--- title: "Website mit KI bauen? Warum WordPress immer noch gewinnt" source: https://graphixisland.com/blog/wordpress-oder-ki-website/ site: Graphix Island language: de author: Dion Holder published: 2026-10-28 retrieved: 2026-10-28 --- # Website mit KI bauen? Warum WordPress immer noch gewinnt Für eine Firmenwebsite, die Anfragen bringen, bei Google ranken und jahrelang von Deinem Team gepflegt werden soll, ist WordPress auch 2026 die bessere Wahl als eine Website, die eine KI in einer Stunde generiert. Die KI-Website sieht am ersten Tag fertig aus. Die Arbeit beginnt erst danach, mit Updates, Sicherheitslücken, neuen Inhalten und Rankings. Dafür hat WordPress seit 2003 Strukturen aufgebaut, die eine frisch generierte Codebasis nicht hat. Wie wichtig dabei gepflegtes Hosting ist, hat am 21. Oktober 2026 die PHP-Lücke PHP2Shell gezeigt. Viel Alarm, aber bei gepflegtem Hosting bisher keine bestätigten Einbrüche. KI nutzen wir trotzdem jeden Tag. Nur eben in WordPress und nicht statt WordPress. ## Was heißt „Website mit KI erstellen“ überhaupt? Hinter dem Begriff stecken drei verschiedene Dinge, die in der Diskussion um WordPress oder KI-Website ständig durcheinandergehen. - **Baukästen mit KI-Assistent** wie Wix, Jimdo oder IONOS MyWebsite. Die KI schlägt Texte und Layouts vor, die Website bleibt im System des Anbieters. - **Code-Generatoren** wie Lovable, Bolt oder v0. Du beschreibst die Website im Chat und die KI schreibt den kompletten Code, meist als React-Anwendung. Das ist gemeint, wenn jemand Websites mit KI „ballert“. - **KI im Content-Management-System.** WordPress 7.0 bringt seit dem 20. Mai 2026 KI-Schnittstellen direkt im Core mit. Die KI arbeitet dort in einer bestehenden Struktur, statt jedes Mal eine neue zu erfinden. Der Vergleich unten betrifft die zweite Gruppe. Warum Baukästen für Firmenwebsites selten reichen, steht in unserem Beitrag über [individuelles Webdesign](https://graphixisland.com/blog/individuelles-webdesign/). ## Warum WordPress nach 23 Jahren immer noch vorne liegt WordPress erschien am 27. Mai 2003. Laut [W3Techs](https://w3techs.com/technologies/details/cm-wordpress) läuft es heute auf 39,5 Prozent aller Websites und auf 58,3 Prozent der Websites, deren CMS sich erkennen lässt (Stand 28. Oktober 2026). Bei deutschen Firmenwebsites sieht es ähnlich aus. Im [Einheitsbrei-Index von analysen.io](https://analysen.io/einheitsbrei-index/website-systeme/) laufen 40,5 Prozent von 7.420 Firmenwebsites mit WordPress. Die Nummer zwei ist TYPO3 mit 7,1 Prozent (Stand Oktober 2026). Der Marktanteil allein beweist noch keine Qualität. Er sorgt aber dafür, dass fast alles, was eine Firmenwebsite braucht, schon tausendfach gebaut und dokumentiert ist. ### Eine Struktur, die jeder kennt Seiten, Beiträge, Menüs, Benutzerrollen und Revisionen funktionieren in jeder WordPress-Website gleich. Wer WordPress einmal bedient hat, findet sich überall zurecht. Das gilt für Dein Team, für neue Mitarbeiter und für jede Agentur, die später übernimmt. Eine generierte Website hat dagegen eine Struktur, die es genau einmal gibt. Wer sie ändern will, muss erst verstehen, was die KI da gebaut hat. ### Dein Team pflegt die Inhalte selbst Neue Leistung, geänderte Öffnungszeiten oder ein Blogartikel erledigt in WordPress jemand ohne Programmierkenntnisse im Editor. Bei den meisten generierten Websites läuft jede größere Änderung über