Plugin-Wildwuchs: Wie aus deinem Onlineshop ein Frankensteinshop wird

von

Ein Popup für die Newsletter-Anmeldung, ein Widget für Kundenbewertungen, ein Tool für Rechnungen und eines für die Versandetiketten. Jedes Plugin löst ein konkretes Problem. Zusammen ergeben sie mit den Jahren einen Shop, der aus vielen Einzelteilen zusammengenäht ist. Welches Teil was tut, weiß irgendwann niemand mehr so genau.

Solange alles läuft, fällt das kaum jemandem auf. Die Kosten entstehen trotzdem, nur an Stellen, auf die im Alltag selten jemand schaut: bei der Ladezeit, bei der Sicherheit, bei jedem Update und auf der Kreditkartenabrechnung.

Hier erfährst du, wie Plugin-Wildwuchs entsteht, was er kostet und wie du aufräumst. Das funktioniert unabhängig davon, ob dein Shop auf Shopware, Shopify, WooCommerce oder einem anderen System läuft.

Plugin-Wildwuchs

Ein Plugin ist eine Erweiterung, die deinem Shopsystem eine Funktion hinzufügt, die es von Haus aus nicht hat. Shopify nennt solche Erweiterungen Apps, bei Shopware heißen sie Erweiterungen, Plugins oder Apps, bei WooCommerce Plugins. Gemeint ist im Kern immer dasselbe: fremder Code, der in deinem Shop mitläuft.

Wildwuchs entsteht selten durch eine falsche Entscheidung. Er entsteht durch viele einzelne Entscheidungen, die jede für sich vernünftig waren. Für die Sommeraktion kommt ein Countdown-Plugin dazu, für ein Testprojekt ein Tracking-Tool, für ein Problem im Checkout ein schneller Fix. Die Aktion endet, das Projekt auch, das Plugin bleibt. Gut möglich, dass in deinem Shop noch der Countdown für eine Aktion von vor drei Jahren installiert ist.

Manchmal erledigen sogar zwei Plugins dieselbe Aufgabe. Das passiert, wenn jemand vergessen hat, dass für die Funktion schon ein Plugin installiert ist, oder nicht mehr weiß, wie das vorhandene funktioniert. Oder ein neues Plugin sollte nur getestet werden, der Test wurde zur Dauerlösung, und das alte blieb trotzdem installiert.

Das größte Problem dabei ist für mich eines, das man nicht sieht: Den meisten, die einen Shop betreuen oder verantworten, ist nicht bewusst, dass Plugins überhaupt ein Risiko sein können. Die Frage kommt gar nicht auf, weil der Shop ja funktioniert. Kosten verursacht der Wildwuchs trotzdem an vielen Stellen. Man merkt sie nur nicht, solange nichts kaputtgeht.

Wie viele Plugins sind zu viele?

Eine Zahl, ab der es kritisch wird, gibt es nicht. Wie viele Plugins in der Praxis zusammenkommen, hat Metorik ausgewertet, ein Analyse-Tool für Onlineshops. Danach hat ein WooCommerce-Shop im Schnitt 58 aktive Plugins, große Shops mit mehr als einer Million US-Dollar Jahresumsatz kommen auf 66. Ein Shop in der Stichprobe hatte 237 Plugins gleichzeitig aktiv.1

Einordnen solltest du die Zahlen trotzdem. Sie stammen aus über 6.000 WooCommerce-Shops, die mit Metorik arbeiten, und Metorik wirbt selbst damit, ohne zusätzliche Plugins auszukommen. Für Shopware- oder Shopify-Shops sagen sie nichts direkt aus.

In der Branche hörst du oft, die Anzahl sei egal, es komme nur auf die Qualität an. Das stimmt zur Hälfte. Ein schlecht programmiertes Plugin kann mehr Schaden anrichten als zehn saubere. Ich finde trotzdem: Jedes Plugin kostet etwas, auch ein gut gemachtes. Es will aktualisiert und nach größeren Updates getestet werden, oft kostet es Lizenzgebühren, und du hängst von seinem Hersteller ab.

Brauchbarer als eine Obergrenze ist deshalb eine einfache Frage: Kannst du zu jedem installierten Plugin sagen, wofür es da ist und wer es braucht? Wenn nicht, hast du Wildwuchs, egal ob es zwölf Plugins sind oder sechzig.

Das kostet dich Plugin-Chaos

Die Kosten von zu vielen oder vergessenen Plugins verteilen sich auf mehrere Bereiche. Keiner davon taucht als eigener Posten in einer Auswertung auf. Deshalb bleiben sie so lange unbemerkt.

