Plugin aus dem Pluginverzeichnis von WordPress.org entfernt: Was bedeutet das?

Du willst ein bewährtes Plugin auf einer neuen Website installieren, aber die Suche im Dashboard findet es nicht mehr. Auf WordPress.org steht statt des Buttons zum Herunterladen nur ein knapper Hinweis: „This plugin has been closed“. Auf deinen anderen Websites läuft dasselbe Plugin dagegen ganz normal. Was ist passiert? Das Plugin wurde aus dem offiziellen Pluginverzeichnis entfernt. Das kann harmlos sein. Es kann aber auch heißen, dass auf deiner Website gerade eine Sicherheitslücke offen ist, die niemand mehr schließt. Hier erfährst du, was hinter so einer Schließung steckt, wie du das Risiko einschätzt und welche Schritte jetzt sinnvoll sind.

Was bedeutet es, wenn ein Plugin von WordPress.org entfernt wurde?

Genau genommen löscht WordPress.org ein Plugin nicht, sondern schließt es. Auf der Pluginseite steht dann ein Satz wie „This plugin has been closed as of June 24, 2024 and is not available for download.“ Für dich als Betreiber hat das ganz konkrete Folgen:

• Das Plugin lässt sich weder auf WordPress.org herunterladen noch über das Dashboard installieren.
• Solange es geschlossen ist, verteilt WordPress.org keine neuen Versionen. Es kommen also keine Updates mehr, auch keine Sicherheitsupdates.
• Bereits installierte Kopien bleiben unangetastet. WordPress deaktiviert nichts und löscht nichts, das Plugin läuft einfach weiter.
• Der Quellcode bleibt im SVN Repository von WordPress.org öffentlich einsehbar.

Tückisch ist vor allem der dritte Punkt. Weil auf deiner Website alles normal aussieht, bekommst du von der Schließung meist gar nichts mit. Im Dashboard zeigt WordPress dazu keinen Hinweis an. Ein Ticket, das genau das ändern soll, liegt seit 2014 im WordPress Trac. Es wurde zwischendurch abgelehnt und 2023 wieder geöffnet. Die Frage, wie man Nutzer warnt, ohne unnötig Panik zu verbreiten, ist eben nicht so leicht zu beantworten.

Verwechsle ein entferntes Plugin außerdem nicht mit einem veralteten. Ein Plugin, das seit Jahren kein Update bekommen hat, steht oft noch ganz normal im Verzeichnis. WordPress.org weist dann nur darauf hin, dass es mit den letzten drei Hauptversionen von WordPress nicht getestet wurde. Ein geschlossenes Plugin ist dagegen komplett aus dem Verkehr gezogen.

Warum werden Plugins von WordPress.org entfernt? Die fünf offiziellen Gründe

Über das Pluginverzeichnis wacht das Plugins Team von WordPress.org. Es schließt Plugins nicht aus einer Laune heraus, sondern aus einem von fünf Gründen, die in der offiziellen Dokumentation für Entwickler festgehalten sind. Genau diese Gründe erscheinen später auch auf der Pluginseite:

• Security Issue (Sicherheitsproblem): Im Plugin steckt eine bestätigte Sicherheitslücke. Bis auf wenige Ausnahmen schließt das Team ein Plugin dann sofort. Eine Frist nach dem Motto „Behebe das in sieben Tagen, sonst fliegst du raus“ gibt es laut dem Handbuch des Teams nicht.
• Guideline Violation (Verstoß gegen die Richtlinien): Das Plugin hält sich nicht an die Regeln des Verzeichnisses. Typische Fälle sind Tracking ohne Einwilligung, absichtlich unleserlich gemachter Code oder Links zum Entwickler, die ungefragt auf deiner Website auftauchen.
• Licensing/Trademark Violation (Lizenz oder Markenrecht): Das Plugin enthält Code, der nicht mit der GPL vereinbar ist, oder sein Name bedient sich einer fremden Marke.
• Author Request (Wunsch des Autors): Der Entwickler hat das Plugin selbst geschlossen. Manchmal fehlt ihm schlicht die Zeit, manchmal gibt es das Plugin nur noch als kostenpflichtige Version auf seiner eigenen Website.
• Merged Into Core (in WordPress aufgegangen): Die Funktion steckt inzwischen direkt in WordPress. Das betrifft fast nur sogenannte Feature Plugins, in denen neue Funktionen erprobt werden, bevor sie in WordPress landen.

Viele Sicherheitsprobleme entdeckt das Plugins Team übrigens nicht selbst. Oft melden Sicherheitsforscher eine Lücke dorthin, zum Beispiel wenn der Entwickler auf ihre Hinweise nicht reagiert.

Warum wird der Grund für die Schließung erst nach 60 Tagen angezeigt?