einen neuen Prompt und einen neuen Build. Damit landet jede Textkorrektur wieder bei der Person, die das Projekt erzeugt hat. ### Du kannst jederzeit umziehen WordPress steht unter der Open-Source-Lizenz GPL. Du kannst Inhalte und Datenbank jederzeit exportieren, zu einem anderen Hoster umziehen oder eine andere Agentur beauftragen. Viele KI-Generatoren hosten das Projekt auf ihrer eigenen Plattform und verknüpfen es mit Diensten wie Supabase für Datenbank und Login. Ein Umzug ist dort möglich, aber Handarbeit für Entwickler. ### SEO und Mehrsprachigkeit sind erprobt SEO-Plugins wie Yoast oder Rank Math, strukturierte Daten, XML-Sitemaps, Weiterleitungen und WPML für mehrere Sprachen sind in WordPress erprobt. Viele KI-Generatoren erzeugen dagegen Single-Page-Anwendungen, die ihre Inhalte erst im Browser per JavaScript laden. Google rendert solche Seiten meistens, braucht dafür aber länger. Die Crawler von ChatGPT und Claude führen laut einer [Auswertung von Vercel](https://vercel.com/blog/the-rise-of-the-ai-crawler) aus dem Dezember 2024 kein JavaScript aus und sehen dann eine fast leere Seite. Wer in KI-Antworten auftauchen will, braucht Inhalte, die der Server fertig ausliefert. Genau das macht WordPress. ## Was bei KI-generierten Websites schiefgeht Eine generierte Website besteht aus Code, den niemand selbst geschrieben und meist auch niemand gelesen hat. Am deutlichsten zeigt sich das bei der Sicherheit. - Veracode hat 2025 mehr als 100 KI-Modelle Code für typische Programmieraufgaben schreiben lassen. In 45 Prozent der Fälle enthielt der Code eine Sicherheitslücke aus den OWASP Top 10, den zehn häufigsten Sicherheitsrisiken im Web. - Bei Lovable fand ein Sicherheitsforscher in 170 von 1.645 geprüften Apps ungeschützte Datenbankzugriffe, über die fremde Nutzerdaten abrufbar waren. Die Lücke wurde im Mai 2025 als CVE-2025-48757 veröffentlicht. - Das Projekt Vibe Security Radar von Forschern der Georgia Tech hat bis Ende März 2026 74 Sicherheitslücken bestätigt, zu denen KI-generierter Code nachweislich beigetragen hat. Allein im März kamen 35 dazu, mehr als in allen Monaten seit Beginn der Zählung im Mai 2025 zusammen. Mehr dazu in der [Meldung der Georgia Tech](https://news.research.gatech.edu/2026/04/13/bad-vibes-ai-generated-code-vulnerable-researchers-warn). Dazu kommt die Wartung. WordPress hat ein eigenes Security-Team und spielt kleinere Sicherheitsupdates seit Version 3.7 automatisch ein. Eine generierte Website hängt an Dutzenden npm-Paketen, um die sich nach der Fertigstellung oft niemand mehr kümmert. Ohne eingerichtete Überwachung wie Dependabot bekommst Du keine Warnung, wenn in einem davon eine Lücke auftaucht. Fairerweise gilt ein Teil davon auch für WordPress-Plugins. [Patchstack](https://patchstack.com/whitepaper/state-of-wordpress-security-in-2026/) zählte 2025 im WordPress-Ökosystem 11.334 neue Sicherheitslücken. 