Ladezeit und Core Web Vitals

Viele Plugins bringen eigene Dateien für Gestaltung und Funktion mit, also CSS und JavaScript. Manche laden diese Dateien auf jeder Seite, auch dort, wo sie gar nicht gebraucht werden. Dazu kommen Skripte, die von fremden Servern nachgeladen werden, etwa für Bewertungs-Widgets, Chat-Fenster oder Tracking-Pixel. Fachleute nennen das Third-Party-Skripte, also Code von Drittanbietern.

Google schreibt in seinem Leitfaden für Entwickler:innen: Lädt eine Seite trotz optimiertem eigenen Code zu langsam, liegt es wahrscheinlich an solchen Drittanbieter-Skripten. Jede zusätzliche Anfrage an einen fremden Server verlängert die Ladezeit, und zu viel JavaScript hält den Browser so lange beschäftigt, dass er die Seite später darstellt und langsamer auf Eingaben reagiert.2

Das wirkt sich auf die Core Web Vitals aus, Googles Messwerte für die Nutzererfahrung auf einer Seite. Der Largest Contentful Paint (LCP) misst, wie schnell der Hauptinhalt sichtbar wird. Interaction to Next Paint (INP) misst, wie schnell die Seite auf Klicks und Eingaben reagiert. Beide leiden, wenn zu viele Skripte gleichzeitig um den Browser konkurrieren.2

Sicherheitslücken

Jedes Plugin ist zusätzlicher Code, und jeder Code kann Fehler enthalten, über die Angreifer in deinen Shop gelangen. Solche Fehler heißen Sicherheitslücken. Laut dem Jahresbericht von Patchstack, einem Sicherheitsanbieter für WordPress, wurden 2025 im WordPress-Umfeld 11.334 neue Sicherheitslücken gefunden, 42 Prozent mehr als im Vorjahr. 91 Prozent davon steckten in Plugins.3

Zwei weitere Zahlen aus dem Bericht sind für Shopbetreiber:innen unangenehm. Bei 46 Prozent der Lücken gab es zum Zeitpunkt ihrer Veröffentlichung noch kein Update des Herstellers. Und bei den am stärksten angegriffenen Lücken vergingen im gewichteten Median fünf Stunden zwischen Veröffentlichung und ersten Angriffen.3 Wer Updates einmal im Monat einspielt, ist bei solchen Lücken also immer zu spät dran.

Die Daten betreffen nur WordPress und WooCommerce, und Patchstack verkauft Schutz gegen genau diese Lücken. Das Prinzip lässt sich trotzdem übertragen: Jedes Shopsystem mit Erweiterungen von Drittanbietern hat mehr fremden Code und damit mehr mögliche Einfallstore.

Updates und Kompatibilität

Dein Shopsystem bekommt regelmäßig Updates. Kleine Updates beheben Fehler, große Versionssprünge, sogenannte Major-Updates, verändern die technische Grundlage. Jedes Plugin muss da mitziehen. Ob es zur neuen Version passt, also kompatibel ist, liegt in der Hand seines Herstellers.

Ein Beispiel aus Shopware: Mit Version 6.7 wurde ein zentrales Werkzeug für die Programmierung der Oberfläche ausgetauscht. Shopware weist darauf hin, dass Plugins mit Bestandteilen für die Shop-Verwaltung deshalb getrennte Versionen für 6.6 und 6.7 brauchen.4 Hat der Hersteller deines Plugins diese Version nicht geliefert, musst du warten, das Plugin anpassen lassen oder auf die Funktion verzichten.

Je mehr Plugins installiert sind, desto mehr musst du nach jedem größeren Update prüfen. Vor jedes Update gehört deshalb ein Backup, also eine vollständige Sicherung, und ein Test in einer Staging-Umgebung. Das ist eine Kopie deines Shops, an der du ausprobieren kannst, ohne dass Kund:innen etwas davon mitbekommen.

Lizenzen, Abhängigkeiten, Code-Reste

Viele Plugins kosten Geld, oft als monatliche Gebühr oder als Jahreslizenz. Dazu kommt Arbeitszeit: für Updates, für das Testen danach, für die Supportanfrage, wenn sich zwei Plugins in die Quere kommen, und für die Einarbeitung, wenn jemand Neues den Shop übernimmt. Auf keiner dieser Positionen steht „Plugin-Wildwuchs“.

Hinzu kommt die Abhängigkeit vom Hersteller. Wird ein Plugin nicht mehr weiterentwickelt, bekommt es keine Sicherheitsupdates mehr und irgendwann auch keine Version für das nächste Major-Update.

