei [unseren Website-Audits](/website-audit/) sehen.

---

## Was wir anders machen

Wir haben uns bewusst gegen WordPress entschieden — nicht als politische Aussage, sondern als architektonische. Unsere Sites laufen auf Astro, generieren statisches HTML zur Build-Zeit, und werden auf Vercel mit globalem CDN ausgeliefert.

Das bedeutet:

- **Kein PHP-Server** → keine Server-seitigen Angriffsflächen
- **Kein wp-admin** → kein Brute-Force-Angriffsziel
- **Kein Plugin-Ecosystem** → keine Dependency-Chain-Risiken
- **Build bei Änderungen** → jede Änderung wird vor Live-Deployment geprüft

Was das nicht bedeutet: Einschränkungen für Sie. Texte ändern, neue Leistungen ergänzen, Bilder tauschen — das geht alles, entweder über uns im Retainer oder als Self-Service. Der Unterschied ist, dass dahinter ein sauberes System läuft, kein Patch-work aus 40 Plugins.

Mehr Details zu unserem technischen Ansatz finden Sie auf [So funktioniert's](/so-funktionierts/).

---

## Fazit: Wann was

**Nehmen Sie WordPress, wenn:**

- Sie ein erfahrenes IT-Team haben (intern oder vertraglich)
- Sie ein komplexes Redaktionssystem oder einen WooCommerce-Shop brauchen
- Budget für professionelle, kontinuierliche Wartung vorhanden ist
- Sie oder Ihr Team WordPress gut kennen und Updates nicht vernachlässigen

**Wählen Sie eine professionelle Agentur-Lösung, wenn:**

- Ihre Kernaufgabe Handwerk ist — nicht Server-Administration
- Sie eine Website wollen, die Anfragen bringt, nicht eine, die Sie beschäftigt
- Lighthouse-Score und lokale SEO-Performance messbar und dauerhaft wichtig sind
- Sie Wartung, DSGVO-Compliance und Monitoring auslagern wollen — ohne Überraschungen

Wenn Sie wissen wollen, wie eine solche Lösung für Ihren Betrieb konkret aussieht — [vereinbaren Sie einen 30-Minuten-Audit-Termin](/website-audit/). Kostenlos, ohne Verkaufsgespräch, mit konkreten Zahlen zu Ihrer aktuellen Online-Präsenz.

---

**Quellen und Recherche-Basis:**

- Wordfence Security Annual Report 2024: Angriffszahlen und Vulnerability-Statistiken für WordPress
- W3Techs CMS-Marktanteil-Studie, Mai 2025 (WordPress 43,4 % aller Websites)
- Google Core Web Vitals Ranking-Faktor: [web.dev/vitals](https://web.dev/vitals) + Search Central Dokumentation
- OLG München, Urteil v. 20.01.2022 (Az. 3 O 17493/20): Google Fonts DSGVO-Verstoß
- Chrome User Experience Report (CrUX), Q1 2025: Real-World-Performance-Daten
- Blitzsicht-interne Lighthouse-Audit-Daten aus 60+ Kunden-Projekten 2023–2025 (anonymisiert)
- CVE-Datenbank (cve.mitre.org): Sicherheitslücken Elementor, Contact Form 7, WooCommerce 2022–2025