91 Prozent davon steckten in Plugins und 9 Prozent in Themes. Im WordPress-Core waren es 6, alle mit geringer Priorität. Deshalb setzen wir wenige, gepflegte Plugins ein und halten sie laufend aktuell. Worauf Du selbst achten kannst, zeigt unser Beitrag [WordPress-Sicherheit prüfen mit 8 Checks](https://graphixisland.com/blog/wordpress-sicherheit-checks/). ## PHP2Shell, großer Alarm und bisher keine bestätigten Einbrüche Am 21. Oktober 2026 wurden zwei kritische Lücken in PHP bekannt, der Programmiersprache, auf der WordPress läuft. CVE-2026-109618 und CVE-2026-109619 bekamen unter dem Namen PHP2Shell jeweils eine CVSS-Bewertung von 9,2 von 10. Angreifer konnten damit ohne Login Code auf Webservern ausführen. Das BSI warnte, mehrere Behörden nahmen Websites vorsorglich vom Netz und die Computerwoche titelte „[PHP2Shell-Panik greift um sich](https://www.computerwoche.de/article/4238904/php-panik-greift-um-sich-das-raten-experten.html)“. Eine Woche später sieht die Bilanz nüchterner aus. Die PHP Foundation veröffentlichte die Updates 8.5.12, 8.4.27, 8.3.36 und 8.2.35 noch am selben Tag. Raidboxes, wo unsere Websites laufen, hatte schon vorher Schutzregeln aktiv und spielte die Patches am 21. Oktober auf alle Server ein. Wir mussten nichts tun, graphixisland.com läuft auf PHP 8.5.12. Hetzner, IONOS und STRATO meldeten kurz nach der Veröffentlichung gepatchte Systeme. all-inkl.com patchte bis zum 22. Oktober und schaltete dafür eigene Dienste vorübergehend ab. Raidboxes und mehrere kleinere Hoster meldeten [keine bekannten kompromittierten Kundenseiten](https://www.severint.net/2026/10/22/wie-deutsche-webhoster-auf-php2shell-reagiert-haben/). Hostinger sah im Managed Hosting keinen Anstieg von Malware-Infektionen. Harmlos war PHP2Shell trotzdem nicht. Amazon beobachtete einen ersten Angriffsversuch schon am 17. Oktober, vier Tage vor den Patches, und Cloudflare meldete Millionen Angriffsversuche. Zwei Tage nach den Updates meldete das PHP-Team mit CVE-2026-115560 einen weiteren, deutlich schwerer ausnutzbaren Weg, für den es bis zum nächsten Update eine Abhilfe per Konfiguration gibt. Wer seinen Server selbst betreibt und nicht patcht, bleibt angreifbar. Das größere Problem sind veraltete Server. Laut einer Auswertung des Scan-Dienstes Modat, über die [Recorded Future](https://www.recordedfuture.com/blog/php2shell-vulnerability-exploitation) berichtet, laufen rund 79 Prozent der PHP-Dienste mit erkennbarer Version auf Zweigen ohne Sicherheitsupdates. Mit WordPress hat das wenig zu tun, mit dem Hosting dagegen viel. Die zweite Welle kam dann per E-Mail. IONOS und STRATO warnten vor Phishing-Mails, die mit der Lücke Angst machen. Fairerweise gilt auch, dass eine statisch ausgelieferte KI-Website von PHP2Shell gar nicht betroffen war. Dafür bringt sie die eigenen Risiken mit, die oben beschrieben sind. Außerdem schließen WordPress-Updates keine PHP-Lücken, dafür ist der Hoster zuständig. ## Wann eine KI-Website trotzdem reicht Für manche Projekte ist ein KI-Generator die schnellere Wahl. - Ein klickbarer Prototyp für ein Investorengespräch. - Eine Landingpage für eine Veranstaltung, die nach vier Wochen wieder offline geht. - Ein internes Werkzeug ohne Kundendaten. - Ein schneller Test, ob eine Geschäftsidee überhaupt Nachfrage hat. Sobald die Website Anfragen bringen, bei Google ranken oder Kundendaten verarbeiten soll, lohnt sich der Schritt zu WordPress. Je früher Du ihn gehst, desto weniger musst Du später umbauen. ## So nutzen wir KI mit WordPress Bei uns arbeitet KI in WordPress. Seit Version 6.9 enthält der Core die Abilities API, seit 7.0 auch den AI Client und Connectors, über die Administratoren KI-Anbieter mit wenigen Klicks anbinden. Über den offiziellen MCP Adapter, ein eigenes Plugin aus dem WordPress-Verzeichnis, lesen und schreiben KI-Agenten wie Claude Code oder Codex direkt auf der Website. Genau so arbeiten