WordPress 2026: Sicher, performant und DSGVO-konform ohne Plugin-Zoo

Zusammenfassung: Je weniger Drittanbieter-Plugins, desto sicherer, schneller und günstiger ein WordPress-Setup. Die meisten „Must-have“-Plugins lassen sich 2026 durch Core-Features, ein sauberes FSE-Theme und ein paar hundert Zeilen eigenes MU-Plugin ersetzen.

Was WP-Core 2026 schon kann

• wp-sitemap.xml ersetzt viele Sitemap-Plugins.
• wp_robots-Filter für robots.txt direkt im Code.
• FSE-Templates + theme.json machen Page Builder überflüssig.
• Block-Patterns statt Shortcodes.

Was in ein kleines MU-Plugin gehört

• Schema.org-Ergänzungen (Organization-Details, ServiceArea).
• Kontaktformular als REST-Endpoint (Nonce, Honeypot, Rate-Limit, wp_mail).
• Security-Hardening (XML-RPC off, REST-User-Enum-Blocker, Login-Throttle).
• Security-Header (HSTS, Referrer-Policy, Permissions-Policy, CSP).
• llms.txt für AI-Crawler.
• Performance-Dequeues (Emoji, oEmbed, Shortlinks).

DSGVO: Weniger ist mehr

Wer Tracking erst aktiviert, wenn es wirklich nötig ist, hält die Datenschutz-Anforderung klein. Fonts self-hosten, Analytics optional mit Consent Mode v2 – der Rest ist sauberes Handwerk.