Direkt nach der Schließung siehst du auf der Pluginseite nur das Datum. Den Grund trägt WordPress.org erst 60 Tage später nach, und auch dann nur als grobe Kategorie aus der Liste oben. Was genau vorgefallen ist, erfahren nur die Entwickler mit Schreibrechten für das Plugin und das Sicherheitsteam. Details werden nur in Ausnahmefällen öffentlich.

Das wirkt erst mal intransparent, lässt sich aber gut nachvollziehen. Stünde schon am Tag der Schließung „Security Issue“ auf der Seite, wüssten Angreifer sofort, wo sie suchen müssen, während Tausende Websites das Plugin noch ohne Schutz einsetzen. Die Frist gibt dem Entwickler die Chance, die Lücke zu beheben, bevor sie sich herumspricht.

Lies außerdem den Satz unter dem Hinweis. „This closure is temporary, pending a full review“ bedeutet, dass die Schließung vorläufig ist und das Plugin gerade genauer geprüft wird. „This closure is permanent“ heißt, dass die Schließung dauerhaft sein soll. Bei KingComposer, einem früher weit verbreiteten Page Builder, steht zum Beispiel seit Februar 2022 „Reason: Security Issue“.

Ist ein Plugin, das von WordPress.org entfernt wurde, gefährlich?

Ehrliche Antwort: Es kommt darauf an. Eine Schließung allein beweist noch keine Sicherheitslücke. Hat der Entwickler sein Plugin einfach aufgegeben, läuft es vielleicht noch jahrelang ohne Probleme.

Trotzdem solltest du jedes entfernte Plugin als Warnsignal ernst nehmen:

• Du kennst den Grund anfangs nicht. In den ersten 60 Tagen kann hinter der Schließung eine kritische Lücke stecken oder ein harmloser Formfehler. Von außen siehst du den Unterschied nicht.
• Sicherheitsupdates bleiben aus. Wird eine Lücke bekannt, bleibt sie offen. Genau deshalb sind geschlossene Plugins für Angreifer interessant: Sie wissen, dass viele Websites sie noch lange einsetzen.
• Die Kompatibilität bröckelt. Mit jeder neuen Version von WordPress und PHP steigt das Risiko, dass das Plugin Fehler produziert oder im schlimmsten Fall deine Website lahmlegt.

Wie schnell aus einer Schließung ein echtes Problem wird, hat der Juni 2024 gezeigt. Angreifer hatten sich mit Passwörtern aus alten Datenlecks Zugang zu Entwicklerkonten auf WordPress.org verschafft und in mehrere Plugins eine Hintertür eingebaut, wie Wordfence damals berichtete. Betroffen waren unter anderem Social Warfare und Blaze Widget. Social Warfare bekam schnell eine bereinigte Version. Blaze Widget ist dagegen seit dem 24. Juni 2024 dauerhaft geschlossen, Grund: Security Issue. Wer die manipulierte Version installiert hatte, sah davon im Dashboard nichts.

Plugin von WordPress.org entfernt: Was solltest du jetzt tun?

Panik ist nicht nötig. Aufschieben solltest du das Thema aber auch nicht. So gehst du am besten vor:

1. Lies den Hinweis auf der Pluginseite. Du findest sie unter wordpress.org/plugins/ gefolgt vom Slug des Plugins. Der Slug ist der Name seines Ordners in wp-content/plugins. Achte auf das Datum, auf die Angabe temporary oder permanent und, wenn die 60 Tage vorbei sind, auf den Grund.
2. Prüf, ob eine Sicherheitslücke bekannt ist. Such das Plugin in einer der großen Datenbanken für Schwachstellen, etwa bei Wordfence Intelligence, Patchstack oder WPScan. Ist dort eine Lücke für deine installierte Version eingetragen, ist die Sache klar: Deaktiviere das Plugin sofort. Ist deine Website darauf angewiesen, brauchst du schnell eine Übergangslösung (dazu gleich mehr).
3. Schau nach, ob der Entwickler weitermacht. Manche Plugins ziehen nur um, etwa zu GitHub oder in einen eigenen Shop des Entwicklers, oder es gibt sie nur noch gegen Bezahlung. Ein Blick auf seine Website bringt meist schnell Klarheit. Updates kommen dann aber nicht mehr automatisch über WordPress.org, sondern auf dem Weg, den der Entwickler vorgibt.
4. Frag dich ehrlich, ob du das Plugin noch brauchst. Gerade auf älteren Websites stecken oft Plugins, die irgendwann für einen einzigen Zweck installiert und dann vergessen wurden. Weißt du nicht mehr, wofür es da ist, deaktiviere es in einer Testumgebung und schau, ob etwas fehlt.
5. Such dir eine gepflegte Alternative. Wichtig sind das Datum des letzten Updates, die Zahl der aktiven Installationen, die zuletzt getestete Version von WordPress und die Frage, ob im Supportforum überhaupt jemand antwortet. Ein Plugin mit großer Nutzerbasis und aktivem Team ist meist die sicherere Wahl als eine Nischenlösung, an der eine einzelne Person in ihrer Freizeit arbeitet.
6. Tausch das Plugin sauber aus. Mach vorher ein Backup, teste den Wechsel in einer Testumgebung und übernimm Einstellungen und Inhalte. Denk dabei auch an Shortcodes, die nach dem Löschen sonst als nackter Text auf deinen Seiten stehen. Zum Schluss löschst du das alte Plugin vollständig. Nur deaktivieren reicht nicht: Bei manchen Lücken genügt es Angreifern, dass die Dateien noch auf dem Server liegen und sich direkt aufrufen lassen.