wir. Die KI schreibt Entwürfe, prüft Seiten auf Fehler und baut neue Seiten aus den bestehenden Bausteinen unseres Designsystems. Ein Mensch prüft jede Änderung und gibt sie frei. Das ist der entscheidende Unterschied, denn ein großer Teil der Lücken im Vibe Security Radar stammt aus Claude Code, also aus einem Werkzeug, das wir selbst nutzen. Gefährlich wird KI-Code, wenn ihn niemand prüft. Das Ergebnis bleibt eine normale WordPress-Seite, die Dein Team im Editor weiter pflegt. Wie Du in Antworten von ChatGPT und Co. sichtbar wirst, erklärt unsere Seite zu [Generative Engine Optimization](https://graphixisland.com/sichtbarkeit/geo/). ## Von der KI-Website zu WordPress Läuft Deine Website schon auf einem KI-Generator, übernehmen wir Texte, Bilder und URL-Struktur nach WordPress und leiten alte Adressen per 301 weiter. So gehen Links und Rankingsignale nicht verloren. Als [WordPress Agentur](https://graphixisland.com/webdesign/wordpress-agentur/) bauen wir Websites, die Dein Team selbst pflegt. Im [WordPress Support](https://graphixisland.com/webdesign/wordpress-support/) halten wir sie mit Updates, Backups und aktuellem PHP beim Hoster auf Stand. Falls doch einmal etwas passiert, hilft unser Beitrag [WordPress gehackt? So findest und entfernst Du Schadcode](https://graphixisland.com/blog/wordpress-gehackt-schadcode-entfernen/). ## Häufige Fragen zu WordPress und KI-Websites ### Ist eine mit KI erstellte Website schlecht für SEO? Nicht automatisch. Probleme entstehen, wenn der Generator eine Single-Page-Anwendung baut, die ihre Inhalte erst per JavaScript lädt. Google rendert solche Seiten meistens, viele KI-Crawler sehen dann aber nur eine leere Seite. Oft fehlen außerdem eigene Titles, Meta Descriptions, strukturierte Daten und saubere Weiterleitungen, die in WordPress ein SEO-Plugin abdeckt. ### Ist WordPress wegen PHP unsicher? Nein, solange Dein Hoster PHP aktuell hält. Die PHP Foundation liefert für alle unterstützten Versionen regelmäßig Sicherheitsupdates, bei PHP2Shell noch am Tag der Veröffentlichung. Unsicher wird eine Website durch veraltete PHP-Versionen beim Hoster, veraltete Plugins und schwache Passwörter. WordPress-Updates schließen keine PHP-Lücken, dafür ist der Hoster zuständig. Mit aktuellem PHP, wenigen gepflegten Plugins und Zwei-Faktor-Anmeldung ist WordPress gut geschützt. ### War PHP2Shell gefährlich für WordPress-Websites? Für Server mit ungepatchtem PHP ja, denn die Lücken erlaubten Code-Ausführung ohne Login. Die großen deutschen Hoster meldeten aber schnell gepatchte Systeme, Raidboxes hatte schon vor der Veröffentlichung Schutzregeln aktiv. Bestätigte Einbrüche bei gepflegtem Hosting sind bisher nicht bekannt. Gefährdet bleiben vor allem selbst verwaltete Server mit alten PHP-Versionen, die niemand aktualisiert. ### Kann ich eine KI-generierte Website zu WordPress umziehen? Ja. Texte, Bilder und die URL-Struktur lassen sich übernehmen, das Design bauen wir in WordPress neu auf. Alte URLs leiten wir per 301 weiter, damit Links und Rankingsignale nicht verloren gehen. Den generierten Code selbst übernehmen wir nicht, weil er sich in WordPress nicht sinnvoll weiterpflegen lässt. ### Ist WordPress 2026 noch zeitgemäß? Ja. WordPress 7.0 ist am 20. Mai 2026 erschienen und bringt KI-Schnittstellen direkt im Core mit. Laut W3Techs läuft WordPress auf 39,5 Prozent aller Websites (Stand 28. Oktober 2026). Der