Selbst Löschen räumt nicht immer vollständig auf. Bei Shopify gibt es Apps, die direkt in den Code deines Themes schreiben, also in die Vorlage, die das Aussehen deines Shops bestimmt. Ein App-Anbieter erklärt in seiner Hilfe, dass solche Code-Schnipsel nach der Deinstallation im Theme bleiben, weil die App danach keine Berechtigung mehr hat, ihre Änderungen rückgängig zu machen.5 Die App ist weg, ihr Code wohnt weiter im Theme.

Neuere Shopify-Apps arbeiten mit sogenannten Theme App Extensions. Sie verändern den Theme-Code nicht und lassen sich ohne Eingriff in den Code einbinden.6 Damit fällt das Problem der Code-Reste im Theme weg.

Shopware, Shopify, WooCommerce und andere: Unterschiede

Das Grundproblem ist überall gleich. Wer sich worum kümmern muss, unterscheidet sich aber je nach System.

System Erweiterungen heißen Wer kümmert sich um Updates? Typischer Stolperstein
WooCommerce Plugins Die für den Shop verantwortliche Person, die Plugins laufen auf deinem eigenen Server Sicherheitslücken in Plugins, die nicht zeitnah aktualisiert werden
Shopware Erweiterungen, angeboten als Plugins oder Apps Die für den Shop verantwortliche Person, oft gemeinsam mit einer Agentur Fehlende Kompatibilität bei Major-Updates
Shopify Apps Shopify für das System, die App-Anbieter für ihre Apps Monatliche App-Gebühren, Code-Reste im Theme bei älteren Apps
Andere Systeme, etwa JTL-Shop oder Adobe Commerce Je nach System Je nach Betriebsmodell Dieselben Grundregeln wie oben

Brauchst du für grundlegende Funktionen eine ganze Reihe Plugins, lohnt sich ein ehrlicher Blick auf das Shopsystem selbst. Fehlt ihm dauerhaft etwas, das für dein Geschäft wichtig ist, passt das System vielleicht nicht zu deinen Anforderungen.

Plugin-Inventur Schritt für Schritt

Aufräumen musst du nicht an einem Tag. Arbeite dich lieber Plugin für Plugin durch und entferne nichts überhastet im Live-Shop.

  1. Liste erstellen. Notiere alle installierten Plugins, auch die deaktivierten. Bei WooCommerce und Shopware bleibt ein deaktiviertes Plugin mit seinem Code im System. Was du nicht mehr brauchst, löschst du deshalb vollständig.
  2. Zweck klären. Schreib zu jedem Plugin dazu, was es tut, wer es installiert hat und ob es noch gebraucht wird. Nicht bei jedem Plugin erschließt sich das aus dem Namen. Dann hilft die Beschreibung auf der Seite des Herstellers.
  3. Dopplungen aufspüren. Vergleiche die Funktionen auf deiner Liste. Laufen zwei Plugins für dieselbe Aufgabe, etwa für Bewertungen, Cookie-Banner oder Tracking, entscheide dich für eines. Doppelt eingebundene Drittanbieter-Dienste können außerdem dazu führen, dass dieselben Programmbibliotheken mehrfach geladen werden.2
  4. Standardfunktionen prüfen. Shopsysteme entwickeln sich weiter. Manche Funktion, für die einmal ein Plugin nötig war, bringt dein System inzwischen selbst mit. Manchmal ist es nur eine Einstellung.
  5. Wartungszustand prüfen. Schau nach, wann es das letzte Update gab und ob das Plugin mit deiner aktuellen Shopversion kompatibel ist. Ein Plugin, das lange kein Update bekommen hat, ist ein Kandidat zum Ersetzen.
  6. Auswirkung auf die Ladezeit testen. In den Entwicklertools von Chrome kannst du einzelne Skripte testweise sperren: Rechtsklick auf eine Anfrage im Reiter „Network“, dann „Block request URL“. Lade die Seite neu und vergleiche, wie schnell sie ohne das Skript lädt und ob noch alles funktioniert.2
  7. Sicher entfernen. Mach vorher ein Backup und entferne das Plugin zuerst in der Staging-Umgebung. Prüf danach die wichtigsten Abläufe: Produktseite, Warenkorb, Checkout und Bestellbestätigung. Erst dann entfernst du es im Live-Shop.
  8. Code-Reste prüfen. Sieh in der Anleitung des Herstellers nach, ob nach dem Entfernen noch etwas von Hand gelöscht werden muss. Bei Shopify betrifft das vor allem ältere Apps, die direkt im Theme gearbeitet haben.

Ob du das Ergebnis dauerhaft als Plugin-Liste pflegst, hängt von deinem Shop ab. Für einen kleinen Shop, den eine Person betreut, ist das vielleicht zu viel. Sobald mehrere Personen am Shop arbeiten, lohnt sich die Liste. Zwei Dinge gehören aber in jedem Fall aufgeschrieben: alles, was sicherheitsrelevant ist, und wie Updates ablaufen, also wer sie einspielt, wo getestet wird und welche Plugins dabei besondere Aufmerksamkeit brauchen.

