Statische Website: weniger Angriffsfläche, aber nicht für alles

Das Wichtigste in Kürze

• Eine statische Website wird vorab gebaut. Beim Aufruf liefert der Server fertige Dateien aus, ohne PHP und ohne Datenbankabfrage.
• Was nicht läuft, kann auf diesem Weg nicht angegriffen werden. Das senkt die Angriffsfläche deutlich, macht eine Seite aber nicht unangreifbar.
• Server, Zugänge, Formulare und eingebundene Dienste bleiben Risiken.
• WordPress bleibt sinnvoll, wenn Sie täglich selbst Inhalte pflegen, einen Shop betreiben oder viele Funktionen brauchen.

Stand: 22.10.2026. Dieser Beitrag ist eine allgemeine Einordnung und keine Sicherheitsberatung im Einzelfall.

Was ist eine statische Website?

Bei einer dynamischen Seite wie WordPress baut der Server jede Seite beim Aufruf neu zusammen: PHP läuft, die Datenbank wird abgefragt, das Ergebnis geht an den Besucher. Eine statische Seite wird einmal beim Veröffentlichen gebaut. Danach liegen fertige HTML-, CSS- und Bilddateien auf dem Server, und er schickt sie nur noch aus. Eine Definition steht im Lexikon unter statische Website.

Warum bietet das weniger Angriffsfläche?

Jede Software, die beim Aufruf läuft, kann Fehler haben. Am 21. Oktober 2026 wurden zum Beispiel kritische Lücken in PHP bekannt (siehe PHP-Sicherheitslücke Oktober 2026). Seiten, bei deren Aufruf kein PHP läuft, waren davon nicht betroffen.

Dasselbe gilt für Datenbank, Anmeldeseite und Plugins: Was nicht vorhanden ist, kann auf diesem Weg nicht angegriffen werden. Das nennt man Verkleinerung der Angriffsfläche. Außerdem entfallen laufende Updates für Plugins und Theme, die bei WordPress nötig sind.

Was eine statische Seite nicht verhindert

Ehrlich gesagt: Sicher ist sie nicht von selbst.

• Der Server muss weiter aktuell gehalten werden, ebenso die Zugänge dazu.
• Kontaktformulare brauchen irgendwo Programmcode, der Nachrichten annimmt.
• Eingebundene Dienste wie Karten, Kalender oder Skripte Dritter bringen eigene Risiken.
• Zugangsdaten zum Hoster oder zum Domainkonto können gestohlen werden.
• Fehlkonfiguration bleibt möglich, etwa offen liegende Dateien.

Weniger Angriffsfläche heißt weniger Möglichkeiten, nicht keine.

Wann eine statische Website passt

• Firmenseite, Handwerk, Praxis, Kanzlei, Portfolio mit überschaubarem Umfang
• Inhalte, die sich vielleicht monatlich ändern
• Wunsch nach schnellen Ladezeiten und wenig Pflegeaufwand
• Kontakt über Formular oder Anruf als Ziel

Wann WordPress sinnvoll bleibt

• Sie wollen Inhalte täglich und selbst pflegen, ohne jemanden zu fragen.
• Mehrere Personen schreiben Beiträge, mit Rollen und Freigaben.
• Sie betreiben einen Shop mit vielen Produkten.
• Sie brauchen Mitgliederbereiche oder viele fertige Erweiterungen.

In diesen Fällen ist WordPress ein ordentliches Werkzeug, wenn es gepflegt wird. Wie das aussieht, steht unter WordPress-Wartung. Wer schon eine WordPress-Seite hat und überlegt, ob ein Wechsel passt, findet Hilfe im Ratgeber Website ohne WordPress: was geht? und auf der Seite WordPress zu Astro.

Wie ich es umsetze

Meine Websites baue ich mit Astro vorab. Beim Aufruf laufen kein PHP, keine Datenbank und kein Login. Die Seiten liegen bei einem Hoster in Deutschland und werden von mir selbst betreut. Mehr dazu auf der Seite Sichere Website.

Quellen

• PHP, ChangeLog Version 8: php.net, abgerufen am 21.10.2026
• WordPress Developer Resources, „Hardening WordPress“: developer.wordpress.org, abgerufen am 22.10.2026