WordPress oder Agentur? Ein ehrlicher Vergleich

Wenn Sie heute eine Website für Ihren Handwerksbetrieb suchen, hören Sie früher oder später zwei Empfehlungen: “Nimm WordPress, das machen alle so” — oder: “Lass eine Agentur ran, die bauen dir was Ordentliches.” Beide Aussagen sind manchmal richtig und oft falsch.

Dieser Artikel ist kein Verkaufsgespräch. Es ist ein ehrlicher Vergleich — mit konkreten Zahlen, echten Risiken auf beiden Seiten, und einer klaren Empfehlung, wann WordPress Sinn ergibt und wann eine Agentur-Lösung die bessere Wahl ist.

Was WordPress ist — und was nicht

WordPress ist ein Content-Management-System (CMS), das 2003 als Blog-Software gestartet ist und heute nach eigenen Angaben rund 43 % aller Websites weltweit antreibt. Das klingt beeindruckend. Was diese Zahl nicht sagt: Der Großteil davon sind kleine Blogs, Visitenkarten-Sites, aufgegebene Domains, und Hobby-Projekte — nicht performante Geschäfts-Websites für aktive Anfragen-Generierung.

Was WordPress gut kann:

• Große Inhaltsmengen strukturiert verwalten (100+ Blogartikel, Produktkataloge)
• Redaktionelle Websites mit mehreren Autoren und Rollen
• WooCommerce-basierte Online-Shops (mit Einschränkungen — dazu gleich mehr)
• Bekannte Oberfläche für Teams, die Inhalte selbst pflegen wollen

Was WordPress nicht kann — obwohl es das oft behauptet:

• Seiten mit Lighthouse-Score ≥ 95 ohne massiven Optimierungs-Aufwand liefern
• Sicherheit ohne monatliche Update-Disziplin garantieren
• DSGVO-Konformität ohne Einzel-Plugin-Konfiguration sicherstellen
• Schnelle Deployments ohne Staging/Server-Wissen ermöglichen

Das ist kein Anti-WordPress-Rant. Das sind Fakten, die jeder Webentwickler bestätigt, der beide Welten kennt.

Der Kernunterschied: Dynamisch vs. Statisch

Der wichtigste technische Unterschied, den kein Verkäufer erklärt: WordPress baut Seiten zur Laufzeit — bei jedem Seitenaufruf wird PHP ausgeführt, die Datenbank abgefragt, das HTML zusammengesetzt. Das kostet Zeit. Bei jedem einzelnen Besucher.

Moderne Agentur-Sites (wie die, die wir bei Blitzsicht bauen) funktionieren anders: Das HTML wird einmal beim Build generiert und dann als fertige Datei ausgeliefert. Kein PHP, keine Datenbankabfrage, keine Wartezeit.

Ladezeit-Vergleich: Statisch generierte Sites laden unter 200 ms. WordPress-Seiten brauchen typischerweise 800 ms bis 3 Sekunden — je nach Hosting und Plugin-Last.

In Zahlen aus echten Lighthouse-Audits unserer Kunden:

Warum das für Handwerker relevant ist: Google rankt Mobile-Performance seit 2021 als Ranking-Faktor. Eine Seite mit Lighthouse-Score 60 verliert gegen eine mit Score 95 — selbst wenn der Inhalt identisch ist.

Sicherheit: Der Elefant im Raum

WordPress ist das beliebteste Angriffsziel im Web — nicht weil es schlecht entwickelt ist, sondern weil es überall ist. Laut Wordfence (WordPress-Sicherheits-Plugin, 2024) werden täglich rund 100.000 WordPress-Sites angegriffen. Wann immer eine Sicherheitslücke in WordPress Core, WooCommerce, Elementor, Yoast oder einem der 60.000+ verfügbaren Plugins veröffentlicht wird, folgen Angriffswellen innerhalb von Stunden.

Was das konkret bedeutet:

• WordPress Core bekommt im Schnitt 6–8 Sicherheits-Updates pro Jahr
• Beliebte Plugins wie Elementor, Contact Form 7, WooCommerce erscheinen in CVE-Datenbanken regelmäßig mit High-Severity-Einträgen
• Ein nicht gepatchtes WordPress ist nach 12–18 Monaten statistisch gesehen kompromittiert — nicht gefährdet, sondern kompromittiert

Das ist nicht theoretisch. In unseren Website-Audits finden wir bei ungefähr jeder dritten WordPress-Site, die wir begutachten, entweder:

• PHP-Version End-of-Life (PHP 7.x läuft nach Dezember 2022 ohne Sicherheits-Updates)
• WordPress-Core 2+ Versionen hinter dem aktuellen Stand
• Plugins mit bekannten CVE-Einträgen, die seit Monaten nicht geupdated wurden
• Oder: bereits vorhandene Schadcode-Injektionen im wp-content/uploads-Verzeichnis

Eine statisch generierte Site ohne Server-Side-PHP hat diese Angriffsfläche schlicht nicht. Kein PHP, keine Datenbank-Abfragen im Live-System, kein wp-admin. Das ist kein Marketing-Claim — das ist Architektur.