Bevor du das nächste Plugin installierst

Die Entscheidung über neue Plugins sollte bei der Person liegen, die für den Shop verantwortlich ist. Sie hat den Überblick über die vorhandenen Plugins, weiß, wie Updates ablaufen, und erfährt als Erste, wenn etwas nicht mehr zusammenpasst. Wünscht sich das Marketing ein neues Tool, sprecht kurz darüber, bevor es installiert wird.

Vor jeder Installation helfen ein paar Fragen:

  • Was ist das Ziel, und welches konkrete Problem soll das Plugin lösen?
  • Warum gerade jetzt, und warum wurde die Funktion nicht schon beim Start des Shops gebraucht?
  • Gibt es für diese Aufgabe vielleicht schon ein Plugin im Shop?
  • Kann das Shopsystem das bereits, vielleicht über eine Einstellung?
  • Ließe sich etwas Einfaches auch mit ein, zwei Stunden Entwicklungszeit lösen?

Ob ein Plugin oder eine eigene Entwicklung die bessere Wahl ist, kommt auf die Situation an. Mit einer Entwicklerin oder einem Entwickler an deiner Seite lässt sich beides gut handhaben. Ohne fachliche Unterstützung wird es in beiden Fällen schwierig, denn auch eigener Code muss bei großen Updates angepasst werden. Tendenziell ist ein Plugin die bessere Wahl, solange der Hersteller es weiterentwickelt.

Bei der Auswahl schaue ich auf die Zahl der Installationen, auf die Bewertungen, darauf, ob der Hersteller bekannt ist, und vor allem darauf, ob das Plugin aktuell gehalten wird. Ob ein Plugin Geld kostet, ist dagegen kein verlässliches Signal. Ich hätte erwartet, dass gekaufte Plugins sicherer sind. Patchstack hat in kostenpflichtigen WordPress-Plugins und -Themes aber dreimal so viele aktiv ausgenutzte Sicherheitslücken gefunden wie in kostenlosen. Als Grund nennt der Bericht, dass Sicherheitsforscher:innen schwerer an den Code kostenpflichtiger Erweiterungen kommen und ihn deshalb seltener prüfen.3

Steht ein Relaunch mit Systemwechsel an, kannst du deine Plugins ohnehin nicht mitnehmen. Such dann nicht für jedes alte Plugin automatisch einen Ersatz, sondern prüf bei jeder Funktion, ob sie überhaupt noch gebraucht wird. Vieles bringt das neue System vermutlich schon mit. Warum ein schlanker Start beim Relaunch sich auch finanziell lohnt, steht in meinem Artikel über MVP oder Komplettlösung beim Shop-Relaunch.

Fazit

Plugin-Wildwuchs fällt nicht auf, solange der Shop läuft. Er kostet trotzdem Ladezeit, Sicherheit, Zeit bei jedem Update und Geld für Lizenzen, die vielleicht niemand mehr braucht. Eine feste Obergrenze für Plugins gibt es nicht, wohl aber eine klare Anforderung: Für jedes Plugin sollte jemand sagen können, warum es da ist.

Öffne heute die Plugin-Übersicht deines Shops und markier jedes Plugin, bei dem du nicht sofort weißt, wofür es da ist. Mit dieser Liste fängt die Inventur an.

Wie viele Plugins laufen in deinem Shop, und weißt du bei allen, wofür sie da sind? Erzähl es mir gern auf LinkedIn.

Quellen

  1. Metorik (Luke Hopkins), „How Many Plugins Does the Average WooCommerce Store Use? (2026 Data from 6,000+ Stores)“, 2026: metorik.com/blog/woocommerce-plugin-statistics ↩
  2. Addy Osmani, Arthur Evans (web.dev, Google), „Load Third-Party JavaScript“, 2024: web.dev/articles/optimizing-content-efficiency-loading-third-party-javascript ↩
  3. Patchstack, „State of WordPress Security in 2026“, 2026: patchstack.com/whitepaper/state-of-wordpress-security-in-2026 ↩
  4. Shopware, „Update Guide Shopware 6.7“, o. J.: docs.shopware.com/en/shopware-6-en/update-guides/update-guide-shopware-67 ↩
  5. RecurrinGO (Andrey Gadashevich), „How to remove RecurrinGO correctly?“, 2025: help.recurringo.com/en/articles/11002698-how-to-remove-recurringo-correctly ↩
  6. Shopify, „About theme app extensions“, o. J.: shopify.dev/docs/apps/build/online-store/theme-app-extensions ↩