Was, wenn du das Plugin nicht sofort ersetzen kannst? Dann sichere es wenigstens ab. Eine Web Application Firewall, etwa von Wordfence, Patchstack oder deinem Hoster, kann bekannte Angriffe auf das Plugin abfangen, bis der Umstieg erledigt ist. Agenturen mit eigenen Entwicklern haben noch eine weitere Möglichkeit: Plugins auf WordPress.org stehen unter der GPL oder einer kompatiblen Lizenz. Du darfst den Code also übernehmen und selbst weiterpflegen. Dann liegen die Sicherheitsupdates allerdings komplett in deiner Verantwortung.

Mehr zur laufenden Pflege deiner Plugins findest du in unserem Ratgeber WordPress Plugins aktuell und sicher halten.

Wie findest du heraus, ob ein installiertes Plugin geschlossen wurde?

Von Hand ist das mühsam. Du müsstest für jedes Plugin die passende Seite auf WordPress.org aufrufen. Bei fünf Plugins geht das noch, bei 30 Plugins auf mehreren Kundenwebsites eher nicht.

Schneller geht es über die Plugin API von WordPress.org. Für ein geschlossenes Plugin liefert sie statt der üblichen Daten eine Fehlermeldung mit dem Wert closed:

curl -sg "https://api.wordpress.org/plugins/info/1.2/?action=plugin_information&request[slug]=SLUG"

Ersetze SLUG durch den Ordnernamen des Plugins. Steht in der Antwort "closed":true, ist das Plugin geschlossen. Dort findest du auch das Datum der Schließung und, sobald er veröffentlicht ist, den Grund. Die Option -g sorgt dafür, dass curl die eckigen Klammern in der Adresse nicht als Platzhalter missversteht.

Wenn du Wordfence einsetzt: Dessen Scan gleicht deine Plugins ebenfalls mit WordPress.org ab und meldet entfernte Plugins als kritisches Problem. Gelöscht wird dabei nichts, die Entscheidung bleibt bei dir.

Damit du dich nicht unnötig erschreckst: Nicht jedes Plugin, das du auf WordPress.org nicht findest, wurde entfernt. Premiumplugins wie WP Rocket oder Gravity Forms standen dort nie. Sie bekommen ihre Updates direkt vom Anbieter.

Wie InspectWP entfernte Plugins auf deiner Website erkennt

InspectWP nimmt dir diese Prüfung ab. Der Report erkennt die Plugins deiner Website anhand ihrer Spuren im Quelltext und gleicht jedes davon mit WordPress.org ab. Ist ein Plugin geschlossen, steht das direkt auf seiner Karte, und die Prüfung auf entfernte Plugins schlägt rot an. Gibt WordPress.org das Plugin später wieder frei, verschwindet die Markierung mit dem nächsten Report. Plugins, die seit über einem Jahr kein Update bekommen haben, markiert der Report getrennt davon als veraltet. Premiumplugins, die nie im Verzeichnis standen, gelten nicht als entfernt.

In den Tarifen Premium und Agency siehst du zusätzlich die installierten Versionen und bekannte Sicherheitslücken deiner Plugins. Mit dem InspectWP WordPress Connector erfasst InspectWP außerdem alle installierten Plugins, auch solche, die im Frontend keine Spuren hinterlassen. Im Audit PDF für deine Kunden erscheint ein entferntes Plugin als dringender Punkt mit einer klaren Empfehlung. Weil ein Plugin, das heute noch gepflegt wird, im nächsten Monat geschlossen sein kann, lohnen sich automatische Reports: InspectWP prüft deine Projekte dann regelmäßig und benachrichtigt dich auf Wunsch. Ein kostenloser Report zeigt dir in kurzer Zeit, ob auf deiner Website gerade ein entferntes Plugin läuft.