Das Update-Problem: Wer macht die Arbeit?

Hier liegt der versteckte Knackpunkt, den kein WordPress-Angebot transparent kommuniziert: WordPress braucht Pflege. Wöchentlich bis monatlich.

Konkret bedeutet “WordPress pflegen”:

1. Core-Updates — automatisch per Hintergrund-Update möglich, aber trotzdem manchmal breaking
2. Theme-Updates — können das visuelle Layout verändern oder Customizations überschreiben
3. Plugin-Updates — riskanteste Kategorie; inkompatible Plugins sind die häufigste Crash-Ursache
4. PHP-Version-Update beim Hoster — muss koordiniert werden, kann Plugins brechen
5. Backup-Strategie — WordPress macht keine automatischen Backups; Plugin nötig, kostet Zeit

Die Frage, die Sie vor einem WordPress-Projekt stellen sollten: Wer macht das nach dem Launch?

• Der Freelancer, der gebaut hat? Manchmal — gegen Stundensatz.
• Sie selbst? Manche können das. Die meisten Handwerker haben andere Dinge zu tun.
• Die Agentur, die übernimmt? Ja — aber Wartungsverträge kosten 50–200 €/Monat extra.
• Niemand? Das ist die häufigste Antwort. Und das Ergebnis sehen wir in unseren Audits.

Bei Blitzsicht liegt die Wartung im monatlichen Retainer. Sie machen keine Updates, kein Backup, keine Server-Konfiguration. Das ist keine Werbung — das ist ein anderes Modell. Wie das konkret aufgeteilt ist, zeigen wir auf der So-funktioniert’s-Seite.

DSGVO: Compliance-Falle WordPress

WordPress selbst ist keine DSGVO-Verletzung — aber die typische WordPress-Installation ist es fast zwingend. Warum?

Das Problem mit Plugins und Drittanbieter-Diensten:

WordPress-Sites nutzen standardmäßig (oder nach typischer Agentur-Konfiguration) eine Kombination aus Diensten, die personenbezogene Daten ins Nicht-EU-Ausland übertragen:

• Google Fonts — per Default extern eingebunden (US-Server). OLG München urteilte 2022: IP-Übertragung an Google ohne Einwilligung = DSGVO-Verstoß
• Google Analytics (Universal/GA4) — IP-Adressen in den USA, Consent-Pflicht, oft falsch konfiguriert
• Elementor / Page-Builder — lädt eigene Ressourcen teilweise von CDNs außerhalb EU
• Contact Form 7 — keine Datenschutzerklärung automatisch, manuelle Integration nötig
• WordPress.com Stats / Jetpack — Daten in den USA

Das bedeutet: Selbst wenn Sie einen DSGVO-Experten beauftragen, muss jedes Plugin einzeln geprüft und konfiguriert werden. Sobald Plugins geupdated werden, kann sich das Verhalten ändern — ohne dass jemand es merkt.

Unsere Blitzsicht-Sites laufen ohne Google Fonts (System-Schriften), ohne Google Analytics (Plausible, EU-hosting, DSGVO-native), ohne externe CDNs im Live-Betrieb. Das spart einen ganzen Audit-Schritt. Der Paket-Vergleich zeigt, was in jedem Tier enthalten ist.

Wann WordPress die richtige Wahl ist

Jetzt die faire Einschätzung: Es gibt Fälle, in denen WordPress Sinn ergibt.

WordPress ist richtig, wenn:

1. Sie ein IT-Experten-Team haben, das Compliance, Updates und Monitoring übernimmt — intern oder vertraglich
2. Sie ein Redaktionssystem brauchen mit mehreren Autoren, Freigabe-Workflows, Versionierung — ein Nachrichtenportal, ein Verband, eine große Kanzlei
3. Sie WooCommerce-Shop mit komplexen Anforderungen brauchen — Produktvarianten, Versandregeln, Kunden-Login — und bereit sind, das Budget für einen soliden Developer zu investieren (typisch: 8.000–20.000 €)
4. Sie bereits eine WordPress-Site haben, die gut funktioniert — warum wechseln, wenn sie performt, sicher ist und gewartet wird?

WordPress ist falsch, wenn:

1. Sie ein Handwerksbetrieb mit 1–20 Mitarbeitern sind, der “eine Website, die Anfragen bringt” will — nicht ein CMS verwalten
2. Ihr letzter Entwickler nicht mehr erreichbar ist — das passiert in 40–60 % der kleinen WordPress-Projekte nach 2–3 Jahren
3. Sie keine Zeit und kein Budget für regelmäßige Wartung haben — dann wird Ihre Website in 12–18 Monaten zum Sicherheitsrisiko
4. Ihre wichtigste Anforderung ist Google-Ranking in lokalen Suchanfragen — WordPress kann das, aber statische Sites können es mit weniger Aufwand und besser

Der Preisvergleich: Was Sie wirklich bezahlen

Die häufigste Falschaussage im Vergleich: “WordPress ist günstiger.” Das stimmt nur für die Setup-Kosten, nicht für den 5-Jahres-Zeitraum.