Anteil ist seit Jahresbeginn von 43,0 auf 39,5 Prozent gesunken, liegt aber weiterhin weit vor jedem anderen System. ### Nutzt Graphix Island selbst KI beim Webdesign? Ja, jeden Tag. KI-Agenten arbeiten bei uns über die Schnittstellen von WordPress, schreiben Entwürfe und prüfen Seiten auf Fehler. Jede Änderung prüft ein Mensch und gibt sie frei, bevor sie live geht. [ALLE FAQS ANSEHEN](https://graphixisland.com/faqs/) --- ## Weiterführende Seiten - [WordPress Webdesign](https://graphixisland.com/webdesign/wordpress/) - [Referenzen](https://graphixisland.com/referenzen/) - [Glossar](https://graphixisland.com/glossar/) --- # Metadaten - **Seite:** Website mit KI bauen? Warum WordPress immer noch gewinnt - **URL:** https://graphixisland.com/blog/wordpress-oder-ki-website/ - **Sprache:** Deutsch - **Autor:** Dion Holder - **Veröffentlicht:** 2026-10-28 - **Alle Angaben zum Unternehmen:** https://graphixisland.com/ki-info/ - **Erzeugt am:** 2026-10-28 automatisch aus dem Inhalt dieser Seite ## Zum Unternehmen - **Name:** Graphix Island (Graphix Island LLC) - **Gegründet:** 2021-12 - **Sprachen:** Deutsch, Englisch, Spanisch - **Profil:** https://dasauge.com/-graphixisland/ - **Profil:** https://www.linkedin.com/company/graphixisland/ - **Datenverarbeitung:** Kundenprojekte werden auf Servern innerhalb der Europäischen Union gehostet, sofern deren Endkundinnen und Endkunden in der EU ansässig sind. (geprüft 2026-08-05) - **Arbeitsmodell:** Graphix Island arbeitet vollständig remote und betreut Kundinnen und Kunden im deutschsprachigen Raum sowie international. (geprüft 2026-08-05) - **Technologie:** Graphix Island entwickelt Websites auf WordPress; mehrsprachige Projekte werden mit WPML umgesetzt. (geprüft 2026-08-05) - **Sprachen:** Graphix Island liefert Websites auf Deutsch, Englisch und Spanisch; die eigene Website ist in diesen drei Sprachen verfügbar. (geprüft 2026-08-05) ## Interne Links auf dieser Seite - [individuelles Webdesign](https://graphixisland.com/blog/individuelles-webdesign/) - [WordPress-Sicherheit prüfen mit 8 Checks](https://graphixisland.com/blog/wordpress-sicherheit-checks/) - [Generative Engine Optimization](https://graphixisland.com/sichtbarkeit/geo/) - [WordPress Agentur](https://graphixisland.com/webdesign/wordpress-agentur/) - [WordPress Support](https://graphixisland.com/webdesign/wordpress-support/) - [WordPress gehackt? So findest und entfernst Du Schadcode](https://graphixisland.com/blog/wordpress-gehackt-schadcode-entfernen/) - [ALLE FAQS ANSEHEN](https://graphixisland.com/faqs/) ## Externe Quellen - [W3Techs](https://w3techs.com/technologies/details/cm-wordpress) - [Einheitsbrei-Index von analysen.io](https://analysen.io/einheitsbrei-index/website-systeme/) - [Auswertung von Vercel](https://vercel.com/blog/the-rise-of-the-ai-crawler) - [Meldung der Georgia Tech](https://news.research.gatech.edu/2026/04/13/bad-vibes-ai-generated-code-vulnerable-researchers-warn) - [Patchstack](https://patchstack.com/whitepaper/state-of-wordpress-security-in-2026/) - [PHP2Shell-Panik greift um sich](https://www.computerwoche.de/article/4238904/php-panik-greift-um-sich-das-raten-experten.html) - [keine bekannten kompromittierten Kundenseiten](https://www.severint.net/2026/10/22/wie-deutsche-webhoster-auf-php2shell-reagiert-haben/) - [Recorded Future](https://www.recordedfuture.com/blog/php2shell-vulnerability-exploitation)