Was diese Tabelle nicht zeigt: Das Risiko. Eine WordPress-Site, die gehackt wurde, kostet 800–5.000 € für Bereinigung, neue SSL, Datenschutz-Meldung (falls Kundendaten betroffen), und mögliche Bußgelder. Das passiert. Das ist kein Extremfall.

Eine statisch generierte Site ohne Datenbankzugriff hat dieses Risiko strukturell nicht.

Mehr zu unseren konkreten Paket-Preisen finden Sie direkt auf der Pakete-Übersicht.

Performance-Vergleich: Was Google sieht

Wir haben über die letzten 18 Monate Lighthouse-Daten aus 60+ Kunden-Sites ausgewertet und mit WordPress-Sites in vergleichbaren Branchen verglichen:

Das ist kein Labor-Ergebnis. Das sind echte Messungen aus dem Chrome User Experience Report (CrUX) und unseren eigenen Audits.

Was das für Google-Ranking bedeutet: Core Web Vitals sind seit 2021 offizieller Ranking-Faktor. Eine Site mit LCP > 4 Sekunden hat strukturelle Ranking-Nachteile — unabhängig von Inhalt, Keywords und Backlinks.

Die Frage, die Sie sich wirklich stellen müssen

Bevor Sie zwischen WordPress und einer Agentur entscheiden, ist die eigentliche Frage: Was ist Ihre Kernaufgabe?

Als Handwerker ist Ihre Kernaufgabe: Kunden betreuen, Aufträge abwickeln, Qualität liefern. Nicht: Server administrieren, Plugins aktuell halten, DSGVO-Logs führen.

WordPress ist ein Tool — kein Problem, solange jemand dieses Tool professionell bedient. Das Problem ist, dass die meisten Handwerksbetriebe nach dem Website-Launch allein damit sind. Ohne Support, ohne Wartung, ohne jemanden der anruft, wenn die Site um 3 Uhr nachts durch ein kompromittiertes Plugin Spam verschickt.

Das ist kein Angriff auf WordPress. Das ist eine Beschreibung der Realität in 80 % der Projekte, die wir bei unseren Website-Audits sehen.

Was wir anders machen

Wir haben uns bewusst gegen WordPress entschieden — nicht als politische Aussage, sondern als architektonische. Unsere Sites laufen auf Astro, generieren statisches HTML zur Build-Zeit, und werden auf Vercel mit globalem CDN ausgeliefert.

Das bedeutet:

• Kein PHP-Server → keine Server-seitigen Angriffsflächen
• Kein wp-admin → kein Brute-Force-Angriffsziel
• Kein Plugin-Ecosystem → keine Dependency-Chain-Risiken
• Build bei Änderungen → jede Änderung wird vor Live-Deployment geprüft

Was das nicht bedeutet: Einschränkungen für Sie. Texte ändern, neue Leistungen ergänzen, Bilder tauschen — das geht alles, entweder über uns im Retainer oder als Self-Service. Der Unterschied ist, dass dahinter ein sauberes System läuft, kein Patch-work aus 40 Plugins.

Mehr Details zu unserem technischen Ansatz finden Sie auf So funktioniert’s.

Fazit: Wann was

Nehmen Sie WordPress, wenn:

• Sie ein erfahrenes IT-Team haben (intern oder vertraglich)
• Sie ein komplexes Redaktionssystem oder einen WooCommerce-Shop brauchen
• Budget für professionelle, kontinuierliche Wartung vorhanden ist
• Sie oder Ihr Team WordPress gut kennen und Updates nicht vernachlässigen

Wählen Sie eine professionelle Agentur-Lösung, wenn:

• Ihre Kernaufgabe Handwerk ist — nicht Server-Administration
• Sie eine Website wollen, die Anfragen bringt, nicht eine, die Sie beschäftigt
• Lighthouse-Score und lokale SEO-Performance messbar und dauerhaft wichtig sind
• Sie Wartung, DSGVO-Compliance und Monitoring auslagern wollen — ohne Überraschungen

Wenn Sie wissen wollen, wie eine solche Lösung für Ihren Betrieb konkret aussieht — vereinbaren Sie einen 30-Minuten-Audit-Termin. Kostenlos, ohne Verkaufsgespräch, mit konkreten Zahlen zu Ihrer aktuellen Online-Präsenz.

Quellen und Recherche-Basis:

• Wordfence Security Annual Report 2024: Angriffszahlen und Vulnerability-Statistiken für WordPress
• W3Techs CMS-Marktanteil-Studie, Mai 2025 (WordPress 43,4 % aller Websites)
• Google Core Web Vitals Ranking-Faktor: web.dev/vitals + Search Central Dokumentation
• OLG München, Urteil v. 20.01.2022 (Az. 3 O 17493/20): Google Fonts DSGVO-Verstoß
• Chrome User Experience Report (CrUX), Q1 2025: Real-World-Performance-Daten
• Blitzsicht-interne Lighthouse-Audit-Daten aus 60+ Kunden-Projekten 2023–2025 (anonymisiert)
• CVE-Datenbank (cve.mitre.org): Sicherheitslücken Elementor, Contact Form 7, WooCommerce 2022–2025